如何使用 cloudarmor 为我的 gke 入口配置 DDoS？

Question

我正在为我的入口使用 L7 谷歌 LB，并连接它以使用仅允许某些 IP 的 cloudarmor 策略。

我想设置 DDoS 保护，但文档让我感到困惑

Google Cloud Armor 安全政策仅适用于后端 外部 HTTP(S) 负载平衡器后面的服务。负载均衡器 可以是高级层或标准层。 DDoS 保护是 自动为 HTTP(S) 负载平衡、SSL 代理负载提供 平衡和 TCP 代理负载平衡。

这是否意味着我只需对 gke L7 LB 入口应用任何（甚至是空的？）云装甲策略，我就会得到 DDoS？还是说所有 L7 LB 都已经带有 DDoS，而我不需要对 cloudarmor 做任何事情——如果说我正在寻找的只是 DDoS 保护？

Answer 1

Google 提供广泛的 DDOS 保护作为 L7 LB 的一部分。是的，您只需使用 GKE 创建一个入口即可从这种广泛的保护中受益。

您通过例如访问的 L7LB GKE Ingresses 是整个 Google 的共享服务，因此您可以从中获得相当大的力量。但是，它面向非常大规模的保护，这些保护可能并不像您需要的那样精确|具体。

添加特定性，例如IP 允许|拒绝列表（无论是您自己的还是由商业服务提供的），您都需要定义一个安全策略并将其应用于 GKE 提供的后端。