ファイアウォール エンドポイントは、ネットワークで 侵入検知および防止サービス、 高度なマルウェア サンドボックス（WildFire） （プレビュー）、 URL フィルタリング サービスなどの レイヤ 7 の高度な保護機能を有効にする Cloud Next Generation Firewall リソースです。
このページでは、ファイアウォール エンドポイントとその機能について詳しく説明します。
仕様
このセクションでは、ファイアウォール エンドポイントのプロパティの概要について説明します。実装要件と機能の詳細については、このページの該当するセクションをご覧ください。
ファイアウォール エンドポイントは、組織レベルまたはプロジェクト レベルで構成できるゾーンリソースです。
組織レベルのファイアウォール エンドポイント: 組織管理者は 、組織全体またはフォルダレベルでセキュリティを 一元化するために、これらのエンドポイントを作成して管理します。
プロジェクト レベルのファイアウォール エンドポイント: プロジェクト管理者は、プロジェクト内でこれらのエンドポイントを作成して 管理します。組織内の任意の VPC ネットワークをプロジェクト レベルのエンドポイントに関連付けることができます。組織レベルのファイアウォール エンドポイントを作成するための組織レベルの権限を取得できない場合は、プロジェクト レベルのファイアウォール エンドポイントを作成します。
ファイアウォール エンドポイントは、インターセプトされたトラフィックに対してレイヤ 7 ファイアウォール検査を実行します。詳細については、 ファイアウォール エンドポイントの仕組みをご覧ください。
レイヤ 7 検査を有効にするエンドポイントとワークロードは、同じゾーンに存在する必要があります。詳細については、 デプロイに関する考慮事項をご覧ください。
ゾーンにファイアウォール エンドポイントを作成して 1 つ以上の VPC ネットワークに接続すると、同じゾーン内のワークロードをモニタリングできます。VPC ネットワークが複数のゾーンにまたがっている場合は、各ゾーンに 1 つのファイアウォール エンドポイントを接続できます。特定のゾーンの VPC ネットワークにファイアウォール エンドポイントを接続しないと、そのゾーンのワークロード トラフィックにレイヤ 7 検査は実行されません。
ファイアウォール エンドポイントの関連付けを使用して、ファイアウォール エンドポイントを VPC ネットワークに接続します。
レイヤ 7 検査を有効にするエンドポイントとワークロードは、同じゾーンに存在する必要があります。詳細については、 デプロイに関する考慮事項をご覧ください。
ファイアウォール エンドポイントは、Transport Layer Security（TLS）インスペクションで最大 2 Gbps のトラフィック、TLS インスペクションなしで 10 Gbps のトラフィックを処理できます。 トラフィックが多すぎると、エンドポイントが過負荷になり、パケットロスが発生する可能性があります。 ファイアウォール エンドポイントの容量使用率をモニタリングするには、
firewall_endpointネットワーク セキュリティ指標をご覧ください。エンドポイントは承認されていないメッセージを転送しないため、過負荷のエンドポイントはトラフィックを検査できない場合、正当なトラフィックをドロップする可能性があります。
ファイアウォール エンドポイントの接続ごとの最大スループットは、TLS インスペクションありで 250 Mbps、TLS インスペクションなしで 1.25 Gbps です。
サイズが最大 8,588 バイトのジャンボ フレームを処理するファイアウォール エンドポイントを作成できます。または、ジャンボ フレームをサポートしないエンドポイントを作成することもできます。詳細については、 サポートされているパケットサイズをご覧ください。
ファイアウォール エンドポイントを削除できるのは、関連付けられている VPC ネットワークがない場合のみです。詳細については、 ファイアウォール エンドポイントの関連付けをご覧ください。
プロジェクト レベルのファイアウォール エンドポイントは、顧客管理の暗号鍵（CMEK）をサポートしています。CMEK を使用すると、独自の暗号鍵を使用してファイアウォール インフラストラクチャ内の保存データを保護できます。詳細については、 顧客管理の暗号鍵をご覧ください。
ファイアウォール エンドポイントの仕組み
Cloud NGFW は、 Google Cloudのパケット インターセプト テクノロジー を使用して、 Google Cloud Virtual Private Cloud（VPC）ネットワーク内の ワークロードからファイアウォール エンドポイントにトラフィックをリダイレクトします。パケット インターセプト は、トラフィックの 既存のルーティング ポリシーを変更することなく、選択したネットワーク トラフィックのパスにネットワーク アプライアンスを挿入する Google Cloud 機能です。
Cloud NGFW は、このフローにレイヤ 7 検査を構成した場合にのみ、VPC ネットワーク内のワークロード トラフィックをファイアウォール エンドポイントにリダイレクトします。Cloud NGFW は、レイヤ 7 検査のためにファイアウォール エンドポイントにリダイレクトされる各パケットに VPC ネットワーク識別子を追加します。IP アドレス範囲が重複する複数の VPC ネットワークがある場合、このネットワーク識別子により、リダイレクトされる各パケットが VPC ネットワークに正しく関連付けられます。
容量とパフォーマンス
ファイアウォール エンドポイントの接続ごとの最大スループットは、TLS インスペクションありで 250 Mbps、TLS インスペクションなしで 1.25 Gbps です。 トラフィックが多すぎると、エンドポイントが過負荷になり、パケットロスが発生する可能性があります。エンドポイントは承認されていないメッセージを転送しないため、過負荷のエンドポイントはトラフィックを検査できない場合、正当なトラフィックをドロップする可能性があります。
ファイアウォール エンドポイントの容量使用率をモニタリングするには、
firewall_endpoint ネットワーク セキュリティ指標をご覧ください。
サポートされているパケットサイズ
ファイアウォール エンドポイントは、ジャンボ フレームをサポートしているか、サポートしていません。
ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,588 バイトのパケットを受け入れることができます。
Cloud NGFW は、 GENEVE カプセル化 （データ検査に必要）とその他の拡張機能用に 308 バイトを追加で予約します。したがって、合計 パケットサイズ 8,896 バイトは、 Google Cloud がサポートする最大伝送 単位（MTU）の最大値と一致します。
ジャンボ フレームをサポートしないファイアウォール エンドポイントは、最大 1,460 バイトのパケットを受け入れることができます。
レイヤ 7 検査を正常に実行するには、 エンドポイントに関連付けられた VPC ネットワークが 次の MTU 上限に従うように構成します。
ジャンボ フレームをサポートするエンドポイントの場合は、VPC ネットワークで 8,588 バイト以下の MTU を使用していることを確認してください。
ジャンボ フレームをサポートしないエンドポイントの場合は、VPC ネットワークで 1,460 バイト以下の MTU を使用していることを確認してください。
ジャンボ フレームをサポートするファイアウォール エンドポイントと、ジャンボ フレームをサポートしないファイアウォール エンドポイントを作成できます。ただし、既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、 ファイアウォール エンドポイントを作成するをご覧ください。
デプロイに関する考慮事項
ファイアウォール エンドポイントの関連付け を使用して、ファイアウォール エンドポイントを VPC ネットワークに接続します。ワークロードをモニタリングするには、ゾーンにファイアウォール エンドポイントを作成して、同じゾーン内の 1 つ以上の VPC ネットワークに接続します。VPC ネットワークが複数のゾーンにまたがっている場合は、各ゾーンに 1 つのファイアウォール エンドポイントを接続できます。
ワークロードと同じゾーンにファイアウォール エンドポイントを作成すると、次の利点があります。
- レイテンシの短縮。ファイアウォール エンドポイントは、トラフィックをインターセプト、検査、再挿入できるため、異なるゾーンにあるファイアウォール エンドポイントよりもレイテンシが低くなります。
- ゾーン間トラフィックがない。トラフィックを同じゾーン内に維持することで、コストが削減されます。
- トラフィックの信頼性が向上。トラフィックを同じゾーン内に維持することで、ゾーンをまたいだサービスの停止のリスクを回避できます。
特定のゾーンの VPC ネットワークにファイアウォール エンドポイントを接続しないと、Cloud NGFW はそのゾーンのワークロード トラフィックにレイヤ 7 検査を実行しません。
インフラストラクチャと信頼性
ファイアウォール エンドポイントを作成すると、Google は一連の専用仮想マシン（VM）インスタンスを提供します。このアーキテクチャにより、トラフィックの信頼性、パフォーマンス、セキュリティの分離を確保し、証明書を管理できます。
Google では、ファイアウォール エンドポイントに適切なフェイルオーバー メカニズムを使用して高可用性を実現しています。これらのメカニズムにより、関連付けられた VPC ネットワーク内のすべての VM インスタンスに対して信頼性の高いファイアウォール保護が保証されます。
ファイアウォール エンドポイントの関連付け
ファイアウォール エンドポイントの関連付けは、ファイアウォール エンドポイントを同じゾーン内の VPC ネットワークにリンクします。この関連付けを定義すると、Cloud NGFW は、レイヤ 7 検査を必要とする VPC ネットワーク内のゾーン ワークロード トラフィックを、接続されたファイアウォール エンドポイントに転送します。
VPC ネットワークを組織レベルまたはプロジェクト レベルのファイアウォール エンドポイントに関連付けることができます。VPC ネットワークを関連付ける際は、次の点を考慮してください。
プロジェクト間の関連付け: エンドポイントと VPC ネットワークが異なるプロジェクトにある場合、両方のプロジェクトが同じ 組織に属している必要があります。
ゾーンの上限: 1 つのゾーンに 1 つの ファイアウォール エンドポイントのみを VPC ネットワークに関連付けます。この上限には、組織レベルのエンドポイントとプロジェクト レベルのエンドポイントの両方が含まれます。
プロジェクト レベルのファイアウォール エンドポイントによるトラフィックのインターセプト
プロジェクト レベルのファイアウォール エンドポイントを使用してトラフィックをインターセプトして検査するには、次の要件を満たしていることを確認してください。
- VM インスタンスのゾーン内の VPC ネットワークが、ターゲット ファイアウォール エンドポイントに関連付けられている。
- トラフィックが、
apply_security_profile_groupアクションを含むファイアウォール ポリシー ルールに一致する。 - セキュリティ プロファイル グループが、ファイアウォール エンドポイントと同じプロジェクトに存在する。
高度なマルウェア サンドボックスのファイアウォール エンドポイント
高度なマルウェア サンドボックスを有効にしてファイアウォール エンドポイントを作成すると、基本的なシグネチャ マッチングを超えてネットワーク保護を拡張できます。侵入検知および防止サービスは既知のシグネチャを持つマルウェアのみをブロックできますが、高度なマルウェア サンドボックスでは、新しいファイルベースの脅威を認識してブロックするために、ほぼリアルタイムの更新が追加されます。
ファイアウォール エンドポイントの作成または編集時に高度なマルウェア サンドボックスを有効にすると、[詳細構成] セクションで追加の設定を構成できます。追加の構成は次のとおりです。
リージョン: ファイアウォール エンドポイントが脅脅威分析のために不明なファイルまたは疑わしいファイルを送信する地理的リージョンを指定します。リージョンを指定しない場合、エンドポイントは、レイテンシを最小限に抑えるために、そのロケーションに基づいて最も近い利用可能なリージョンの高度なマルウェア サンドボックス クラウドに自動的にデフォルト設定されます。
コンテンツ クラウド リージョン: エンドポイントが使用するコンテンツ クラウド リージョンを指定します。デフォルトでは、最も近い利用可能なリージョンになります。
シグネチャ ルックアップのタイムアウト: 高度なマルウェア サンドボックス クラウドがリアルタイム シグネチャ ルックアップを実行している間、ファイアウォールがファイルを保持する最大時間 （ミリ秒）。
シグネチャ ルックアップのタイムアウト アクション: リアルタイム シグネチャ ルックアップが構成されたタイムアウトしきい値を超えた場合のファイアウォールのレスポンスを定義します。ファイルの
AllowまたはDenyを選択できます。 デフォルトのアクションはAllowです。HTTP 部分応答のブロック: ブロックされた悪意のある HTTP ファイルのダウンロードの再開をブロックできます。このオプションを選択すると、最大限のセキュリティが確保されます。
インライン クラウド分析の最大時間: インライン クラウド分析でファイルが評価されている間、ファイアウォールがファイルを保持する最大タイムアウト （インターフェースに応じて秒またはミリ秒）。
インライン クラウド分析のタイムアウト アクション: インライン クラウド分析プロセスがタイムアウトした場合のアクションを定義します。ファイル転送を
AllowまたはDenyするように構成できます。デフォルトのアクションはAllowです。送信タイムアウト ロギングを有効にする: インライン クラウド分析中にタイムアウトしたファイルのログ 生成を有効にできます。
高度なマルウェア サンドボックスの詳細については、 高度なマルウェア サンドボックスの概要をご覧ください。
高度なマルウェア サンドボックスでファイアウォール エンドポイントを作成するには、 ファイアウォール エンドポイントとエンドポイントの関連付けを作成するをご覧ください。
IAM ロール
Identity and Access Management（IAM）ロールは、次のファイアウォール エンドポイント アクションを管理します。
- 組織またはプロジェクトでのファイアウォール エンドポイントの作成
- 組織またはプロジェクトでのファイアウォール エンドポイントの変更または削除
- 組織またはプロジェクトでのファイアウォール エンドポイントの詳細の表示
- 組織またはプロジェクトで構成されているすべてのファイアウォール エンドポイントの表示
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| ファイアウォール エンドポイントを作成する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントを変更する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントを削除する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの詳細を表示する | 次のいずれかのロール:
|
| すべてのファイアウォール エンドポイントを表示する | 次のいずれかのロール:
|
IAM ロールは、次のファイアウォール エンドポイントの関連付けアクションを管理します。
- プロジェクトでのファイアウォール エンドポイントの関連付けの作成
- ファイアウォール エンドポイントの関連付けの変更または削除
- ファイアウォール エンドポイントの関連付けの詳細の表示
- プロジェクトで構成されたすべてのファイアウォール エンドポイントの関連付けの表示
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| ファイアウォール エンドポイントの関連付けの作成 | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの関連付けを変更する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの関連付けを削除する | 次のいずれかのロール:
|
| プロジェクト内のファイアウォール エンドポイントの関連付けの詳細を表示する | 次のいずれかのロール:
|
| プロジェクト内のすべてのファイアウォール エンドポイントの関連付けを表示する | 次のいずれかのロール:
|
割り当て
ファイアウォール エンドポイントに関連付けられた割り当てを表示するには、割り当てと上限をご覧ください。
次のステップ
- URL フィルタリング サービスを構成する
- 侵入検知および防止サービスを構成する
- 高度なマルウェア サンドボックス サービスを構成する
- ファイアウォール エンドポイントとエンドポイントの関連付けを作成する