Su servicio TCP con acceso a Internet está experimentando una gran inundación volumétrica de SYN. ¿Qué enfoque de mitigación es el primer paso más apropiado en Google Cloud?

La opción correcta es poner el servicio detrás del balanceador de carga HTTP(S) externo de Google (Google Front End) y usar Cloud Armor para protección L7. El Google Front End (GFE) es la primera línea de defensa de Google, diseñada para absorber grandes volúmenes de tráfico, incluyendo ataques DDoS volumétricos como las inundaciones SYN, antes de que lleguen a su infraestructura. Cloud Armor, integrado con el GFE, proporciona protección adicional a nivel de aplicación (L7). Adjuntar una política de seguridad de Cloud Armor solo al grupo de instancias no es suficiente porque el ataque ya habría saturado la red antes de llegar a las instancias. Cambiar el servicio a un balanceador de carga interno no lo protegería de un ataque externo, ya que un balanceador de carga interno no está expuesto directamente a Internet. Habilitar Cloud NAT no filtra paquetes SYN entrantes; su función principal es proporcionar traducción de direcciones de red para el tráfico saliente.