Eine Cloud-WAF eines Drittanbieters leitet HTTPS-Clients als Proxy weiter und öffnet dann HTTPS zu Ihrem globalen externen HTTP(S)-Load-Balancer. Sie müssen Cloud Armor verwenden, um Sitzungen zu blockieren, deren ursprüngliche Client-Quell-IP in IP_RANGE_BLOCK liegt, und Cloud Armor die Blockierung durchführen lassen. Wie konfigurieren Sie Cloud Armor?

Die korrekte Antwort ist, eine Cloud Armor-Backend-Sicherheitsrichtlinie zu erstellen, userIpRequestHeaders[] festzulegen, eine Regel mit inIpRange(origin.userip, 'IPRANGEBLOCK') hinzuzufügen und die Richtlinie auf den Backend-Dienst anzuwenden. Da der Drittanbieter-WAF als Proxy fungiert, muss Cloud Armor die ursprüngliche Client-IP-Adresse aus einem HTTP-Header (z.B. X-Forwarded-For) lesen. Dies wird durch die Einstellung userIpRequestHeaders[] in der Backend-Sicherheitsrichtlinie erreicht. Die Bedingung origin.userip greift auf diese konfigurierte IP zu. Eine Backend-Sicherheitsrichtlinie ist korrekt, da sie mit dem globalen externen HTTP(S)-Load-Balancer integriert wird. Eine Netzwerk-Edge-Sicherheitsrichtlinie ist für die Filterung auf der Netzwerk-Edge gedacht und nicht für die Integration mit dem Load-Balancer-Backend-Dienst. Die Verwendung von origin.ip würde die IP-Adresse des WAF und nicht die des ursprünglichen Clients blockieren.