谷歌正在阻止流量，因为它检测到自动查询

Question

当我尝试访问部署在 Google Cloud 上的网站时，我收到以下错误页面：

我们很抱歉...

... 但您的计算机或网络可能正在发送自动查询。 为了保护我们的用户，我们现在无法处理您的请求。

以下是我的设置的详细信息：

• NextJS web 应用程序部署到 Cloud Run（流量仅限于内部 + 负载平衡）
• 部署到 Cloud Run 的 Strapi 内容管理系统（流量仅限于内部 + 负载平衡）
• 我在每个 Cloud Run 服务前面都有一个负载均衡器，并且正在使用 Google 保留 IP 和托管 SSL 证书
• Identity Aware Proxy (IAM) 在两个负载均衡器之前
• 每次页面访问都会向内容管理系统发出 API 调用以检索内容（这是否会导致网络认为正在发生“自动查询”？）

故障排除：

• 它似乎与访问该网站的实际用户无关。 此错误消息针对所有用户、不同设备、不同 IP 地址出现。 之前一直没问题，第一次遇到这个问题。
• 没有流量到达 Cloud Run 环境。 如果我将他们的入口切换为允许所有我可以直接点击 Cloud Run URL 并且它可以工作
• 删除并重新创建负载平衡器无法解决问题

基于此，负载均衡器附近似乎发生了一些网络配置/安全性。

任何继续调试的解决方案或建议？

Answer 1

到目前为止，仅有的两个解决方法是：

• 在负载均衡器上禁用 IAP
• 公开并直接访问 Cloud RUN URL ( https://myCloudRun-xxxxx.a.run.com )

除非您不关心安全性，否则两者在生产系统上都是不可接受的。 我们正在尝试找出 NGINX 和 Cloud RUN 之间丢失的 IAP 标头是什么，但我想这个问题也会影响没有 NGINX 的基础设施

编辑问题跟踪器帖子https://issuetracker.google.com/issues/265184232看起来与该问题相关。 谷歌团队建议的解决方法是切换到 Global HTTP Classic Load Balancer 我们尝试过但没有用，但我们可能遇到了不同的问题。 希望暂时能帮助其他人

编辑 2在我们的 NGINX 配置中，我们将请求代理到公共云 RUN API，目前它受到该问题的影响。

只需删除 IAP 添加的 JWT header（将任何其他标头留给经过身份验证的用户）我的配置示例，我就能够成功代理请求

 location /api/ {
    #remove iap jwt token header 
    proxy_set_header        X-Goog-Iap-Jwt-Assertion "";

    # proxy to the public cloud run instance
    proxy_pass https://myCloudRun-123456basd-ew.a.run.app/;
}