您的網際網路 TCP 服務正遭受大量的 SYN flood 攻擊。在 Google Cloud 上，最適合做為第一步的緩解措施為何？

正確答案是使用 Google 的外部 HTTP(S) 負載平衡器 (Google Front End) 作為服務的前端，以便在邊緣吸收流量，並使用 Cloud Armor 進行 L7 保護。Google 的外部 HTTP(S) 負載平衡器 (GFE) 具有大規模的 DDoS 防護能力，可以在流量到達您的服務實例之前，在 Google 的全球邊緣網路吸收大量的 SYN flood 攻擊。結合 Cloud Armor，您可以設定 L7 規則來進一步過濾惡意流量。 僅將 Cloud Armor 安全性政策附加到服務的執行個體群組是不足的，因為 Cloud Armor 需要與負載平衡器結合才能有效運作，且單獨的實例群組無法承受大規模的攻擊流量。將服務切換到內部負載平衡器會將服務從網際網路隱藏，但這會使其無法從網際網路存取，不符合網際網路 TCP 服務的需求。在子網路啟用 Cloud NAT 主要是用於出站流量的 IP 位址轉換，對篩選入站 SYN 封包沒有直接的緩解作用。