Google App Engine负载均衡器区域覆盖、TLS合规及流量路径疑问

1. EMEA/APAC区域用户是否仍可使用TLS 1.0连接？ #

是的。如果你的负载均衡器仅配置处理美洲区域流量，其他区域的流量会直接走App Engine默认入口，而默认入口未受你设置的TLS 1.2强制规则限制，这部分用户确实可以使用TLS 1.0/1.1建立连接。

2. 是否需要为每个区域单独配置负载均衡器？ #

不需要单独配置多区域负载均衡器。你可以配置全球级HTTP(S)负载均衡器，它会覆盖所有区域的流量，自动将用户引导至最近的健康后端，同时在全局层面统一执行TLS策略（比如强制仅允许TLS 1.2及以上版本）。

3. 为何美洲地区流量直接连接实例而非经过负载均衡器？ #

核心原因是你未完成流量的全量切换：App Engine自带全球原生入口，若你仍在使用App Engine默认域名（如your-project.appspot.com），或DNS记录未完全指向负载均衡器的前端IP/自定义域名，部分区域的流量会直接走App Engine原生入口，绕开你配置的负载均衡器。

解决建议 #

• 调整DNS解析，将所有用户访问的域名指向负载均衡器的前端IP或绑定的自定义域名。
• 配置全球HTTP(S)负载均衡器，将后端关联你的App Engine服务，并在SSL策略中设置仅允许TLS 1.2及以上版本。
• 可通过dispatch.yaml规则强制所有路由流量经过负载均衡器，或根据业务兼容性考虑禁用App Engine默认入口。

内容的提问来源于stack exchange，提问作者leremjs