防火牆端點是 Cloud Next Generation Firewall (Cloud NGFW) 資源，可啟用第 7 層進階保護功能，例如網路中的入侵偵測和防禦服務、進階惡意軟體沙箱 (WildFire) 和網址篩選服務。
本頁面詳細說明防火牆端點及其功能。
規格
本節提供防火牆端點屬性的摘要。如需詳細的實作需求和功能，請參閱本頁的對應章節。
防火牆端點是可用區資源，可在組織或專案層級設定。
組織層級防火牆端點：組織管理員建立及管理這些端點，集中管理整個組織或資料夾層級的安全性。
專案層級防火牆端點：專案管理員在專案中建立及管理這些端點。您可以將組織中的任何虛擬私有雲網路與專案層級端點建立關聯。如果無法取得組織層級權限，無法建立組織層級防火牆端點，請建立專案層級防火牆端點。
防火牆端點會對攔截的流量執行第 7 層防火牆檢查。詳情請參閱「防火牆端點的運作方式」。
端點和要啟用第 7 層檢查的工作負載必須位於相同可用區。詳情請參閱「部署作業注意事項」。
您可以在可用區建立防火牆端點，並連結至一或多個虛擬私有雲網路，監控同一可用區的工作負載。如果虛擬私有雲網路橫跨多個可用區，您可以在每個可用區附加一個防火牆端點。如果未將防火牆端點附加至特定可用區中的虛擬私有雲網路，系統就不會對該可用區的工作負載流量執行第 7 層檢查。
您可以使用防火牆端點關聯，將防火牆端點附加至虛擬私有雲網路。
防火牆端點在啟用傳輸層安全標準 (TLS) 檢查時，最多可處理 2 Gbps 的流量；未啟用 TLS 檢查時，則可處理 10 Gbps 的流量。流量過多可能會導致端點超載，並造成封包遺失。如要監控防火牆端點的容量使用率，請參閱
firewall_endpoint網路安全指標。防火牆端點檢查傳送至跨區域內部應用程式負載平衡器 (預先發布版) 的流量時，最大處理量為 1.6 Gbps。
由於端點不會轉送未經核准的訊息，因此超載的端點可能會捨棄無法檢查的合法流量。
防火牆端點的每項連線處理量上限，在啟用 TLS 檢查時為 250 Mbps，未啟用時則為 1.25 Gbps。
您可以建立防火牆端點，處理大小上限為 8,588 個位元組的巨型封包。或者，您也可以建立不支援巨型框架的端點。詳情請參閱「支援的封包大小」。
只有在沒有與防火牆端點相關聯的虛擬私有雲網路時，才能刪除防火牆端點。詳情請參閱「防火牆端點關聯」。
防火牆端點的運作方式
Cloud NGFW 使用 Google Cloud的封包攔截技術，將虛擬私有雲 (VPC) 網路中 Google Cloud 工作負載的流量重新導向至防火牆端點。封包攔截是 Google Cloud 功能，可在所選網路流量的路徑中插入網路設備，而不修改流量的現有路由政策。
只有在您為這個流量設定第 7 層檢查時，Cloud NGFW 才會將虛擬私有雲網路中的工作負載流量重新導向至防火牆端點。接著，Cloud NGFW 會在重新導向至防火牆端點的每個封包中，加入虛擬私有雲網路 ID，以便進行第 7 層檢查。如果有多個虛擬私有雲網路的 IP 位址範圍重疊，這個網路 ID 有助於確保每個重新導向的封包都正確與其虛擬私有雲網路建立關聯。
容量和效能
防火牆端點的每項連線處理量上限，在啟用 TLS 檢查時為 250 Mbps，未啟用時則為 1.25 Gbps。流量過多可能會導致端點超載，並造成封包遺失。由於端點不會轉送未經核准的訊息，因此超載的端點可能會在無法檢查流量時捨棄合法流量。
如要監控防火牆端點的容量使用率，請參閱「firewall_endpoint 網路安全指標」。
支援的封包大小
防火牆端點可能支援或不支援巨型封包。
支援巨型封包的防火牆端點最多可接受 8,588 個位元組的封包。
Cloud NGFW 會保留額外的 308 個位元組，用於 GENEVE 封裝 (資料檢查所需) 和其他擴充功能。因此，8,896 個位元組的總封包大小符合 Google Cloud 支援的最大傳輸單位 (MTU)。
不支援巨型封包的防火牆端點，可接受大小不超過 1,460 個位元組的封包。
如要成功執行第 7 層檢查，請設定與端點相關聯的虛擬私有雲網路，遵循下列 MTU 限制：
如果端點支援巨型框架，請確認虛擬私有雲網路使用的 MTU 不超過 8,588 個位元組。
如果端點不支援巨型框架，請確認虛擬私有雲網路使用的 MTU 不超過 1,460 個位元組。
建立防火牆端點時，可以選擇是否支援巨型封包。不過，您無法重新設定現有端點，來新增或移除巨型框架支援。如要新增或移除巨型框架支援，請刪除端點並重新建立。詳情請參閱「建立防火牆端點」。
部署考量事項
您可以使用防火牆端點關聯，將防火牆端點附加至虛擬私有雲網路。如要監控工作負載，您可以在可用區中建立防火牆端點，並將其附加至同一可用區中的一或多個虛擬私有雲網路。如果虛擬私有雲網路橫跨多個可用區，您可以在每個可用區附加一個防火牆端點。
在工作負載所在的可用區建立防火牆端點，可享下列優點：
- 縮短延遲時間。由於防火牆端點可以攔截、檢查流量，並將流量重新插入網路，因此延遲時間會低於不同可用區中的防火牆端點。
- 沒有跨可用區流量。將流量保留在相同可用區內，可確保費用較低。
- 流量更可靠。將流量保留在相同可用區內，可消除跨可用區服務中斷的風險。
如果未將防火牆端點附加至特定可用區中的虛擬私有雲網路，Cloud NGFW 就不會對該可用區的工作負載流量執行第 7 層檢查。
基礎架構和可靠性
建立防火牆端點時，Google 會提供一組專屬虛擬機器 (VM) 執行個體。這種架構可確保流量的可靠性、效能和安全性隔離，以及憑證管理。
Google 為防火牆端點採用適當的容錯移轉機制，提供高可用性。這些機制可確保相關聯虛擬私有雲網路中的所有 VM 執行個體，都能獲得可靠的防火牆保護。
防火牆端點關聯
防火牆端點關聯會將防火牆端點連結至同一可用區中的虛擬私有雲網路。定義這項關聯後，Cloud NGFW 會將虛擬私有雲網路中需要第 7 層檢查的可用區工作負載流量，轉送至附加的防火牆端點。
您可以將虛擬私有雲網路與組織層級或專案層級的防火牆端點建立關聯。如要建立虛擬私有雲網路關聯，請考量下列事項：
跨專案關聯：如果端點和虛擬私有雲網路位於不同專案，這兩個專案必須屬於同一個組織。
可用區限制：每個可用區只能將一個虛擬私有雲網路與一個防火牆端點建立關聯。這項限制包含組織層級和專案層級端點。
專案層級防火牆端點攔截流量
如要使用專案層級防火牆端點攔截及檢查流量，請務必符合下列規定：
- VM 執行個體可用區中的虛擬私有雲網路與目標防火牆端點相關聯。
- 流量與具有
apply_security_profile_group動作的防火牆政策規則相符。 - 安全性設定檔群組與防火牆端點位於相同專案。
進階惡意軟體沙箱的防火牆端點
您可以建立防火牆端點，並啟用進階惡意軟體沙箱，將網路防護範圍擴大至基本特徵比對以外。入侵偵測與防禦服務只能封鎖含有已知特徵碼的惡意軟體，但進階惡意軟體沙箱可近乎即時地更新，辨識並封鎖新型檔案型威脅。
建立或編輯防火牆端點時，如果啟用進階惡意軟體沙箱，可以在「Advanced malware sandbox configuration」(進階惡意軟體沙箱設定) 部分調整其他設定。這些額外設定包括：
WildFire 區域：指定防火牆端點提交不明或可疑檔案進行威脅分析的地理區域。如未指定區域，端點會自動預設為距離最近的可用區域進階惡意軟體沙箱雲端，盡可能縮短延遲時間。
內容雲端區域：指定端點使用的內容雲端區域。預設為最近的可用區域。
特徵查詢逾時時間：進階惡意軟體沙箱雲端服務執行即時特徵查詢時，防火牆保留檔案的時間長度上限 (以毫秒為單位)。
特徵查詢逾時動作：定義即時特徵查詢超過設定的逾時門檻時，防火牆應採取的動作。你可以選擇
Allow或Deny檔案。 預設動作為Allow。封鎖 HTTP 部分回覆：禁止繼續下載遭到封鎖的惡意 HTTP 檔案。這個選項最安全。
即時雲端分析時長上限：防火牆在即時雲端分析評估檔案時，保留檔案的最長逾時時間 (以秒或毫秒為單位，視介面而定)。
即時雲端分析逾時動作：定義即時雲端分析程序逾時時要採取的動作。您可以將這項設定設為
Allow或Deny檔案傳輸。預設動作為Allow。啟用提交逾時記錄功能：啟用這項功能後，系統會針對即時雲端分析期間逾時的檔案產生記錄。
如要瞭解進階惡意軟體沙箱，請參閱「進階惡意軟體沙箱總覽」。
如要建立具備進階惡意軟體沙箱的防火牆端點，請參閱「建立防火牆端點和端點關聯」。
IAM 角色
Identity and Access Management (IAM) 角色控管下列防火牆端點動作：
- 在組織或專案中建立防火牆端點
- 修改或刪除組織或專案中的防火牆端點
- 查看組織或專案中的防火牆端點詳細資料
- 查看組織或專案中設定的所有防火牆端點
下表說明每個步驟所需的角色。
| 能力 | 必要角色 |
|---|---|
| 建立防火牆端點 | 下列任一角色：
|
| 修改防火牆端點 | 下列任一角色：
|
| 刪除防火牆端點 | 下列任一角色：
|
| 查看防火牆端點的詳細資料 | 下列任一角色：
|
| 查看所有防火牆端點 | 下列任一角色：
|
IAM 角色控管下列防火牆端點關聯動作：
- 在專案中建立防火牆端點關聯
- 修改或刪除防火牆端點關聯
- 查看防火牆端點關聯的詳細資料
- 查看專案中設定的所有防火牆端點關聯
下表說明每個步驟所需的角色。
| 能力 | 必要角色 |
|---|---|
| 建立防火牆端點關聯 | 下列任一角色：
|
| 修改防火牆端點關聯 | 下列任一角色：
|
| 刪除防火牆端點關聯 | 下列任一角色：
|
| 查看專案中防火牆端點關聯的詳細資料 | 下列任一角色：
|
| 查看專案中的所有防火牆端點關聯。 | 下列任一角色：
|
配額
如要查看與防火牆端點相關聯的配額，請參閱「配額與限制」。