Questa esercitazione descrive il valore dell'aggiunta di Cloud CDN e Google Cloud Armor a un deployment di un bilanciatore del carico delle applicazioni esterno esistente. Include istruzioni di base per abilitare sia Cloud CDN sia Cloud Armor con un bilanciatore del carico delle applicazioni esterno.
Migliorare le prestazioni web con Cloud CDN
L'utilizzo del bilanciatore del carico delle applicazioni esterno migliora già le prestazioni web configurando le connessioni HTTP(S) sul perimetro globale di Google più vicino al client richiedente e negoziando le connessioni utilizzando protocolli moderni come QUIC, HTTP/2 e TLS 1.3 per ridurre il numero di round trip e aumentare la velocità effettiva. Inoltre, l'utilizzo di connessioni permanenti all'origine, Google Cloud riduce il sovraccarico di ogni connessione client. Le località perimetrali di Google sono connesse alla nostra rete backbone privata globale, il che consente Google Cloud di ottimizzare il routing e ridurre la latenza tra il client, il perimetro di Google e i backend. Puoi migliorare ulteriormente le prestazioni e ridurre i costi di gestione abilitando Cloud CDN come parte del deployment del bilanciatore del carico delle applicazioni esterno.
Che cos'è Cloud CDN?
Cloud CDN (Content Delivery Network) utilizza i punti di presenza perimetrali di Google, distribuiti in tutto il mondo, per memorizzare nella cache le copie dei contenuti con bilanciamento del carico nelle vicinanze degli utenti.
In che modo Cloud CDN può migliorare le prestazioni web
Esistono diversi modi in cui Cloud CDN migliora le prestazioni.
Esegue l'offload e la scalabilità dell'infrastruttura di backend riducendo le richieste
Una richiesta gestita dalla cache di Cloud CDN significa che il bilanciatore del carico non deve inviare la richiesta all'infrastruttura di backend per un elemento statico come un'immagine, un video, JavaScript o un foglio di stile. Ciò non solo riduce il carico durante il normale funzionamento, ma consente all'infrastruttura perimetrale di Google di assorbire i picchi di richieste senza aumentare il carico sull'infrastruttura di gestione del backend. In questo modo, l'infrastruttura di backend si concentra sulla generazione di risposte specifiche per l'utente, come l'HTML dinamico per le esperienze web interattive.
Gestisce gli asset statici dal perimetro
Poiché il perimetro globale di Google invia le richieste memorizzate nella cache, i tempi di risposta alle richieste dei client possono essere ridotti. Gli elementi statici della tua esperienza web, come immagini, video, JavaScript e fogli di stile, possono essere forniti immediatamente senza dover inoltrare la richiesta ai sistemi di backend e attendere una risposta e il trasferimento dei dati.
Riduce i costi di trasferimento dei dati e dell'infrastruttura di backend
Utilizzando Cloud CDN con il bilanciatore del carico delle applicazioni esterno, riduci i costi dell'infrastruttura di backend grazie alla riduzione del traffico verso il backend. Inoltre, puoi ridurre il numero di cicli per la gestione dei contenuti statici perché vengono inviati dal perimetro di Google. Il traffico di Cloud CDN viene fatturato a un costo di trasferimento dei dati inferiore, il che consente di controllare ulteriormente i costi.
Abilitare Cloud CDN per il bilanciatore del carico delle applicazioni esterno
Puoi abilitare Cloud CDN per un bilanciatore del carico delle applicazioni esterno esistente o durante la configurazione di un nuovo bilanciatore del carico.
Abilitare Cloud CDN durante la configurazione del bilanciatore del carico delle applicazioni esterno
Durante la configurazione del backend, seleziona la casella di controllo Abilita Cloud CDN. Per maggiori dettagli, consulta le guide pratiche di Cloud CDN.
Abilitare Cloud CDN per un bilanciatore del carico delle applicazioni esterno esistente
In una configurazione di un bilanciatore del carico delle applicazioni esterno esistente, nella schermata dei dettagli del bilanciatore del carico puoi fare clic su Modifica per modificare il bilanciatore del carico.
Nella sezione Configurazione backend puoi selezionare la casella di controllo Abilita Cloud CDN. Per istruzioni dettagliate, inclusi i
gcloud comandi, consulta le guide pratiche di Cloud CDN.
Migliorare la protezione web con Cloud Armor
L'utilizzo del bilanciatore del carico delle applicazioni esterno fornisce già una misura di protezione web configurando le connessioni HTTP(S) sul perimetro globale di Google, eseguendo l'offload dell'infrastruttura di backend dalla necessità di gestire questo processo. Abilitando Cloud Armor come parte del bilanciatore del carico delle applicazioni esterno, hai aumentato la visibilità e il controllo contro gli attacchi all'infrastruttura e alle applicazioni.
Che cos'è Cloud Armor?
Cloud Armor fornisce una difesa DDoS e a livello di applicazione che funziona in combinazione con i bilanciatori del carico delle applicazioni esterni. Fornisce visibilità sugli attacchi e ti consente di eseguire il deployment di regole preconfigurate e personalizzate per mitigare gli attacchi alle tue applicazioni e ai tuoi servizi web. Come il bilanciatore del carico delle applicazioni esterno, Cloud Armor viene fornito al perimetro della rete di Google, contribuendo a difendersi dagli attacchi all'infrastruttura e alle applicazioni vicino alla loro origine.
In che modo Cloud Armor può migliorare la protezione web
Esistono diversi modi in cui Cloud Armor migliora la protezione.
Protezione DDoS automatica sempre attiva
Cloud Armor funziona con il bilanciatore del carico delle applicazioni esterno per fornire una protezione automatica sempre attiva dagli attacchi DDoS volumetrici e basati su protocollo di rete di livello 3 e 4. Cloud Armor si basa su tecnologie sviluppate originariamente per difendere i servizi web di Google, come Ricerca Google, Gmail e Google Maps. Per ulteriori informazioni, consulta Protezione DDoS sempre attiva di Cloud Armor.
Dispone di regole WAF preconfigurate per rilevare e mitigare gli attacchi comuni alle applicazioni
Cloud Armor fornisce una libreria di regole del firewall per applicazioni web (WAF) preconfigurate che aiutano a rilevare e, facoltativamente, a mitigare gli attacchi web comuni, come SQL injection, cross-site scripting e command injection, contro la tua infrastruttura web.
Rileva e blocca in base all'origine geografica e agli indirizzi IP o agli intervalli IP
Cloud Armor utilizza il database Geo-IP di Google per identificare la regione geografica delle richieste in entrata destinate alla tua infrastruttura web e ti consente di bloccare il traffico in base ai codici paese di due caratteri. Ad esempio, un sito di e-commerce online che non effettua spedizioni al di fuori di un determinato paese può bloccare le richieste provenienti da fonti comuni di traffico di attacco. Inoltre, Cloud Armor consente di bloccare rapidamente indirizzi IP o intervalli di indirizzi IP specifici che effettuano richieste dannose.
Fornisce visibilità per monitorare e mitigare gli attacchi HTTP(S) a livello di applicazione
Cloud Armor fornisce anche un linguaggio di regole personalizzate che ti consente di trovare corrispondenze con pattern complessi dalle richieste in entrata utilizzando un'ampia varietà di semantiche HTTP(S). Sono inclusi intestazioni, cookie, URL, elementi della stringa di query, pattern dello user agent e metodi HTTP.
Abilitare Cloud Armor per il bilanciatore del carico delle applicazioni esterno
Le policy di sicurezza guidano la configurazione di Cloud Armor. Queste policy abilitano le regole integrate e supportano le regole personalizzate per la protezione. Per eseguire il deployment di Cloud Armor, devi creare una policy di sicurezza, aggiungere regole e poi collegare questa policy a uno o più servizi di backend del bilanciatore del carico delle applicazioni esterno. Ogni regola specifica i parametri da rilevare nel traffico, l'azione da intraprendere se il traffico corrisponde a questi parametri e un valore di priorità che determina la posizione della regola nella gerarchia delle policy.
Creare una policy di sicurezza di Cloud Armor
A livello generale, questi sono i passaggi per configurare le policy di sicurezza di Cloud Armor per abilitare le regole che consentono o negano il traffico al bilanciatore del carico delle applicazioni esterno.
- Crea una policy di sicurezza di Cloud Armor nella schermata Sicurezza di rete - Cloud Armor.
- Aggiungi regole alla policy in base a elenchi di indirizzi IP, espressioni personalizzate o regole WAF preconfigurate come SQL injection o cross-site scripting.
- Collega la policy di sicurezza di Cloud Armor a un servizio di backend del bilanciatore del carico delle applicazioni esterno per cui vuoi controllare l'accesso.
- Aggiorna la policy di sicurezza di Cloud Armor in base alle tue esigenze.
Per istruzioni dettagliate, consulta le guide pratiche di Cloud Armor.
Passaggi successivi
- Scopri di più sulle funzionalità di Cloud CDN capabilities.
- Comprendi in dettaglio le policy di sicurezza di Cloud Armor.
- Configura il monitoraggio e il logging per un bilanciatore del carico delle applicazioni esterno con Cloud CDN.