Google云网络负载均衡安全问题

Question

我计划创建一个在Google Cloud Compute中的多台不同计算机上运行的网站，并且我认真考虑使用Google的网络负载平衡。但我对安全性和可用性有一些疑问。

1. 我的机器可以有一个私人IP地址，http端口打开了吗？（当一些黑客试图进入我们的服务器时，我们不会这样做）
2. 我的http响应将拥有机器自己的IP地址或网络负载均衡中的IP？
3. Google是否会保护Google Cloud Compute计算机中已打开的端口免受SYN，Pack流量攻击（如路由器）的影响？

Answer 1

您可以使用HTTP / S负载平衡来执行您想要的操作。 https://cloud.google.com/compute/docs/load-balancing/http/

1. 有关删除外部IP的信息，请参阅https://cloud.google.com/compute/docs/load-balancing/http/cross-region-example#optional_remove_external_ips_except_for_a_bastion_host。

2. 响应将来自负载均衡的IP，而不是VM的IP。

3. 对于某些类型的恶意流量，是的，因为负载均衡层正在进行完全代理。这意味着TCP和SSL终止都发生在您的VM之前。

Answer 2

如果您的计算机只有私有IP（RFC 1918空间）且没有外部IP，那么配置NLB并不能直接在端口80上从外部访问它们（如果这就是您为服务配置的内容）。

谷歌确实可以处理某种程度的攻击，但是如果你喜欢完整的ddos，那么在你的终端上实现额外的层会有所帮助。

Answer 3

1. 没有。当且仅当实例具有公共IP地址时才可以打开端口80（http）;但是，可以使用bastion host限制受影响的机器实例。

2. 没有。使用网络负载平衡将保护您机器的IP地址，但是（理论上）可以通过随机IP地址扫描或应用程序中的一些缺陷来收集机器外部IP地址。

3. GCE机器实例具有某种保护功能，但根据securityfocus，它们容易受到TCP或UDP泛洪的影响。