如何在GCP上阻止往中国和亚太地区的出口交通？

Question

在我的GCP帐单上，我有以下几行：

1- Compute Engine     Network Inter Region Egress from EMEA to APAC
2- Compute Engine     Network Internet Egress from EMEA to APAC
3- Compute Engine     Network Internet Egress from EMEA to China

Q1。 1和2有什么区别？

Q2。 GCP是否提供一种简便的方法来阻止向亚太地区或中国的出口流量，而无需为所有中国IP创建防火墙规则？就像这里http://www.parkansky.com/china.htm

非常感谢

Answer 1

  

1-计算引擎网络从EMEA到APAC的区域间出口2-   从EMEA到APAC的计算引擎网络Internet出站

     

Q1。 1和2有什么区别？

第一行显示了跨Google内部区域之间的流量。第二个显示区域之间传播的公共Internet流量。每种类型的定价都不同。

  

GCP是否提供一种简便的方法来阻止向亚太地区或中国的出口流量   无需为所有中国IP创建防火墙规则？

您有很多选择：

• 通过操作系统的防火墙创建防火墙规则
• 通过Google Cloud Security组创建防火墙规则
• 为Google Cloud Armor创建规则（这需要负载均衡器）
• 安装基于智能软件的防火墙，该防火墙实施基于地理位置的阻止策略。

Answer 2

我发现的最简单的方法是将 geoip 模块用于 IPTables。这允许您将国家/地区列入白名单。

如果它是一项重要的服务，请尝试在与您的用户相同的区域启动一个实例，以获得更便宜的区域内出口。听起来您还使用了高级网络，它使用区域间蠕虫漏洞。

也就是说，如果您的负载平衡器配置正确，用户可能仍会在其区域外使用错误的服务器。

我喜欢用于低带宽延迟敏感应用的优质出口，并让互联网处理大量视频出口。

请参阅有关设置 IPTables 和 GeoIP 的指南

https://docs.rackspace.com/support/how-to/block-ip-range-from-countries-with-geoip-and-iptables/