如何将 Cloud Armor 与 GAE Flex 结合使用？答案

【问题标题】：How to use Cloud Armor with GAE Flex?如何将 Cloud Armor 与 GAE Flex 结合使用？
【发布时间】：2020-09-14 20:38:45
【问题描述】：

我想知道是否可以将 Cloud Armor 与 GAE Flex 一起使用？因为在Cloud Armor's documentation 中，它表示您必须使用HTTPS Load Balancer。由于 GAE Flex 没有负载均衡器，我们如何将 Cloud Armor 与 GAE Flex 一起使用？我们必须使用 WAF 来防止 DDOS 攻击。是否可以通过 HTTPS 负载均衡器将 Cloud Armor 与 GAE Flex 一起使用？如果是这样，您能解释一下我如何实现这个目标吗？

谢谢。

【问题讨论】：

标签： google-app-engine google-cloud-platform google-cloud-load-balancer google-cloud-armor

【解决方案1】：

但是：https://cloud.google.com/load-balancing/docs/negs/serverless-neg-concepts

网络端点组 (NEG) 为负载均衡器指定一组后端端点。无服务器 NEG 是指向 Cloud Run、App Engine 或 Cloud Functions 服务的后端。

无服务器 NEG 可以表示：

一个 Cloud Run 服务或一组共享相同 URL 模式的服务。
一个 Cloud Functions 函数或一组函数共享相同的 URL 模式。
App Engine 应用（Standard 或 Flex）、应用中的特定服务，甚至是应用的特定版本。

【讨论】：

【解决方案2】：

如果您想通过用户模式进行限制，除了应用防火墙规则之外，为了保护应用引擎，还需要申请 IAP。[1]

[1]https://cloud.google.com/iap/docs/app-engine-quickstart

【讨论】：

【解决方案3】：

Cloud Armor 仅从非 cdn https lb 获取流量，并且在 https LB 支持的后端服务之上是 MIG、IG、Neg 和 Bucket。因此，无法将 HTTPS 与应用引擎一起使用

【讨论】：

应用引擎保护的最佳选择是使用应用引擎防火墙规则

【解决方案4】：

根据文档1，HTTP(S) 负载均衡器支持的唯一后端是：MIG、IG、NEG 和存储桶。因此，无法将 App Engine Flex 与 HHTP(S) 负载均衡器一起使用。

HTTP 负载均衡器只能用于托管实例组、实例组、网络端点组和存储桶。因此，您将无法在 App Engine Flex 中使用 HTTP 负载平衡器。

但是，还有许多其他选项可用于保护 App Engine 应用程序。您可以使用 App Engine 防火墙 2 规则来阻止除单个服务 3 之外的所有流量。 App Engine 也位于 Google 前端之后，它吸收了许多基本攻击，例如 SYN 洪水、IP 片段洪水或端口耗尽。我还将向您发送一份文档，介绍我们防止 DDOS 攻击的最佳做法4。

【讨论】：

感谢您的回答。我使用 App Engine 防火墙，但您只能使用它阻止和允许 IP 地址。它没有其他功能，例如按国家代码、用户代理和请求标头阻止或允许。因此，仅使用 App Engine 防火墙很难防止 DDOS 攻击，因为您必须知道攻击者使用的所有 IP 地址。我希望 Google 能尽快提供这些功能。
您现在可以将 NEG 与 App Engine 和负载均衡器一起使用，请求可以通过负载均衡器路由到 App Engine。