限制 Google Cloud 负载均衡应用，使其仅允许特定客户端 IP 范围（以及 Google 健康检查范围）进行连接。您会采取哪种措施？

正确的做法是为后端实例标记“application”，并创建针对该标签的防火墙规则，其中包含允许的客户端和 Google 健康检查源范围。Google Cloud 中的防火墙规则是控制入站和出站流量的主要机制。通过将防火墙规则应用于带有特定标签的后端实例，您可以精确地限制哪些源 IP 范围可以连接到这些实例。Google Cloud 负载均衡器会将外部流量转发到后端实例，因此在后端实例层级实施防火墙规则是限制客户端访问的有效方法。同时，必须包含 Google 健康检查的 IP 范围，以确保负载均衡器能够正确执行健康检查并路由流量。 使用 Access Context Manager / VPC Service Controls 主要是为了数据泄露防护和细粒度访问控制，通常用于限制对 Google Cloud 服务的访问，而不是直接限制负载均衡器后端实例的客户端 IP 范围。VPC Service Controls 保护的是服务边界内的资源，而不是直接过滤进入负载均衡器的外部流量。