用途：Azure DDoS Protection 依托微软全球网络，在流量到达工作负载前吸收三层/四层容量型与协议型攻击。免费的基础结构保护仅保护 Azure 平台本身；付费计划提供按配置文件调优的缓解、攻击分析、事后报告、成本保护和快速响应支持。适用于电商、受监管金融 API、多人游戏、公共部门服务、面向互联网的 AI API、流媒体等停机成本较高的公网工作负载。不适用于仅做应用层（HTTP）防护（应使用 azure-waf）、Azure 防火墙设计或第三方 DDoS 设备方案。
主要能力与层级：基础结构保护免费、平台级，无 SLA、无分析；DDoS 网络保护按 VNet 覆盖范围内所有公共 IP，适合多 IP 大型环境；DDoS IP 保护按公共 IP 粒度计费，适合小型环境或特定高风险 IP。网络保护为按计划固定费用，IP 保护按 IP 计费，规模不同经济性会反转，选择前应分别测算。
使用方式：在部署时于 VNet 启用网络保护，平台立即开始流量画像，约 7 天学习正常模式并自动调优每 IP 缓解策略，运行越久越准确；缓解是自适应的，不存在固定 Mbps 阈值。配置指标与告警（每个公共 IP 的“是否遭受 DDoS 攻击”布尔值、被丢弃的入站数据包、触发 DDoS 的入站 TCP/UDP 数据包），并通过 Log Analytics 与活动日志告警接入 Sentinel。上线前用 BreakingPoint Cloud、Red Button 等微软认可的模拟伙伴在非生产公共 IP 上按季度演练。攻击期间与之后会生成包含攻击向量、流量规模、主要来源和缓解动作的报告。网络保护计划包含 DDoS 快速响应（DRR），需提前在 IR 手册中写入联系方式、确认支持合同类型允许 DRR、指定授权联系人。网络保护还含服务额度成本保护，事后凭缓解报告申请。三层/四层防护需与 Front Door/Application Gateway 上的 WAF 配合应对七层攻击。
限制与注意：免费基础结构保护无 SLA、无分析、无成本保护，不足以支撑高价值公网负载；不要在无公网 IP 的 VNet 上启用网络保护；新 IP 画像时间不足会降低缓解效果；WAF 与 DDoS 互补而非替代；模拟只能在非生产、经批准的 IP 与时间窗进行；IP 保护仅支持标准公共 IP，基础 SKU 正在退役；CDN 前置负载仅部分受 CDN 自身防护，源站仍应考虑；DDoS 保护不能替代灾难恢复计划。常见反模式包括依赖免费层、对大量 IP 使用 IP 保护导致账单更高、攻击时才启用、跳过模拟、未预先安排 DRR、未前置 WAF、支持层级不允许 DRR 等。官方文档见 Microsoft Learn 的概览、层级比较、启用、指标告警、模拟测试、快速响应与参考架构页面。