Firewall-Endpunkte

Der Firewall-Endpunkt ist eine Cloud Next Generation Firewall-Ressource, die erweiterte Layer-7-Sicherheitsfunktionen wie den Dienst zur Einbruchserkennung und ‑vermeidung, WildFire (Vorschau) und den URL-Filterdienst in Ihrem Netzwerk ermöglicht.

Auf dieser Seite erhalten Sie eine detaillierte Übersicht über Firewall-Endpunkte und ihre Funktionen.

Spezifikationen

Dieser Abschnitt enthält eine Zusammenfassung der Eigenschaften von Firewall-Endpunkten. Detaillierte Implementierungsanforderungen und Funktionen finden Sie in den entsprechenden Abschnitten auf dieser Seite.

  • Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie auf Organisationsebene oder Projektebene konfigurieren können.

    • Firewall-Endpunkt auf Organisationsebene: Organisationsadministratoren erstellen und verwalten diese Endpunkte, um die Sicherheit in Ihrer Organisation oder auf Ordnerebene zu zentralisieren.

    • Firewall-Endpunkte auf Projektebene: Diese Endpunkte werden von Projektadministratoren in einem Projekt erstellt und verwaltet. Sie können jedes VPC-Netzwerk in der Organisation mit einem Endpunkt auf Projektebene verknüpfen. Erstellen Sie Firewall-Endpunkte auf Projektebene, wenn Sie keine Berechtigungen auf Organisationsebene erhalten können, um Firewall-Endpunkte auf Organisationsebene zu erstellen.

  • Firewall-Endpunkte führen eine Layer-7-Firewallprüfung für den abgefangenen Traffic aus. Weitere Informationen finden Sie unter Funktionsweise von Firewall-Endpunkten.

  • Der Endpunkt und die Arbeitslasten, für die Sie die Layer-7-Prüfung aktivieren möchten, müssen sich in derselben Zone befinden. Weitere Informationen finden Sie unter Überlegungen zur Bereitstellung.

  • Sie können einen Firewall-Endpunkt in einer Zone erstellen und an ein oder mehrere VPC-Netzwerke anhängen, um Arbeitslasten in derselben Zone zu überwachen. Wenn sich Ihr VPC-Netzwerk über mehrere Zonen erstreckt, können Sie in jeder Zone einen Firewall-Endpunkt anhängen. Wenn Sie einen Firewall-Endpunkt nicht an ein VPC-Netzwerk in einer bestimmten Zone anhängen, wird keine Layer-7-Prüfung für den Arbeitslast-Traffic für diese Zone durchgeführt.

    Sie verwenden Firewall-Endpunktverknüpfung, um einen Firewall-Endpunkt an ein VPC-Netzwerk anzuhängen.

  • Der Endpunkt und die Arbeitslasten, für die Sie die Layer-7-Prüfung aktivieren möchten, müssen sich in derselben Zone befinden. Weitere Informationen finden Sie unter Überlegungen zur Bereitstellung.

  • Firewall-Endpunkte können bis zu 2 Gbit/s Traffic mit TLS-Prüfung (Transport Layer Security) und 10 Gbit/s Traffic ohne TLS-Prüfung verarbeiten. Übermäßiger Traffic kann den Endpunkt überlasten und zu Paketverlusten führen. Informationen zur Überwachung der Kapazitätsauslastung des Firewall-Endpunkts finden Sie unter firewall_endpoint Messwerte zur Netzwerksicherheit.

  • Da der Endpunkt nicht genehmigte Nachrichten nicht weiterleitet, kann ein überlasteter Endpunkt legitimen Traffic verwerfen, wenn er ihn nicht prüfen kann.

  • Firewall-Endpunkte können einen Durchsatz von maximal 250 Mbit/s pro Verbindung mit TLS-Prüfung und 1,25 Gbit/s ohne TLS-Prüfung haben.

  • Sie können einen Firewall-Endpunkt erstellen,der Jumbo-Frames mit einer Größe von bis zu 8.588 Byte verarbeitet. Alternativ können Sie einen Endpunkt ohne Jumbo-Frame-Unterstützung erstellen. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

  • Sie können einen Firewall-Endpunkt nur löschen, wenn ihm keine VPC-Netzwerke zugeordnet sind. Weitere Informationen finden Sie unter Firewall-Endpunktverknüpfungen.

  • Firewall-Endpunkte auf Projektebene unterstützen kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK). Mit CMEK können Sie Daten im Ruhezustand in der Firewallinfrastruktur mit Ihren eigenen Verschlüsselungsschlüsseln schützen. Weitere Informationen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel.

Funktionsweise von Firewall-Endpunkten

Cloud NGFW verwendet die Paketabfangstechnologie von Google Cloud, um Traffic von den Google Cloud Arbeitslasten in einem VPC-Netzwerk (Virtual Private Cloud) an die Firewall-Endpunkte weiterzuleiten. Der Paketabfang ist eine Google Cloud Funktion, mit der Netzwerk- Appliances in den Pfad des ausgewählten Netzwerkverkehrs eingefügt werden, ohne die vorhandenen Routingrichtlinien des Netzwerkverkehrs zu ändern.

Cloud NGFW leitet den Arbeitslast-Traffic in einem VPC-Netzwerk nur dann an den Firewall-Endpunkt weiter, wenn Sie die Layer-7-Prüfung für diesen Flow konfigurieren. Cloud NGFW fügt dann jedem Paket, das zur Layer-7-Prüfung an den Firewall-Endpunkt weitergeleitet wird, eine VPC-Netzwerk-ID hinzu. Wenn Sie mehrere VPC-Netzwerke mit überlappenden IP-Adressbereichen haben, trägt diese Netzwerk-ID dazu bei, dass jedes weitergeleitete Paket korrekt mit seinem VPC-Netzwerk verknüpft wird.

Kapazität und Leistung

Firewall-Endpunkte können einen Durchsatz von maximal 250 Mbit/s pro Verbindung mit TLS-Prüfung und 1,25 Gbit/s ohne TLS-Prüfung haben. Übermäßiger Traffic kann den Endpunkt überlasten und zu Paketverlusten führen. Da der Endpunkt nicht genehmigte Nachrichten nicht weiterleitet, kann ein überlasteter Endpunkt legitimen Traffic verwerfen, wenn er ihn nicht prüfen kann.

Informationen zur Überwachung der Kapazitätsauslastung eines Firewall-Endpunkts, siehe firewall_endpoint Messwerte zur Netzwerksicherheit.

Unterstützte Paketgröße

Ein Firewall-Endpunkt unterstützt entweder Jumbo-Frames oder nicht.

  • Ein Firewall-Endpunkt mit Jumbo-Frame-Unterstützung kann Pakete mit bis zu 8.588 Byte akzeptieren.

    Cloud NGFW reserviert zusätzlich 308 Byte für die GENEVE-Kapselung (erforderlich für die Datenprüfung) und für andere Erweiterungen. Daher entspricht die Gesamt paketgröße von 8.896 Byte der höchstmöglichen maximalen Übertragung einheit (Maximum Transmission Unit, MTU), die Google Cloud unterstützt.

  • Ein Firewall-Endpunkt ohne Jumbo-Frame-Unterstützung kann Pakete mit bis zu 1.460 Byte akzeptieren.

    Damit die Layer-7-Prüfung erfolgreich durchgeführt werden kann, konfigurieren Sie die mit dem Endpunkt verknüpften VPC-Netzwerke so, dass diese MTU-Limits eingehalten werden:

    • Bei einem Endpunkt mit Jumbo-Frame-Unterstützung müssen die VPC-Netzwerke eine MTU von maximal 8.588 Byte verwenden.

    • Bei einem Endpunkt ohne Jumbo-Frame-Unterstützung müssen die VPC-Netzwerke eine MTU von maximal 1.460 Byte verwenden.

Sie können einen Firewall-Endpunkt mit oder ohne Jumbo-Frame-Unterstützung erstellen. Sie können einen vorhandenen Endpunkt jedoch nicht neu konfigurieren, um die Jumbo-Frame-Unterstützung hinzuzufügen oder zu entfernen. Wenn Sie die Jumbo-Frame-Unterstützung hinzufügen oder entfernen möchten, löschen Sie den Endpunkt und erstellen Sie ihn neu. Weitere Informationen finden Sie unter Firewall-Endpunkt erstellen.

Überlegungen zur Bereitstellung

Sie verwenden Firewall-Endpunktverknüpfung , um einen Firewall-Endpunkt an ein VPC-Netzwerk anzuhängen. Zum Überwachen von Arbeitslasten können Sie einen Firewall-Endpunkt in einer Zone erstellen und an ein oder mehrere VPC-Netzwerke in derselben Zone anhängen. Wenn sich Ihr VPC-Netzwerk über mehrere Zonen erstreckt, können Sie in jeder Zone einen Firewall-Endpunkt anhängen.

Das Erstellen des Firewall-Endpunkts in derselben Zone wie die Arbeitslasten hat folgende Vorteile:

  • Geringere Latenz. Da Firewall-Endpunkte den Traffic abfangen, untersuchen und wieder in das Netzwerk einfügen können, ist die Latenz geringer als bei Firewall-Endpunkten in unterschiedlichen Zonen.
  • Kein zonenübergreifender Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, verringern Sie die Kosten.
  • Zuverlässigerer Traffic. Wenn Sie den Traffic innerhalb derselben Zone halten, verringern Sie das Risiko von zonenübergreifenden Ausfällen.

Wenn Sie einen Firewall-Endpunkt nicht an ein VPC-Netzwerk in einer bestimmten Zone anhängen, führt Cloud NGFW keine Layer-7-Prüfung für den Arbeitslast-Traffic für diese Zone durch.

Infrastruktur und Zuverlässigkeit

Wenn Sie einen Firewall-Endpunkt erstellen, bietet Google eine Reihe dedizierter VM-Instanzen (Virtual Machine). Diese Architektur gewährleistet neben der Zertifikatsverwaltung eine hohe Zuverlässigkeit, Leistung und Sicherheitsisolation für Ihren Traffic.

Google bietet Hochverfügbarkeit mithilfe ordnungsgemäßer Failover-Mechanismen für die Firewall-Endpunkte. Diese Mechanismen gewährleisten einen zuverlässigen Firewallschutz für alle VM-Instanzen im zugehörigen VPC-Netzwerk.

Firewall-Endpunktverknüpfungen

Die Firewall-Endpunktverknüpfung verknüpft einen Firewall-Endpunkt mit einem VPC-Netzwerk in derselben Zone. Nachdem Sie diese Verknüpfung definiert haben, leitet Cloud NGFW den zonalen Arbeitslast-Traffic in Ihrem VPC-Netzwerk, der eine Layer-7-Prüfung erfordert, an den angehängten Firewall-Endpunkt weiter.

Sie können ein VPC-Netzwerk mit einem Firewall-Endpunkt auf Organisationsebene oder Projektebene verknüpfen. Beachten Sie beim Verknüpfen eines VPC-Netzwerk Folgendes:

  • Projektübergreifende Verknüpfung: Wenn sich der Endpunkt und das VPC Netzwerk in verschiedenen Projekten befinden, müssen beide Projekte derselben Organisation angehören.

  • Zonales Limit: Verknüpfen Sie ein VPC-Netzwerk nur mit einem Firewall-Endpunkt pro Zone. Dieses Limit umfasst sowohl Endpunkte auf Organisationsebene als auch auf Projektebene.

Traffic-Abfang durch Firewall-Endpunkte auf Projektebene

Damit Traffic mit einem Firewall-Endpunkt auf Projektebene abgefangen und geprüft werden kann, müssen die folgenden Anforderungen erfüllt sein:

  • Ein VPC-Netzwerk in der Zone der VM-Instanz ist mit dem Ziel-Firewall-Endpunkt verknüpft.
  • Der Traffic entspricht einer Firewallrichtlinienregel mit der Aktion apply_security_profile_group.
  • Die Sicherheitsprofilgruppe befindet sich im selben Projekt wie der Firewall-Endpunkt.

Firewall-Endpunkt für WildFire

Sie können einen Firewall-Endpunkt mit aktiviertem WildFire erstellen, um Ihren Netzwerkschutz über den einfachen Signaturabgleich hinaus zu erweitern. Während der Dienst zur Einbruchserkennung und ‑vermeidung nur Malware mit bekannten Signaturen blockieren kann, bietet WildFire erweiterte Sandboxing-Funktionen und nahezu Echtzeit-Updates, um neue, dateibasierte Bedrohungen zu erkennen und zu blockieren.

Wenn Sie WildFire beim Erstellen oder Bearbeiten eines Firewall-Endpunkts aktivieren, können Sie im Abschnitt Erweiterte Konfiguration zusätzliche Einstellungen konfigurieren. Diese zusätzlichen Konfigurationen umfassen Folgendes:

  • WildFire-Region: Gibt die geografische Region an, in der der Firewall-Endpunkt unbekannte oder verdächtige Dateien zur Bedrohungsanalyse einreicht. Wenn Sie keine Region angeben, verwendet der Endpunkt automatisch die nächstgelegene verfügbare regionale WildFire-Cloud, um die Latenz zu minimieren.

  • Region der Inhalts-Cloud: Gibt die Region der Inhalts-Cloud an, die der Endpunkt verwenden soll. Standardmäßig wird die nächstgelegene verfügbare Region verwendet.

  • Zeitüberschreitung bei der Signatursuche: Die maximale Zeit (in Millisekunden), die die Firewall eine Datei zurückhält, während die WildFire-Cloud eine Signatursuche in Echtzeit durchführt.

  • Aktion bei Zeitüberschreitung der Signatursuche: Definiert die Reaktion der Firewall wenn die Signatursuche in Echtzeit den konfigurierten Grenzwert für die Zeitüberschreitung überschreitet. Sie können die Datei Allow oder Deny auswählen. Die Standardaktion ist Allow.

  • HTTP-Teilantworten blockieren: Hiermit können Sie das Fortsetzen blockierter schädlicher HTTP-Dateidownloads verhindern. Wenn Sie diese Option auswählen, wird maximale Sicherheit geboten.

  • Maximale Dauer der Inline-Cloud-Analyse: Die maximale Zeitüberschreitung (in Sekunden oder Millisekunden, je nach Oberfläche), die die Firewall eine Datei zurückhält, während die Inline- Cloud-Analyse von WildFire sie auswertet.

  • Aktion bei Zeitüberschreitung der Inline-Cloud-Analyse: Definiert die Aktion, die ausgeführt werden soll, wenn bei der Inline-Cloud-Analyse eine Zeitüberschreitung auftritt. Sie können dies so konfigurieren, dass die Dateiübertragung Allow oder Deny ist. Die Standardaktion ist Allow.

  • Logging für Zeitüberschreitung beim Senden aktivieren: Hiermit können Sie die Log generierung für Dateien aktivieren, bei denen während der Inline Cloud-Analyse von WildFire eine Zeitüberschreitung aufgetreten ist.

Weitere Informationen zu WildFire finden Sie unter WildFire – Übersicht.

Informationen zum Erstellen eines Firewall-Endpunkts mit WildFire finden Sie unter Firewall-Endpunkte und ‑Endpunktverknüpfungen erstellen.

IAM-Rollen

IAM-Rollen (Identity and Access Management) regeln die folgenden Aktionen für Firewall-Endpunkte:

  • Firewall-Endpunkt in einer Organisation oder einem Projekt erstellen
  • Firewall-Endpunkt in einer Organisation oder einem Projekt ändern oder löschen
  • Details eines Firewall-Endpunkts in einer Organisation oder einem Projekt ansehen
  • Alle in einer Organisation oder einem Projekt konfigurierten Firewall-Endpunkte ansehen

In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.

Funktion Erforderliche Rolle
Firewall-Endpunkt erstellen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunkte auf Projektebene gewährt wird
Firewall-Endpunkt ändern Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunkte auf Projektebene gewährt wird
Firewall-Endpunkt löschen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunkte auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunkte auf Projektebene gewährt wird
Details zum Firewall-Endpunkt ansehen Eine der folgenden Rollen:
Alle Firewall-Endpunkte ansehen Eine der folgenden Rollen:

IAM-Rollen regeln die folgenden Aktionen für Firewall-Endpunktverknüpfungen:

  • Firewall-Endpunktverknüpfung in einem Projekt erstellen
  • Firewall-Endpunktverknüpfung ändern oder löschen
  • Details einer Firewall-Endpunktverknüpfung ansehen
  • Alle in einem Projekt konfigurierten Firewall-Endpunktverknüpfungen ansehen

In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.

Funktion Erforderliche Rolle
Firewall-Endpunktverknüpfung erstellen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene gewährt wird
  • Compute-Netzwerknutzer (roles/compute.networkUser)
Firewall-Endpunktverknüpfung ändern Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene gewährt wird
Firewall-Endpunktverknüpfung löschen Eine der folgenden Rollen:
  • Compute-Netzwerkadministrator (roles/compute.networkAdmin)
  • Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Firewall-Endpunktverknüpfungen auf Organisationsebene und entweder auf Projektebene oder Organisationsebene für Firewall-Endpunktverknüpfungen auf Projektebene gewährt wird
Details zur Firewall-Endpunktverknüpfung in einem Projekt ansehen Eine der folgenden Rollen:
Alle Firewall-Endpunktverknüpfungen in einem Projekt ansehen Eine der folgenden Rollen:

Kontingente

Informationen zu Kontingenten für Firewall-Endpunkte finden Sie unter Kontingente und Limits.

Nächste Schritte