我如何允许通过IP访问REST？

Question

我想阻止对其余API的访问，以便全世界都无法访问它，只有预定义的IP可以。我的后端是Java服务，但我想将此安全性层与代码分开，并将其用作外部工具。端点的某种防火墙。例如：

我正在与GKE合作。

任何人都知道解决方案吗？

谢谢

Answer 1

您可以使用Google Cloud Armor来仅允许特定IP地址或CIDR范围访问您的应用。它integrates with GKE完全适合您描述的用例。请注意，它目前处于测试阶段，根据您的要求，可能不适合生产。

Answer 2

由于GKE最终是一堆VM，因此您可以使用防火墙规则来阻止IP（或允许IP）访问您的端点；记住数据流

 Internet -> Google Cloud (firewall) -> Validation -> Services (VMs, GKE, AppEngine, etc.)

此文档：https://cloud.google.com/solutions/prep-kubernetes-engine-for-prod可能会派上用场，尤其是其中所说的部分：防火墙，您可以以此为指导来创建满足您的需求所需的防火墙规则，甚至可以将其扩展为更好的安全性。

[请记住，使用所需的访问权限来创建规则，不要再进行其他操作（如果仅使用一个端口，则仅对一个端口授予访问权限，而不要使用一堆端口），并且避免使用0.0.0.0/0规则更好地创建针孔而不是敞开的门。

更新：正如请求者更好地解释的那样，我认为获得更快（更好）结果的最佳方法是使用带有URL映射的负载平衡，这样就不会影响后端服务，并且IP路径歧视将处于较高水平。该信息可以在[https://cloud.google.com/load-balancing/docs/url-map-concepts]

中找到

如果需要更多帮助，请让我知道;）

-JP