Las instancias usan IPs privadas con un balanceador de carga global al frente. Restrinja el tráfico de origen para que solo un servicio de limpieza de tráfico de terceros pueda conectarse.

Cloud Armor es la solución de Google Cloud para la protección contra DDoS y el filtrado de tráfico a nivel de balanceador de carga HTTP(S) global. Al crear una política de seguridad de Cloud Armor y asociarla al balanceador de carga, puede especificar reglas para permitir solo el tráfico proveniente de las direcciones IP del servicio de limpieza de terceros, bloqueando todo lo demás antes de que llegue a las instancias. Una regla de firewall de VPC operaría a nivel de red de las instancias, después de que el tráfico haya pasado por el balanceador de carga. Un perímetro de VPC Service Control está diseñado para proteger los datos y servicios de Google Cloud de la exfiltración, no para filtrar el tráfico de entrada a un balanceador de carga. Las reglas de iptables en el origen son específicas de cada instancia y no son escalables ni eficientes para un balanceador de carga global.