Un WAF en la nube de terceros actúa como proxy para clientes HTTPS y luego abre HTTPS a su balanceador de carga HTTP(S) externo global. Debe usar Cloud Armor para bloquear sesiones cuya IP de origen del cliente esté en IP_RANGE_BLOCK y hacer que Cloud Armor realice el bloqueo. ¿Cómo configura Cloud Armor?

La opción correcta es crear una política de seguridad de backend de Cloud Armor. Las políticas de seguridad de backend se adjuntan directamente a los servicios de backend del balanceador de carga, lo que permite a Cloud Armor inspeccionar y filtrar el tráfico antes de que llegue a las instancias de backend. Dado que un WAF de terceros actúa como proxy, la dirección IP de origen visible para el balanceador de carga y Cloud Armor será la del WAF. Para obtener la IP real del cliente, es necesario configurar userIpRequestHeaders[] en la política de seguridad, especificando la cabecera HTTP que contiene la IP del cliente (comúnmente X-Forwarded-For). La expresión inIpRange(origin.userip, 'IPRANGEBLOCK') utiliza esta IP de cliente real para aplicar la regla de denegación. Las políticas de seguridad de borde de red (Network Edge Security Policies) se usan para proteger recursos de red de Google Cloud como VMs con IPs públicas, no para balanceadores de carga HTTP(S) externos globales. La expresión origin.ip se refiere a la IP de origen inmediata del balanceador de carga, que en este escenario sería la del WAF de terceros, no la del cliente final.