Un WAF cloud di terze parti esegue il proxy dei client HTTPS e quindi apre HTTPS al tuo bilanciatore del carico HTTP(S) esterno globale. Devi usare Cloud Armor per bloccare le sessioni il cui IP di origine del client si trova in IP_RANGE_BLOCK e fare in modo che Cloud Armor esegua il blocco. Come configuri Cloud Armor?

La risposta corretta è la creazione di una policy di sicurezza di backend di Cloud Armor. Cloud Armor opera a livello di bilanciatore del carico HTTP(S) esterno, che è un servizio di backend. La policy deve essere applicata al servizio di backend. Poiché un WAF di terze parti esegue il proxy, l'indirizzo IP del client originale viene passato tramite un'intestazione HTTP personalizzata. È necessario configurare userIpRequestHeaders[] nella policy di Cloud Armor per specificare quale intestazione contiene l'IP del client. La condizione inIpRange(origin.userip, 'IPRANGEBLOCK') è corretta perché origin.userip fa riferimento all'IP del client estratto dall'intestazione configurata, mentre origin.ip si riferirebbe all'IP del WAF di terze parti, non all'IP del client originale. Le opzioni che menzionano una "policy di sicurezza perimetrale di rete" sono errate perché Cloud Armor non offre questo tipo di policy per i bilanciatori del carico HTTP(S) esterni.