הגדרת קבוצות של כתובות

קבוצות של כתובות מאפשרות לשלב כמה כתובות IP וטווחי כתובות IP ליחידה לוגית אחת עם שם, שאפשר להשתמש בה בכמה מוצרים. במאמר הזה מוסבר איך להשתמש בקבוצות של כתובות עם מדיניות האבטחה של Google Cloud Armor. כדי להשתמש בקבוצות של כתובות, צריך מינוי פעיל ל-Google Cloud Armor Enterprise.

לפני שמתחילים

לפני שמגדירים קבוצות של כתובות, צריך להפעיל את Network Security API networksecurity.googleapis.com.

תפקידי IAM

כדי ליצור ולנהל קבוצת כתובות, צריך את התפקיד "אדמין של רשת Compute"‏ (roles/compute.networkAdmin). אפשר גם להגדיר תפקיד בהתאמה אישית עם קבוצת הרשאות מקבילה.

בטבלה הבאה מפורטות ההרשאות של ניהול זהויות והרשאות גישה (IAM) שנדרשות כדי לבצע קבוצת משימות בקבוצות של כתובות.

משימה	שם התפקיד ב-IAM	הרשאות IAM
יצירה וניהול של קבוצות כתובות ב-	אדמין של רשת Compute‏ (roles/compute.networkAdmin)	networksecurity.addressGroups.*
חיפוש והצגה של קבוצות כתובות	משתמש ברשת Compute (roles/compute.networkUser)	networksecurity.addressGroups.list networksecurity.addressGroups.get networksecurity.addressGroups.use

באינדקס התפקידים וההרשאות ב-IAM מוסבר אילו תפקידים כוללים הרשאות ספציפיות ב-IAM.

שימוש בקבוצות של כתובות ברמת הפרויקט

בקטעים הבאים מוסבר איך משתמשים במסוף Google Cloud או ב-Google Cloud CLI כדי ליצור ולשנות קבוצות של כתובות ברמת הפרויקט, ואיך משתמשים בקבוצות של כתובות ברמת הפרויקט עם כללי מדיניות האבטחה.

יצירה או שינוי של קבוצות כתובות ברמת הפרויקט

בקטעים הבאים מוסבר איך ליצור קבוצות של כתובות ברמת הפרויקט, איך להוסיף כתובות לקבוצות של כתובות ברמת הפרויקט ולהסיר אותן מהן, ואיך למחוק קבוצות של כתובות ברמת הפרויקט.

יצירת קבוצת כתובות ברמת הפרויקט

כשיוצרים קבוצת כתובות, צריך לציין את הקיבולת ואת גרסת כתובת ה-IP שלה באמצעות הדגלים --capacity ו---type, בהתאמה. אי אפשר לשנות את הערכים האלה אחרי שיוצרים את קבוצת הכתובות.

בנוסף, יכול להיות שהקיבולת המקסימלית של Cloud Armor תהיה גבוהה יותר מהקיבולת המקסימלית של מוצרים אחרים, כמו Cloud Next Generation Firewall. לכן, אם רוצים להשתמש באותה קבוצת כתובות בכמה מוצרים, צריך להגדיר את הקיבולת כך שתהיה קטנה או שווה לקיבולת המקסימלית הנמוכה ביותר מבין המוצרים האלה.

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט (אם הוא זמין).
3. לוחצים על יצירת קבוצת כתובות.
4. בשדה Name, מזינים שם.
5. (אופציונלי): בשדה תיאור, מוסיפים תיאור.
6. בשדה Scope, בוחרים באפשרות Global.
7. בקטע סוג, בוחרים באפשרות IPv4 או IPv6.

8. בשדה Purpose, בוחרים באפשרות Cloud Armor. לחלופין, בוחרים באפשרות Firewall and Cloud Armor אם מתכננים להשתמש בקבוצת הכתובות גם עם כללי מדיניות חומת אש של Cloud Next Generation Firewall.

   מידע נוסף על בחירת מטרה זמין במאמר מפרט של קבוצת כתובות.

9. בשדה קיבולת, מזינים את הקיבולת של קבוצת הכתובות.

   הערה: אחרי שמגדירים את הקיבולת של קבוצת הכתובות, אי אפשר לשנות אותה. חשוב להגדיר את הקיבולת לערך שמתאים לתרחיש לדוגמה שלכם.

10. בשדה IP Addresses, מזינים את כתובות ה-IP או את טווחי ה-IP שרוצים לכלול בקבוצת הכתובות, כשהם מופרדים בפסיקים. לדוגמה, 1.1.1.0/24,1.2.0.0.

    מספר כתובות ה-IP או טווחי ה-IP לא יכול לחרוג מהקיבולת שהוגדרה.

11. לוחצים על יצירה.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security address-groups create כדי ליצור קבוצת כתובות בשם GROUP_NAME עם קיבולת של 1,000 כתובות IPv4, שאפשר להשתמש בהן גם ב-Cloud Armor וגם ב-Cloud NGFW:

 gcloud network-security address-groups create GROUP_NAME \
     --location global \
     --description  "address group description" \
     --capacity 1000 \
     --type IPv4 \
     --purpose DEFAULT,CLOUD_ARMOR

לחלופין, אפשר ליצור קבוצת כתובות עם קיבולת גדולה יותר על ידי הגדרת המטרה ל-CLOUD_ARMOR בלבד. בדוגמה הבאה, יוצרים קבוצת כתובות עם קיבולת של 10,000 טווחי כתובות IP של IPv6:

 gcloud network-security address-groups create GROUP_NAME \
     --location global \
     --description  "address group description" \
     --capacity 10000 \
     --type IPv6 \
     --purpose CLOUD_ARMOR

הוספת פריטים לקבוצת כתובות ברמת הפרויקט

אחרי שיוצרים קבוצת כתובות, אפשר להוסיף פריטים.

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט (אם הוא זמין).
3. כדי לערוך קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על Edit.
5. בשדה IP Addresses, מוסיפים את הפריטים החדשים לרשימת כתובות ה-IP שמופרדות בפסיקים. לחלופין, אפשר ללחוץ על ייבוא כתובות כדי להעלות קובץ CSV עם רשימה של כתובות IP.
6. לוחצים על Save.

gcloud

בדוגמה הבאה, משתמשים בפקודה gcloud network-security address-groups add-items כדי להוסיף את כתובות ה-IP‏ 192.168.1.2,‏ 192.168.1.8 ו-192.168.1.9 לקבוצת הכתובות GROUP_NAME. מציינים רשימה של פריטים מופרדים בפסיקים באמצעות הדגל --item:

 gcloud network-security address-groups add-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

הסרת פריטים מקבוצת כתובות ברמת הפרויקט

כדי להסיר פריטים מקבוצת כתובות:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט (אם הוא זמין).
3. כדי לערוך קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על Edit.
5. בשדה כתובות IP, מוחקים את הפריטים שרוצים להסיר מהרשימה המופרדת בפסיקים של כתובות ה-IP.
6. לוחצים על Save.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security address-groups remove-items כדי להסיר את כתובות ה-IP‏ 192.168.1.2,‏ 192.168.1.8 ו-192.168.1.9 שהוספתם בפקודה הקודמת:

 gcloud network-security address-groups remove-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

שכפול של קבוצת כתובות ברמת הפרויקט

כדי לשכפל פריטים מקבוצת כתובות:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט (אם הוא זמין).
3. כדי לשכפל קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על שכפול.
5. בשדה שם, מזינים את השם של קבוצת הכתובות המשוכפלת שרוצים ליצור.
6. לוחצים על שכפול.

gcloud

בדוגמה הבאה, משתמשים בפקודה gcloud network-security address-groups clone-items כדי לשכפל את כתובות ה-IP מקבוצת כתובות המקור SOURCE_GROUP_NAME לקבוצת כתובות היעד GROUP_NAME:

 gcloud network-security address-groups clone-items GROUP_NAME \
     --location global \
     --source SOURCE_GROUP_NAME

מחיקה של קבוצת כתובות ברמת הפרויקט

אי אפשר למחוק קבוצת כתובות אם משאב מפנה אליה, כולל מדיניות חומת אש או מדיניות אבטחה. כך מוחקים קבוצת כתובות:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט (אם הוא זמין).
3. מסמנים את התיבה לצד קבוצת הכתובות שרוצים למחוק. חשוב לוודא שאין הפניה לקבוצת הכתובות שנבחרה באף חומת אש או מדיניות אבטחה.
4. לוחצים על מחיקה ואז לוחצים שוב על מחיקה כדי לאשר.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security address-groups delete כדי למחוק קבוצת כתובות בשם GROUP_NAME.

 gcloud network-security address-groups delete GROUP_NAME \
     --location global

שימוש בקבוצות של כתובות ברמת הפרויקט עם כללי מדיניות אבטחה

אחרי שיוצרים קבוצת כתובות ומוסיפים לה כתובות IP, אפשר להשתמש בה עם כל מדיניות אבטחה קיימת של Cloud Armor לקצה העורפי. בדוגמאות הבאות מוצגות שתי דרכים שונות להשתמש בקבוצות של כתובות.

דחיית קבוצה של כתובות IP

לצורך הדוגמה, נניח שיש לכם קבוצה של כתובות IP שנקראת MALICIOUS_IPS, עם 10,000 כתובות IP שאתם יודעים שהן זדוניות. אפשר לדחות את כל כתובות ה-IP האלה באמצעות כלל אחד של מדיניות אבטחה deny עם תנאי ההתאמה הבא:

evaluateAddressGroup('MALICIOUS_IPS', origin.ip)

שימוש חוזר בקבוצה של טווחי כתובות IP בכמה כללי מדיניות אבטחה

בדוגמה הזו, נניח שיש לכם את אותה רשימה של 10,000 כתובות IP כמו בדוגמה הקודמת, אבל חלק מכתובות ה-IP ידועות כסורקי אינטרנט. אתם רוצים לחסום את כל כתובות ה-IP האלה מחלק מהשירותים לקצה העורפי, אבל לאפשר לסורקי האינטרנט לגשת לשירותים אחרים לקצה העורפי כדי לשפר את האופטימיזציה למנועי חיפוש (SEO). כדי לחסום את הגישה של כל הכתובות ל-BACKEND_SERVICE_1, אבל לאפשר לטווחי כתובות ה-IP‏ 66.249.77.32/27 ו-66.249.77.64/27 לגשת ל-BACKEND_SERVICE_2:

1. יוצרים מדיניות אבטחה לקצה העורפי בשם POLICY_1 ומצרפים אותה אל BACKEND_SERVICE_1.

2. ב-POLICY_1, יוצרים כלל deny עם תנאי ההתאמה הבא:

   evaluateAddressGroup('MALICIOUS_IPS', origin.ip)
   

3. יוצרים מדיניות אבטחה שנייה לקצה העורפי בשם POLICY_2 ומצרפים אותה אל BACKEND_SERVICE_2.

4. ב-POLICY_2, יוצרים כלל deny עם תנאי ההתאמה הבא, שמחריג את 66.249.77.32/27 ו-66.249.77.64/27:

   evaluateAddressGroup('MALICIOUS_IPS', origin.ip, [66.249.77.32/27, 66.249.77.64/27])
   

שימוש בקבוצת כתובות כדי להתאים לכתובות ה-IP של המשתמשים

כדי להשתמש בקבוצת כתובות להתאמה לכתובות ה-IP של לקוח המקור ("משתמש"), צריך להגדיר את userIpRequestHeaders[] במדיניות האבטחה.

חשוב לציין שבמצבים הבאים, אתם מקבלים את כתובת ה-IP של מקור הבקשה ולא את כתובת ה-IP של הלקוח שממנו הגיעה הבקשה, כי ערך ברירת המחדל של origin.user_ip הוא הערך של origin.ip:

• לא מגדירים את האפשרות userIpRequestHeaders[].
• הכותרות שהוגדרו לא קיימות.
• הכותרות שהוגדרו מכילות ערכים לא חוקיים של כתובות IP.

לצורך הדוגמה, נניח שיש לכם קבוצה של כתובות IP שנקראת MALICIOUS_IPS, עם 10,000 כתובות IP שאתם יודעים שהן זדוניות. בנוסף, אתם משתמשים בשרת proxy במעלה הזרם, שכולל בכותרת מידע על הלקוחות המקוריים. אפשר לדחות את כל כתובות ה-IP האלה באמצעות כלל אחד של מדיניות האבטחה deny, עם תנאי ההתאמה הבא:

evaluateAddressGroup('MALICIOUS_IPS', origin.user_ip)

למידע נוסף על כתובות IP, קראו את המאמר מאפיינים.

מידע נוסף על כתובות IP של משתמשים זמין במאמר סקירה כללית על כתובות IP של משתמשים.

שימוש בקבוצות של כתובות ברמת הארגון

בקטעים הבאים מוסבר איך ליצור ולשנות קבוצות של כתובות ברמת הארגון באמצעות מסוף Google Cloud או Google Cloud CLI, ואיך להשתמש בקבוצות של כתובות ברמת הארגון במדיניות האבטחה.

יצירה או שינוי של קבוצות כתובות ברמת הארגון

אתם יכולים להשתמש בקבוצות של כתובות ברמת הארגון גם עם מדיניות אבטחה ברמת השירות וגם עם מדיניות אבטחה היררכית.

בקטעים הבאים מוסבר איך ליצור קבוצות של כתובות ברמת הארגון, איך להוסיף כתובות לקבוצות האלה ולהסיר אותן מהן, ואיך למחוק קבוצות של כתובות ברמת הארגון.

יצירת קבוצת כתובות ברמת הארגון

כשיוצרים קבוצת כתובות, צריך לציין את הקיבולת ואת גרסת כתובת ה-IP שלה באמצעות הדגלים --capacity ו---type, בהתאמה. אי אפשר לשנות את הערכים האלה אחרי שיוצרים את קבוצת הכתובות.

בנוסף, יכול להיות שהקיבולת המקסימלית של Cloud Armor תהיה גבוהה יותר מהקיבולת המקסימלית של מוצרים אחרים, כמו Cloud Next Generation Firewall. לכן, אם רוצים להשתמש באותה קבוצת כתובות בכמה מוצרים, צריך להגדיר את הקיבולת כך שתהיה קטנה או שווה לקיבולת המקסימלית הנמוכה ביותר מבין המוצרים האלה.

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הארגון (אם האפשרות זמינה).
3. לוחצים על יצירת קבוצת כתובות.
4. בשדה Name, מזינים שם.
5. אופציונלי: בשדה תיאור, מוסיפים תיאור.
6. בשדה Scope, בוחרים באפשרות Global.
7. בקטע סוג, בוחרים באפשרות IPv4 או IPv6.

8. בשדה Purpose, בוחרים באפשרות Cloud Armor. לחלופין, בוחרים באפשרות Cloud NGFW and Cloud Armor אם מתכננים להשתמש בקבוצת הכתובות גם עם מדיניות חומת אש של Cloud Next Generation Firewall.

   מידע נוסף על בחירת מטרה לקבוצת כתובות זמין במפרט.

9. בשדה קיבולת, מזינים את הקיבולת של קבוצת הכתובות.

   הערה: אחרי שמגדירים את הקיבולת של קבוצת הכתובות, אי אפשר לשנות אותה. חשוב להגדיר את הקיבולת לערך שמתאים לתרחיש לדוגמה שלכם.

10. בשדה IP Addresses, מזינים את כתובות ה-IP או את טווחי ה-IP שרוצים לכלול בקבוצת הכתובות, כשהם מופרדים בפסיקים. לדוגמה, 1.1.1.0/24,1.2.0.0.

    מספר כתובות ה-IP או טווחי ה-IP לא יכול לחרוג מהקיבולת שהוגדרה.

11. לוחצים על יצירה.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security org-address-groups create כדי ליצור קבוצת כתובות ברמת הארגון בשם GROUP_NAME, עם קיבולת של 1,000 כתובות IPv4, שאפשר להשתמש בה גם ב-Cloud Armor וגם ב-Cloud NGFW:

 gcloud network-security org-address-groups create GROUP_NAME \
     --location global \
     --description  "org address group description" \
     --capacity 1000 \
     --type IPv4 \
     --purpose DEFAULT,CLOUD_ARMOR

לחלופין, אפשר ליצור קבוצת כתובות ברמת הארגון עם קיבולת גדולה יותר, על ידי הגדרת המטרה באופן בלעדי ל-CLOUD_ARMOR. בדוגמה הבאה יוצרים קבוצת כתובות עם קיבולת של 10,000 טווחי כתובות IP ב-IPv6:

 gcloud network-security org-address-groups create GROUP_NAME \
     --location global \
     --description  "org address group description" \
     --capacity 10000 \
     --type IPv6 \
     --purpose CLOUD_ARMOR

הוספת פריטים לקבוצת כתובות ברמת הארגון

אחרי שיוצרים קבוצת כתובות ברמת הארגון, אפשר להוסיף פריטים.

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הארגון (אם האפשרות זמינה).
3. כדי לערוך קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על Edit.
5. בשדה IP Addresses, מוסיפים את הפריטים החדשים לרשימת כתובות ה-IP שמופרדות בפסיקים. לחלופין, אפשר ללחוץ על ייבוא כתובות כדי להעלות קובץ CSV עם רשימה של כתובות IP.
6. לוחצים על Save.

gcloud

בדוגמה הבאה, משתמשים בפקודה gcloud network-security org-address-groups add-items כדי להוסיף את כתובות ה-IP‏ 192.168.1.2,‏ 192.168.1.8 ו-192.168.1.9 לקבוצת הכתובות GROUP_NAME ברמת הארגון. מציינים רשימה של פריטים מופרדים בפסיקים באמצעות הדגל --items:

 gcloud network-security org-address-groups add-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

הסרת פריטים מקבוצת כתובות ברמת הארגון

כדי להסיר פריטים מקבוצת כתובות ברמת הארגון:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הארגון (אם האפשרות זמינה).
3. כדי לערוך קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על Edit.
5. בשדה כתובות IP, מוחקים את הפריטים שרוצים להסיר מהרשימה המופרדת בפסיקים של כתובות ה-IP.
6. לוחצים על Save.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security org-address-groups remove-items כדי להסיר את כתובות ה-IP‏ 192.168.1.2,‏ 192.168.1.8 ו-192.168.1.9 שהוספתם בפקודה הקודמת:

 gcloud network-security org-address-groups remove-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

שכפול של קבוצת כתובות ברמת הארגון

כדי לשכפל פריטים מקבוצת כתובות:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הארגון (אם האפשרות זמינה).
3. כדי לשכפל קבוצת כתובות, לוחצים על השם של קבוצת הכתובות.
4. לוחצים על שכפול.
5. בשדה שם, מזינים את השם של קבוצת הכתובות המשוכפלת שרוצים ליצור.
6. לוחצים על שכפול.

gcloud

בדוגמה הבאה, משתמשים בפקודה gcloud network-security org-address-groups clone-items כדי לשכפל את כתובות ה-IP מקבוצת כתובות המקור SOURCE_GROUP_NAME לקבוצת כתובות היעד GROUP_NAME:

 gcloud network-security org-address-groups clone-items GROUP_NAME \
     --location global \
     --source SOURCE_GROUP_NAME

מחיקה של קבוצת כתובות ברמת הארגון

אי אפשר למחוק קבוצת כתובות ברמת הארגון אם יש אליה הפניה ממשאב, כולל מדיניות חומת אש או מדיניות אבטחה. כדי למחוק קבוצת כתובות:

המסוף

1. נכנסים לדף Address groups במסוף Google Cloud .

   מעבר לקבוצות של כתובות

2. בתפריט לבחירת פרויקטים, בוחרים את הארגון (אם האפשרות זמינה).
3. מסמנים את התיבה לצד קבוצת הכתובות שרוצים למחוק. מוודאים שאין הפניה לקבוצת הכתובות שנבחרה באף מדיניות אבטחה או חומת אש.
4. לוחצים על מחיקה ואז לוחצים שוב על מחיקה כדי לאשר.

gcloud

בדוגמה הבאה משתמשים בפקודה gcloud network-security org-address-groups delete כדי למחוק קבוצת כתובות בשם GROUP_NAME.

 gcloud network-security org-address-groups delete GROUP_NAME \
     --location global

שימוש בקבוצות של כתובות ברמת הארגון עם כללי מדיניות אבטחה

אחרי שיוצרים קבוצת כתובות ומוסיפים לה כתובות IP, אפשר להשתמש בה עם כל מדיניות אבטחה קיימת של Cloud Armor לקצה העורפי. הדוגמאות הבאות מראות שתי דרכים שונות להשתמש בקבוצות של כתובות.

דחיית קבוצה של כתובות IP לכל שירותי הקצה העורפי בארגון

בדוגמה הזו, נניח שיש לכם קבוצת כתובות IP ברמת הארגון שנקראת MALICIOUS_IPS, עם 10,000 כתובות IP שאתם יודעים שהן זדוניות. אתם יכולים לדחות את כל כתובות ה-IP האלה לכל שירותי הקצה העורפי בארגון באמצעות מדיניות אבטחה היררכית אחת. יוצרים מדיניות אבטחה היררכית ומוסיפים כלל deny עם תנאי ההתאמה הבא:

evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip)

לסיום, משייכים את מדיניות האבטחה ההיררכית לכל שירותי הקצה העורפי בארגון. מחליפים את POLICY_NAME בשם של מדיניות האבטחה ההיררכית ואת ORGANIZATION_ID במזהה של הארגון:

  gcloud compute org-security-policies associations create \
      --security-policy=POLICY_NAME \
      --organization=ORGANIZATION_ID

שימוש חוזר בקבוצה של טווחי כתובות IP לכל שירותי הקצה העורפי בארגון

בדוגמה הזו, נניח שיש לכם את אותה רשימה של 10,000 כתובות IP כמו בדוגמה הקודמת, אבל חלק מכתובות ה-IP ידועות כסורקי אינטרנט. אתם רוצים לחסום את כתובות ה-IP של סורקי האינטרנט שלא מיועדים לאינטרנט, כדי שלא יוכלו לגשת לכל שירותי הקצה העורפי בארגון, אבל אתם רוצים לאפשר למדיניות האבטחה ברמת הפרויקט לקבוע אם סורקי האינטרנט יכולים לגשת לשירותי הקצה העורפי כדי לשפר את האופטימיזציה למנועי חיפוש (SEO).

כדי לדחות את הגישה של כל הכתובות ל-BACKEND_SERVICE_1, ולאפשר לטווחי כתובות ה-IP‏ 66.249.77.32/27 ו-66.249.77.64/27 לגשת ל-BACKEND_SERVICE_2:

1. יוצרים מדיניות אבטחה לקצה העורפי בשם BACKEND_POLICY_1.

2. מוסיפים כלל deny ל-BACKEND_POLICY_1 עם תנאי ההתאמה הבא, שחוסם את כל כתובות ה-IP ב-MALICIOUS_IPS:

   evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip)
   

3. כדי לשייך את BACKEND_POLICY_1 ל-BACKEND_SERVICE_1, משתמשים בפקודה הבאה:

    gcloud compute backend-services update BACKEND_SERVICE_1 \
        --security-policy BACKEND_POLICY_1
   

4. יוצרים מדיניות אבטחה שנייה לקצה העורפי בשם BACKEND_POLICY_2.

5. מוסיפים כלל deny ל-BACKEND_POLICY_2 עם תנאי ההתאמה הבא, שחוסם את כל כתובות ה-IP ב-MALICIOUS_IPS חוץ מ-66.249.77.32/27 ו-66.249.77.64/27:

   evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip, [`66.249.77.32/27`, `66.249.77.64/27`])
   

6. כדי לשייך את BACKEND_POLICY_2 ל-BACKEND_SERVICE_2, משתמשים בפקודה הבאה: מחליפים את ORG_ID במזהה הארגון:

    gcloud compute backend-services update BACKEND_SERVICE_2 \
        --security-policy BACKEND_POLICY_2
   

שימוש בקבוצת כתובות כדי להתאים לכתובות ה-IP של המשתמשים בכל שירותי הקצה העורפי בארגון

זהירות: כשמשתמשים ב-origin.user_ip כארגומנט השני ב-evaluateOrganizationAddressGroup, צריך להגדיר את userIpRequestHeaders[] במדיניות האבטחה. ערך ברירת המחדל של origin.user_ip הוא הערך של origin.ip אם מתקיים אחד מהתנאים הבאים:

• לא מגדירים את האפשרות userIpRequestHeaders[].
• הכותרות שהוגדרו לא קיימות.
• הכותרות שהוגדרו מכילות ערכים לא חוקיים של כתובות IP.

לצורך הדוגמה, נניח שיש לכם קבוצה של כתובות IP שנקראת MALICIOUS_IPS, עם 10,000 כתובות IP שאתם יודעים שהן זדוניות. בנוסף, אתם משתמשים בשרת proxy במעלה הזרם, שכולל בכותרת מידע על כתובת ה-IP של הלקוח המקורי. כדי למנוע מכל כתובות ה-IP האלה לגשת לכל השירותים לקצה העורפי בארגון, אפשר להשתמש בכלל אחד של מדיניות אבטחה deny עם תנאי ההתאמה הבא:

evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.user_ip)

למידע נוסף על כתובות IP, קראו את המאמר מאפיינים.

מידע נוסף על כתובות IP של משתמשים זמין במאמר סקירה כללית על כתובות IP של משתמשים.

המאמרים הבאים

• יצירה וצפייה בכללים של מדיניות אבטחה