Crea policy e regole del firewall di rete globali

Per controllare il traffico di rete e migliorare la sicurezza della tua rete globale, utilizza le policy del firewall di rete globale e le regole. Le policy del firewall di rete globale centralizzano la gestione del traffico in entrata e in uscita su più reti Virtual Private Cloud (VPC). Definisci una policy una sola volta e la colleghi a una o più reti o subnet, garantendo una security posture coerente e un'amministrazione semplificata.

Questa pagina descrive come configurare le policy del firewall di rete globale definendo regole che specificano le azioni per vari tipi di traffico. Imparerai a consentire o negare le connessioni in base a origine, destinazione, protocollo e porta. Prima di leggere questa pagina, assicurati di avere familiarità con i concetti descritti nella panoramica delle policy del firewall di rete globale.

Crea una policy del firewall di rete globale

Quando crei una policy del firewall di rete globale utilizzando la console Google Cloud , puoi associarla a una rete VPC durante la creazione. Se crei la policy utilizzando Google Cloud CLI, devi associarla a una rete dopo averla creata.

La rete VPC a cui è associata la policy del firewall di rete globale deve trovarsi nello stesso progetto della policy del firewall di rete globale.

Console

  1. Nella console Google Cloud , vai alla pagina Policy del firewall.

    Vai a Policy del firewall

  2. Nell'elenco del selettore dei progetti, seleziona il tuo progetto all'interno della tua organizzazione.

  3. Fai clic su Crea policy del firewall.

  4. Nel campo Nome policy, inserisci un nome per la policy.

  5. In Tipo di policy, seleziona Policy VPC.

  6. In Ambito di deployment, seleziona Globale.

  7. Per creare regole per la policy, fai clic su Continua.

  8. Nella sezione Aggiungi regole, fai clic su Crea regola firewall. Per saperne di più sulla creazione di regole firewall, consulta quanto segue:

  9. Per creare regole di Mirroring pacchetto per la tua policy, fai clic su Continua.

  10. Nella sezione Aggiungi regole di mirroring, fai clic su Crea regola di mirroring.

    Per saperne di più, consulta Crea una policy del firewall con una regola di mirroring.

  11. Se vuoi associare la policy a una rete, fai clic su Continua.

  12. Nella sezione Associa policy alle reti, fai clic su Associa.

    Per saperne di più, consulta Associa una policy a una rete.

  13. Fai clic su Crea.

gcloud 

gcloud compute network-firewall-policies create NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --global

Sostituisci quanto segue:

  • NETWORK_FIREWALL_POLICY_NAME: un nome per la policy
  • DESCRIPTION: una descrizione della policy
  • POLICY_TYPE: il tipo di policy del firewall di rete. Per saperne di più, consulta Specifiche.

Associa una policy a una rete

Quando associ una policy del firewall a una rete VPC, tutte le regole della policy del firewall, ad eccezione di quelle disabilitate, vengono applicate alla rete VPC.

Console

  1. Nella console Google Cloud , vai alla pagina Policy del firewall.

    Vai a Policy del firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

  3. Fai clic sulla policy.

  4. Fai clic sulla scheda Associazioni.

  5. Fai clic su Aggiungi associazione.

  6. Seleziona le reti all'interno del progetto.

  7. Fai clic su Associa.

gcloud 

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

Sostituisci quanto segue:

  • POLICY_NAME: il nome breve o il nome della policy generato dal sistema.
  • NETWORK_NAME: il nome della rete.
  • ASSOCIATION_NAME: un nome facoltativo per l'associazione; se non specificato, il nome viene impostato su network-NETWORK_NAME.

Aggiungi regola della policy del firewall

Questa sezione descrive come aggiungere regole a una policy del firewall di rete globale.

Crea una regola in entrata per le VM di destinazione

Questa sezione descrive come creare una regola in entrata che si applica alle interfacce di rete delle istanze Compute Engine.

Console

  1. Nella console Google Cloud , vai alla pagina Policy del firewall.

    Vai a Policy del firewall

  2. Nell'elenco del selettore dei progetti, seleziona un progetto che contiene una policy del firewall di rete globale.

  3. Nella sezione Policy del firewall di rete, fai clic sul nome di una policy del firewall di rete globale in cui vuoi creare una regola.

  4. Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:

    1. Priorità: l'ordine di valutazione numerico della regola.

      Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.

    2. Descrizione: fornisci una descrizione facoltativa.

    3. Tipo di target: seleziona Istanze.

      Quando selezioni questa opzione, Cloud NGFW utilizza le istanze VM come target.

    4. Target: seleziona una delle seguenti opzioni:

      • Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
      • Service account: restringe i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato:

        • Nella sezione Ambito del service account, seleziona In questo progetto > Service account di destinazione. In questo modo, puoi specificare un account di servizio nello stesso progetto della policy del firewall di rete globale.
        • Nella sezione Ambito del service account, seleziona In un altro progetto > Service account di destinazione. In questo modo, puoi specificare un account di servizio in un progetto di servizio VPC condiviso.
      • Tag sicuri: restringe i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona l'ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da abbinare. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.

    5. Direzione del traffico: seleziona In entrata.

    6. Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:

      • Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
      • Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
      • Vai al successivo: per continuare il processo di valutazione delle regole firewall.
      • Applica gruppo di profili di sicurezza: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione in base allo Scopo selezionato.
        • Per inviare pacchetti a un endpoint firewall Cloud NGFW, seleziona Cloud NGFW Enterprise, quindi seleziona un gruppo di profili di sicurezza. Per abilitare l'ispezione TLS dei pacchetti, seleziona Abilita ispezione TLS.
        • Per inviare pacchetti a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda, seleziona NSI in banda, quindi seleziona un Gruppo di profili di sicurezza.

    7. Log: seleziona On per attivare il logging delle regole firewall o Off per disattivarlo per questa regola.

    8. Contesto della rete di origine: specifica un contesto di rete:

      • Per saltare il filtro del traffico in entrata in base al contesto di rete, seleziona Tutti i contesti di rete.
      • Per filtrare il traffico in entrata verso un contesto di rete specifico, seleziona Contesto di rete specifico, quindi seleziona un contesto di rete:

    9. Filtri di origine: specifica parametri di origine aggiuntivi. Alcuni parametri di origine non possono essere utilizzati insieme e la scelta del contesto di rete di origine limita i parametri di origine che puoi utilizzare. Per saperne di più, consulta Origini per le regole in entrata e Combinazioni di origini delle regole in entrata.

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi origine IPv6.
      • Per filtrare il traffico in entrata in base ai valori dei tag sicuri di origine, seleziona Seleziona l'ambito per i tag nella sezione Tag sicuri. Poi, fornisci le chiavi e i valori dei tag. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.
      • Per filtrare il traffico in entrata in base al nome di dominio completo di origine, inserisci i nomi di dominio completi nel campo FQDN. Per saperne di più, consulta Oggetti FQDN.
      • Per filtrare il traffico in entrata in base alla geolocalizzazione di origine, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
      • Per filtrare il traffico in entrata in base al gruppo di indirizzi di origine, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per le policy del firewall.

    10. Destinazione: specifica i parametri di destinazione facoltativi. Per saperne di più, consulta Destinazioni per le regole in entrata.

      • Per saltare il filtro del traffico in entrata in base all'indirizzo IP di destinazione, seleziona Nessuno.
      • Per filtrare il traffico in entrata in base all'indirizzo IP di destinazione, seleziona IPv4 o IPv6, quindi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di origine o gli intervalli IPv6 di origine.

    11. Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico che deve corrispondere alla regola. Per saperne di più, consulta Protocolli e porte.

    12. Applicazione: specifica se la regola firewall viene applicata o meno:

      • Attivata: crea la regola e inizia ad applicarla alle nuove connessioni.
      • Disabilitata: crea la regola, ma non la applica alle nuove connessioni.

  5. Fai clic su Crea.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall di rete globale in cui vuoi creare la regola.
  • PROJECT_ID: l'ID progetto che contiene la policy del firewall di rete globale.
  • DESCRIPTION: una descrizione facoltativa della nuova regola.
  • ACTION: specifica una delle seguenti azioni:

    • apply_security_profile_group: invia i pacchetti a un firewall endpoint o a un gruppo di endpoint di intercettazione.
      • Quando l'azione è apply_security_profile_group, devi includere --security-profile-group SECURITY_PROFILE_GROUP, dove SECURITY_PROFILE_GROUP è il nome di un gruppo di profili di sicurezza.
      • Il profilo di sicurezza del gruppo di profili di sicurezza può fare riferimento a un endpoint firewall Cloud NGFW o a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in-band.
      • Se il profilo di sicurezza del gruppo di profili di sicurezza fa riferimento a un endpoint firewall Cloud NGFW, includi --tls-inspect o --no-tls-inspect per attivare o disattivare l'ispezione TLS.
  • I flag --enable-logging e --no-enable-logging attivano o disattivano il logging delle regole firewall VPC.
  • I flag --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:

    • Se ometti i flag --target-secure-tags e --target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi.
    • TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag sicuro che restringe i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori di tag sicuro.
    • TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account che restringe i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano uno dei service account.

  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:

    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (6) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati da due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti, con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000).

    Per saperne di più, consulta Protocolli e porte.

  • Specifica un'origine per la regola in entrata. Per saperne di più, consulta Combinazioni di origini delle regole in entrata:

    • SRC_NETWORK_CONTEXT: definisce i contesti di rete di origine da utilizzare insieme a un altro parametro di origine supportato per produrre una combinazione di origini. I valori validi quando --target-type=INSTANCES sono: INTERNET, NON_INTERNET, VPC_NETWORKS o INTRA_VPC. Per saperne di più, consulta Contesti di rete.
    • SRC_VPC_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo flag solo quando --src-network-context è VPC_NETWORKS.
    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti indirizzi IPv4 o tutti indirizzi IPv6, non una combinazione di entrambi.
    • SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • SRC_SECURE_TAGS: un elenco separato da virgole di tag. Non puoi utilizzare il flag --src-secure-tags se --src-network-context è INTERNET.
    • SRC_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione. Non puoi utilizzare il flag --src-region-codes se --src-network-context è NON_INTERNET, VPC_NETWORKS o INTRA_VPC.
  • (Facoltativo) Specifica una destinazione per la regola in entrata:

    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.

Crea una regola in entrata per i target del bilanciatore del carico interno

Per limitare l'accesso a una o più regole di forwarding del bilanciatore del carico delle applicazioni interno o del bilanciatore del carico di rete proxy interno, crea almeno due regole in entrata che utilizzano i bilanciatori del carico interni come target. Poiché l'azione implicita per i target del bilanciatore del carico delle applicazioni interno e del bilanciatore del carico di rete proxy interno è consentire il traffico in entrata, devi creare le seguenti regole per limitare l'accesso:

  • Una regola firewall deny-ingress con priorità inferiore con il flag --src-ip-ranges=0.0.0.0/0.
  • Una regola firewall con priorità più alta per consentire il traffico in entrata con i parametri di origine specificati.

Quando crei una regola di policy del firewall in entrata che ha come target i bilanciatori del carico interni (--target-type=INTERNAL_MANAGED_LB), si applicano i seguenti vincoli:

  • Devi omettere il parametro di destinazione della regola perché l'indirizzo IP di destinazione è definito dalla regola di forwarding del bilanciatore del carico.

  • Nelle configurazioni di livello 4 della regola, devi specificare solo il protocollo TCP (tcp o numero di protocollo IP IANA 6). Devi omettere le porte di destinazione perché la regola di forwarding del bilanciatore del carico definisce la porta di destinazione.

Questa sezione descrive come creare una regola in entrata per i target dei bilanciatori del carico delle applicazioni interni e dei bilanciatori del carico di rete proxy interni.

Console

  1. Nella console Google Cloud , vai alla pagina Policy del firewall.

    Vai a Policy del firewall

  2. Nell'elenco del selettore dei progetti, seleziona un progetto che contiene una policy del firewall di rete globale.

  3. Nella sezione Policy del firewall di rete, fai clic sul nome di una policy del firewall di rete globale in cui vuoi creare una regola.

  4. Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:

    1. Priorità: l'ordine di valutazione numerico della regola.

      Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.

    2. Descrizione: fornisci una descrizione facoltativa.

    3. Tipo di target: seleziona Bilanciatori del carico interni.

      Quando selezioni questa opzione, Cloud NGFW utilizza i bilanciatori del carico delle applicazioni interni e i bilanciatori del carico di rete proxy interni come target.

    4. Target: seleziona una delle seguenti opzioni:

      • Applica a tutti: Cloud NGFW utilizza i target del bilanciatore del carico più ampi.
      • Regola di forwarding: per selezionare la regola di forwarding, segui questi passaggi:
        1. Fai clic su Seleziona progetto e seleziona un progetto.
        2. In Tipo di bilanciatore del carico, seleziona il tipo di bilanciatore del carico.
        3. In Bilanciatore del carico, seleziona il bilanciatore del carico.
        4. Per Regola di forwarding, seleziona la regola di forwarding.

    5. Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:

      • Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
      • Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
      • Vai al successivo: per continuare il processo di valutazione delle regole firewall.

    6. Log: seleziona On per attivare il logging delle regole firewall o Off per disattivarlo per questa regola.

    7. Contesto della rete di origine: specifica un contesto di rete:

      • Per saltare il filtro del traffico in entrata in base al contesto di rete, seleziona Tutti i contesti di rete.
      • Per filtrare il traffico in entrata verso un contesto di rete specifico, seleziona Contesto di rete specifico, quindi seleziona un contesto di rete:
      • All'interno del VPC: il traffico in entrata deve corrispondere ai criteri per il contesto di rete all'interno del VPC.
      • Reti VPC: il traffico in entrata deve corrispondere ai Criteri per il contesto delle reti VPC. Devi selezionare almeno una rete VPC:
        • Seleziona il progetto corrente: consente di aggiungere una o più reti VPC dal progetto che contiene la policy del firewall.
        • Inserisci manualmente la rete: consente di inserire manualmente un progetto e una rete VPC.
        • Seleziona progetto: consente di selezionare un progetto da cui puoi selezionare una rete VPC.

    8. Filtri di origine: specifica parametri di origine aggiuntivi. Alcuni parametri di origine non possono essere utilizzati insieme e la scelta del contesto di rete di origine limita i parametri di origine che puoi utilizzare. Per saperne di più, consulta Origini per le regole in entrata e Combinazioni di origini delle regole in entrata.

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi origine IPv6.
      • Per filtrare il traffico in entrata in base al nome di dominio completo di origine, inserisci i nomi di dominio completi nel campo FQDN. Per saperne di più, consulta Oggetti FQDN.
      • Per filtrare il traffico in entrata in base al gruppo di indirizzi di origine, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per le policy del firewall.

    9. Applicazione: specifica se la regola firewall viene applicata o meno:

      • Attivata: crea la regola e inizia ad applicarla alle nuove connessioni.
      • Disabilitata: crea la regola, ma non la applica alle nuove connessioni.

  5. Fai clic su Crea.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall di rete globale in cui vuoi creare la regola.
  • PROJECT_ID: l'ID progetto che contiene la policy del firewall di rete globale.
  • DESCRIPTION: una descrizione facoltativa della nuova regola.
  • ACTION: specifica una delle seguenti azioni:

  • I flag --enable-logging e --no-enable-logging attivano o disattivano il logging delle regole firewall VPC.
  • I flag --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:

    • Se ometti il flag --target-forwarding-rules, Cloud NGFW utilizza i target del bilanciatore del carico più ampi.
    • TARGET_FORWARDING_RULES: una singola regola di forwarding per un bilanciatore del carico delle applicazioni interno o un bilanciatore del carico di rete proxy interno specificato nel formato delle regole di forwarding di destinazione. Questo parametro restringe i target più ampi del bilanciatore del carico a un bilanciatore del carico delle applicazioni interno o a un bilanciatore del carico di rete proxy interno specifico.
  • LAYER_4_CONFIGS: specifica tcp o il numero di protocollo IANA 6. Le regole firewall che hanno come target i bilanciatori del carico interni (INTERNAL_MANAGED_LB) supportano solo il protocollo TCP. Non specificare porte o intervalli di porte di destinazione. Il filtro si applica a tutto il traffico indirizzato alla regola di forwarding del bilanciatore del carico.
  • Specifica un'origine per la regola in entrata. Per saperne di più, consulta Combinazioni di origini delle regole in entrata:

    • SRC_NETWORK_CONTEXT: definisce i contesti di rete di origine da utilizzare insieme a un altro parametro di origine supportato per produrre una combinazione di origini. I valori validi quando --target-type=INTERNAL_MANAGED_LB sono VPC_NETWORKS o INTRA_VPC. Per saperne di più, consulta Contesti di rete.
    • SRC_VPC_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo flag solo quando --src-network-context è VPC_NETWORKS.
    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti indirizzi IPv4 o tutti indirizzi IPv6, non una combinazione di entrambi.
    • SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.

Crea una regola in entrata per applicare un gruppo di profili di sicurezza a un bilanciatore del carico

Per applicare i servizi di ispezione del livello di applicazione al traffico del bilanciatore del carico, puoi creare una regola con l'azione apply_security_profile_group. Questa regola deve avere come target una regola di forwarding specifica appartenente a un bilanciatore del carico delle applicazioni interno tra regioni.

gcloud

Per creare una regola firewall che applichi l'ispezione a livello di applicazione a un bilanciatore del carico delle applicazioni interno tra regioni specifico, utilizza il comando gcloud compute network-firewall-policies rules create:

gcloud compute network-firewall-policies rules create PRIORITY \
   --action=apply_security_profile_group \
   --security-profile-group=SECURITY_PROFILE_GROUP_NAME \
   --firewall-policy=NETWORK_FIREWALL_POLICY_NAME \
   --global-firewall-policy \
   --direction=INGRESS \
   --target-type=INTERNAL_MANAGED_LB \
   --target-forwarding-rules=CROSS_REGION_ALB_FORWARDING_RULE

Sostituisci quanto segue:

  • PRIORITY: la priorità univoca della regola.
  • SECURITY_PROFILE_GROUP_NAME: l'URI completo o parziale della risorsa del gruppo di profili di sicurezza.
  • NETWORK_FIREWALL_POLICY_NAME: il nome della policy del firewall di rete globale.
  • CROSS_REGION_ALB_FORWARDING_RULE: il nome della risorsa relativa della regola di forwarding nel formato projects/ PROJECT_ID/global/forwardingRules/ FORWARDING_RULE_NAME`.

Crea una regola in uscita per le VM di destinazione

Le indicazioni riportate di seguito mostrano come creare una regola in uscita. Le regole in uscita si applicano solo alle destinazioni che sono interfacce di rete delle istanze di Compute Engine.

Console

  1. Nella console Google Cloud , vai alla pagina Policy del firewall.

    Vai a Policy del firewall

  2. Nell'elenco del selettore dei progetti, seleziona un progetto che contiene una policy del firewall di rete globale.

  3. Nella sezione Policy del firewall di rete, fai clic sul nome di una policy del firewall di rete globale in cui vuoi creare una regola.

  4. Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:

    1. Priorità: l'ordine di valutazione numerico della regola.

      Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.

    2. Descrizione: fornisci una descrizione facoltativa.

    3. Tipo di target: seleziona Istanze.

      Quando selezioni questa opzione, Cloud NGFW utilizza le istanze VM come target.

    4. Target: seleziona una delle seguenti opzioni:

      • Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
      • Service account: restringe i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato:

        • Nella sezione Ambito del service account, seleziona In questo progetto > Service account di destinazione. In questo modo, puoi specificare un account di servizio nello stesso progetto della policy del firewall di rete globale.
        • Nella sezione Ambito del service account, seleziona In un altro progetto > Service account di destinazione. In questo modo, puoi specificare un account di servizio in un progetto di servizio VPC condiviso.
      • Tag sicuri: restringe i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona l'ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da abbinare. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.

    5. Direzione del traffico: seleziona In uscita.

    6. Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:

      • Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
      • Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
      • Vai al successivo: per continuare il processo di valutazione delle regole firewall.
      • Applica gruppo di profili di sicurezza: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione in base allo Scopo selezionato.
        • Per inviare pacchetti a un endpoint firewall Cloud NGFW, seleziona Cloud NGFW Enterprise, quindi seleziona un gruppo di profili di sicurezza. Per abilitare l'ispezione TLS dei pacchetti, seleziona Abilita ispezione TLS.
        • Per inviare pacchetti a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda, seleziona NSI in banda, quindi seleziona un Gruppo di profili di sicurezza.

    7. Log: seleziona On per attivare il logging delle regole firewall o Off per disattivarlo per questa regola.

    8. Contesto della rete di destinazione: specifica un contesto di rete:

    9. Filtri di destinazione: specifica parametri di destinazione aggiuntivi. Alcuni parametri di destinazione non possono essere utilizzati insieme e la scelta del contesto della rete di destinazione limita i filtri di destinazione che puoi utilizzare. Per saperne di più, consulta Destinazioni per le regole in uscita e Combinazioni di destinazioni delle regole in uscita.

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi destinazione IPv6.
      • Per filtrare il traffico in uscita in base al nome di dominio completo di destinazione, inserisci i nomi di dominio completi nel campo Nomi di dominio completi. Per saperne di più, consulta Oggetti FQDN.
      • Per filtrare il traffico in uscita in base alla geolocalizzazione della destinazione, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
      • Per filtrare il traffico in uscita in base al gruppo di indirizzi di destinazione, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per le policy del firewall.

    10. Origine: specifica i parametri di origine facoltativi. Per saperne di più, consulta Origini per le regole in uscita.

      • Per saltare il filtro del traffico in uscita in base all'indirizzo IP di origine, seleziona Nessuno.
      • Per filtrare il traffico in uscita in base all'indirizzo IP di origine, seleziona IPv4 o IPv6, quindi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di destinazione o gli intervalli IPv6 di destinazione.

    11. Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico che deve corrispondere alla regola. Per saperne di più, consulta Protocolli e porte.

    12. Applicazione: specifica se la regola firewall viene applicata o meno:

      • Attivata: crea la regola e inizia ad applicarla alle nuove connessioni.
      • Disabilitata: crea la regola, ma non la applica alle nuove connessioni.

  5. Fai clic su Crea.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole di più di una sola unità (ad esempio 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall di rete globale in cui vuoi creare la regola.
  • PROJECT_ID: l'ID progetto che contiene la policy del firewall di rete globale.
  • DESCRIPTION: una descrizione facoltativa della nuova regola.
  • ACTION: specifica una delle seguenti azioni:

    • apply_security_profile_group: invia i pacchetti a un firewall endpoint o a un gruppo di endpoint di intercettazione.
      • Quando l'azione è apply_security_profile_group, devi includere --security-profile-group SECURITY_PROFILE_GROUP, dove SECURITY_PROFILE_GROUP è il nome di un gruppo di profili di sicurezza.
      • Il profilo di sicurezza del gruppo di profili di sicurezza può fare riferimento a un endpoint firewall Cloud NGFW o a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in-band.
      • Se il profilo di sicurezza del gruppo di profili di sicurezza fa riferimento a un endpoint firewall Cloud NGFW, includi --tls-inspect o --no-tls-inspect per attivare o disattivare l'ispezione TLS.
  • I flag --enable-logging e --no-enable-logging attivano o disattivano il logging delle regole firewall VPC.
  • I flag --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:

    • Se ometti i flag --target-secure-tags e --target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi.
    • TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag di sicurezza che restringe i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag di sicurezza.
    • TARGET_SERVICE_ACCOUNTS: un elenco di account di servizio separati da virgole che restringe le destinazioni dell'istanza più ampie alle interfacce di rete delle istanze VM che utilizzano uno degli account di servizio.

  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:

    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (6) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati da due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti, con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000).

    Per saperne di più, consulta Protocolli e porte.

  • Specifica una destinazione per la regola in uscita. Per saperne di più, consulta Combinazioni di destinazioni delle regole in uscita:

    • DEST_NETWORK_CONTEXT: definisce i contesti di rete di destinazione da utilizzare insieme a un altro parametro di destinazione supportato per produrre una combinazione di destinazioni. I valori validi sono INTERNET e NON_INTERNET. Per saperne di più, consulta Contesti di rete.
    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • DEST_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci.
    • DEST_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • DEST_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione.
  • Facoltativamente, specifica un'origine per la regola in uscita:

    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.

Passaggi successivi