Halaman ini diterjemahkan oleh Cloud Translation API.

Memecahkan masalah Google Cloud Armor

Gunakan petunjuk ini untuk memecahkan masalah terkait kebijakan keamanan Google Cloud Armor.

Masalah umum

Men-debug kebijakan keamanan

Jika Anda memerlukan informasi tambahan tentang peristiwa tertentu yang memicu aturan yang telah dikonfigurasi sebelumnya, baca Menggunakan logging permintaan, lalu aktifkan logging verbose. Cloud Logging mencatat tingkat detail yang lebih tinggi dalam log yang dapat Anda gunakan untuk menganalisis dan men-debug kebijakan dan aturan.

Traffic diizinkan meskipun aturan penolakan dikonfigurasi dalam kebijakan keamanan Google Cloud Armor

Untuk memperbaikinya, ikuti langkah-langkah berikut:

Pastikan kebijakan keamanan Google Cloud Armor terlampir ke layanan backend target. Misalnya, perintah berikut menjelaskan semua data yang terkait dengan layanan backend BACKEND. Hasil yang ditampilkan harus mencakup nama kebijakan keamanan Google Cloud Armor yang terkait dengan layanan backend ini.
```
gcloud compute backend-services describe BACKEND
```

Tinjau log HTTP(S) untuk menentukan kebijakan dan aturan mana yang cocok untuk traffic Anda beserta tindakan terkait. Untuk melihat log, gunakan Cloud Logging.

Berikut adalah contoh log permintaan yang diizinkan dengan kolom yang relevan ditandai. Periksa kolom berikut dan pastikan kolom tersebut cocok dengan aturan yang Anda konfigurasi untuk menolak traffic:

configuredAction harus cocok dengan tindakan yang dikonfigurasi dalam aturan.
name harus cocok dengan nama kebijakan keamanan Google Cloud Armor yang terpasang ke layanan backend ini.
outcome harus cocok dengan configuredAction.
priority harus sesuai dengan angka prioritas aturan.

  httpRequest:
   remoteIp: 104.133.0.95
   requestMethod: GET
   requestSize: '801'
   requestUrl: http://74.125.67.38/
   responseSize: '246'
   serverIp: 10.132.0.4
   status: 200
   userAgent: curl/7.35.0
     insertId: ajvis5ev4i60
     internalId:
       projectNumber: '895280006100'
     jsonPayload:
       '@type': type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry
       enforcedSecurityPolicy:
         configuredAction: ACCEPT
         name: mydev-policy-log-test1
         outcome: ACCEPT
         priority: 2147483647
       statusDetails: response_sent_by_backend
     logName: projects/mydev-staging/logs/requests
     resource:
       labels:
         backend_service_name: BACKEND_SERVICE_NAME
         forwarding_rule_name: FORWARDING_RULE_NAME
         project_id: PROJECT_ID
         target_proxy_name: TARGET_HTTP_PROXY_NAME
         url_map_name: URL_MAP_NAME
         zone: global
       type: http_load_balancer
     severity: INFO
     timestamp: '2017-04-18T18:57:05.845960288Z'

Tinjau hierarki aturan untuk memastikan aturan yang cocok sudah benar. Kemungkinan ada aturan dengan prioritas yang lebih tinggi dan tindakan izinkan yang cocok dengan traffic Anda. Gunakan perintah describe pada security-policies di Google Cloud CLI untuk melihat konten kebijakan keamanan Google Cloud Armor.

Misalnya, contoh berikut menunjukkan cara aturan izinkan dengan prioritas lebih tinggi (pada prioritas 100) mencocokkan traffic yang berasal dari alamat IP 1.2.3.4, sehingga mencegah aturan tolak dengan prioritas lebih rendah (pada prioritas 200) dipicu dan memblokir traffic.

gcloud compute security-policies describe POLICY_NAME

Output:

  creationTimestamp: '2017-04-18T14:47:58.045-07:00
  description: ''
  fingerprint: Yu5spBjdoC0=
  id: '2560355463394441057'
  kind: compute#securityPolicy
  name: POLICY_NAME
  rules:
  -action: allow
   description: allow high priority rule
   kind: compute#securityPolicyRule
   match:
     srcIpRanges:
     -'1.2.3.4/32'
   preview: false
   priority: 100
  -action: deny
   description: deny lower priority rule
   kind: compute#securityPolicyRule
   match:
     srcIpRanges:
     -'1.2.3.0/24
   preview: false
   priority: 200
  -action: deny
   description: default rule
   kind: compute#securityPolicyRule
   match:
     srcIpRanges:
     -'*'
   preview: false
   priority: 2147483647
   selfLink: http://www.googleapis.com/compute/v1/projects/bigclustertestdev0-devconsole/global/securityPolicies/sp

Aturan yang telah dikonfigurasi sebelumnya menampilkan positif palsu

Deteksi XSS dan SQLi didasarkan pada pencocokan tanda tangan statis pada header permintaan HTTP dan parameter L7 lainnya. Pola ekspresi reguler ini rentan terhadap positif palsu. Anda dapat menggunakan aturan yang telah dikonfigurasi sebelumnya untuk deteksi XSS dan SQLi dalam mode pratinjau, lalu memeriksa log untuk mengetahui apakah ada positif palsu.

Jika menemukan positif palsu, Anda dapat membandingkan konten traffic dengan aturan OWASP CRS. Jika aturan tidak valid atau tidak relevan, nonaktifkan dengan menggunakan ekspresi evaluatePreconfiguredWaf, dan tentukan ID aturan dalam argumen exclude ID list.

Setelah meninjau log dan menghapus semua positif palsu, nonaktifkan mode pratinjau.

Untuk menambahkan aturan yang telah dikonfigurasi sebelumnya dalam mode pratinjau:

Buat kebijakan keamanan dengan set ekspresi yang telah dikonfigurasi sebelumnya dalam mode pratinjau:

gcloud compute security-policies rules create 1000
   --security-policy POLICY_NAME
   --expression "evaluatePreconfiguredWaf('xss-stable')"
   --action deny-403
   --preview

Tinjau log HTTP(S) untuk kolom permintaan HTTP seperti url dan cookie. Misalnya, requestUrl dibandingkan secara positif dengan ID aturan OWASP CRS 941180:

httpRequest:
  remoteIp: 104.133.0.95
  requestMethod: GET
  requestSize: '801'
  requestUrl: http://74.125.67.38/foo?document.cookie=1010"
  responseSize: '246'
  serverIp: 10.132.0.4
  status: 200
  userAgent: curl/7.35.0
insertId: ajvis5ev4i60
internalId:
  projectNumber: '895280006100'
jsonPayload:
  '@type': type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry
  enforcedSecurityPolicy:
    configuredAction: ACCEPT
    name: POLICY_NAME
    outcome: ACCEPT
    priority: 2147483647
    preconfiguredExprIds: [ 'owasp-crs-v030001-id941180-xss' ]
  statusDetails: response_sent_by_backend
logName: projects/mydev-staging/logs/requests
resource:
  labels:
    backend_service_name: BACKEND_SERVICE
    forwarding_rule_name: mydev-forwarding-rule
    project_id: mydev-staging
    target_proxy_name: mydev-target-http-proxy
    url_map_name: mydev-url-map
    zone: global
  type: http_load_balancer
severity: INFO
timestamp: '2017-04-18T18:57:05.845960288Z'

Kecualikan ID aturan OWASP CRS 941180 dengan memperbarui aturan dalam kebijakan keamanan Google Cloud Armor:

gcloud compute security-policies rules update 1000 \
    --security-policy POLICY_NAME \
    --expression "evaluatePreconfiguredWaf('xss-stable', ['owasp-crs-v030001-id941180-xss'])" \
    --action deny-403 \
    --preview

Tinjau log lagi, lalu nonaktifkan mode pratinjau untuk menerapkan aturan.

Klien dengan tanda tangan yang ditolak tidak diblokir atau ditolak

Jika Anda menggunakan Google Cloud Armor dengan Cloud CDN, kebijakan keamanan hanya diberlakukan untuk permintaan konten dinamis, cache tidak ditemukan, atau permintaan lain yang ditujukan untuk server asal CDN. Cache ditemukan akan ditampilkan meskipun kebijakan keamanan Google Cloud Armor downstream menghalangi permintaan tersebut untuk menjangkau server asal CDN.

Masalah pada daftar alamat IP bernama

Bagian ini memberikan informasi untuk menyelesaikan masalah terkait daftar alamat IP bernama.

Alamat IP dalam daftar alamat IP bernama

Alamat IP dalam daftar selalu cocok dengan alamat IP di situs penyedia yang tercantum dalam panduan daftar alamat IP bernama Google Cloud Armor. Jika ada pertanyaan tentang daftar, hubungi tim Dukungan Cloud.

Alamat IP dalam daftar alamat IP bernama sudah tidak berlaku di Google Cloud Armor

Google Cloud Armor menyinkronkan daftarnya dengan penyedia daftar alamat IP setiap hari. Mungkin ada data yang sudah tidak berlaku yang tertinggal beberapa jam atau satu hari dari data di penyedia. Namun, jika Anda yakin bahwa data usang tertunda lebih dari yang diharapkan, misalnya, lebih dari seminggu, hubungi tim Dukungan Cloud.

Kesulitan membuat kebijakan keamanan yang mereferensikan daftar alamat IP bernama

Anda dapat mencoba membuat kebijakan keamanan yang mereferensikan daftar alamat IP bernama, menggunakan perintah seperti ini:

gcloud compute security-policies rules create 750 \
    --security-policy my \
    --expression "evaluatePreconfiguredExpr('sourceiplist-example')" \
    --action "allow"

Jika perintah gagal, error yang Anda lihat akan terlihat seperti ini:

ERROR: (gcloud.compute.security-policies.rules.create) Could not fetch resource:
 - Invalid value for field 'resource.match.expr': '{  "expression": "evaluatePreconfiguredExpr(\u0027sourceiplist-example\u0027)"}'.
Error parsing Google Cloud Armor rule matcher expression: sourceiplist-example
is not a valid preconfigured expression set.

Pastikan penyedia tertentu didukung, dan nama daftar alamat IP diberikan dengan benar. Anda dapat memeriksanya menggunakan perintah gcloud berikut untuk mencantumkan set ekspresi bawaan saat ini:

gcloud compute security-policies list-preconfigured-expression-sets

Traffic diblokir meskipun ada aturan yang telah dikonfigurasi sebelumnya untuk daftar IP yang diizinkan dengan alamat IP bernama

Anda mungkin mendapati bahwa traffic diblokir dari alamat IP yang ada dalam daftar alamat IP bernama:

Pastikan traffic berasal dari alamat IP yang ada di daftar yang diizinkan alamat IP bernama.
Periksa apakah ada aturan keamanan lain dengan prioritas yang lebih tinggi yang dapat memblokir traffic. Jika Anda masih melihat masalah ini, hubungi tim Dukungan Cloud.
Pastikan kebijakan keamanan dilampirkan ke layanan backend yang benar:
```
gcloud compute backend-services describe BACKEND_SERVICE
```

Periksa aturan yang ada dalam kebijakan keamanan. Contoh:

 gcloud compute security-policies describe POLICY_NAME

Perintah ini menampilkan informasi yang mirip dengan berikut ini:

---
…
name: POLICY_NAME
rules:
-action: allow
 description: allow fastly ip addresses
 kind: compute#securityPolicyRule
 match:
    expr:
      expression: evaluatePreconfiguredExpr('sourceiplist-fastly')
 preview: false
 priority: 100
-action: deny(403)
 description: Default rule, higher priority overrides it
 kind: compute#securityPolicyRule
 match:
    config:
      srcIpRanges:
      -'*'
    versionedExpr: SRC_IPS_V1
 preview: false
 priority: 2147483647
-action: deny(404)
 description: deny altostrat referer
 kind: compute#securityPolicyRule
 match:
    expr:
      expression: request.headers['Referer'].contains('altostrat')
 preview: false
 priority: 50
…

Kebijakan keamanan sebelumnya berisi tiga aturan: aturan penolakan default, aturan izin untuk alamat IP Fastly, dan aturan penolakan untuk perujuk yang berisi altostrat. Prioritasnya masing-masing juga dicantumkan.

Tinjau log untuk menentukan aturan mana yang cocok dengan traffic Anda dan tindakan terkait. Untuk mengetahui informasi tentang logging, lihat Menggunakan Logs Explorer.

Berikut adalah contoh log:
```
 httpRequest: {
    referer: "http://www.altostrat.com/"
    remoteIp: "23.230.32.10"
    requestMethod: "HEAD"
    requestSize: "79"
    requestUrl: "http://www.example.com/"
    responseSize: "258"
    status: 404
    userAgent: "Mozilla/5.0"
  }
  …
  jsonPayload: {
    @type: "type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry"
    enforcedSecurityPolicy: {
      configuredAction: "DENY"
      name: "POLICY_NAME"
      outcome: "DENY"
      priority: 50
    }
    statusDetails: "denied_by_security_policy"
  }
  …
```
Dari log sebelumnya, permintaan berasal dari 23.230.32.10, yang tercakup dalam daftar alamat IP publik Fastly. Namun, permintaan tersebut cocok dengan aturan penolakan dengan prioritas yang lebih tinggi, yaitu 50. Jika dibandingkan dengan yang ada dalam kebijakan keamanan, aturan ini sesuai dengan aturan penolakan untuk perujuk yang berisi altostrat. Karena permintaan memiliki perujuk http://www.altostrat.com/, penerapan aturan keamanan berfungsi dengan benar.

Masalah terkait temuan Security Command Center

Bagian ini berisi informasi tentang masalah terkait temuan Security Command Center.

Kartu Google Cloud Armor tidak muncul di Security Command Center

Aktifkan temuan Google Cloud Armor di antarmuka Security Command Center.

Temuan dari Google Cloud Armor tidak muncul di Security Command Center

Jika temuan dari Google Cloud Armor tidak muncul di Security Command Center, traffic ke layanan backend mungkin tidak memenuhi kriteria untuk memunculkan temuan.

Untuk pertanyaan tentang volume traffic ke backend Anda, periksa statistik permintaan di dasbor Cloud Monitoring pada bagian Kebijakan Keamanan Jaringan.

Temuan terlalu berisik

Untuk mendapatkan bantuan terkait masalah ini, hubungi tim Dukungan Cloud.

Masalah pada Google Cloud Armor Adaptive Protection

Gunakan petunjuk ini untuk membantu Anda menyelesaikan masalah terkait Perlindungan Adaptif.

Adaptive Protection diaktifkan untuk kebijakan keamanan, tetapi tidak ada log di Cloud Logging

Log Adaptive Protection dibuat secara terpisah dari log permintaan Google Cloud Armor dan muncul di resource yang berbeda di Cloud Logging. Log dan peristiwa Adaptive Protection berada di bagian resource Network Security Policy di Cloud Logging. Ada periode pelatihan minimal satu jam setelah Perlindungan Adaptif diaktifkan dalam kebijakan keamanan sebelum Perlindungan Adaptif mulai membuat pemberitahuan untuk serangan yang dicurigai. Selama periode pelatihan, Adaptive Protection mempelajari traffic permintaan yang masuk dan mengembangkan dasar yang berbeda untuk setiap layanan backend yang dilindungi oleh kebijakan keamanan tersebut. Perlindungan Adaptif kemudian dapat mengidentifikasi aktivitas mencurigakan.

Jika Anda mengaktifkan Perlindungan Adaptif untuk kebijakan keamanan dan tidak melihat pemberitahuan apa pun setelah periode pelatihan selama satu jam, hal ini menunjukkan bahwa tidak ada aktivitas yang dapat diidentifikasi sebagai penargetan berpotensi berbahaya terhadap salah satu layanan backend yang terkait dengan kebijakan keamanan tersebut.

Jika potensi serangan atau traffic anomali berlanjut dalam jangka waktu yang lebih lama, melebihi beberapa jam, maka Perlindungan Adaptif mulai menganggap perilaku tersebut sebagai perilaku dasar dan tidak terus memberikan peringatan tentang pola traffic serupa. Setelah potensi serangan mereda dan pola traffic kembali ke baseline awal, baik karena serangan berakhir atau Anda memblokirnya dengan aturan Google Cloud Armor yang sesuai, Perlindungan Adaptif akan memberikan pemberitahuan tentang perilaku traffic di masa mendatang yang dianggap berbeda dari baseline.

Adaptive Protection menganalisis traffic yang seharusnya diizinkan melalui kebijakan keamanan Google Cloud Armor. Jika Anda menetapkan aturan default untuk menolak akses dengan daftar yang diizinkan untuk traffic yang dibatasi, maka Perlindungan Adaptif hanya mendeteksi aktivitas berbahaya pada traffic yang lulus evaluasi dengan memperhatikan daftar yang diizinkan.

Ada terlalu banyak pemberitahuan atau terlalu banyak log di Cloud Logging dari Adaptive Protection

Notifikasi Perlindungan Adaptif memberikan skor keyakinan, yang menunjukkan seberapa kuat model Perlindungan Adaptif mengidentifikasi aktivitas yang terdeteksi sebagai anomali dan berpotensi merupakan serangan. Anda dapat memfilter entri spesifik log melalui Cloud Logging untuk hanya menampilkan (atau meneruskan ke hilir) pemberitahuan yang memiliki skor keyakinan di atas nilai minimum tertentu.

Adaptive Protection menyediakan mekanisme untuk melaporkan peringatan sebagai positif palsu, yang dijelaskan di bagian Memantau, memberikan masukan, dan melaporkan error peristiwa. Perhatikan bahwa pelaporan positif palsu mungkin tidak langsung mengubah peringatan yang diberikan oleh Perlindungan Adaptif. Seiring waktu, model Perlindungan Adaptif mempelajari bahwa pola traffic tersebut normal dan dapat diterima, dan Perlindungan Adaptif berhenti memberikan pemberitahuan tentang pola ini.

Jika peringatan Perlindungan Adaptif terlalu sering muncul pada subset layanan backend dalam kebijakan keamanan, hal ini mungkin menunjukkan bahwa traffic normal layanan backend tersebut mengalami fluktuasi signifikan yang terus-menerus diidentifikasi oleh Perlindungan Adaptif sebagai perilaku anomali. Anda dapat membuat kebijakan keamanan terpisah tanpa mengaktifkan Perlindungan Adaptif dan mengaitkan layanan backend ini dengan kebijakan keamanan baru.

Insiden tertentu yang dilaporkan oleh Perlindungan Adaptif dianggap sebagai positif palsu atau tidak relevan

Perlindungan Adaptif menyediakan mekanisme untuk melaporkan pemberitahuan positif palsu. Ikuti prosedur yang dijelaskan di bagian Memantau, memberikan masukan, dan melaporkan error peristiwa. Perhatikan bahwa pelaporan positif palsu mungkin tidak langsung mengubah apa yang diperhatikan oleh Perlindungan Adaptif. Seiring waktu, model Perlindungan Adaptif akan mempelajari bahwa pola traffic tersebut normal dan dapat diterima, dan Perlindungan Adaptif akan berhenti memberikan pemberitahuan tentang pola ini.

Bagaimana cara mengetahui bahwa kebijakan keamanan edge saya sedang diterapkan?

Anda dapat memeriksa tindakan yang dilakukan pada kebijakan keamanan edge dengan memeriksa dasbor pemantauan, metrik pemantauan, atau logging per permintaan.

Dasbor monitoring

Cloud Monitoring tersedia di halaman Network Security Policies di bagian Monitoring. Anda dapat menggunakan perincian menurut kebijakan keamanan di halaman untuk mengukur jumlah permintaan yang diizinkan dan ditolak oleh kebijakan keamanan edge yang dikonfigurasi. Anda juga dapat memeriksa perincian menurut layanan backend untuk men-debug layanan backend tertentu. Untuk mengetahui detail tentang dasbor Cloud Monitoring, lihat bagian Memantau kebijakan keamanan Google Cloud Armor.

Metrik pemantauan

Metrik mentah yang mengukur permintaan yang diizinkan dan ditolak tersedia untuk kebijakan keamanan edge. Untuk mengetahui informasi selengkapnya, lihat Memantau metrik untuk kebijakan keamanan.

Logging per permintaan

Keputusan kebijakan keamanan edge dicatat ke log permintaan load balancing di bagian enforcedEdgeSecurityPolicy. Hal ini terpisah dari enforcedSecurityPolicy, yang mencatat keputusan kebijakan keamanan backend.

Pengelolaan bot

Bagian ini berisi informasi tentang pemecahan masalah terkait pengelolaan bot.

Pengguna tidak dikecualikan seperti yang diharapkan

Anda mungkin telah mengonfigurasi aturan kebijakan keamanan dengan tindakan pengalihan untuk penilaian reCAPTCHA, dan mendapati bahwa beberapa pengguna yang Anda anggap sah tidak dikecualikan seperti yang diharapkan. Ikuti langkah-langkah di bawah untuk memecahkan masalah.

Pertama, periksa log per permintaan untuk melihat apakah ada aturan kebijakan keamanan dengan prioritas lebih tinggi yang cocok dengan traffic, yang tindakannya berbeda. Secara khusus, cari kolom configured_action dan outcome. Perhatikan bahwa agar pengguna dibebaskan, setidaknya ada dua permintaan yang terlibat. Permintaan awal datang tanpa cookie pengecualian, dan permintaan lanjutan datang dengan cookie pengecualian jika pengguna lulus penilaian reCAPTCHA. Oleh karena itu, setidaknya dua entri log diharapkan.

Jika Anda melihat GOOGLE_RECAPTCHA sebagai tindakan yang dikonfigurasi, dan REDIRECT sebagai hasil, permintaan dialihkan untuk penilaian reCAPTCHA;
Jika Anda melihat GOOGLE_RECAPTCHA sebagai tindakan yang dikonfigurasi, dan ACCEPT sebagai hasilnya, permintaan tersebut dikecualikan dari pengalihan untuk penilaian reCAPTCHA.
Jika Anda melihat nilai yang berbeda di kolom di atas, aturan dengan tindakan yang berbeda telah dicocokkan. Dalam hal ini, pengguna tidak akan dialihkan atau dikecualikan.

Kedua, ada beberapa persyaratan di sisi pengguna agar mereka dikecualikan dari pengalihan untuk penilaian reCAPTCHA.

Pengguna harus menggunakan browser.
Browser harus mengaktifkan JavaScript untuk memungkinkan pemuatan yang tepat pada halaman pengalihan dengan JavaScript reCAPTCHA yang disematkan.
Browser harus mengaktifkan cookie untuk mengizinkan setelan dan pemasangan otomatis cookie pengecualian.
Pengguna harus lulus penilaian reCAPTCHA; misalnya, mereka harus menyelesaikan tantangan pop-up jika ada.

Harap diketahui bahwa pengguna yang tidak dapat memenuhi salah satu persyaratan di atas tidak akan menerima pengecualian, meskipun aturan dengan tindakan pengalihan untuk penilaian reCAPTCHA cocok.

Ketiga, penilaian reCAPTCHA hanya dieksekusi saat halaman pengalihan yang menyematkan JavaScript reCAPTCHA dirender. Oleh karena itu, pengalihan untuk penilaian reCAPTCHA hanya berlaku untuk permintaan yang mengharapkan respons yang mengarah ke rendering halaman penuh. Permintaan lain, seperti pemuatan aset dalam halaman, atau permintaan yang berasal dari skrip tersemat yang tidak mengharapkan respons dirender, tidak diharapkan untuk mendapatkan penilaian reCAPTCHA. Oleh karena itu, sebaiknya Anda menerapkan tindakan ini dengan kondisi kecocokan untuk jalur URL yang memenuhi kondisi ini.

Misalnya, Anda memiliki halaman web yang berisi elemen tersemat seperti gambar, link ke halaman web lain, dan skrip. Anda tidak ingin menerapkan tindakan pengalihan untuk penilaian reCAPTCHA untuk jalur URL yang menghosting gambar, atau yang seharusnya diakses oleh skrip yang tidak memerlukan render halaman penuh. Sebagai gantinya, Anda dapat menerapkan tindakan pengalihan untuk penilaian reCAPTCHA untuk jalur URL yang menghosting halaman web, seperti halaman web utama atau halaman web tertaut lainnya.

Terakhir, jika halaman pengalihan berhasil dirender, periksa di Alat Developer yang disediakan oleh browser untuk melihat apakah cookie pengecualian ditetapkan dan apakah cookie tersebut dilampirkan dalam permintaan lanjutan untuk situs yang sama. Untuk mendapatkan bantuan lebih lanjut, Anda dapat menghubungi tim Dukungan Cloud.

Masalah terkait pembatasan kecepatan

Traffic tidak dibatasi seperti yang diharapkan

Anda mungkin mendapati bahwa alamat IP klien mengirimkan traffic tingkat tinggi ke aplikasi dengan kecepatan yang melebihi nilai minimum yang Anda tetapkan, tetapi traffic tidak dibatasi seperti yang Anda harapkan. Ikuti langkah-langkah berikut untuk menyelidiki masalah ini.

Pertama, konfirmasi apakah aturan dengan prioritas lebih tinggi mengizinkan traffic dari alamat IP tersebut. Periksa log untuk melihat apakah aturan ALLOW dipicu untuk alamat IP. Ini bisa berupa aturan ALLOW itu sendiri, atau dalam aturan THROTTLE atau RATE_BASED_BAN lainnya.

Jika Anda menemukan aturan dengan prioritas yang lebih tinggi, lakukan salah satu tindakan berikut:

Ubah prioritas untuk memastikan bahwa aturan pembatasan kecepatan memiliki prioritas yang lebih tinggi, dengan menetapkan nilai numerik lebih rendah.
Mengecualikan alamat IP dari ekspresi yang cocok dalam aturan yang memiliki prioritas lebih tinggi.

Masalahnya juga mungkin karena nilai minimum ditetapkan secara keliru. Jika demikian, permintaan akan dicocokkan secara akurat, tetapi tindakan sesuai akan dipicu. Periksa log untuk mengonfirmasi bahwa hal ini terjadi, lalu kurangi nilai minimum dalam aturan Anda.

Terakhir, alamat IP mungkin tidak cocok dengan aturan pembatasan atau larangan berbasis kecepatan. Untuk memperbaiki hal ini, periksa kesalahan dalam kondisi kecocokan, lalu ubah kondisi kecocokan aturan ke nilai yang benar.

Langkah berikutnya

Mendapatkan dukungan

Memecahkan masalah Google Cloud Armor Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.