Kebijakan firewall hierarkis memungkinkan Anda membuat dan menerapkan kebijakan firewall yang konsisten di seluruh organisasi. Anda dapat menetapkan kebijakan firewall hierarkis ke organisasi secara keseluruhan atau ke folder individual. Kebijakan ini berisi aturan yang dapat secara eksplisit menolak atau mengizinkan koneksi, seperti halnya aturan firewall Virtual Private Cloud (VPC).
Selain itu, aturan kebijakan firewall hierarkis dapat mendelegasikan evaluasi ke kebijakan tingkat rendah atau aturan firewall jaringan VPC dengan tindakan goto_next.
Aturan tingkat yang lebih rendah tidak dapat mengganti aturan dari tempat yang lebih tinggi dalam hierarki resource. Hal ini memungkinkan admin di seluruh organisasi mengelola aturan firewall penting di satu tempat.
Spesifikasi
- Kebijakan firewall hierarkis dibuat di tingkat organisasi dan folder. Membuat kebijakan tidak otomatis menerapkan aturan ke organisasi atau folder.
- Setelah dibuat, kebijakan dapat diterapkan ke (dikaitkan dengan) resource apa pun dalam organisasi.
- Kebijakan firewall hierarkis adalah container untuk aturan firewall. Saat Anda mengaitkan kebijakan dengan organisasi atau folder, semua aturan akan langsung diterapkan. Anda dapat menukar kebijakan untuk resource, yang secara atomik menukar semua aturan firewall yang diterapkan ke instance virtual machine (VM) di bawah resource tersebut.
- Evaluasi aturan bersifat hierarkis berdasarkan hierarki resource. Semua aturan yang terkait dengan organisasi akan dievaluasi, diikuti dengan aturan folder tingkat pertama.
- Aturan kebijakan firewall hierarkis memiliki tindakan
goto_nextbaru yang dapat Anda gunakan untuk mendelegasikan evaluasi koneksi ke tingkat hierarki yang lebih rendah.
- Aturan kebijakan firewall hierarkis dapat ditargetkan ke jaringan VPC dan VM tertentu menggunakan resource target untuk jaringan dan akun layanan target untuk VM. Dengan begitu, Anda dapat membuat pengecualian untuk grup VM. Aturan kebijakan firewall hierarkis tidak mendukung penargetan berdasarkan tag instance.
- Kebijakan firewall hierarkis tidak mendukung jaringan VPC yang menggunakan profil jaringan Remote Direct Memory Access (RDMA), seperti jenis kebijakan
RDMA_ROCE_POLICY. Untuk mengetahui informasi selengkapnya, lihat Cloud NGFW untuk jaringan VPC RoCE. - Aturan kebijakan firewall hierarkis dapat mencakup rentang IPv4 atau IPv6, tetapi tidak keduanya.
- Untuk membantu kepatuhan dan proses debug, aturan firewall yang diterapkan ke instance VM dapat diaudit menggunakan halaman detail jaringan VPC dan halaman detail antarmuka jaringan instance VM.
Hierarki resource
Anda membuat dan menerapkan kebijakan firewall sebagai langkah terpisah. Anda dapat membuat dan menerapkan kebijakan firewall di level organisasi atau folder dari hierarki resource. Aturan kebijakan firewall dapat memblokir koneksi, mengizinkan koneksi, atau menunda evaluasi aturan firewall ke folder tingkat lebih rendah atau aturan firewall VPC yang ditentukan dalam jaringan VPC.
Organisasi adalah resource level teratas dalam hierarki resource di Google Cloud tempat Anda dapat membuat atau mengaitkan kebijakan firewall hierarkis. Semua folder dan jaringan VPC dalam organisasi mewarisi kebijakan ini.
Folder adalah resource tingkat menengah dalam hierarki resource Google Cloud , di antara organisasi dan project, tempat Anda dapat membuat atau menetapkan kebijakan firewall hierarkis. Semua folder dan jaringan VPC dalam folder mewarisi kebijakan terkaitnya.
Project berada di dalam folder atau organisasi. Anda dapat memindahkan project antar-resource dalam organisasi. Project berisi jaringan VPC. Kebijakan firewall hierarkis tidak dapat ditetapkan ke project, hanya ke organisasi atau folder.
Jaringan VPC adalah partisi Google Cloud untuk komunikasi ruang IP internal yang terisolasi. Ini adalah level tempat rute, kebijakan firewall jaringan, dan aturan firewall VPC tradisional ditentukan dan diterapkan. Aturan kebijakan firewall hierarkis dapat mengganti atau mendelegasikan evaluasi koneksi ke kebijakan dan aturan firewall jaringan global.
Secara default, semua aturan kebijakan firewall hierarkis berlaku untuk semua VM di semua project dalam organisasi atau folder yang terkait dengan kebijakan tersebut. Namun, Anda dapat membatasi VM mana yang mendapatkan aturan tertentu dengan menentukan jaringan target atau akun layanan target.
Tingkat hierarki tempat aturan firewall kini dapat diterapkan ditunjukkan dalam diagram berikut. Kotak kuning mewakili kebijakan firewall hierarkis yang berisi aturan firewall, sedangkan kotak putih mewakili aturan firewall VPC.
Detail kebijakan firewall hierarkis
Aturan kebijakan firewall hierarkis ditentukan dalam resource kebijakan firewall yang bertindak sebagai container untuk aturan firewall. Aturan yang ditentukan dalam kebijakan firewall tidak akan diterapkan hingga kebijakan tersebut dikaitkan dengan resource (organisasi atau folder).
Satu kebijakan dapat dikaitkan dengan beberapa resource. Jika Anda mengubah aturan dalam kebijakan, perubahan aturan tersebut akan berlaku untuk semua resource terkait.
Hanya satu kebijakan firewall yang dapat dikaitkan dengan resource. Aturan kebijakan firewall hierarkis dan aturan firewall VPC dievaluasi dalam urutan yang jelas.
Kebijakan firewall yang tidak terkait dengan resource apa pun adalah kebijakan firewall hierarkis yang tidak terkait.
Nama kebijakan
Saat Anda membuat kebijakan baru, Google Cloud akan otomatis membuat ID
untuk kebijakan tersebut. Selain itu, Anda juga menentukan nama pendek untuk kebijakan.
Saat menggunakan antarmuka gcloud untuk memperbarui kebijakan yang ada, Anda dapat mereferensikan
ID yang dibuat sistem atau kombinasi nama pendek dan ID organisasi Anda. Saat menggunakan API untuk memperbarui kebijakan, Anda harus memberikan ID yang dihasilkan sistem.
Detail aturan kebijakan firewall hierarkis
Aturan kebijakan firewall hierarkis berfungsi sama seperti aturan kebijakan firewall dan aturan firewall VPC, tetapi ada beberapa perbedaan:
Kebijakan firewall hierarkis mendukung jaringan target, sedangkan kebijakan firewall jaringan global tidak. Anda dapat menentukan jaringan target untuk membatasi aturan kebijakan firewall ke VM di jaringan yang ditentukan. Menentukan jaringan VPC dalam aturan memberi Anda kontrol atas jaringan mana yang dikonfigurasi dengan aturan tersebut.
Jika digabungkan dengan
goto_nextatauallow, menentukan jaringan target memungkinkan Anda membuat pengecualian untuk jaringan tertentu saat Anda ingin menentukan kebijakan yang ketat.Kebijakan firewall hierarkis adalah resource tingkat organisasi, sedangkan kebijakan firewall jaringan global adalah resource tingkat project.
Aturan dalam kebijakan firewall hierarkis mendukung kunci tag aman sebagai tag aman sumber atau tag aman target. Untuk mengetahui informasi selengkapnya, lihat Tag aman untuk firewall.
Aturan yang telah ditetapkan sebelumnya
Saat Anda membuat kebijakan firewall hierarkis, Cloud Next Generation Firewall (Cloud NGFW) menambahkan aturan yang telah ditetapkan dengan prioritas terendah ke kebijakan tersebut. Aturan ini diterapkan ke koneksi apa pun yang tidak cocok dengan aturan yang ditentukan secara eksplisit dalam kebijakan, sehingga koneksi tersebut diteruskan ke kebijakan atau aturan jaringan tingkat yang lebih rendah.
Untuk mempelajari berbagai jenis aturan yang telah ditetapkan dan karakteristiknya, lihat Aturan yang telah ditetapkan untuk kebijakan firewall.
Mengelola resource kebijakan firewall hierarkis
Karena kebijakan firewall hierarkis hanya menentukan serangkaian aturan firewall dan bukan tempat penerapannya, Anda dapat membuat resource ini di bagian hierarki yang berbeda dari resource yang diterapkan. Dengan demikian, Anda dapat mengaitkan satu resource kebijakan firewall hierarkis dengan beberapa folder dalam organisasi.
Dalam contoh berikut, policy-1 diterapkan ke folder dev-projects dan
corp-projects, sehingga diterapkan pada semua project di folder tersebut.
Mengubah aturan kebijakan
Anda dapat menambahkan, menghapus, dan mengubah aturan dalam kebijakan. Setiap perubahan dilakukan satu per satu; tidak ada mekanisme untuk mengupdate aturan secara batch dalam kebijakan. Perubahan diterapkan kira-kira sesuai urutan eksekusi perintah, meskipun hal ini tidak dijamin.
Jika Anda membuat perubahan ekstensif pada kebijakan firewall hierarkis dan perlu memastikan bahwa perubahan tersebut diterapkan secara bersamaan, Anda dapat meng-clone kebijakan tersebut ke kebijakan sementara dan menetapkan kebijakan sementara tersebut ke resource yang sama. Kemudian, Anda dapat membuat perubahan pada versi asli, lalu menetapkan kembali versi asli ke resource. Untuk mengetahui langkah-langkahnya, lihat Meng-clone aturan dari satu kebijakan ke kebijakan lain.
Dalam contoh berikut, policy-1 dilampirkan ke folder dev-projects,
dan Anda ingin membuat beberapa perubahan yang berlaku secara atomik. Buat kebijakan baru bernama scratch-policy, lalu salin semua aturan yang ada dari policy-1 ke scratch-policy untuk diedit. Setelah Anda selesai mengedit,
salin semua aturan dari scratch-policy kembali ke policy-1.
Memindahkan kebijakan
Kebijakan firewall hierarkis, seperti project, diinduki oleh resource folder atau organisasi. Seiring berkembangnya skema folder, Anda mungkin perlu memindahkan kebijakan firewall hierarkis ke folder baru, mungkin sebelum penghapusan folder. Kebijakan yang dimiliki oleh folder akan dihapus jika folder tersebut dihapus.
Diagram berikut mengilustrasikan pemindahan kebijakan di antara resource atau evaluasi aturan dalam kebijakan.
Mengaitkan kebijakan firewall hierarkis dengan folder
Kebijakan firewall hierarkis tidak diterapkan kecuali jika dikaitkan dengan organisasi atau folder. Setelah dikaitkan, kebijakan ini akan diterapkan ke semua VM di semua jaringan dalam organisasi atau folder tersebut.
Perubahan pada hierarki resource
Perubahan pada hierarki resource mungkin memerlukan waktu beberapa saat untuk diterapkan di seluruh sistem. Sebaiknya hindari update simultan pada lampiran kebijakan firewall hierarkis dan hierarki resource karena jaringan mungkin tidak langsung mewarisi kebijakan firewall hierarkis yang ditentukan di lokasi baru dalam hierarki.
Misalnya, jika Anda memindahkan folder dept-A dari folder dev-projects
ke folder eng-projects dan mengubah pengaitan policy-1
ke eng-projects, bukan dev-projects, pastikan untuk tidak membatalkan pengaitan
policy-1 dari dev-projects secara bersamaan. Jika folder dev-projects kehilangan pengaitan kebijakan firewall hierarkisnya sebelum semua jaringan VPC di bawahnya diperbarui silsilahnya, untuk waktu yang singkat, jaringan VPC tersebut tidak akan dilindungi oleh policy-1.
Menggunakan kebijakan firewall hierarkis dengan VPC Bersama
Dalam skenario VPC Bersama, antarmuka VM yang terhubung ke jaringan project host diatur oleh aturan kebijakan firewall hierarkis project host, bukan project layanan.
Meskipun project layanan berada di folder yang berbeda dengan project host, antarmuka VM di jaringan bersama tetap mewarisi aturan folder project host.
Menggunakan kebijakan firewall hierarkis dengan Peering Jaringan VPC
Dalam skenario Peering Jaringan VPC, antarmuka VM yang terkait dengan setiap jaringan VPC mewarisi kebijakan dalam hierarki di jaringan VPC masing-masing. Berikut adalah contoh Peering Jaringan VPC dengan jaringan yang di-peering VPC berasal dari organisasi yang berbeda.
Langkah berikutnya
- Untuk membuat dan mengubah kebijakan dan aturan firewall hierarkis, lihat Membuat kebijakan dan aturan firewall hierarkis serta Mengelola kebijakan dan aturan firewall hierarkis.
- Untuk mengetahui informasi selengkapnya tentang contoh penerapan kebijakan firewall hierarkis, lihat Contoh kebijakan firewall hierarkis.