管理防火墙端点和端点关联

本文档介绍了如何使用 Google Cloud 控制台或 Google Cloud CLI 管理防火墙端点及其与 Virtual Private Cloud (VPC) 网络的关联。通过将防火墙端点与 VPC 网络相关联，您可以帮助保护虚拟机实例并检查同一可用区中多个网络中的流量，而无需部署单独的检查设备。

防火墙端点是一种可用区级资源，可为您的流量提供第 7 层检查。借助防火墙端点关联，您可以将端点与该可用区中的一个或多个 VPC 网络相关联，以检查流量。

准备工作

在管理防火墙端点和关联之前，请完成以下操作：

1. 确保您有 VPC 网络和子网。
2. 启用所需的 API：
   • 在 Google Cloud 项目中启用 Compute Engine API。
   • 在要用于结算的 Google Cloud 项目中启用 网络安全 API。
   • 在 Google Cloud 项目中启用 Certificate Authority Service API。
3. 如果您要运行 gcloud 命令行示例，请安装 gcloud CLI。

角色与权限

如需获得查看、更新或删除防火墙端点和关联所需的权限，请让您的管理员向您授予组织或项目的必要 Identity and Access Management (IAM) 角色。如需了解详情，请参阅管理对项目、文件夹和组织的访问权限。

如需检查本页面中列出的操作的进度，请确保您的用户账号具有 Compute Network User (roles/compute.networkUser) 角色，该角色包含以下权限：

• networksecurity.operations.get
• networksecurity.operations.list

配额

如需查看防火墙端点和关联的配额，请参阅配额和限制。

管理防火墙端点

在本部分中，您将学习如何管理防火墙端点。

列出并查看防火墙端点的详细信息

如需列出所有防火墙端点，请使用 Google Cloud 控制台或 gcloud CLI。

您可以查看端点详细信息，例如：

• 端点部署到的可用区
• 端点的当前状态
• 巨型帧支持状态
• 结算项目（仅适用于组织级端点）
• 端点关联

执行此任务所需的权限

如需执行此任务，您必须已被授予组织或项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpoints.get

角色

• Compute Network Admin (roles/compute.networkAdmin)
• Compute Network User (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• 在组织级层授予的 Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 角色（适用于组织级防火墙端点），以及在项目级层或组织级层授予的 Firewall Endpoint Admin 角色（适用于项目级防火墙端点）

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的组织或端点所在的项目。

   如果您选择组织，防火墙端点页面会列出组织中的防火墙端点。

   如果您选择一个项目，位于此项目中的防火墙端点部分会列出该项目的防火墙端点。

3. 点击防火墙端点的名称以查看其详细信息。

gcloud

如需列出所有防火墙端点，请使用 gcloud network-security firewall-endpoints list 命令：

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--billing-project QUOTA_PROJECT_ID]

如需查看防火墙端点的详细信息，请使用 gcloud network-security firewall-endpoints describe 命令：

gcloud network-security firewall-endpoints describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION

替换以下内容：

• NAME：防火墙端点的名称。

• ORGANIZATION_ID：防火墙端点所在的组织 ID。对于组织级端点，请使用此标志。

• PROJECT_ID：防火墙端点所在的项目 ID。将此标志用于项目级端点。

• LOCATION：端点所在的可用区。

• QUOTA_PROJECT_ID：配额项目 ID。此标志仅适用于组织级端点。

更新防火墙端点

如需更新防火墙端点，请使用 Google Cloud 控制台或 gcloud CLI。

您可以更新端点的以下关键详细信息：

• 结算项目（仅适用于组织级端点）
• 端点的标签
• 端点的高级恶意软件沙盒设置

您无法更改以下任何详细信息：

• 巨型帧支持的状态
• 端点的名称
• 端点所在的可用区
• 端点所属的组织或项目

如需更改之前的详细信息，请删除该端点并另行创建一个。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织或项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpoints.update

角色

• Compute Network Admin (roles/compute.networkAdmin)
• 在组织级层授予的 Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 角色（适用于组织级防火墙端点），以及在项目级层或组织级层授予的 Firewall Endpoint Admin 角色（适用于项目级防火墙端点）

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的组织或端点所在的项目。

   如果您选择组织，防火墙端点页面会列出组织中所有已配置的防火墙端点。

   如果您选择某个项目，则防火墙端点页面的位于此项目中的防火墙端点部分会列出该项目的所有防火墙端点。

3. 点击防火墙端点的名称以查看其详细信息。

4. 点击修改。

5. 如需更新结算项目，请选择结算项目。

6. 在高级恶意软件沙盒配置部分中，选中或清除启用高级恶意软件沙盒 (WildFire) 复选框。如果系统提示您接受结算项目的最终用户许可协议 (EULA)，请点击接受。

7. 如需更新其他高级恶意软件沙盒配置，请点击其他高级恶意软件沙盒配置，然后更新相应字段。

8. 点击保存。

gcloud

如需更新防火墙端点，请使用 gcloud network-security firewall-endpoints update 命令：

gcloud network-security firewall-endpoints update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--update-billing-project QUOTA_PROJECT_ID] \
    [--[no-]enable-wildfire] \
    [--wildfire-region=WILDFIRE_REGION] \
    [--content-cloud-region=CONTENT_CLOUD_REGION] \
    [--wildfire-lookup-timeout=LOOKUP_TIMEOUT_MS] \
    [--wildfire-lookup-action=ACTION] \
    [--wildfire-analysis-timeout=ANALYSIS_TIMEOUT_MS] \
    [--wildfire-analysis-action=ACTION] \
    [--[no-]enable-wildfire-analysis-logging] \
    [--[no-]block-partial-http]

替换以下内容：

• NAME：防火墙端点的名称。

• ORGANIZATION_ID：组织 ID。对于组织级端点，请使用此标志。

• PROJECT_ID：项目 ID。 将此标志用于项目级端点。

• LOCATION：端点所在的可用区。

• QUOTA_PROJECT_ID：配额项目 ID。此标志仅适用于组织级端点。

• WILDFIRE_REGION：启用高级恶意软件沙盒后，端点将未知文件发送到的地理区域。

• CONTENT_CLOUD_REGION：启用高级恶意软件沙盒后，端点使用的内容云区域。

• LOOKUP_TIMEOUT_MS：启用高级恶意软件沙盒时，实时签名查找的超时阈值，范围为 1 到 5000 毫秒（默认值为 1000）。

• ANALYSIS_TIMEOUT_MS：启用高级恶意软件沙盒后，内嵌云分析的超时阈值，范围为 1000 到 240000 毫秒（默认值为 30000）。

• ACTION：启用高级恶意软件沙盒后，签名查找或内嵌云分析的超时操作；有效值为 ALLOW 和 DENY。

如需在防火墙端点上启用、停用或更新高级恶意软件沙盒，请使用可选的 --[no-]enable-wildfire 标志。您还可以指定可选的高级恶意软件沙盒配置标志，例如 --[no-]enable-wildfire-analysis-logging（用于记录超时事件）和 --[no-]block-partial-http（用于阻止恢复已阻止的恶意 HTTP 文件下载）。

注意：您无法重新配置现有端点来添加或移除对巨型帧的支持。如需添加或移除巨型帧支持，请删除端点并重新创建。如需了解详情，请参阅删除防火墙端点和创建防火墙端点。

如需了解防火墙端点支持的数据包大小，请参阅支持的数据包大小。

删除防火墙端点

如需删除防火墙端点，请使用 Google Cloud 控制台或 gcloud CLI。

在删除防火墙端点之前，请考虑以下事项：

• 只有当防火墙端点未与任何 VPC 网络关联时，您才能删除该防火墙端点。
• 如果防火墙政策规则将流量定向到此端点，则删除该端点会停止流量检查。端点为该可用区中的关联网络提供的所有第 7 层检查服务也会停止。
• 删除一个可用区中的端点只会影响该特定可用区内的流量和关联。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织或项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpoints.delete

角色

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 在组织级层授予（针对组织级防火墙端点），或在项目级层或组织级层授予（针对项目级防火墙端点）

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的组织或端点所在的项目。

   如果您选择组织，防火墙端点页面会列出组织中所有已配置的防火墙端点。

   如果您选择某个项目，则防火墙端点页面的位于此项目中的防火墙端点部分会列出该项目的所有防火墙端点。

3. 选择防火墙端点，然后点击删除。

4. 再次点击删除进行确认。

gcloud

如需删除防火墙端点，请使用 gcloud network-security firewall-endpoints delete 命令：

gcloud network-security firewall-endpoints delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION

替换以下内容：

• NAME：防火墙端点的名称。

• ORGANIZATION_ID：组织 ID。对于组织级端点，请使用此标志。

• PROJECT_ID：项目 ID。 将此标志用于项目级端点。

• LOCATION：端点所在的可用区。

管理防火墙端点关联

防火墙端点关联可将防火墙端点与特定可用区中的 VPC 网络相关联。

在管理防火墙端点的关联之前，请确保您有防火墙端点。如需创建关联，请参阅创建防火墙端点和关联。

关联要求

配置端点关联时，请遵循以下要求：

• 可用区限制：您必须在防火墙端点所在的可用区中创建关联。为了有效检查流量，请在部署了计算实例的可用区中创建关联。
• 每个可用区一个端点：在单个可用区中，您只能将 VPC 网络与一个防火墙端点（项目级或组织级）相关联。不过，您可以将单个 VPC 网络与多个不同可用区中的不同防火墙端点相关联。
• 跨项目关联：您可以将 VPC 网络与单独项目中的防火墙端点相关联。如果您使用项目级端点，则端点的项目必须与 VPC 网络位于同一组织中。
• 资源映射：关联是项目级资源。您可以在部署计算实例的特定项目中创建关联，即使该关联指向组织级防火墙端点也是如此。

支持巨型帧的防火墙端点只能接受不超过 8,500 字节的数据包。或者，不支持巨型帧的防火墙端点只能接受不超过 1,460 字节的数据包。如果您需要入侵检测和防御服务、高级恶意软件沙盒或网址过滤服务，我们建议您将关联的 VPC 网络配置为使用 8,500 字节和 1,460 字节的最大传输单元 (MTU) 限制。如需了解详情，请参阅支持的数据包大小。

注意：如果 VPC 网络配置的 MTU 大于防火墙端点的限制，则防火墙端点不会为该网络执行入侵检测和防护服务、高级恶意软件沙盒或网址过滤服务。

列出并查看防火墙端点关联

如需列出和查看防火墙端点关联，请使用 Google Cloud 控制台或 gcloud CLI。

您可以查看端点关联的以下详细信息：

• 生命周期状态
• 活跃状态
• TLS 检查状态
• 防火墙端点的 ID

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpointAssociations.get

角色

• Compute Network Admin (roles/compute.networkAdmin)
• Compute Network User (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 在组织级层授予（针对组织级防火墙端点），以及在项目级层或组织级层授予（针对项目级防火墙端点）

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的 Google Cloud 项目。

   在防火墙端点关联部分中，表列出了组织级和项目级端点的所有防火墙端点关联。

gcloud

如需列出特定网络的防火墙端点关联，请将 gcloud network-security firewall-endpoint-associations list 命令与 --filter 标志结合使用。

gcloud network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [--project PROJECT_ID]

如需查看防火墙端点关联，请使用 gcloud network-security firewall-endpoint-associations describe 命令：

gcloud network-security firewall-endpoint-associations describe NAME \
    --filter network:NETWORK_NAME \
    [--project PROJECT_ID]

替换以下内容：

• NAME：防火墙端点关联的名称。

• PROJECT_ID：关联所在的项目 ID。

• NETWORK_NAME：VPC 网络的名称。

更新防火墙端点关联

如需更新防火墙端点关联，请使用 Google Cloud 控制台或 gcloud CLI。

您可以更新以下详细信息：

• 激活状态
• 关联的 TLS 检查政策
• 标签和说明

您无法更新以下详细信息：

• 通过此关联连接的防火墙端点和 VPC 网络
• 关联的名称、项目或可用区

如需更改这些详细信息，请删除关联并创建另一个关联。

注意：如果您使用显式 Private Service Connect 数据路径来检查以负载均衡器（例如跨区域内部应用负载均衡器）为目标的流量，请先从负载均衡器中移除 Service Extension（LBTCPExtension 资源），然后再停用防火墙端点关联。如需了解详情，请参阅为负载均衡器停用应用层检查。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpointAssociations.update

角色

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 在组织级层授予（针对组织级防火墙端点），以及在项目级层或组织级层授予（针对项目级防火墙端点）

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的 Google Cloud 项目。

   在防火墙端点关联部分中，表列出了此项目的所有已配置的防火墙端点关联。

3. 点击要更新的防火墙端点关联旁边的修改。

4. 如需停用防火墙端点关联，请清除启用关联复选框。

5. 如需更新 TLS 检查政策，请从 TLS 检查政策列表中选择新政策。

6. 点击保存。

gcloud

如需更新防火墙端点关联，请使用 gcloud network-security firewall-endpoint-associations update 命令。

gcloud network-security firewall-endpoint-associations update NAME \
  --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ] \
  --location LOCATION

替换以下内容：

• NAME：防火墙端点关联的名称。

• PROJECT_ID：创建关联的项目 ID。

• TLS_PROJECT_NAME：TLS 检查政策的项目名称。

• REGION_NAME：TLS 检查政策的区域名称。

• TLS_POLICY_NAME：TLS 检查政策的名称。

• LOCATION：防火墙端点关联的位置。

删除防火墙端点关联

如需删除防火墙端点关联，请使用 Google Cloud 控制台或 gcloud CLI。

删除 Google Cloud 项目后，其关联的防火墙端点关联会自动移除。此删除操作是不可撤消的，即使项目后来恢复了也是如此。

不过，有时删除这些关联的流程可能会失败。如果发生这种情况，并且项目被恢复，则关联的防火墙端点会在恢复的项目中显示为 ORPHAN 状态。这表示项目与其资源之间的关联已因删除失败而中断。

您可以在 Google Cloud 控制台中查看这些孤立关联，但无法修改它们。Cloud 新一代防火墙会定期运行后台进程，以删除这些孤立资源。

注意：如果您使用显式 Private Service Connect 数据路径来检查以负载均衡器（例如跨区域内部应用负载均衡器）为目标的流量，请先从负载均衡器中移除 Service Extension（LBTCPExtension 资源），然后再删除防火墙端点关联。如需了解详情，请参阅为负载均衡器停用应用层检查。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.firewallEndpointAssociations.delete

角色

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) 对于组织级防火墙端点，在组织级授予；对于项目级防火墙端点，在项目级或组织级授予

控制台

1. 在 Google Cloud 控制台中，前往防火墙端点页面。

   进入“防火墙端点”

2. 在项目选择器菜单中，选择您的 Google Cloud 项目。

   在防火墙端点关联部分中，表列出了此项目的所有已配置的防火墙端点关联。

3. 选择防火墙端点关联，然后点击删除。

4. 再次点击删除进行确认。

gcloud

如需删除防火墙端点关联，请使用 gcloud network-security firewall-endpoint-associations delete 命令。

gcloud network-security firewall-endpoint-associations delete NAME \
    --project PROJECT_ID \
    --location LOCATION

替换以下内容：

• NAME：防火墙端点关联的名称。

• PROJECT_ID：关联所在的项目 ID。

• LOCATION：防火墙端点关联的位置。

后续步骤

• 创建防火墙端点和端点关联
• 创建分层防火墙政策和规则
• 创建全球网络防火墙政策和规则