Instanzen verwenden private IPs mit einem globalen Load Balancer davor. Beschränken Sie den Ursprungs-Traffic so, dass nur ein Traffic-Scrubbing-Dienst eines Drittanbieters eine Verbindung herstellen kann.

Die korrekte Antwort ist die Erstellung einer Cloud Armor-Sicherheitsrichtlinie. Cloud Armor ist eine Web Application Firewall (WAF) und DDoS-Schutzdienst, der vor dem globalen Load Balancer sitzt. Er kann den eingehenden Traffic basierend auf IP-Adressen, geografischem Standort und anderen Parametern filtern und so sicherstellen, dass nur der Traffic des Drittanbieter-Scrubbing-Dienstes die Backend-Instanzen erreicht. Eine VPC-Firewall-Regel wäre nicht ausreichend, da sie Traffic auf der Netzwerkebene filtert und der Load Balancer bereits den Traffic über seine eigene IP-Adresse proxyen würde, wodurch die ursprüngliche Quell-IP-Adresse für die Firewall-Regel nicht sichtbar wäre. VPC Service Controls dienen dem Schutz vor Daten-Exfiltration und sind nicht für die Traffic-Filterung auf Anwendungsebene gedacht. iptables-Regeln auf den Instanzen sind weniger effizient und skalierbar als Cloud Armor und würden die Instanzen immer noch dem unerwünschten Traffic aussetzen, bevor dieser gefiltert wird.