As instâncias usam IPs privados com um balanceador de carga global à frente delas. Restrinja o tráfego de origem para que apenas um serviço de limpeza de tráfego de terceiros possa se conectar.

A política de segurança do Cloud Armor é a solução correta porque opera na camada de balanceamento de carga (camada 7), antes que o tráfego chegue às instâncias. Isso permite filtrar o tráfego de entrada com base em endereços IP de origem, cabeçalhos HTTP e outras características, garantindo que apenas o serviço de limpeza de tráfego de terceiros autorizado alcance o balanceador de carga e, consequentemente, as instâncias. Regras de firewall da VPC (Virtual Private Cloud) operam na camada de rede (camada 4) e controlam o tráfego entre instâncias ou para a internet, mas não podem filtrar o tráfego antes que ele atinja o balanceador de carga global. Perímetros do VPC Service Control protegem contra exfiltração de dados e acesso não autorizado a serviços, não sendo projetados para filtragem de tráfego de entrada em um balanceador de carga. Regras de iptables nas instâncias filtrariam o tráfego após ele já ter chegado às instâncias, o que não atende ao requisito de restringir o tráfego antes de atingir o balanceador de carga.