Um WAF de nuvem de terceiros atua como proxy para clientes HTTPS e, em seguida, abre o HTTPS para seu balanceador de carga HTTP(S) externo global. Você deve usar o Cloud Armor para bloquear sessões cujo IP de origem do cliente esteja em IP_RANGE_BLOCK e fazer com que o Cloud Armor execute o bloqueio. Como você configura o Cloud Armor?

A resposta correta é "Crie uma política de segurança de backend do Cloud Armor. Defina userIpRequestHeaders[] na política. Adicione uma regra negando o tráfego que corresponda a inIpRange(origin.userip, 'IPRANGEBLOCK'). Aplique a política ao serviço de backend." O Cloud Armor opera em políticas de segurança de backend para proteger serviços de backend. Como o WAF de terceiros atua como proxy, o IP original do cliente é encaminhado em um cabeçalho HTTP. Para que o Cloud Armor veja esse IP, você deve configurar userIpRequestHeaders[] na política, especificando o cabeçalho que contém o IP do cliente. A expressão inIpRange(origin.userip, 'IPRANGEBLOCK') é usada para corresponder ao IP do cliente (obtido do cabeçalho configurado) e bloqueá-lo se estiver dentro do intervalo especificado. As opções que mencionam "política de segurança de borda de rede" estão incorretas porque o Cloud Armor para balanceadores de carga HTTP(S) externos usa políticas de segurança de backend. As opções que usam origin.ip em vez de origin.userip estão incorretas porque origin.ip se refere ao IP da conexão direta com o Cloud Armor (neste caso, o WAF de terceiros), e não ao IP original do cliente.