如何配置Google Cloud负载均衡器以支持域名通过CNAME记录指向？

• 首先创建一个全局外部HTTP(S)负载均衡，为你自己的服务域名（如service.mydomain.com）绑定固定静态公网IP，不要使用临时IP，将service.mydomain.com的A记录指向该静态IP，同时为该前端配置对应SSL证书。
• 不需要为每个客户域名单独创建前端，所有客户域名的请求都会统一打到这个静态IP上，负载均衡会根据请求的Host头匹配路由规则，转发到对应的后端服务。
• SSL证书可选择两种适配方案：一是使用Google证书管理服务批量签发支持多域名的SAN证书，单证书最多可挂载100个域名；二是开启SNI支持，可为每个客户域名单独签发证书，全部绑定到同一个前端IP上，GCP负载均衡原生支持单IP挂载上百个不同SSL证书。
• 客户侧仅需将自定义域名（如demo.customerdomain.com）通过CNAME记录指向service.mydomain.com，你在后台将客户域名添加到负载均衡的主机头路由规则、绑定对应SSL证书即可完成接入，无需为每个客户单独分配IP。
• 若需开启Cloud CDN，直接在负载均衡的后端服务配置中开启CDN功能即可，CDN节点会自动复用负载均衡的路由和证书配置，客户CNAME接入的请求会自动调度到CDN节点。

安全性收益 #

• 所有域名共用同一个静态公网IP，大幅缩小暴露的攻击面，无需维护大量零散的临时IP，可统一配置WAF、DDoS防护规则，GCP Cloud Armor可直接绑定到该负载均衡前端，对所有客户域名的请求生效。
• 若选择Google托管SSL证书，平台会自动完成证书续期，避免单个客户证书过期导致服务不可用的问题；SNI模式下单个客户证书泄露不会影响其他域名的安全，相比SAN证书的风险隔离性更强。
• 可统一配置域名所有权校验逻辑，客户接入时要求添加TXT记录验证域名归属，避免恶意域名绑定到你的服务。

缓存层面收益 #

• 所有客户的请求会调度到同一批CDN节点，相同静态资源可在CDN节点复用缓存，不会因为不同域名接入导致同一份资源存储多份缓存，大幅提升缓存命中率，降低回源率。
• 可统一配置缓存规则，对不同路径的资源设置统一的缓存时长、缓存键规则，无需为每个客户单独配置，运维成本极低。
• CDN的预热、刷新操作可统一处理，不需要针对每个客户域名单独执行操作。

安全性风险 #

• 共用IP的场景下，如果某个客户域名涉及违法违规内容，可能导致整个IP被封禁或者被第三方安全厂商拉黑，影响所有接入客户的服务，建议提前准备备用静态IP，遇到问题可快速切换service.mydomain.com的解析到备用IP。
• 极少数非常老旧的客户端（如Windows XP下的IE6、部分老旧嵌入式设备）不支持SNI，访问时会出现证书错误，若需要兼容这类极端客户端，需改用SAN证书统一挂载所有接入域名。
• 若开启自动证书签发功能，需严格校验域名所有权，避免未授权的域名被签发对应证书，引发安全隐患。

缓存层面风险 #

• 统一缓存规则的灵活性较低，如果部分客户有自定义缓存规则的需求，需要单独针对对应主机头配置特殊规则，规则数量增多后会提升运维复杂度。
• 若缓存键没有配置Host头作为区分维度，不同客户域名下相同路径的资源会被判定为同一份资源返回，导致内容错乱，配置缓存规则时必须将Host头加入缓存键的计算逻辑，或对不同客户的后端服务做隔离。
• 缓存故障的影响面更大，误操作刷新全量缓存会导致所有客户的请求同时回源，可能压垮后端服务，需要为缓存刷新操作设置严格的权限控制和操作阈值。

内容的提问来源于stack exchange，提问作者Caine Nielsen