防火墙端点是一种 Cloud Next Generation Firewall 资源，可在网络中启用第 7 层高级保护功能，例如入侵检测和防御服务和 网址 过滤服务。
本页面详细介绍防火墙端点及其功能。
规格
本部分简要介绍了防火墙端点属性。如需详细了解实现要求和功能，请参阅本页面上的相应部分。
防火墙端点是一种可用区级资源，您可以在组织级层或项目级层对其进行配置。
组织级防火墙端点：组织管理员创建和管理这些端点，以集中管理组织或文件夹级层的安全性。
项目级防火墙端点：项目管理员可以在项目中创建和管理这些端点。您可以将组织中的任何 VPC 网络与项目级端点相关联。如果您无法获得组织级权限来创建组织级防火墙端点，请创建项目级防火墙端点。
防火墙端点会对拦截的流量执行第 7 层防火墙检查。如需了解详情，请参阅防火墙端点的工作原理。
要启用第 7 层检查的端点和工作负载必须位于同一可用区。如需了解详情，请参阅部署注意事项。
您可以在某个可用区中创建防火墙端点，并将其关联到一个或多个 VPC 网络，以监控同一可用区中的工作负载。如果您的 VPC 网络跨多个可用区，您可以在每个可用区中关联一个防火墙端点。如果您未将防火墙端点关联到特定可用区中的 VPC 网络，则不会对该可用区的工作负载流量执行第 7 层检查。
您可以使用防火墙端点关联将防火墙端点关联到 VPC 网络。
要启用第 7 层检查的端点和工作负载必须位于同一可用区。如需了解详情，请参阅部署注意事项。
防火墙端点通过传输层安全协议 (TLS) 检查可以处理高达 2 Gbps 的流量，不通过 TLS 检查可以处理高达 10 Gbps 的流量。过多的流量可能会使端点过载，并导致数据包丢失。 如需监控防火墙端点的容量利用率，请参阅
firewall_endpoint网络安全指标。由于端点不会转发未经批准的消息，因此如果端点无法检查流量，过载的端点可能会丢弃合法流量。
防火墙端点在进行 TLS 检查时，每个连接的吞吐量上限为 250 Mbps；在不进行 TLS 检查时，每个连接的吞吐量上限为 1.25 Gbps。
您可以创建处理大小不超过 8,588 字节的巨型帧的防火墙端点。或者，您也可以创建不支持巨型帧的端点。如需了解详情，请参阅支持的数据包大小。
仅当没有 VPC 网络与防火墙端点关联时，您才能删除该防火墙端点。如需了解详情，请参阅防火墙端点关联。
项目级防火墙端点支持客户管理的加密密钥 (CMEK)。您可以使用 CMEK 通过自己的加密密钥来保护防火墙基础架构中的静态数据。如需了解详情，请参阅客户管理的加密密钥。
防火墙端点的工作原理
Cloud NGFW 使用 Google Cloud的数据包拦截技术将来自 Virtual Private Cloud (VPC) 网络中 Google Cloud 工作负载的流量重定向到防火墙端点。数据包拦截是一项 Google Cloud 功能，可将网络设备插入所选网络流量的路径，而无需修改流量的现有路由政策。
仅当您为此流量配置第 7 层检查时，Cloud NGFW 才会将 VPC 网络中的工作负载流量重定向到防火墙端点。然后，Cloud NGFW 会为重定向到防火墙端点进行第 7 层检查的每个数据包添加 VPC 网络标识符。如果您有多个 VPC 网络且其 IP 地址范围有重叠，此网络标识符有助于确保每个重定向的数据包都与其 VPC 网络正确关联。
容量和性能
防火墙端点在进行 TLS 检查时，每个连接的吞吐量上限为 250 Mbps；在不进行 TLS 检查时，每个连接的吞吐量上限为 1.25 Gbps。过多的流量可能会使端点过载，并导致数据包丢失。由于端点不会转发未经批准的消息，因此过载的端点如果无法检查流量，可能会丢弃合法流量。
如需监控防火墙端点的容量利用率，请参阅firewall_endpoint 网络安全指标。
支持的数据包大小
防火墙端点要么支持巨型帧，要么不支持。
支持巨型帧的防火墙端点可以接受最大为 8,588 字节的数据包。
Cloud NGFW 会预留额外的 308 字节用于 GENEVE 封装（数据检查需要）和其他扩展。因此，8,896 字节的总数据包大小与 Google Cloud 支持的最高可能最大传输单元 (MTU) 相匹配。
不支持巨型帧的防火墙端点可以接受最大为 1,460 字节的数据包。
如需成功执行第 7 层检查，请配置与端点关联的 VPC 网络，使其遵循以下 MTU 限制：
对于支持巨型帧的端点，请确保 VPC 网络使用的 MTU 不超过 8,588 字节。
对于不支持巨型帧的端点，请确保 VPC 网络使用的 MTU 不超过 1,460 字节。
您可以创建支持或不支持巨型帧的防火墙端点。不过，您无法重新配置现有端点来添加或移除巨型帧支持。如需添加或移除巨型帧支持，请删除端点并重新创建。如需了解详情，请参阅创建防火墙端点。
部署考虑事项
您可以使用防火墙端点关联将防火墙端点关联到 VPC 网络。如需监控工作负载，您可以在某个可用区中创建防火墙端点，并将其关联到同一可用区中的一个或多个 VPC 网络。如果您的 VPC 网络跨多个可用区，您可以在每个可用区中关联一个防火墙端点。
在工作负载所在的可用区中创建防火墙端点有以下好处：
- 低延迟。由于防火墙端点可以拦截、检查流量并将流量重新注入回网络，因此延迟时间会低于在不同可用区中的防火墙端点。
- 无跨可用区流量。使流量在同一可用区流动可确保降低费用。
- 更可靠的流量。使流量在同一可用区流动可以消除跨可用区服务中断的风险。
如果您未将防火墙端点关联到特定可用区中的 VPC 网络，Cloud NGFW 就不会对该可用区的工作负载流量执行第 7 层检查。
基础架构和可靠性
创建防火墙端点时，Google 会提供一组专用虚拟机 (VM) 实例。此架构可确保流量的可靠性、性能和安全隔离，同时还提供证书管理。
Google 通过为防火墙端点采用适当的故障切换机制来提供高可用性。这些机制可确保关联 VPC 网络中的所有虚拟机实例都获得可靠的防火墙保护。
防火墙端点关联
防火墙端点关联可将防火墙端点与同一可用区中的 VPC 网络相关联。定义此关联后，Cloud NGFW 会将 VPC 网络中需要第 7 层检查的可用区级工作负载流量转发到关联的防火墙端点。
您可以将 VPC 网络与组织级或项目级防火墙端点相关联。如需关联 VPC 网络，请考虑以下事项：
跨项目关联：如果端点和 VPC 网络位于不同的项目中，则这两个项目必须属于同一组织。
可用区级限制：每个可用区只能将一个 VPC 网络与一个防火墙端点相关联。此限制包括组织级端点和项目级端点。
项目级防火墙端点的流量拦截
如需使用项目级防火墙端点拦截和检查流量，请确保满足以下要求：
- 虚拟机实例所在可用区中的 VPC 网络与目标防火墙端点相关联。
- 流量与具有
apply_security_profile_group操作的防火墙政策规则匹配。 - 安全配置文件组与防火墙端点位于同一项目中。
IAM 角色
Identity and Access Management (IAM) 角色控制以下防火墙端点操作：
- 在组织或项目中创建防火墙端点
- 在组织或项目中修改或删除防火墙端点
- 查看组织或项目中的防火墙端点的详细信息
- 查看在组织或项目中配置的所有防火墙端点
下表介绍了每个步骤所需的角色。
| 特性 | 必要角色 |
|---|---|
| 创建防火墙端点 | 以下任意角色：
|
| 修改防火墙端点 | 以下任意角色：
|
| 删除防火墙端点 | 以下任意角色：
|
| 查看防火墙端点的详细信息 | 以下任意角色：
|
| 查看所有防火墙端点 | 以下任意角色：
|
IAM 角色控制以下防火墙端点关联操作：
- 在项目中创建防火墙端点关联
- 修改或删除防火墙端点关联
- 查看防火墙端点关联的详细信息
- 查看在项目中配置的所有防火墙端点关联
下表介绍了每个步骤所需的角色。
| 特性 | 必要角色 |
|---|---|
| 创建防火墙端点关联 | 以下任意角色：
|
| 修改防火墙端点关联 | 以下任意角色：
|
| 删除防火墙端点关联 | 以下任意角色：
|
| 查看项目中防火墙端点关联的详细信息 | 以下任意角色：
|
| 查看项目中的所有防火墙端点关联。 | 以下任意角色：
|
配额
如需查看与防火墙端点关联的配额，请参阅配额和限制。