GCP实例中的DDoS防护和速率限制

Question

我在 GCP 中有一个计算实例。我的任务是

1. 防止实例遭受DDoS攻击
2. 对应用程序的传入请求进行速率限制，但特定 IP 地址除外。

部署的应用程序对我来说是黑盒的，但它在多个不同端口（5 个端口）上接收 HTTPS 和 WS 请求。它自行处理 SSL 证书的验证和确认。

根据初步研究，我发现GCP提供了Cloud Armor来进行速率限制和DDoS防护。然而，我面临着一些挑战。

1. Cloud Armor 在负载均衡器上应用速率限制规则
2. 由于应用程序侦听多个端口并自行处理 SSL 认证，因此我必须使用网络负载均衡器而不是应用程序负载均衡器。
3. 云铠的DDoS防护适用于区域而不是实例。另外，我认为云装甲速率限制规则不适用于网络负载均衡器，而仅适用于应用程序负载均衡器。

我想确保在实例上应用上述规则的最佳策略是什么，以及目前在 GCP 上是否可行。可以使用什么来将这些规则应用于实例。

Answer 1

根据此官方 Google 文档，

Cloud Armor 速率限制功能目前仅指定用于全局外部 HTTP(S) 负载均衡器/全局外部 HTTP(S) 负载均衡器（经典）和外部 TCP 代理负载均衡器/外部 SSL 代理负载均衡器，而不是 网络负载均衡器。

针对将 Cloud Armor 与网络负载均衡器结合使用提出了功能请求，产品工程团队正在处理此请求。

解决方法：

• 您可以利用网络或子网级别的VPC防火墙规则来控制入站和出站流量；通过这样做，只允许受信任的 IP 地址，并且它将限制可疑或恶意流量的速率。

  请参阅此官方 GCP 文档来配置 VPC 防火墙规则来解决您的问题。

• 您可以实施 VPC 服务控制，以围绕虚拟私有云 (VPC) 中的资源创建安全边界，并确保严格执行访问控制以防止恶意内容的传输。

  请参阅此官方 GCP 文档来配置 VPC 服务控制来解决您的问题。

• 您可以使用Cloud IAP来确认用户身份并实施安全访问规定。

  请参阅此官方 GCP 文档来配置 Cloud IAP 来解决您的问题。