Il tuo servizio TCP esposto a Internet sta subendo un massiccio SYN flood volumetrico. Qual è l'approccio di mitigazione più appropriato come primo passo su Google Cloud?

La risposta corretta è mettere il servizio dietro un bilanciatore del carico HTTP(S) esterno di Google (Google Front End) con Cloud Armor. Questo perché i bilanciatori del carico esterni di Google, parte del Google Front End (GFE), sono progettati per assorbire attacchi volumetrici massivi, inclusi i SYN flood, al perimetro della rete di Google, prima che raggiungano le tue istanze. Cloud Armor, integrato con il GFE, fornisce protezione L7 e può essere configurato per mitigare specificamente i SYN flood e altri attacchi DDoS. Le altre opzioni sono meno efficaci: Collegare una policy di Cloud Armor solo al gruppo di istanze non protegge dal SYN flood volumetrico, poiché l'attacco raggiungerebbe comunque le istanze prima che Cloud Armor possa agire efficacemente a quel livello. Spostare il servizio su un bilanciatore del carico interno lo renderebbe inaccessibile da Internet, il che non è una soluzione per un servizio "esposto a Internet". Abilitare Cloud NAT non filtra i pacchetti SYN in entrata; Cloud NAT è per la traduzione degli indirizzi di rete per il traffico in uscita.