Tôi đã lùng sục qua Tài liệu Google Cloud Armor để biết thông tin về bảo vệ DDoS của phiên bản máy ảo điện toán GCP. Từ những gì tôi đã tìm thấy, Bảo vệ được quản lý của Google Cloud Armor cung cấp khả năng bảo vệ DDoS truyền thống (có thể là lớp 3 và lớp 4) và nó phải được gắn vào bộ cân bằng tải. Ngoài ra, Bảo vệ thích ứng Google Cloud Armor cung cấp khả năng bảo vệ lớp 7 thông qua phát hiện sự bất thường dựa trên máy học trong lưu lượng mạng và nó phải được áp dụng thông qua một Chính sách bảo mật của Google Cloud Armor đến lượt nó phải được gắn vào bộ cân bằng tải.
Tuy nhiên, các bộ cân bằng tải được liên kết với một nhóm phiên bản thay vì một phiên bản VM duy nhất và chúng dành cho các phiên bản tự động thay đổi quy mô (ví dụ: dựa trên một mẫu phiên bản), thay vì cho một phiên bản VM duy nhất. Tôi đang chạy một số ứng dụng máy chủ có trạng thái độc lập (mỗi ứng dụng trong phiên bản VM của riêng chúng) trong đó tính năng tự động thay đổi quy mô không thực sự là một tùy chọn.
Tôi có thể xác định nhóm phiên bản một phiên bản (tức là với các quy tắc tự động thay đổi quy mô được đặt để sinh ra chính xác 1 phiên bản). Tuy nhiên, tôi có nhiều phiên bản VM riêng lẻ mà tôi muốn bật bảo vệ DDoS, vì vậy tôi cần một nhóm phiên bản cho từng phiên bản trong số này và bộ cân bằng tải cho từng nhóm phiên bản. Điều này sẽ rất tốn kém rất nhanh chóng.
Một tùy chọn thiết thực hơn là thiết lập một nhóm phiên bản tự động điều chỉnh tỷ lệ duy nhất được gắn vào bộ cân bằng tải để chỉ phục vụ như một proxy ngược cho tất cả các máy chủ khác, được truy cập nội bộ trong một VPC chung. Proxy ngược đó có thể được gắn vào bộ cân bằng tải và cung cấp khả năng bảo vệ DDoS dưới dạng điểm truy cập duy nhất.
Nhưng đối với tôi, có vẻ lạ khi bắt đầu cân bằng tải để bảo vệ DDoS trên GCP. Rốt cuộc, Lá chắn AWS không yêu cầu bộ cân bằng tải có hiệu lực. Tui bỏ lỡ điều gì vậy?
Chỉnh sửa:
Tôi đang xây dựng nền tảng lưu trữ cho nhiều ứng dụng được nhắm mục tiêu cụ thể. Mỗi máy khách sẽ có phiên bản máy ảo riêng hoặc chia sẻ phiên bản máy ảo với một hoặc hai máy khách khác. Hầu hết các ứng dụng được nhắm mục tiêu là không phải ứng dụng web, mà chỉ là các ứng dụng hỗ trợ TCP/UDP (ví dụ: một số ứng dụng là máy chủ trò chơi). Chúng là các ứng dụng có trạng thái và quan trọng hơn là chúng có xu hướng yêu cầu duy trì đồng thời tất cả các kết nối trong một phiên bản duy nhất, do đó, việc mở rộng ra ngoài một phiên bản đơn lẻ thường không khả thi. Ngoài ra, giá của bộ cân bằng tải GCP thực hiện một mức giá cơ bản lớn cho năm quy tắc chuyển tiếp đầu tiên và do đó, việc đặt mỗi phiên bản phía sau bộ cân bằng tải của chính nó không phải là một tùy chọn. Đối với một số ứng dụng này, các cuộc tấn công DoS là mối quan tâm đặc biệt.
