Ваш интернет-сервис TCP подвергается масштабной SYN-флуд-атаке. Какой подход к смягчению последствий является наиболее подходящим первым шагом в Google Cloud?

Размещение сервиса за внешним балансировщиком нагрузки HTTP(S) Google (Google Front End) является наиболее подходящим первым шагом, поскольку GFE поглощает DDoS-атаки на периметре сети Google, прежде чем они достигнут ваших экземпляров. Это обеспечивает масштабируемую защиту от объемных атак, таких как SYN-флуд. Cloud Armor, интегрированный с GFE, позволяет применять политики безопасности L7 для дальнейшей фильтрации вредоносного трафика. Применение Cloud Armor только к группе экземпляров неэффективно, так как атака достигнет ваших экземпляров до фильтрации. Переключение на внутренний балансировщик нагрузки сделает сервис недоступным из интернета, что не является решением для публичного сервиса. Cloud NAT не предназначен для фильтрации входящих SYN-пакетов; его основная функция — предоставление исходящего NAT для экземпляров без внешних IP-адресов.