使用 GKE 创建的 https 负载均衡器是否可以防止 DDOS 攻击答案

【问题标题】：Does the https load balancer created using GKE prevent DDOS attacks使用 GKE 创建的 https 负载均衡器是否可以防止 DDOS 攻击
【发布时间】：2020-12-22 17:09:05
【问题描述】：

我创建了一个Play Web 应用程序，现在部署在GCP 上。该应用程序由两个 pod 和一个负载均衡器服务组成。

我想保护我的应用程序免受DDOS 攻击。参考这篇文章 - https://cloud.google.com/files/GCPDDoSprotection-04122016.pdf，我使用以下 yaml 文件创建的负载均衡器是否足够，或者该文档是否指的是其他类型的基础设施级负载均衡器？

引用文档

“通过启用基于代理的负载平衡来保护 DDoS ○ 当您启用 HTTP(S) 负载平衡或 SSL 代理负载平衡时， Google 基础架构缓解并吸收了许多第 4 层及以下的 SYN Flood、IP Fragment Flood、端口耗尽等攻击。 ○ 如果您在多个区域中使用 HTTP(S) 负载平衡，您可以将攻击分散到全球各地的实例中。 "

我当前的应用程序是使用以下 yamls 部署的。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: name
spec:
  replicas: 2
  selector:
    matchLabels:
      app: somename

和

apiVersion: v1
kind: Service
metadata:
  name: somename-service
spec:
  selector:
    app: somename
  ports:
    - protocol: TCP
      port: 9000
      targetPort: 9000
  type: LoadBalancer

【问题讨论】：

1/2) 是和否。对于某些类型的 DDoS：是的。对于其他类型的 DDoS，负载会分配到您的服务的更多实例，这可能会解决 DDoS，但会增加您的成本。拒绝服务有多种类型。您将需要考虑对您重要的那些，然后与负载均衡器功能和可能的应用程序防火墙（如 Cloud Armor）进行比较。您还需要设计您的应用程序以抵抗拒绝服务。
2/2) 没有最终的解决方案。根据您的要求，您将需要应用程序防火墙、负载平衡器和自动缩放服务以及监控和警报。
我喜欢@JohnHanley 的“是/否”答案。没错，这完全取决于您的 DDoS 攻击：OSI 3 级？ 4级？ 7级？不同的攻击需要不同的答案和服务！
我同意@JohnHanley 的回应，这应该是答案

标签： google-cloud-platform gcp-load-balancer

【解决方案1】：

是和否。对于某些类型的 DDoS：是。对于其他类型的 DDoS，负载会分配到更多服务实例，这可能会解决 DDoS，但会增加您的成本。

拒绝服务有多种类型。您将需要考虑对您重要的那些，然后与负载均衡器功能和可能的应用程序防火墙（如 Cloud Armor）进行比较。您还需要设计您的应用程序以抵抗拒绝服务。

没有万能的解决方案。根据您的要求，您将需要应用程序防火墙、负载平衡器和自动缩放服务以及监控和警报。

【讨论】：