网络上下文

网络上下文可帮助您更高效地使用更少的防火墙政策规则，从而实现安全目标。Cloud NGFW 支持四种网络上下文，可用于在分层防火墙政策、全球网络防火墙政策或区域级网络防火墙政策的规则中创建来源组合或目标组合。

下表显示了如何在防火墙规则中使用这四种网络上下文。

网络上下文 支持的目标类型 支持的方向、来源组合或目的地组合
INSTANCES INTERNAL_MANAGED_LB 入站流量规则的来源组合 出站流量规则的目的地组合
互联网 (INTERNET)
非互联网 (NON_INTERNET)
VPC 网络 (VPC_NETWORKS)
VPC 内部 (INTRA_VPC)

互联网和非互联网网络上下文是互斥的。Virtual Private Cloud (VPC) 网络和 VPC 内网络上下文是非互联网网络上下文的子集。

互联网网络上下文

互联网网络上下文 (INTERNET) 可用作入站流量规则的来源组合或出站流量规则的目的地组合的一部分，但前提是将目标类型设置为 INSTANCES 或未指定：

  • 对于入站流量规则，请指定互联网上下文来源和至少一个其他来源参数（安全标记来源除外）。如果数据包与至少一个其他来源参数匹配且入站数据包的互联网网络上下文条件匹配，则与入站流量规则匹配。

  • 对于出站流量规则，请指定互联网上下文目标位置和至少一个其他目标位置参数。如果数据包与至少一个其他目标参数匹配且出站数据包的互联网网络上下文条件匹配，则与出站流量规则匹配。

互联网网络上下文的条件

本部分介绍了 Cloud Next Generation Firewall 用于确定数据包是否属于互联网网络上下文的标准。

入站数据包的互联网网络上下文

由 Google Maglev 路由到虚拟机 (VM) 网络接口的入站数据包属于互联网网络上下文。当数据包目的地与以下任一地址匹配时，Maglev 会将数据包路由到虚拟机网络接口：

  • 虚拟机网络接口的区域外部 IPv4 地址、区域外部直通式网络负载平衡器的转发规则或外部协议转发的转发规则。
  • 虚拟机网络接口的区域性外部 IPv6 地址、区域性外部直通式网络负载平衡器的转发规则或外部协议转发的转发规则，且数据包未使用本地子网路由或通过 VPC 网络对等互连或从 NCC Hub 上的 VPC Spoke 导入的子网路由进行路由。

如需详细了解 Maglev 为外部直通式网络负载平衡器或外部协议转发路由到后端虚拟机的数据包，请参阅外部直通式网络负载平衡器和外部协议转发的路径。

出站数据包的互联网网络上下文

当以默认互联网网关作为下一个跃点的静态路由从虚拟机网络接口路由出站数据包时，目标 IP 地址会确定网络上下文，如下表所示：

出站数据包的目标 IP 地址 网络上下文
Google 网络之外的外部 IP 地址 互联网网络上下文
全球 Google API 和服务的外部 IP 地址，包括发送到 Cloud Run 或 App Engine 服务的请求数据包 非互联网网络情境
虚拟机网络接口的区域外部 IPv4 地址、区域外部应用负载平衡器、区域外部代理网络负载平衡器、区域外部直通式网络负载平衡器或外部协议转发的转发规则 互联网网络上下文
虚拟机网络接口的区域外部 IPv6 地址、区域外部应用负载平衡器、区域外部代理网络负载平衡器、区域外部直通式网络负载平衡器或外部协议转发的转发规则 互联网网络上下文，除非子网路由将出站数据包路由到外部 IPv6 目的地
全球外部应用负载平衡器、全球外部代理网络负载平衡器或全球外部直通式网络负载平衡器的转发规则的全球外部 IPv4 或 IPv6 地址 互联网网络上下文
Cloud VPN 网关的区域外部 IPv4 地址 互联网网络上下文
Cloud NAT 网关的区域级外部 IPv4 地址 互联网网络上下文
通过子网路由将出站数据包路由到外部 IPv6 目的地

如果 VPC 网络通过 VPC 网络对等互连进行连接，或者 VPC 网络作为 VPC 辐条参与到同一 NCC Hub 中，则 IPv6 子网路由可以为以下对象提供连接：虚拟机网络接口的区域外部 IPv6 地址目的地、区域外部负载均衡器转发规则和外部协议转发规则。当 IPv6 子网路由为从虚拟机网络接口到这些区域外部 IPv6 地址目标的出站流量提供路径时，该流量将属于非互联网网络上下文。

非互联网网络上下文

您可以将非互联网网络上下文 (NON-INTERNET) 用作入站流量规则的来源组合或出站流量规则的目的地组合的一部分，并将目标类型设置为 INSTANCES 或未指定：

非互联网网络情境的条件

本部分介绍了 Cloud NGFW 用于确定数据包是否属于非互联网网络上下文的标准。

入站数据包的非互联网网络上下文

如果入站数据包以以下任一方式路由到虚拟机实例的网络接口，则这些数据包属于非互联网网络上下文：

来自全球 Google API 和服务的入站响应数据包也属于非互联网网络上下文。来自全球 Google API 和服务的响应数据包可能具有以下任何来源：

出站数据包的非互联网网络上下文

如果出站数据包以以下方式之一进行路由，则从虚拟机网络接口发送的出站数据包属于非互联网网络上下文：

VPC 网络上下文

VPC 网络网络上下文 (VPC_NETWORKS) 只能用作入站流量规则的来源组合的一部分。如需将 VPC 网络上下文用作入口规则的来源组合的一部分，请执行以下操作：

  1. 您必须指定来源 VPC 网络列表：

    • 源网络列表必须包含至少一个 VPC 网络。您最多可以向来源网络列表添加 250 个 VPC 网络。
    • 您必须先创建 VPC 网络，然后才能将其添加到源网络列表中。
    • 您可以使用网络的部分或完整网址标识符来添加网络。
    • 添加到来源网络列表中的 VPC 网络无需相互连接。每个 VPC 网络都可以位于任何项目中。
    • 如果某个 VPC 网络在添加到源网络列表后被删除，则对已删除网络的引用仍会保留在列表中。在强制执行入站流量规则时，Cloud NGFW 会忽略已删除的 VPC 网络。如果源网络列表中的所有 VPC 网络都已删除，则依赖于该列表的入站流量规则将无效，因为它们与任何数据包都不匹配。

  2. 您必须至少指定一个其他来源参数，但 地理定位来源除外。

如果数据包与至少一个其他来源参数匹配且满足 VPC 网络上下文的条件，则与入站流量规则匹配。

VPC 网络上下文的条件

本部分介绍了 Cloud NGFW 用于确定数据包是否属于 VPC 网络上下文的标准。

如果满足以下所有条件，数据包就会与在其来源组合中使用 VPC 网络上下文的入口规则匹配：

  • 数据包与至少一个其他来源参数匹配。

  • 数据包由位于某个源 VPC 网络中的资源发送。

  • 来源 VPC 网络与包含入站流量规则的防火墙政策所应用的 VPC 网络是同一 VPC 网络，或者通过 VPC 网络对等互连或作为 Network Connectivity Center hub 上的 VPC Spoke 进行连接。

以下资源位于 VPC 网络中，它们之间的流量属于 VPC 网络的网络上下文。

  • 虚拟机网络接口
  • Cloud VPN 隧道
  • Cloud Interconnect VLAN 连接
  • 路由器设备
  • 代理专用子网中的 Envoy 代理
  • Private Service Connect 端点
  • 无服务器 VPC 访问通道连接器

此外，通过直接 VPC 出站流量进入 VPC 网络的数据包也属于 VPC 网络的网络上下文。

VPC 内网络上下文

VPC 内部网络上下文 (INTRA_VPC) 只能用作入站流量规则来源组合的一部分。如需将 VPC 内部网络上下文用作入站流量规则的来源组合一部分，您必须至少指定一个其他来源参数，但 地理定位来源除外。

如果数据包与至少一个其他来源参数匹配且满足 VPC 内部网络上下文的条件，则与入站流量规则匹配。

VPC 网络内部上下文的条件

本部分介绍了 Cloud NGFW 用于确定数据包是否属于 VPC 内网络上下文的标准。

如果满足以下所有条件，数据包就会与在其来源组合中使用 VPC 内部上下文的入站流量规则匹配：

  • 数据包与至少一个其他来源参数匹配。

  • 数据包由位于 VPC 网络中且包含入站流量规则的防火墙政策应用到的资源发送。

以下资源位于 VPC 网络中，它们之间的流量属于 VPC 内网络上下文：

  • 虚拟机网络接口
  • Cloud VPN 隧道
  • Cloud Interconnect VLAN 连接
  • 路由器设备
  • 代理专用子网中的 Envoy 代理
  • Private Service Connect 端点
  • 无服务器 VPC 访问通道连接器

此外，通过直接 VPC 出站流量进入 VPC 网络的数据包也属于 VPC 内网络上下文。