Ringkasan endpoint firewall

Endpoint firewall adalah resource Cloud Next Generation Firewall (Cloud NGFW) yang memungkinkan kemampuan perlindungan lanjutan Lapisan 7, seperti layanan deteksi dan pencegahan penyusupan, Sandbox malware lanjutan (WildFire), dan layanan pemfilteran URL di jaringan Anda.

Halaman ini memberikan ringkasan mendetail tentang endpoint firewall dan kemampuannya.

Spesifikasi

Bagian ini memberikan ringkasan properti endpoint firewall. Untuk mengetahui persyaratan dan kemampuan penerapan yang mendetail, lihat bagian yang sesuai di halaman ini.

• Endpoint firewall adalah resource zona yang dapat Anda konfigurasi di tingkat organisasi atau tingkat project.

  • Endpoint firewall tingkat organisasi: administrator organisasi membuat dan mengelola endpoint ini untuk memusatkan keamanan di seluruh organisasi Anda atau di tingkat folder.

  • Endpoint firewall level project: administrator project membuat dan mengelola endpoint ini dalam project. Anda dapat mengaitkan jaringan VPC apa pun dalam organisasi dengan endpoint level project. Buat endpoint firewall level project jika Anda tidak bisa mendapatkan izin level organisasi untuk membuat endpoint firewall level organisasi.

• Endpoint firewall melakukan pemeriksaan firewall Lapisan 7 pada traffic yang disadap. Untuk mengetahui informasi selengkapnya, lihat Cara kerja endpoint firewall.

• Endpoint dan workload yang ingin Anda aktifkan pemeriksaan Lapisan 7-nya harus berada di zona yang sama. Untuk mengetahui informasi selengkapnya, lihat Pertimbangan deployment.

• Anda dapat membuat endpoint firewall di suatu zona dan memasangnya ke satu atau beberapa jaringan VPC untuk memantau workload di zona yang sama. Jika jaringan VPC Anda mencakup beberapa zona, Anda dapat memasang satu endpoint firewall di setiap zona. Jika Anda tidak memasang endpoint firewall ke jaringan VPC di zona tertentu, tidak ada pemeriksaan Lapisan 7 yang dilakukan pada traffic workload untuk zona tersebut.

  Anda menggunakan pengaitan endpoint firewall untuk memasang endpoint firewall ke jaringan VPC.

• Endpoint firewall dapat memproses traffic hingga 2 Gbps dengan pemeriksaan Transport Layer Security (TLS), dan traffic 10 Gbps tanpa pemeriksaan TLS. Traffic yang berlebihan dapat membebani endpoint dan menyebabkan paket hilang. Untuk memantau pemakaian kapasitas endpoint firewall, lihat Metrik keamanan jaringan firewall_endpoint.

  Catatan: Untuk menghindari kelebihan beban endpoint karena traffic yang berlebihan, tingkatkan traffic secara bertahap sambil memantau pemanfaatan kapasitas endpoint.

• Saat endpoint firewall memeriksa traffic yang menargetkan Load Balancer Aplikasi internal lintas region (Pratinjau), throughput maksimumnya adalah 1,6 Gbps.

• Karena endpoint tidak meneruskan pesan yang tidak disetujui, endpoint yang kelebihan beban mungkin akan menghapus traffic yang sah jika tidak dapat memeriksa traffic tersebut.

• Endpoint firewall dapat memiliki throughput maksimum per koneksi sebesar 250 Mbps traffic dengan pemeriksaan TLS dan 1,25 Gbps traffic tanpa pemeriksaan TLS.

• Anda dapat membuat endpoint firewall yang memproses jumbo frame berukuran hingga 8.588 byte. Atau, Anda dapat membuat endpoint tanpa dukungan jumbo frame. Untuk mengetahui informasi selengkapnya, lihat Ukuran paket yang didukung.

• Anda hanya dapat menghapus endpoint firewall jika tidak ada jaringan VPC yang terkait dengannya. Untuk mengetahui informasi selengkapnya, lihat Pengaitan endpoint firewall.

Cara kerja endpoint firewall

Cloud NGFW menggunakan teknologi packet intercept Google Clouduntuk mengalihkan traffic dari workload Google Cloud di jaringan Virtual Private Cloud (VPC) ke endpoint firewall. Packet intercept adalah kemampuan Google Cloud yang menyisipkan peralatan jaringan di jalur traffic jaringan yang dipilih tanpa mengubah kebijakan perutean traffic yang ada.

Cloud NGFW mengalihkan traffic workload di jaringan VPC ke endpoint firewall hanya jika Anda mengonfigurasi pemeriksaan Lapisan 7 untuk alur ini. Cloud NGFW kemudian menambahkan ID jaringan VPC ke setiap paket yang dialihkan ke endpoint firewall untuk pemeriksaan Lapisan 7. Jika Anda memiliki beberapa jaringan VPC dengan rentang alamat IP yang tumpang-tindih, ID jaringan ini membantu memastikan bahwa setiap paket yang dialihkan dikaitkan dengan benar ke jaringan VPC-nya.

Kapasitas dan performa

Endpoint firewall dapat memiliki throughput maksimum per koneksi sebesar 250 Mbps traffic dengan pemeriksaan TLS dan traffic 1,25 Gbps tanpa pemeriksaan TLS. Traffic yang berlebihan dapat membebani endpoint dan menyebabkan paket hilang. Karena endpoint tidak meneruskan pesan yang tidak disetujui, endpoint yang kelebihan beban mungkin akan menghapus traffic yang sah jika tidak dapat memeriksa traffic tersebut.

Untuk memantau pemakaian kapasitas endpoint firewall, lihat metrik keamanan jaringan firewall_endpoint.

Perhatian: Untuk menghindari kelebihan beban endpoint akibat traffic yang berlebihan, skalakan endpoint secara bertahap sambil memantau pemanfaatan kapasitasnya.

Ukuran paket yang didukung

Endpoint firewall mendukung atau tidak mendukung jumbo frame.

• Endpoint firewall dengan dukungan jumbo frame dapat menerima paket hingga 8.588 byte.

  Cloud NGFW mencadangkan 308 byte tambahan untuk enkapsulasi GENEVE (diperlukan untuk pemeriksaan data) dan untuk ekstensi lainnya. Oleh karena itu, total ukuran paket sebesar 8.896 byte cocok dengan unit transmisi maksimum (MTU) tertinggi yang didukung Google Cloud .

• Endpoint firewall tanpa dukungan jumbo frame dapat menerima paket hingga 1.460 byte.

  Agar berhasil melakukan pemeriksaan Lapisan 7, konfigurasikan jaringan VPC yang terkait dengan endpoint untuk mengikuti batas MTU berikut:

  • Untuk endpoint dengan dukungan jumbo frame, pastikan jaringan VPC menggunakan MTU 8.588 byte atau kurang.

  • Untuk endpoint tanpa dukungan frame jumbo, pastikan jaringan VPC menggunakan MTU 1.460 byte atau kurang.

Perhatian: Endpoint firewall tidak menjalankan layanan pemfilteran URL, Sandbox malware lanjutan, atau layanan deteksi penyusupan dan pencegahan untuk jaringan VPC jika jaringan dikonfigurasi dengan MTU yang lebih besar dari batas endpoint firewall.

Anda dapat membuat endpoint firewall dengan atau tanpa dukungan jumbo frame. Namun, Anda tidak dapat mengonfigurasi ulang endpoint yang ada untuk menambahkan atau menghapus dukungan jumbo frame. Untuk menambahkan atau menghapus dukungan jumbo frame, hapus endpoint dan buat ulang. Untuk mengetahui informasi selengkapnya, lihat Membuat endpoint firewall.

Pertimbangan deployment

Anda menggunakan pengaitan endpoint firewall untuk memasang endpoint firewall ke jaringan VPC. Untuk memantau workload, Anda dapat membuat endpoint firewall di suatu zona dan memasangnya ke satu atau beberapa jaringan VPC di zona yang sama. Jika jaringan VPC Anda mencakup beberapa zona, Anda dapat memasang satu endpoint firewall di setiap zona.

Membuat endpoint firewall di zona yang sama dengan workload memberikan manfaat berikut:

• Latensi yang lebih rendah. Karena endpoint firewall dapat mencegat, memeriksa, dan memasukkan kembali traffic ke jaringan, latensinya lebih rendah daripada endpoint firewall di zona yang berbeda.
• Tidak ada traffic lintas zona. Mempertahankan traffic dalam zona yang sama akan memastikan biaya yang lebih rendah.
• Traffic yang lebih andal. Menjaga traffic tetap berada dalam zona yang sama akan menghilangkan risiko pemadaman layanan lintas zona.

Jika Anda tidak memasang endpoint firewall ke jaringan VPC di zona tertentu, Cloud NGFW tidak akan melakukan pemeriksaan Lapisan 7 pada traffic workload untuk zona tersebut.

Infrastruktur dan keandalan

Saat Anda membuat endpoint firewall, Google menyediakan serangkaian instance virtual machine (VM) khusus. Arsitektur ini memastikan keandalan, performa, dan isolasi keamanan untuk traffic Anda, serta pengelolaan sertifikat.

Google menyediakan ketersediaan tinggi dengan menggunakan mekanisme failover yang tepat untuk endpoint firewall. Mekanisme ini memastikan perlindungan firewall yang andal untuk semua instance VM di jaringan VPC terkait.

Pengaitan endpoint firewall

Pengaitan endpoint firewall menautkan endpoint firewall ke jaringan VPC di zona yang sama. Setelah Anda menentukan pengaitan ini, Cloud NGFW akan meneruskan traffic workload zona di jaringan VPC Anda yang memerlukan pemeriksaan Lapisan 7 ke endpoint firewall yang terpasang.

Anda dapat mengaitkan jaringan VPC dengan endpoint firewall level organisasi atau level project. Untuk mengaitkan jaringan VPC, pertimbangkan hal berikut:

• Pengaitan lintas project: jika endpoint dan jaringan VPC berada dalam project yang berbeda, kedua project harus termasuk dalam organisasi yang sama.

• Batas zona: mengaitkan jaringan VPC dengan hanya satu endpoint firewall per zona. Batas ini mencakup endpoint tingkat organisasi dan tingkat project.

Intersepsi traffic oleh endpoint firewall level project

Untuk mengintersepsi dan memeriksa traffic menggunakan endpoint firewall level project, pastikan persyaratan berikut terpenuhi:

• Jaringan VPC di zona instance VM dikaitkan dengan endpoint firewall target.
• Traffic cocok dengan aturan kebijakan firewall dengan tindakan apply_security_profile_group.
• Grup profil keamanan berada dalam project yang sama dengan endpoint firewall.

Peringatan: Jika endpoint firewall dan grup profil keamanan berada di project yang berbeda, Cloud NGFW mungkin masih mencegat traffic. Namun, karena endpoint firewall tidak terkait dengan grup profil keamanan tersebut, Cloud NGFW menerapkan profil default ke traffic yang disadap.

Endpoint firewall untuk Sandbox malware lanjutan

Anda dapat membuat endpoint firewall dengan Sandbox malware lanjutan yang diaktifkan untuk memperluas perlindungan jaringan di luar pencocokan signature dasar. Meskipun layanan deteksi penyusupan dan pencegahan hanya dapat memblokir malware dengan signature yang diketahui, Sandbox malware lanjutan menambahkan update hampir real-time untuk mengenali dan memblokir ancaman baru berbasis file.

Saat mengaktifkan Sandbox malware lanjutan saat membuat atau mengedit endpoint firewall, Anda dapat mengonfigurasi setelan tambahan di bagian Advanced malware sandbox configuration. Konfigurasi tambahan ini mencakup:

• Region WildFire: menentukan wilayah geografis tempat endpoint firewall mengirimkan file yang tidak diketahui atau mencurigakan untuk analisis ancaman. Jika Anda tidak menentukan region, endpoint akan otomatis ditetapkan secara default ke cloud Sandbox malware lanjutan regional terdekat yang tersedia berdasarkan lokasinya untuk meminimalkan latensi.

• Region cloud konten: menentukan region cloud konten yang akan digunakan endpoint. Setelan defaultnya adalah region terdekat yang tersedia.

• Waktu tunggu pencarian tanda tangan: jumlah waktu maksimum (dalam milidetik) firewall menyimpan file saat cloud Sandbox malware lanjutan melakukan pencarian tanda tangan real-time.

• Signature lookup timeout action: menentukan respons firewall jika pencarian signature real-time melebihi batas waktu tunggu yang dikonfigurasi. Anda dapat memilih untuk Allow atau Deny file. Tindakan defaultnya adalah Allow.

• Blokir respons sebagian HTTP: memungkinkan Anda memblokir kelanjutan download file HTTP berbahaya yang diblokir. Memilih opsi ini memberikan keamanan maksimum.

• Durasi maksimum analisis cloud inline: waktu tunggu maksimum (dalam detik atau milidetik, bergantung pada antarmuka) firewall menyimpan file saat analisis cloud inline mengevaluasinya.

• Tindakan waktu tunggu analisis cloud inline: menentukan tindakan yang harus diambil jika proses analisis cloud inline kehabisan waktu. Anda dapat mengonfigurasi ini untuk Allow atau Deny transfer file. Tindakan defaultnya adalah Allow.

• Mengaktifkan logging waktu tunggu pengiriman: memungkinkan Anda mengaktifkan pembuatan log untuk file yang waktu tunggunya habis selama analisis cloud inline.

Untuk mempelajari Sandbox malware lanjutan, lihat Ringkasan sandbox malware lanjutan.

Untuk membuat endpoint firewall dengan Sandbox malware lanjutan, lihat Membuat endpoint firewall dan pengaitan endpoint.

Peran IAM

Peran Identity and Access Management (IAM) mengatur tindakan endpoint firewall berikut:

• Membuat endpoint firewall di organisasi atau project
• Mengubah atau menghapus endpoint firewall di organisasi atau project
• Melihat detail endpoint firewall di organisasi atau project
• Melihat semua endpoint firewall yang dikonfigurasi dalam organisasi atau project

Tabel berikut menjelaskan peran yang diperlukan untuk setiap langkah.

Kemampuan	Peran yang diperlukan
Membuat endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project
Mengubah endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project
Menghapus endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project
Melihat detail tentang endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project Compute Network User (roles/compute.networkUser) Compute Network Viewer (roles/compute.networkViewer)
Melihat semua endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project Compute Network User (roles/compute.networkUser) Compute Network Viewer (roles/compute.networkViewer)

Peran IAM mengatur tindakan pengaitan endpoint firewall berikut:

• Membuat pengaitan endpoint firewall dalam project
• Mengubah atau menghapus pengaitan endpoint firewall
• Melihat detail pengaitan endpoint firewall
• Melihat semua pengaitan endpoint firewall yang dikonfigurasi dalam project

Tabel berikut menjelaskan peran yang diperlukan untuk setiap langkah.

Kemampuan	Peran yang diperlukan
Membuat pengaitan endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk pengaitan endpoint firewall level organisasi, dan di level project atau level organisasi untuk pengaitan endpoint firewall level project Compute Network User (roles/compute.networkUser)
Mengubah pengaitan endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk pengaitan endpoint firewall level organisasi, dan di level project atau level organisasi untuk pengaitan endpoint firewall level project
Menghapus pengaitan endpoint firewall	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk pengaitan endpoint firewall level organisasi, dan di level project atau level organisasi untuk pengaitan endpoint firewall level project
Melihat detail tentang pengaitan endpoint firewall dalam project	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) yang diberikan di level organisasi untuk pengaitan endpoint firewall level organisasi, dan di level project atau level organisasi untuk pengaitan endpoint firewall level project Compute Network User (roles/compute.networkUser) Compute Network Viewer (roles/compute.networkViewer)
Melihat semua pengaitan endpoint firewall dalam sebuah project.	Salah satu peran berikut: Compute Network Admin (roles/compute.networkAdmin) Compute Network User (roles/compute.networkUser) Compute Network Viewer (roles/compute.networkViewer) Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) di level organisasi untuk endpoint firewall level organisasi, dan di level project atau organisasi untuk endpoint firewall.

Kuota

Untuk melihat kuota yang terkait dengan endpoint firewall, lihat Kuota dan batas.

Langkah berikutnya

• Mengonfigurasi layanan pemfilteran URL
• Mengonfigurasi layanan deteksi dan pencegahan penyusupan
• Mengonfigurasi layanan Sandbox malware lanjutan
• Membuat endpoint firewall dan pengaitan endpoint