Instancje używają prywatnych adresów IP, a globalny load balancer znajduje się przed nimi. Ogranicz ruch do źródła tak, aby tylko zewnętrzna usługa czyszczenia ruchu mogła się łączyć.

Poprawna jest opcja z Cloud Armor, ponieważ jest to usługa WAF (Web Application Firewall) Google Cloud, która działa na brzegu sieci i jest przeznaczona do ochrony przed atakami DDoS oraz filtrowania ruchu HTTP/HTTPS. Globalny load balancer integruje się z Cloud Armor, co pozwala na zastosowanie polityk bezpieczeństwa przed dotarciem ruchu do instancji. Pozostałe opcje są nieodpowiednie: reguły zapory sieciowej VPC działają na poziomie instancji lub podsieci, ale po przejściu przez load balancer, co nie chroni przed atakami na brzegu sieci. VPC Service Controls chroni przed eksfiltracją danych, a nie filtruje ruchu przychodzącego na poziomie aplikacji. Reguły iptables na źródle są zbyt niskopoziomowe i nieefektywne dla ochrony przed ruchem przychodzącym przez globalny load balancer.