Firewall-Endpunkte

Ein Firewall-Endpunkt ist eine Cloud Next Generation Firewall-Ressource (Cloud NGFW), die erweiterte Layer-7-Sicherheitsfunktionen wie den Dienst zur Einbruchserkennung und -prävention, die Advanced Malware Sandbox (WildFire) und den URL-Filterdienst in Ihrem Netzwerk ermöglicht.

Auf dieser Seite erhalten Sie eine detaillierte Übersicht über Firewall-Endpunkte und ihre Funktionen.

Spezifikationen

Dieser Abschnitt enthält eine Zusammenfassung der Firewall-Endpunktattribute. Detaillierte Implementierungsanforderungen und -funktionen finden Sie in den entsprechenden Abschnitten auf dieser Seite.

• Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie auf Organisations- oder Projektebene konfigurieren können.

  • Firewall-Endpunkt auf Organisationsebene: Organisationsadministratoren erstellen und verwalten diese Endpunkte, um die Sicherheit in Ihrer Organisation oder auf Ordnerebene zu zentralisieren.

  • Firewall-Endpunkte auf Projektebene: Projektadministratoren erstellen und verwalten diese Endpunkte innerhalb eines Projekts. Sie können jedes VPC-Netzwerk in der Organisation mit einem Endpunkt auf Projektebene verknüpfen. Erstellen Sie Firewall-Endpunkte auf Projektebene, wenn Sie keine Berechtigungen auf Organisationsebene zum Erstellen von Firewall-Endpunkten auf Organisationsebene erhalten können.

• Firewall-Endpunkte führen eine Layer-7-Firewallprüfung für den abgefangenen Traffic aus. Weitere Informationen finden Sie unter Funktionsweise von Firewall-Endpunkten.

• Der Endpunkt und die Arbeitslasten, für die Sie die Layer-7-Prüfung aktivieren möchten, müssen sich in derselben Zone befinden. Weitere Informationen finden Sie unter Überlegungen zur Bereitstellung.

• Sie können einen Firewall-Endpunkt in einer Zone erstellen und an ein oder mehrere VPC-Netzwerke anhängen, um Arbeitslasten in derselben Zone zu überwachen. Wenn sich Ihr VPC-Netzwerk über mehrere Zonen erstreckt, können Sie in jeder Zone einen Firewall-Endpunkt anhängen. Wenn Sie keinen Firewall-Endpunkt an ein VPC-Netzwerk in einer bestimmten Zone anhängen, wird für den Arbeitslast-Traffic in dieser Zone keine Layer-7-Prüfung durchgeführt.

  Sie verwenden Firewall-Endpunktverknüpfung, um einen Firewall-Endpunkt an ein VPC-Netzwerk anzuhängen.

• Firewall-Endpunkte können bis zu 2 Gbit/s Traffic mit TLS-Prüfung (Transport Layer Security) und 10 Gbit/s Traffic ohne TLS-Prüfung verarbeiten. Übermäßiger Traffic kann den Endpunkt überlasten und zu Paketverlusten führen. Informationen zum Überwachen der Kapazitätsauslastung des Firewall-Endpunkts finden Sie unter firewall_endpoint-Netzwerksicherheitsmesswerte.

  Hinweis: Um eine Überlastung des Endpunkts durch zu viel Traffic zu vermeiden, sollten Sie den Traffic schrittweise erhöhen und gleichzeitig die Kapazitätsauslastung des Endpunkts im Auge behalten.

• Wenn ein Firewall-Endpunkt Traffic prüft, der auf einen regionenübergreifenden internen Application Load Balancer (Vorschau) abzielt, beträgt der maximale Durchsatz 1,6 Gbit/s.

• Da der Endpunkt nicht genehmigte Nachrichten nicht weiterleitet, kann ein überlasteter Endpunkt legitimen Traffic verwerfen, wenn er den Traffic nicht prüfen kann.

• Firewall-Endpunkte können einen maximalen Durchsatz pro Verbindung von 250 Mbit/s für Traffic mit TLS-Prüfung und 1,25 Gbit/s für Traffic ohne TLS-Prüfung haben.

• Sie können einen Firewallendpunkt erstellen,der Jumbo-Frames mit einer Größe von bis zu 8.588 Byte verarbeitet. Alternativ können Sie einen Endpunkt ohne Jumbo-Frame-Unterstützung erstellen. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

• Sie können einen Firewall-Endpunkt nur löschen, wenn ihm keine VPC-Netzwerke zugeordnet sind. Weitere Informationen finden Sie unter Firewall-Endpunktverknüpfungen.

Funktionsweise von Firewall-Endpunkten

Die Cloud NGFW verwendet die Paketerfassungstechnologie von Google Cloud, um Traffic von den Arbeitslasten von Google Cloud in einem VPC-Netzwerk (Virtual Private Cloud) an die Firewall-Endpunkte weiterzuleiten. Packet Intercept ist eine Google Cloud Funktion, mit der Netzwerk-Appliances in den Pfad des ausgewählten Netzwerkverkehrs eingefügt werden, ohne die vorhandenen Routingrichtlinien des Traffics zu ändern.

Die Cloud NGFW leitet den Arbeitslast-Traffic in einem VPC-Netzwerk nur dann an den Firewall-Endpunkt weiter, wenn Sie die Layer-7-Prüfung für diesen Fluss konfigurieren. Cloud NGFW fügt dann jedem Paket, das zur Layer-7-Prüfung an den Firewall-Endpunkt weitergeleitet wird, eine VPC-Netzwerkkennung hinzu. Wenn Sie mehrere VPC-Netzwerke mit sich überschneidenden IP-Adressbereichen haben, sorgt diese Netzwerkkennung dafür, dass jedes weitergeleitete Paket dem richtigen VPC-Netzwerk zugeordnet wird.

Kapazität und Leistung

Firewall-Endpunkte können einen maximalen Durchsatz pro Verbindung von 250 Mbit/s für Traffic mit TLS-Prüfung und 1,25 Gbit/s für Traffic ohne TLS-Prüfung haben. Übermäßiger Traffic kann den Endpunkt überlasten und zu Paketverlusten führen. Da der Endpunkt nicht genehmigte Nachrichten nicht weiterleitet, kann ein überlasteter Endpunkt legitimen Traffic verwerfen, wenn er den Traffic nicht prüfen kann.

Informationen zum Überwachen der Kapazitätsauslastung eines Firewall-Endpunkts finden Sie unter firewall_endpoint-Netzwerksicherheitsmesswerte.

Achtung: Um eine Überlastung des Endpunkts durch übermäßigen Traffic zu vermeiden, sollten Sie den Endpunkt schrittweise skalieren und dabei die Kapazitätsauslastung im Auge behalten.

Unterstützte Paketgröße

Ein Firewall-Endpunkt unterstützt Jumbo Frames entweder oder nicht.

• Ein Firewallendpunkt mit Jumbo-Frame-Unterstützung kann Pakete mit bis zu 8.588 Byte akzeptieren.

  Die Cloud NGFW reserviert zusätzliche 308 Byte für die GENEVE-Kapselung (erforderlich für die Datenprüfung) und für andere Erweiterungen. Daher entspricht die Gesamtpaketgröße von 8.896 Byte der höchsten möglichen maximalen Übertragungseinheit (MTU), die von Google Cloud unterstützt wird.

• Ein Firewallendpunkt ohne Jumbo-Frame-Unterstützung kann Pakete mit einer Größe von bis zu 1.460 Byte akzeptieren.

  Damit die Layer-7-Prüfung erfolgreich durchgeführt werden kann, müssen Sie die mit dem Endpunkt verknüpften VPC-Netzwerke so konfigurieren, dass sie die folgenden MTU-Limits einhalten:

  • Achten Sie bei einem Endpunkt mit Jumbo-Frame-Unterstützung darauf, dass die VPC-Netzwerke eine MTU von maximal 8.588 Byte verwenden.

  • Achten Sie bei einem Endpunkt ohne Unterstützung für Jumbo-Frames darauf, dass die VPC-Netzwerke eine MTU von maximal 1.460 Byte verwenden.

Achtung: Ein Firewall-Endpunkt führt für ein VPC-Netzwerk keine URL-Filterung, Advanced Malware Sandbox oder Intrusion Detection and Prevention aus, wenn das Netzwerk mit einer MTU konfiguriert ist, die über dem Limit des Firewall-Endpunkts liegt.

Sie können einen Firewallendpunkt mit oder ohne Unterstützung für Jumbo Frames erstellen. Sie können jedoch einen vorhandenen Endpunkt nicht neu konfigurieren, um die Unterstützung für Jumbo-Frames hinzuzufügen oder zu entfernen. Wenn Sie die Unterstützung für Jumbo-Frames hinzufügen oder entfernen möchten, löschen Sie den Endpunkt und erstellen Sie ihn neu. Weitere Informationen finden Sie unter Firewall-Endpunkt erstellen.

Überlegungen zur Bereitstellung

Sie verwenden Firewall-Endpunktverknüpfung, um einen Firewall-Endpunkt an ein VPC-Netzwerk anzuhängen. Zum Überwachen von Arbeitslasten können Sie einen Firewall-Endpunkt in einer Zone erstellen und an ein oder mehrere VPC-Netzwerke in derselben Zone anhängen. Wenn sich Ihr VPC-Netzwerk über mehrere Zonen erstreckt, können Sie in jeder Zone einen Firewall-Endpunkt anhängen.

Das Erstellen des Firewall-Endpunkts in derselben Zone wie die Arbeitslasten hat folgende Vorteile:

• Geringere Latenz. Da Firewall-Endpunkte den Traffic abfangen, untersuchen und wieder in das Netzwerk einfügen können, ist die Latenz geringer als bei Firewall-Endpunkten in unterschiedlichen Zonen.
• Kein zonenübergreifender Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, werden die Kosten gesenkt.
• Zuverlässigerer Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, verringern Sie das Risiko von zonenübergreifenden Ausfällen.

Wenn Sie keinen Firewall-Endpunkt an ein VPC-Netzwerk in einer bestimmten Zone anhängen, führt Cloud NGFW keine Layer-7-Prüfung für den Arbeitslast-Traffic für diese Zone durch.

Infrastruktur und Zuverlässigkeit

Wenn Sie einen Firewall-Endpunkt erstellen, stellt Google eine Reihe dedizierter VM-Instanzen bereit. Diese Architektur sorgt für Zuverlässigkeit, Leistung und Sicherheitsisolation für Ihren Traffic sowie für die Zertifikatsverwaltung.

Google bietet Hochverfügbarkeit mithilfe ordnungsgemäßer Failover-Mechanismen für die Firewall-Endpunkte. Diese Mechanismen sorgen für einen zuverlässigen Firewallschutz für alle VM-Instanzen im zugehörigen VPC-Netzwerk.

Firewall-Endpunktverknüpfungen

Die Firewall-Endpunktverknüpfung verknüpft einen Firewall-Endpunkt mit einem VPC-Netzwerk in derselben Zone. Nachdem Sie diese Verknüpfung definiert haben, leitet Cloud NGFW den zonalen Arbeitslast-Traffic in Ihrem VPC-Netzwerk, der eine Layer-7-Prüfung erfordert, an den angehängten Firewall-Endpunkt weiter.

Sie können ein VPC-Netzwerk mit einem Firewall-Endpunkt auf Organisations- oder Projektebene verknüpfen. Beachten Sie beim Verknüpfen eines VPC-Netzwerk Folgendes:

• Projektübergreifende Verknüpfung: Wenn sich der Endpunkt und das VPC-Netzwerk in verschiedenen Projekten befinden, müssen beide Projekte zur selben Organisation gehören.

• Zonales Limit: Verknüpfen Sie ein VPC-Netzwerk mit nur einem Firewall-Endpunkt pro Zone. Dieses Limit umfasst sowohl Endpunkte auf Organisations- als auch auf Projektebene.

Abfangen von Traffic durch Firewall-Endpunkte auf Projektebene

Wenn Sie Traffic mithilfe eines Firewall-Endpunkts auf Projektebene abfangen und prüfen möchten, müssen die folgenden Anforderungen erfüllt sein:

• Ein VPC-Netzwerk in der Zone der VM-Instanz ist mit dem Ziel-Firewall-Endpunkt verknüpft.
• Der Traffic entspricht einer Firewallrichtlinienregel mit der Aktion apply_security_profile_group.
• Die Sicherheitsprofilgruppe befindet sich im selben Projekt wie der Firewall-Endpunkt.

Warnung: Wenn sich der Firewall-Endpunkt und die Sicherheitsprofilgruppe in verschiedenen Projekten befinden, kann die Cloud NGFW den Traffic möglicherweise trotzdem abfangen. Da der Firewall-Endpunkt jedoch nicht mit dieser Sicherheitsprofilgruppe verknüpft ist, wendet Cloud NGFW ein Standardprofil auf den abgefangenen Traffic an.

Firewall-Endpunkt für die erweiterte Malware-Sandbox

Sie können einen Firewall-Endpunkt mit aktivierter Advanced Malware Sandbox erstellen, um den Netzwerkschutz über den einfachen Signaturabgleich hinaus zu erweitern. Während der Dienst zur Einbruchserkennung und -verhinderung nur Malware mit bekannten Signaturen blockieren kann, bietet die Advanced Malware Sandbox nahezu in Echtzeit Updates, um neue, dateibasierte Bedrohungen zu erkennen und zu blockieren.

Wenn Sie die erweiterte Malware-Sandbox beim Erstellen oder Bearbeiten eines Firewall-Endpunkts aktivieren, können Sie im Abschnitt Konfiguration für die erweiterte Malware-Sandbox zusätzliche Einstellungen konfigurieren. Diese zusätzlichen Konfigurationen umfassen Folgendes:

• WildFire-Region: Gibt die geografische Region an, in der der Firewall-Endpunkt unbekannte oder verdächtige Dateien zur Bedrohungsanalyse einreicht. Wenn Sie keine Region angeben, wird der Endpunkt automatisch auf die nächstgelegene verfügbare regionale Advanced Malware Sandbox-Cloud festgelegt, um die Latenz zu minimieren.

• Content Cloud-Region: Gibt die Content Cloud-Region an, die der Endpunkt verwendet. Standardmäßig wird die nächstgelegene verfügbare Region verwendet.

• Zeitlimit für Signatursuche: Die maximale Zeit (in Millisekunden), die die Firewall eine Datei zurückhält, während die Advanced Malware Sandbox-Cloud eine Echtzeitsignatursuche durchführt.

• Aktion bei Zeitüberschreitung der Signatursuche: Definiert die Reaktion der Firewall, wenn die Echtzeit-Signatursuche den konfigurierten Zeitüberschreitungsschwellenwert überschreitet. Sie können die Datei Allow oder Deny. Die Standardaktion ist Allow.

• HTTP-Teilantworten blockieren: Sie können das Fortsetzen blockierter schädlicher HTTP-Dateidownloads verhindern. Die Auswahl dieser Option bietet maximale Sicherheit.

• Maximale Dauer der Inline-Cloud-Analyse: die maximale Zeitüberschreitung (in Sekunden oder Millisekunden, je nach Schnittstelle), die die Firewall eine Datei zurückhält, während sie von der Inline-Cloud-Analyse ausgewertet wird.

• Aktion bei Zeitüberschreitung der Inline-Cloud-Analyse: Definiert die Aktion, die ausgeführt werden soll, wenn die Inline-Cloud-Analyse das Zeitlimit überschreitet. Sie können dies so konfigurieren, dass die Dateiübertragung Allow oder Deny wird. Die Standardaktion ist Allow.

• Logging für Zeitüberschreitung beim Senden aktivieren: Ermöglicht die Loggenerierung für Dateien, bei denen während der Inline-Cloud-Analyse eine Zeitüberschreitung aufgetreten ist.

Weitere Informationen zur erweiterten Malware-Sandbox finden Sie unter Übersicht über die erweiterte Malware-Sandbox.

Informationen zum Erstellen eines Firewall-Endpunkts mit Advanced Malware Sandbox finden Sie unter Firewall-Endpunkte und Endpunktverknüpfungen erstellen.

IAM-Rollen

IAM-Rollen (Identity and Access Management) steuern die folgenden Firewall-Endpunktaktionen:

• Firewall-Endpunkt in einer Organisation oder einem Projekt erstellen
• Firewall-Endpunkt in einer Organisation oder einem Projekt ändern oder löschen
• Details eines Firewall-Endpunkts in einer Organisation oder einem Projekt ansehen
• Alle in einer Organisation oder einem Projekt konfigurierten Firewall-Endpunkte ansehen

In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.

Funktion	Erforderliche Rolle
Firewall-Endpunkt erstellen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin), gewährt auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene
Firewall-Endpunkt ändern	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin), gewährt auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene
Firewall-Endpunkt löschen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin), gewährt auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene
Details zum Firewall-Endpunkt ansehen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin), gewährt auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene Compute-Netzwerknutzer (roles/compute.networkUser) Compute-Netzwerkbetrachter (roles/compute.networkViewer)
Alle Firewall-Endpunkte ansehen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin), gewährt auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte auf Projektebene Compute-Netzwerknutzer (roles/compute.networkUser) Compute-Netzwerkbetrachter (roles/compute.networkViewer)

IAM-Rollen regeln die folgenden Aktionen für Firewall-Endpunktverknüpfungen:

• Firewall-Endpunktverknüpfung in einem Projekt erstellen
• Firewall-Endpunktverknüpfung ändern oder löschen
• Details einer Firewall-Endpunktverknüpfung ansehen
• Alle in einem Projekt konfigurierten Firewall-Endpunktverknüpfungen ansehen

In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.

Funktion	Erforderliche Rolle
Firewall-Endpunktverknüpfung erstellen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene Compute-Netzwerknutzer (roles/compute.networkUser)
Firewall-Endpunktverknüpfung ändern	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene
Firewall-Endpunktverknüpfung löschen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene
Details zur Firewall-Endpunktverknüpfung in einem Projekt ansehen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene Compute-Netzwerknutzer (roles/compute.networkUser) Compute-Netzwerkbetrachter (roles/compute.networkViewer)
Alle Firewall-Endpunktverknüpfungen in einem Projekt ansehen	Eine der folgenden Rollen: Compute-Netzwerkadministrator (roles/compute.networkAdmin) Compute-Netzwerknutzer (roles/compute.networkUser) Compute-Netzwerkbetrachter (roles/compute.networkViewer) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und auf Projekt- oder Organisationsebene für Firewall-Endpunkte.

Kontingente

Informationen zu Kontingenten für Firewall-Endpunkte finden Sie unter Kontingente und Limits.

Nächste Schritte

• URL-Filterdienst konfigurieren
• Dienst zur Einbruchserkennung und -vermeidung konfigurieren
• Advanced Malware Sandbox-Dienst konfigurieren
• Firewall-Endpunkte und Endpunktverknüpfungen erstellen