所有 Cloud de Confiance 區域的加密
虛擬私有雲網路和對等互連虛擬私有雲網路中的所有 VM 對 VM 流量都會加密。
Proxy 負載平衡器與後端之間的加密
對於部分 Proxy 負載平衡器 (請參閱表 1)，Google 會自動加密傳送至 Cloud de Confiance 虛擬私有雲網路內後端的流量。這稱為自動網路層級加密。自動網路層級加密僅適用於與下列類型後端的通訊：
- 執行個體群組
- 可用區 NEG (
GCE_VM_IP_PORT個端點)
此外， Cloud de Confiance 也提供安全通訊協定選項，可加密與後端服務的通訊。
區域性負載平衡器會使用開放原始碼 Envoy Proxy 做為後端的用戶端。負載平衡器支援 RFC 8446 第 9.1 節中列出的 TLS 1.3 加密套件。如果是 TLS 1.2 以下版本，負載平衡器支援與 COMPATIBLE SSL 政策設定檔相關聯的加密套件。
下表提供 Proxy 負載平衡器的摘要，這些負載平衡器會將傳送至後端的流量加密。
| Proxy 負載平衡器 | Proxy (用戶端到後端) | 自動網路層級加密 | 後端服務通訊協定選項 |
|---|---|---|---|
| 區域性外部應用程式負載平衡器 | Envoy Proxy | HTTP、HTTPS 和 HTTP/2 如果您需要可稽核的傳輸中加密，請選擇 HTTPS 或 HTTP/2。 |
|
| 區域性內部應用程式負載平衡器 | Envoy Proxy | HTTP、HTTPS 和 HTTP/2 如果您需要可稽核的傳輸中加密，請選擇 HTTPS 或 HTTP/2。 |
|
| 區域性外部 Proxy 網路負載平衡器 | Envoy Proxy | TCP | |
| 區域性內部 Proxy 網路負載平衡器 | Envoy Proxy | TCP |
安全後端通訊協定用途
在下列情況下，建議使用安全通訊協定連線至後端執行個體：
需要從負載平衡器 (或 Cloud Service Mesh) 到後端執行個體的加密連線，並進行稽核。
負載平衡器連線至Cloud de Confiance 以外的後端執行個體(使用網際網路 NEG)。與網際網路 NEG 後端之間的通訊可能會透過公開網際網路傳送。負載平衡器連線至網際網路 NEG 時，公開 CA 簽署的憑證必須符合驗證規定。
安全後端通訊協定注意事項
當使用安全後端服務通訊協定時，請注意下列事項：
負載平衡器的後端執行個體或端點必須使用與後端服務相同的通訊協定來提供。舉例來說，如果後端服務通訊協定是 HTTPS，則後端必須是 HTTPS 伺服器。
如果後端服務通訊協定為
HTTP2，後端必須使用 TLS。如需設定操作說明，請參閱在後端執行個體或端點上執行的軟體說明文件。後端執行個體或端點上必須安裝私密金鑰和憑證，才能做為 HTTPS 或 SSL 伺服器使用。這些憑證不需要與負載平衡器的前端 SSL 憑證相符。如需安裝操作說明，請參閱在後端執行個體或端點上執行的軟體說明文件。
除了具有網際網路 NEG 後端的 HTTPS 負載平衡器外，負載平衡器不會使用伺服器名稱指示 (SNI) 擴充功能連線至後端。
當負載平衡器連線至 Cloud de Confiance內的後端時，負載平衡器會接受後端提供的任何憑證。在這種情況下，負載平衡器只會執行最低程度的憑證驗證。
舉例來說，即使在下列情況下，憑證仍會視為有效：
- 自行簽署的憑證。
- 憑證由未知的憑證授權單位 (CA) 簽署。
- 憑證已過期或尚未生效。
CN和subjectAlternativeName屬性與Host標頭或 DNS PTR 記錄不符。
自 2025 年 4 月 28 日起，負載平衡器只會接受具有 X509v3 金鑰用途擴充功能，且包含數位簽章和金鑰加密參數的 RSA 憑證。詳情請參閱 2025 年 1 月 24 日的相關版本資訊。
安全前端通訊協定
如果設定包含目標 HTTPS 或目標 SSL Proxy，Cloud de Confiance 會使用安全的 Frontend 通訊協定。
外部應用程式負載平衡器和外部 Proxy 網路負載平衡器使用 Google 的 BoringCrypto 程式庫。如要瞭解 FIPS 140-3 的詳細資料，請參閱 NIST 密碼編譯模組驗證計畫認證 #5244。
內部應用程式負載平衡器使用 Google 的 BoringSSL 程式庫。如要進一步瞭解符合 FIPS 規範的版本，請參閱 Envoy 說明文件。Google 會在符合 FIPS 規範的模式下，為內部應用程式負載平衡器建構 Envoy Proxy。