Um endpoint de firewall é um recurso do Cloud Next Generation Firewall (Cloud NGFW) que ativa recursos de proteção avançada da camada 7, como o serviço de detecção e prevenção de intrusões, o sandbox de malware avançado (WildFire) e o serviço de filtragem de URL na sua rede.
Nesta página, você encontra informações detalhadas dos endpoints de firewall e dos recursos deles.
Especificações
Nesta seção, apresentamos um resumo das propriedades do endpoint de firewall. Para ver os requisitos e recursos de implementação detalhados, consulte as seções correspondentes nesta página.
Um endpoint de firewall é um recurso zonal que pode ser configurado no nível da organização ou do projeto.
Endpoint de firewall no nível da organização: os administradores da organização criam e gerenciam esses endpoints para centralizar a segurança em toda a organização ou no nível da pasta.
Endpoints de firewall para envolvidos no projeto: os administradores do projeto criam e gerenciam esses endpoints em um projeto. É possível associar qualquer rede VPC na organização a um endpoint no nível do projeto. Crie endpoints de firewall para envolvidos no projeto se não for possível receber permissões no nível da organização para criar endpoints de firewall no nível da organização.
Os endpoints de firewall executam uma inspeção de firewall da camada 7 no tráfego interceptado. Para mais informações, consulte Como funcionam os endpoints de firewall.
O endpoint e as cargas de trabalho em que você quer ativar a inspeção da camada 7 precisam estar na mesma zona. Para mais informações, consulte Considerações sobre implantação.
É possível criar um endpoint de firewall em uma zona e anexá-lo a uma ou mais redes VPC para monitorar cargas de trabalho na mesma zona. Se a rede VPC abrange várias zonas, é possível anexar um endpoint de firewall em cada zona. Se você não anexar um endpoint de firewall a uma rede VPC em uma zona específica, nenhuma inspeção da camada 7 será executada no tráfego de carga de trabalho dessa zona.
Use a associação de endpoints de firewall para anexar um endpoint de firewall a uma rede VPC.
Os endpoints do firewall podem processar até 2 Gbps de tráfego com a inspeção Transport Layer Security (TLS) e 10 Gbps de tráfego sem inspeção TLS. O tráfego excessivo pode sobrecarregar o endpoint e causar perdas de pacotes. Para monitorar a utilização da capacidade do endpoint de firewall, consulte Métricas de segurança de rede do
firewall_endpoint.Quando um endpoint de firewall inspeciona o tráfego destinado a um balanceador de carga de aplicativo interno entre regiões (pré-lançamento), a capacidade máxima é de 1,6 Gbps.
Como o endpoint não encaminha mensagens não aprovadas, um endpoint sobrecarregado pode descartar o tráfego legítimo se não puder inspecioná-lo.
Os endpoints de firewall podem ter uma capacidade máxima por conexão de 250 Mbps de tráfego com inspeção TLS e 1,25 Gbps de tráfego sem inspeção TLS.
É possível criar um endpoint de firewall que processe frames jumbo de até 8.588 bytes. Como alternativa, é possível criar um endpoint sem suporte a jumbo frames. Para mais informações, consulte Tamanho de pacote compatível.
Só é possível excluir um endpoint de firewall quando não há redes VPC associadas a ele. Para mais informações, consulte Associações de endpoints de firewall.
Como funcionam os endpoints de firewall
O Cloud NGFW usa a tecnologia de interceptação de pacotes do Google Cloud para redirecionar o tráfego das cargas de trabalho do Google Cloud em uma rede de nuvem privada virtual (VPC) para os endpoints de firewall. A interceptação de pacotes é um recurso do Google Cloud que insere dispositivos de rede no caminho do tráfego de rede selecionado sem modificar as políticas de roteamento atuais do tráfego.
O Cloud NGFW redirecionará o tráfego da carga de trabalho em uma rede VPC para o endpoint do firewall somente se você configurar a inspeção da camada 7 para esse fluxo. Em seguida, o Cloud NGFW adiciona um identificador de rede VPC a cada pacote redirecionado ao endpoint do firewall para inspeção da camada 7. Se você tiver várias redes VPC com intervalos de endereços IP sobrepostos, esse identificador de rede ajudará a garantir que cada pacote redirecionado esteja corretamente associado à respectiva rede VPC.
Capacidade e desempenho
Os endpoints de firewall podem ter uma capacidade máxima por conexão de 250 Mbps de tráfego com inspeção TLS e 1,25 Gbps de tráfego sem inspeção TLS. O tráfego excessivo pode sobrecarregar o endpoint e causar perdas de pacotes. Como o endpoint não encaminha mensagens não aprovadas, um endpoint sobrecarregado pode descartar o tráfego legítimo se não puder inspecioná-lo.
Para monitorar a utilização da capacidade de um endpoint de firewall,
consulte Métricas de segurança de rede do firewall_endpoint.
Tamanho de pacote compatível
Um endpoint de firewall pode ou não ser compatível com frames jumbo.
Um endpoint de firewall com suporte a frames jumbo pode aceitar pacotes de até 8.588 bytes.
O Cloud NGFW reserva mais 308 bytes para o encapsulamento GENEVE (necessário para inspeção de dados) e para outras extensões. Portanto, o tamanho total do pacote de 8.896 bytes corresponde à maior unidade máxima de transmissão (MTU) possível que o Google Cloud aceita.
Um endpoint de firewall sem suporte a frames jumbo pode aceitar pacotes de até 1.460 bytes.
Para realizar a inspeção da camada 7, configure as redes VPC associadas ao endpoint para seguir estes limites de MTU:
Para um endpoint com suporte a frames jumbo, verifique se as redes VPC usam uma MTU de 8.588 bytes ou menos.
Para um endpoint sem suporte a frames jumbo, verifique se as redes VPC usam uma MTU de 1.460 bytes ou menos.
É possível criar um endpoint de firewall com ou sem suporte a frames jumbo. No entanto, não é possível reconfigurar um endpoint para adicionar ou remover o suporte a frames jumbo. Para adicionar ou remover o suporte a frames jumbo, exclua o endpoint e recrie-o. Para mais informações, consulte Criar um endpoint de firewall.
Considerações sobre implantação
Use a associação de endpoints de firewall para anexar um endpoint de firewall a uma rede VPC. Para monitorar cargas de trabalho, é possível criar um endpoint de firewall em uma zona e anexá-lo a uma ou mais redes VPC na mesma zona. Se a rede VPC abrange várias zonas, é possível anexar um endpoint de firewall em cada zona.
A criação do endpoint de firewall na mesma zona das cargas de trabalho tem os seguintes benefícios:
- Latência menor. Como os endpoints de firewall podem interceptar, inspecionar e reinjetar o tráfego na rede, a latência é menor do que a de endpoints de firewall em zonas diferentes.
- Sem tráfego entre zonas. Manter o tráfego dentro da mesma zona garante custos menores.
- Tráfego mais confiável. Manter o tráfego dentro da mesma zona remove o risco de interrupções entre zonas.
Se você não anexar um endpoint de firewall a uma rede VPC em uma zona específica, o Cloud NGFW não vai realizar a inspeção da camada 7 no tráfego de carga de trabalho dessa zona.
Infraestrutura e confiabilidade
Quando você cria um endpoint de firewall, o Google fornece um conjunto de instâncias de máquina virtual (VM) dedicadas. Essa arquitetura garante confiabilidade, desempenho e isolamento de segurança para seu tráfego, além do gerenciamento de certificados.
O Google oferece alta disponibilidade usando mecanismos de failover apropriados para os endpoints de firewall. Esses mecanismos garantem uma proteção de firewall confiável para todas as instâncias de VM na rede VPC associada.
Associações de endpoint de firewall
A associação de endpoints de firewall vincula um endpoint de firewall a uma rede VPC na mesma zona. Depois que você define essa associação, o Cloud Firewall encaminha o tráfego da carga de trabalho zonal em sua rede VPC que requer a inspeção da camada 7 para o endpoint do firewall anexado.
É possível associar uma rede VPC a um endpoint de firewall no nível da organização ou do projeto. Para associar uma rede VPC, considere o seguinte:
Associação entre projetos: se o endpoint e a rede VPC estiverem em projetos diferentes, ambos precisarão pertencer à mesma organização.
Limite zonal: associe uma rede VPC a apenas um endpoint de firewall por zona. Esse limite inclui endpoints no nível da organização e do projeto.
Interceptação de tráfego por endpoints de firewall no nível do projeto
Para interceptar e inspecionar o tráfego usando um endpoint de firewall para envolvidos no projeto, verifique se os seguintes requisitos foram atendidos:
- Uma rede VPC na zona da instância de VM está associada ao endpoint de firewall de destino.
- O tráfego corresponde a uma regra de política de firewall com a ação
apply_security_profile_group. - O grupo de perfis de segurança existe no mesmo projeto que o endpoint de firewall.
Endpoint de firewall para sandbox de malware avançado
É possível criar um endpoint de firewall com o sandbox de malware avançado ativado para estender a proteção da rede além da correspondência de assinatura básica. Embora o serviço de detecção e prevenção de intrusões só possa bloquear malware com assinaturas conhecidas, o sandbox de malware avançado adiciona atualizações quase em tempo real para reconhecer e bloquear novas ameaças baseadas em arquivos.
Ao ativar o sandbox de malware avançado durante a criação ou edição de um endpoint de firewall, é possível definir outras configurações na seção Configuração do sandbox de malware avançado. Essas configurações adicionais incluem:
Região do WildFire: especifica a região geográfica em que o endpoint de firewall envia arquivos desconhecidos ou suspeitos para análise de ameaças. Se você não especificar uma região, o endpoint usará automaticamente como padrão a nuvem regional mais próxima disponível do sandbox de malware avançado com base na localização para minimizar a latência.
Região do conteúdo na nuvem: especifica a região do conteúdo na nuvem que o endpoint vai usar. O padrão é a região disponível mais próxima.
Tempo limite de pesquisa de assinatura: o tempo máximo (em milissegundos) que o firewall mantém um arquivo enquanto a nuvem do sandbox de malware avançado realiza uma pesquisa de assinatura em tempo real.
Ação de tempo limite de pesquisa de assinatura: define a resposta do firewall se a pesquisa de assinatura em tempo real exceder o limite de tempo limite configurado. Você pode escolher entre
AllowouDenyo arquivo. A ação padrão éAllow.Bloquear respostas parciais de HTTP: permite bloquear a retomada de downloads de arquivos HTTP mal-intencionados bloqueados. A seleção desta opção oferece segurança máxima.
Duração máxima da análise inline na nuvem: o tempo limite máximo (em segundos ou milissegundos, dependendo da interface) em que o firewall retém um arquivo enquanto a análise inline na nuvem o avalia.
Ação de tempo limite da análise inline na nuvem: define a ação a ser tomada se o processo de análise inline na nuvem atingir o tempo limite. É possível configurar isso para
AllowouDenya transferência de arquivos. A ação padrão éAllow.Ativar registro de tempo limite de envio: permite ativar a geração de registros para arquivos que atingem o tempo limite durante a análise inline na nuvem.
Para saber mais sobre o sandbox de malware avançado, consulte Visão geral do sandbox de malware avançado.
Para criar um endpoint de firewall com o sandbox avançado de malware, consulte Criar endpoints de firewall e associações de endpoints.
Papéis do IAM
Os papéis do Identity and Access Management (IAM) controlam as seguintes ações de endpoint de firewall:
- Como criar um endpoint de firewall em uma organização ou um projeto
- Como modificar ou excluir um endpoint de firewall em uma organização ou um projeto
- Como visualizar detalhes de um endpoint de firewall em uma organização ou um projeto
- Como visualizar todos os endpoints de firewall configurados em uma organização ou um projeto
Veja na tabela a seguir os papéis necessários para cada etapa.
| Habilidade | Papel necessário |
|---|---|
| Criar um endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Modificar um endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Excluir um endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Ver detalhes sobre o endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Ver todos os endpoints de firewall | Qualquer um dos seguintes papéis:
|
Os papéis do IAM controlam as seguintes ações de associação de endpoint de firewall:
- Como criar uma associação de endpoint de firewall em um projeto
- Como modificar ou excluir uma associação de endpoint de firewall
- Como visualizar detalhes de uma associação de endpoint de firewall
- Como visualizar todas as associações de endpoints de firewall configurados em um projeto
Veja na tabela a seguir os papéis necessários para cada etapa.
| Habilidade | Papel necessário |
|---|---|
| Criar uma associação de endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Modificar uma associação de endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Excluir uma associação de endpoint de firewall | Qualquer um dos seguintes papéis:
|
| Visualizar detalhes sobre a associação de endpoints de firewall em um projeto | Qualquer um dos seguintes papéis:
|
| Visualizar todas as associações de endpoints de firewall em um projeto. | Qualquer um dos seguintes papéis:
|
Cotas
Para visualizar as cotas associadas aos endpoints de firewall, consulte Cotas e limites.