Googleエッジの全体像

今月、フリートの玄関が移りました。私たちがホスティングするすべてのアプリケーションへのすべてのリクエストは、アプリケーションサーバーに触れる前に、ひとつのグローバルエッジ（Googleのエッジ）を通って入ってきます。以前の2つの記事でその断片（WAFベースライン、リージョンの選択）に触れました。この記事は、リクエストが入ってくるまでに何を通過するのかの全体像です。

フリート全体にひとつの玄関

私たちが配信するすべてのドメインは、Googleのグローバルロードバランサー上の専用アドレスに解決されます。訪問者は最寄りのGoogleの拠点（PoP）に接続し、そこからGoogle自身のネットワークに乗って届きます。証明書はGoogleが発行・更新し、strict transport securityは有効、そしてエッジ全体が宣言的な設定です。プラットフォームの他のすべてと同じく、レビューされ、バージョン管理され、再現可能です。

最も安く生き延びられる攻撃は、あなたに届かない攻撃です。

届く前に検査される

すべてのアプリケーションの前面に、同じ鎧があります。レートベースの遮断がすべてのログインを守ります。1分間に5回の試行で、そのアドレスは10分間のタイムアウトになります。クエリガードは、明白なインジェクションパターンを含むリクエストをアプリケーションに届く前に落とします。Googleの事前構成されたOWASPルールセットはそれと並行してすべてのリクエストを評価し、決済Webhookは意図的にパターンマッチングから除外されています。代わりにプロバイダーの署名で認証します。本物の決済ペイロードと攻撃を区別できないルールは、あなたの売上を壊すルールだからです。

署名された名前、守られた扉

アドレスそのものも、いまや境界の一部です。私たちの15のドメインはGoogle Cloud DNS上にあり、すべてのゾーンがDNSSEC署名されています。リゾルバは、偽物ではなく本物のゾーンと話していることを検証できます。私たち自身の運用面（フリートのパネル、マシンへのSSHでさえ）は、検証済みのGoogle IDにのみ開かれ、公開インターネット上のパスワードには決して開かれません。そして匿名のまま残っているのは、私たちが匿名と宣言したものだけです。ヘルスエンドポイントと決済Webhook。フリートレジストリに列挙され、それ以外にはありません。