Ringkasan endpoint firewall

Endpoint firewall adalah resource Cloud Next Generation Firewall yang mengaktifkan kemampuan perlindungan tingkat lanjut Lapisan 7, seperti layanan pemfilteran URL dan layanan deteksi dan pencegahan penyusupan, di jaringan Anda. Halaman ini memberikan ringkasan mendetail tentang endpoint firewall dan kemampuannya.

Spesifikasi

  • Endpoint firewall adalah resource zonal yang dapat Anda konfigurasi di tingkat organisasi atau tingkat project.

    • Endpoint firewall tingkat organisasi: gunakan ini untuk membuat dan mengelola kebijakan di seluruh organisasi atau di tingkat folder.

    • Endpoint firewall tingkat project: gunakan ini untuk membuat dan mengelola kebijakan dalam project tertentu.

  • Endpoint firewall melakukan pemeriksaan firewall Lapisan 7 pada traffic yang dicegat.

  • Cloud Next Generation Firewall menggunakan Google Cloud's teknologi pencegat paket untuk mengalihkan traffic secara transparan dari Google Cloud workload di jaringan Virtual Private Cloud (VPC) ke endpoint firewall.

    Pencegat paket adalah Google Cloud kemampuan yang secara transparan menyisipkan peralatan jaringan di jalur traffic jaringan yang dipilih tanpa mengubah kebijakan pemilihan rute yang ada.

  • Cloud NGFW mengalihkan traffic workload di jaringan VPC ke endpoint firewall hanya jika pemeriksaan Lapisan 7 dikonfigurasi untuk diterapkan ke alur ini.

  • Cloud NGFW menambahkan ID jaringan VPC ke setiap paket yang dialihkan ke endpoint firewall untuk pemeriksaan Lapisan 7. Jika Anda memiliki beberapa jaringan VPC dengan rentang alamat IP yang tumpang-tindih, ID jaringan ini akan membantu memastikan bahwa setiap paket yang dialihkan dikaitkan dengan benar ke jaringan VPC-nya.

  • Anda dapat membuat endpoint firewall di zona dan melampirkannya ke satu atau beberapa jaringan VPC untuk memantau workload di zona yang sama. Jika jaringan VPC Anda mencakup beberapa zona, Anda dapat melampirkan satu endpoint firewall di setiap zona. Jika Anda tidak melampirkan endpoint firewall ke jaringan VPC di zona tertentu, tidak ada pemeriksaan Lapisan 7 yang dilakukan pada traffic workload untuk zona tersebut.

    Anda menggunakan pengaitan endpoint firewall untuk melampirkan endpoint firewall ke jaringan VPC.

  • Endpoint dan workload yang ingin Anda aktifkan pemeriksaan Lapisan 7 harus berada di zona yang sama. Membuat endpoint firewall di zona yang sama dengan workload memiliki manfaat berikut:

    • Latensi lebih rendah. Karena endpoint firewall dapat mencegat, memeriksa, dan menyuntikkan kembali traffic ke jaringan, latensinya lebih rendah daripada endpoint firewall di zona yang berbeda.

    • Tidak ada traffic lintas zona. Mempertahankan traffic dalam zona yang sama memastikan biaya yang lebih rendah.

    • Traffic yang lebih andal. Mempertahankan traffic dalam zona yang sama menghilangkan risiko pemadaman lintas zona.

  • Endpoint firewall dapat memproses traffic hingga 2 Gbps dengan pemeriksaan Transport Layer Security (TLS), dan traffic 10 Gbps tanpa pemeriksaan TLS. Traffic yang berlebihan dapat membebani endpoint dan menyebabkan kehilangan paket. Untuk memantau penggunaan kapasitas endpoint firewall, lihat firewall_endpoint metrik keamanan jaringan.

  • Karena endpoint tidak meneruskan pesan yang tidak disetujui, endpoint yang kelebihan beban mungkin akan menghilangkan traffic yang sah jika tidak dapat memeriksa traffic tersebut.

  • Endpoint firewall dapat memiliki throughput per koneksi maksimum sebesar 250 Mbps traffic dengan pemeriksaan TLS dan 1,25 Gbps traffic tanpa pemeriksaan TLS.

  • Anda dapat membuat endpoint firewall yang memproses frame jumbo hingga berukuran 8.588 byte. Atau, Anda dapat membuat endpoint tanpa dukungan frame jumbo. Untuk mengetahui informasi selengkapnya, lihat Ukuran paket yang didukung.

  • Anda hanya dapat menghapus endpoint firewall jika tidak ada jaringan VPC yang terkait dengannya.

  • Google mengelola infrastruktur, load balancing, penskalaan otomatis, dan siklus proses endpoint firewall. Saat Anda membuat endpoint firewall, Google akan menyediakan serangkaian instance mesin virtual (VM) khusus, yang memastikan keandalan, performa, dan isolasi keamanan untuk traffic Anda, beserta pengelolaan sertifikat.

  • Google menyediakan ketersediaan tinggi dengan menggunakan mekanisme failover yang tepat untuk endpoint firewall, yang memastikan perlindungan firewall yang andal untuk semua instance VM yang tercakup dalam jaringan VPC terlampir.

  • Endpoint firewall tingkat project mendukung kunci enkripsi yang dikelola pelanggan (CMEK). Anda dapat menggunakan CMEK untuk melindungi data tidak aktif dalam infrastruktur firewall dengan menggunakan kunci enkripsi Anda sendiri. Untuk mengetahui informasi selengkapnya, lihat Kunci enkripsi yang dikelola pelanggan.

Pengaitan endpoint firewall

Pengaitan endpoint firewall menautkan endpoint firewall ke jaringan VPC di zona yang sama. Setelah Anda menentukan pengaitan ini, Cloud NGFW akan meneruskan traffic workload zonal di jaringan VPC Anda yang memerlukan pemeriksaan Lapisan 7 ke endpoint firewall terlampir.

Anda dapat mengaitkan jaringan VPC dengan endpoint firewall tingkat organisasi atau tingkat project. Untuk mengaitkan jaringan VPC, pertimbangkan hal berikut:

  • Pengaitan lintas project: jika endpoint dan jaringan VPC berada di project yang berbeda, kedua project harus berada di organisasi yang sama.

  • Batas zonal: kaitkan jaringan VPC hanya dengan satu endpoint firewall per zona. Batas ini mencakup endpoint tingkat organisasi dan tingkat project.

Pencegatan traffic oleh endpoint firewall tingkat project

Untuk mencegat dan memeriksa traffic menggunakan endpoint firewall tingkat project, pastikan persyaratan berikut terpenuhi:

  • Jaringan VPC di zona instance VM dikaitkan dengan endpoint firewall target.
  • Traffic cocok dengan aturan kebijakan firewall dengan tindakan apply_security_profile_group.
  • Grup profil keamanan ada di project yang sama dengan endpoint firewall.

Ukuran paket yang didukung

Endpoint firewall mendukung atau tidak mendukung frame jumbo.

  • Endpoint firewall dengan dukungan frame jumbo dapat menerima paket hingga 8.588 byte.

    Cloud NGFW mencadangkan 308 byte tambahan untuk enkapsulasi GENEVE (diperlukan untuk pemeriksaan data) dan untuk ekstensi lainnya. Oleh karena itu, ukuran paket total sebesar 8.896 byte cocok dengan unit transmisi maksimum (MTU) tertinggi yang mungkin didukung Google Cloud .

  • Endpoint firewall tanpa dukungan frame jumbo dapat menerima paket hingga 1.460 byte.

Untuk melakukan pemeriksaan Lapisan 7 dengan berhasil, konfigurasi jaringan VPC yang terkait dengan endpoint untuk mengikuti batas MTU ini:

  • Untuk endpoint dengan dukungan frame jumbo, pastikan jaringan VPC menggunakan MTU sebesar 8.588 byte atau kurang.

  • Untuk endpoint tanpa dukungan frame jumbo, pastikan jaringan VPC menggunakan MTU sebesar 1.460 byte atau kurang.

Anda dapat membuat endpoint firewall dengan atau tanpa dukungan frame jumbo. Namun, Anda tidak dapat mengonfigurasi ulang endpoint yang ada untuk menambahkan atau menghapus dukungan frame jumbo. Untuk menambahkan atau menghapus dukungan frame jumbo, hapus endpoint dan buat ulang. Untuk mengetahui informasi selengkapnya, lihat Membuat endpoint firewall.

Peran IAM

Peran Pengelolaan Akses dan Identitas (IAM) mengatur tindakan endpoint firewall berikut:

  • Membuat endpoint firewall di organisasi atau project
  • Mengubah atau menghapus endpoint firewall di organisasi atau project
  • Melihat detail endpoint firewall di organisasi atau project
  • Melihat semua endpoint firewall yang dikonfigurasi di organisasi atau project

Tabel berikut menjelaskan peran yang diperlukan untuk setiap langkah.

Kemampuan Peran yang diperlukan
Membuat endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk endpoint firewall tingkat project
Mengubah endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk endpoint firewall tingkat project
Menghapus endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk endpoint firewall tingkat project
Melihat detail tentang endpoint firewall Salah satu peran berikut:
Melihat semua endpoint firewall Salah satu peran berikut:

Peran IAM mengatur tindakan pengaitan endpoint firewall berikut:

  • Membuat pengaitan endpoint firewall di project
  • Mengubah atau menghapus pengaitan endpoint firewall
  • Melihat detail pengaitan endpoint firewall
  • Melihat semua pengaitan endpoint firewall yang dikonfigurasi di project

Tabel berikut menjelaskan peran yang diperlukan untuk setiap langkah.

Kemampuan Peran yang diperlukan
Membuat pengaitan endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk pengaitan endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk pengaitan endpoint firewall tingkat project
  • Pengguna Jaringan Compute (roles/compute.networkUser)
Mengubah pengaitan endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk pengaitan endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk pengaitan endpoint firewall tingkat project
Menghapus pengaitan endpoint firewall Salah satu peran berikut:
  • Admin Jaringan Compute (roles/compute.networkAdmin)
  • Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) yang diberikan di tingkat organisasi untuk pengaitan endpoint firewall tingkat organisasi, dan di tingkat project atau tingkat organisasi untuk pengaitan endpoint firewall tingkat project
Melihat detail tentang pengaitan endpoint firewall di project Salah satu peran berikut:
Melihat semua pengaitan endpoint firewall di project. Salah satu peran berikut:

Kuota

Untuk melihat kuota yang terkait dengan endpoint firewall, lihat Kuota dan batas.

Langkah berikutnya