Rhangaun Asked: 2019-08-02 08:03:40 +0800 CST2019-08-02 08:03:40 +0800 CST 2019-08-02 08:03:40 +0800 CST 在 GCP 负载均衡器和后端实例之间使用（普通）http，有什么风险？ 772 既然 GCP 在负载均衡器级别提供托管证书，那么在负载均衡器和后端实例（即计算引擎虚拟机）之间使用纯 http 很诱人，因为这样您就不需要为它们生成/部署证书。 由于这个流量，即使在项目 VPC 之外，仍然包含在 GCP 网络中，有什么风险？我猜想排除在 GCP 具有特权访问权限的人，很难窃听它......？ security 1 个回答 Voted Best Answer Marcel P 2019-08-02T15:25:19+08:002019-08-02T15:25:19+08:00 在负载均衡器处终止 HTTPS 连接并在后端使用纯 HTTP 可能足以保护您的服务。GCP 隔离所有网络流量，并在其基础架构和服务中提供强大的安全功能，包括高级别的加密。这意味着不属于该特定通信的其他虚拟机无法收听它。由于它建立在 IAM 和 IAM ACL 之上。但是，确保您的 CGP 资源安全是一项共同责任。安全考虑永远不够，如果您需要端到端加密，则在负载均衡器和后端实例之间使用例如 HTTPS 或 HTTP/2 会话可能是一个好主意。对于后端虚拟机，您可以更灵活地使用它来到 SSL 证书。 - 证书可以自签名或由任何证书颁发机构签名。GFE 不验证后端的证书。 - GFE 不验证 CN 或 subjectAlternativeName 属性是否与后端 VM 的主机名匹配。通配符证书也被接受。 - 证书可能尚未生效、可能当前有效或可能已过期。GFE 不会验证后端 VM 提供的证书上的任何日期（notValidBefore、notValidAfter）。 长话短说，对于用于后端到 LB 通信的 SSL 证书，GFE 一点也不挑剔。本最佳实践指南可以帮助您采取一些适当的措施来帮助确保您的信息和服务受到保护。 此外，这些 Google 公开文档可以帮助您了解不同的加密级别（GCP Encryption in transit、GCP Encryption at REST）和 GCP 用于保护您的数据的流程。
在负载均衡器处终止 HTTPS 连接并在后端使用纯 HTTP 可能足以保护您的服务。GCP 隔离所有网络流量，并在其基础架构和服务中提供强大的安全功能，包括高级别的加密。这意味着不属于该特定通信的其他虚拟机无法收听它。由于它建立在 IAM 和 IAM ACL 之上。但是，确保您的 CGP 资源安全是一项共同责任。安全考虑永远不够，如果您需要端到端加密，则在负载均衡器和后端实例之间使用例如 HTTPS 或 HTTP/2 会话可能是一个好主意。对于后端虚拟机，您可以更灵活地使用它来到 SSL 证书。
- 证书可以自签名或由任何证书颁发机构签名。GFE 不验证后端的证书。
- GFE 不验证 CN 或 subjectAlternativeName 属性是否与后端 VM 的主机名匹配。通配符证书也被接受。
- 证书可能尚未生效、可能当前有效或可能已过期。GFE 不会验证后端 VM 提供的证书上的任何日期（notValidBefore、notValidAfter）。
长话短说，对于用于后端到 LB 通信的 SSL 证书，GFE 一点也不挑剔。本最佳实践指南可以帮助您采取一些适当的措施来帮助确保您的信息和服务受到保护。
此外，这些 Google 公开文档可以帮助您了解不同的加密级别（GCP Encryption in transit、GCP Encryption at REST）和 GCP 用于保护您的数据的流程。