Le istanze utilizzano IP privati con un bilanciatore del carico globale che le precede. Limitare il traffico di origine in modo che solo un servizio di pulizia del traffico di terze parti possa connettersi.

La risposta corretta è creare una policy di sicurezza di Cloud Armor. Cloud Armor è un servizio di sicurezza DDoS e WAF (Web Application Firewall) che si integra con i bilanciatori del carico globali di Google Cloud. Permette di definire regole basate su attributi di rete, come gli indirizzi IP di origine, per filtrare il traffico prima che raggiunga le istanze backend. Questo è il metodo più efficace per limitare il traffico in ingresso a un servizio specifico quando si utilizza un bilanciatore del carico. Le regole firewall VPC operano a livello di istanza o subnet e non sono ideali per filtrare il traffico che passa attraverso un bilanciatore del carico globale. VPC Service Controls è progettato per prevenire l'esfiltrazione di dati e non per filtrare il traffico di rete in ingresso. Le regole iptables sono configurate a livello di sistema operativo sulle singole istanze e non sono scalabili o gestibili centralmente per un servizio dietro un bilanciatore del carico globale.