Der Firewall-Endpunkt ist eine Cloud Next Generation Firewall-Ressource, die erweiterte Layer-7-Sicherheitsfunktionen wie den URL-Filterdienst und den Dienst zur Einbruchserkennung und -vermeidung in Ihrem Netzwerk ermöglicht. Auf dieser Seite erhalten Sie eine detaillierte Übersicht über Firewall-Endpunkte und ihre Funktionen.
Spezifikationen
Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie auf Organisationsebene oder Projektebene konfigurieren können.
Firewall-Endpunkt auf Organisationsebene: Verwenden Sie diese Option, um Richtlinien für Ihre gesamte Organisation oder auf Ordnerebene zu erstellen und zu verwalten.
Firewall-Endpunkt auf Projektebene: Verwenden Sie diese Option, um Richtlinien in einem bestimmten Projekt zu erstellen und zu verwalten.
Firewall-Endpunkte führen eine Layer-7-Firewallprüfung für den abgefangenen Traffic aus.
Cloud Next Generation Firewall uses Google Cloud's packet intercept technology to transparently redirect traffic from the Google Cloud workloads in a Virtual Private Cloud (VPC) network to the firewall endpoints.
Der Paketabfang ist eine Google Cloud Funktion, mit der Netzwerk-Appliances transparent in den Pfad des ausgewählten Netzwerk-Traffics eingefügt werden, ohne ihre vorhandenen Routingrichtlinien zu ändern.
Cloud NGFW leitet den Arbeitslast-Traffic in einem VPC-Netzwerk nur dann an den Firewall-Endpunkt weiter, wenn die Layer-7-Prüfung für diesen Flow konfiguriert ist.
Cloud NGFW fügt jedem Paket, das zur Layer-7-Prüfung an den Firewall-Endpunkt weitergeleitet wird, eine VPC-Netzwerk-ID hinzu. Wenn Sie mehrere VPC-Netzwerke mit überlappenden IP-Adressbereichen haben, sorgt diese Netzwerk-ID dafür, dass jedes weitergeleitete Paket korrekt mit seinem VPC-Netzwerk verknüpft wird.
Sie können einen Firewall-Endpunkt in einer Zone erstellen und an ein oder mehrere VPC-Netzwerke anhängen, um Arbeitslasten in derselben Zone zu überwachen. Wenn sich Ihr VPC-Netzwerk über mehrere Zonen erstreckt, können Sie in jeder Zone einen Firewall-Endpunkt anhängen. Wenn Sie einen Firewall-Endpunkt nicht an ein VPC-Netzwerk in einer bestimmten Zone anhängen, wird keine Layer-7-Prüfung für den Arbeitslast-Traffic dieser Zone durchgeführt.
Sie verwenden Firewall-Endpunkt verknüpfung , um einen Firewall-Endpunkt an ein VPC-Netzwerk anzuhängen.
Der Endpunkt und die Arbeitslasten, für die Sie die Layer-7-Prüfung aktivieren möchten, müssen sich in derselben Zone befinden. Das Erstellen des Firewall-Endpunkts in derselben Zone wie die Arbeitslasten hat folgende Vorteile:
Geringere Latenz. Da Firewall-Endpunkte den Traffic abfangen, untersuchen und wieder in das Netzwerk einfügen können, ist die Latenz geringer als bei Firewall-Endpunkten in unterschiedlichen Zonen.
Kein zonenübergreifender Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, werden die Kosten gesenkt.
Zuverlässigerer Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, verringern Sie das Risiko von zonenübergreifenden Ausfällen.
Firewall-Endpunkte können bis zu 2 Gbit/s Traffic mit TLS-Prüfung (Transport Layer Security) und 10 Gbit/s Traffic ohne TLS-Prüfung verarbeiten. Übermäßiger Traffic kann den Endpunkt überlasten und zu Paketverlusten führen. Informationen zur Überwachung der Kapazitätsauslastung des Firewall-Endpunkts finden Sie unter
firewall_endpointMesswerte zur Netzwerksicherheit.Da der Endpunkt nicht genehmigte Nachrichten nicht weiterleitet, kann ein überlasteter Endpunkt legitimen Traffic verwerfen, wenn er ihn nicht prüfen kann.
Firewall-Endpunkte können einen Durchsatz von maximal 250 Mbit/s pro Verbindung mit TLS-Prüfung und 1,25 Gbit/s ohne TLS-Prüfung haben.
Sie können einen Firewall-Endpunkt erstellen,der Jumbo-Frames mit einer Größe von bis zu 8.588 Byte verarbeitet. Alternativ können Sie einen Endpunkt ohne Jumbo-Frame-Unterstützung erstellen. Weitere Informationen finden Sie unter Unterstützte Paketgröße.
Sie können einen Firewall-Endpunkt nur löschen, wenn ihm keine VPC-Netzwerke zugeordnet sind.
Google verwaltet die Infrastruktur, das Load Balancing, das Autoscaling und den Lebenszyklus der Firewall-Endpunkte. Wenn Sie einen Firewall-Endpunkt erstellen, bietet Google eine Reihe dedizierter VM-Instanzen, die neben der Zertifikatsverwaltung eine hohe Zuverlässigkeit, Leistung und Sicherheitsisolation für Ihren Traffic gewährleisten.
Google bietet Hochverfügbarkeit mithilfe ordnungsgemäßer Failover-Mechanismen für die Firewall-Endpunkte. Dadurch wird ein zuverlässiger Firewallschutz für alle VM-Instanzen gewährleistet, die im verbundenen VPC-Netzwerk abgedeckt sind.
Firewall-Endpunkte auf Projektebene unterstützen kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK). Mit CMEK können Sie ruhende Daten in der Firewallinfrastruktur mit Ihren eigenen Verschlüsselungsschlüsseln schützen. Weitere Informationen finden Sie unter Kundenverwaltete Verschlüsselung schlüssel.
Firewall-Endpunktverknüpfungen
Die Firewall-Endpunktverknüpfung verknüpft einen Firewall-Endpunkt mit einem VPC-Netzwerk in derselben Zone. Nachdem Sie diese Verknüpfung definiert haben, leitet Cloud NGFW den zonalen Arbeitslast-Traffic in Ihrem VPC-Netzwerk, der eine Layer-7-Prüfung erfordert, an den angehängten Firewall-Endpunkt weiter.
Sie können ein VPC-Netzwerk mit einem Firewall-Endpunkt auf Organisationsebene oder Projektebene verknüpfen. Beachten Sie beim Verknüpfen eines VPC-Netzwerk Folgendes:
Projektübergreifende Verknüpfung: Wenn sich der Endpunkt und das VPC Netzwerk in verschiedenen Projekten befinden, müssen beide Projekte derselben Organisation angehören.
Zonales Limit: Verknüpfen Sie ein VPC-Netzwerk nur mit einem Firewall-Endpunkt pro Zone. Dieses Limit umfasst sowohl Endpunkte auf Organisationsebene als auch auf Projektebene.
Trafficabfang durch Firewall-Endpunkte auf Projektebene
Damit Traffic mit einem Firewall-Endpunkt auf Projektebene abgefangen und geprüft werden kann, müssen die folgenden Anforderungen erfüllt sein:
- Ein VPC-Netzwerk in der Zone der VM-Instanz ist mit dem Ziel-Firewall-Endpunkt verknüpft.
- Der Traffic entspricht einer Firewallrichtlinienregel mit der Aktion
apply_security_profile_group. - Die Sicherheitsprofilgruppe befindet sich im selben Projekt wie der Firewall-Endpunkt.
Unterstützte Paketgröße
Ein Firewall-Endpunkt unterstützt Jumbo-Frames oder nicht.
Ein Firewall-Endpunkt mit Jumbo-Frame-Unterstützung kann Pakete mit bis zu 8.588 Byte akzeptieren.
Cloud NGFW reserviert zusätzlich 308 Byte für die GENEVE-Kapselung (erforderlich für die Datenprüfung) und für andere Erweiterungen. Daher entspricht die Gesamt paketgröße von 8.896 Byte der höchstmöglichen maximalen Übertragung einheit (Maximum Transmission Unit, MTU), die Google Cloud unterstützt wird.
Ein Firewall-Endpunkt ohne Jumbo-Frame-Unterstützung kann Pakete mit bis zu 1.460 Byte akzeptieren.
Damit die Layer-7-Prüfung erfolgreich durchgeführt werden kann, müssen die mit dem Endpunkt verknüpften VPC-Netzwerke diese MTU-Limits einhalten:
Bei einem Endpunkt mit Jumbo-Frame-Unterstützung müssen die VPC-Netzwerke eine MTU von 8.588 Byte oder weniger verwenden.
Bei einem Endpunkt ohne Jumbo-Frame-Unterstützung müssen die VPC-Netzwerke eine MTU von 1.460 Byte oder weniger verwenden.
Sie können einen Firewall-Endpunkt mit oder ohne Jumbo-Frame-Unterstützung erstellen. Sie können einen vorhandenen Endpunkt jedoch nicht neu konfigurieren, um die Jumbo-Frame-Unterstützung hinzuzufügen oder zu entfernen. Wenn Sie die Jumbo-Frame-Unterstützung hinzufügen oder entfernen möchten, löschen Sie den Endpunkt und erstellen Sie ihn neu. Weitere Informationen finden Sie unter Firewall-Endpunkt erstellen.
IAM-Rollen
IAM-Rollen (Identity and Access Management) regeln die folgenden Firewall-Endpunktaktionen:
- Firewall-Endpunkt in einer Organisation oder einem Projekt erstellen
- Firewall-Endpunkt in einer Organisation oder einem Projekt ändern oder löschen
- Details eines Firewall-Endpunkts in einer Organisation oder einem Projekt ansehen
- Alle in einer Organisation oder einem Projekt konfigurierten Firewall-Endpunkte ansehen
In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.
| Funktion | Erforderliche Rolle |
|---|---|
| Firewall-Endpunkt erstellen | Eine der folgenden Rollen:
|
| Firewall-Endpunkt ändern | Eine der folgenden Rollen:
|
| Firewall-Endpunkt löschen | Eine der folgenden Rollen:
|
| Details zum Firewall-Endpunkt ansehen | Eine der folgenden Rollen:
|
| Alle Firewall-Endpunkte ansehen | Eine der folgenden Rollen:
|
IAM-Rollen regeln die folgenden Aktionen für Firewall-Endpunktverknüpfungen:
- Firewall-Endpunktverknüpfung in einem Projekt erstellen
- Firewall-Endpunktverknüpfung ändern oder löschen
- Details einer Firewall-Endpunktverknüpfung ansehen
- Alle in einem Projekt konfigurierten Firewall-Endpunktverknüpfungen ansehen
In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.
| Funktion | Erforderliche Rolle |
|---|---|
| Firewall-Endpunktverknüpfung erstellen | Eine der folgenden Rollen:
|
| Firewall-Endpunktverknüpfung ändern | Eine der folgenden Rollen:
|
| Firewall-Endpunktverknüpfung löschen | Eine der folgenden Rollen:
|
| Details zur Firewall-Endpunktverknüpfung in einem Projekt ansehen | Eine der folgenden Rollen:
|
| Alle Firewall-Endpunktverknüpfungen in einem Projekt ansehen | Eine der folgenden Rollen:
|
Kontingente
Informationen zu Kontingenten für Firewall-Endpunkte finden Sie unter Kontingente und Limits.
Nächste Schritte
- URL-Filterdienst konfigurieren
- Dienst zur Einbruchserkennung und -vermeidung konfigurieren
- Firewall-Endpunkte erstellen und verwalten
- Firewall-Endpunktverknüpfungen erstellen und verwalten