Membuat endpoint firewall dan pengaitan endpoint

Endpoint firewall adalah resource zonal yang menyediakan pemeriksaan Lapisan 7 untuk traffic jaringan. Buat endpoint firewall untuk menerapkan kebijakan keamanan lanjutan, seperti deteksi penyusupan dan pencegahan.

Setelah membuat endpoint firewall, buat asosiasi endpoint firewall untuk mengaitkan endpoint dengan satu atau beberapa jaringan VPC di zona yang sama. Jika inspeksi Layer 7 diaktifkan dalam kebijakan firewall yang terkait dengan jaringan VPC Anda, traffic yang cocok akan dicegat dan diteruskan ke endpoint firewall secara transparan.

Anda dapat membuat endpoint firewall dengan atau tanpa dukungan frame jumbo. Untuk mengetahui informasi tentang ukuran paket yang didukung oleh endpoint firewall, lihat Ukuran paket yang didukung.

Halaman ini menjelaskan cara membuat endpoint firewall dan mengaitkannya dengan jaringan Virtual Private Cloud (VPC) menggunakan konsol Google Cloud , Google Cloud CLI, atau Terraform.

Sebelum memulai

Sebelum mengonfigurasi endpoint dan asosiasi firewall, selesaikan langkah-langkah berikut:

1. Pastikan Anda memiliki jaringan VPC dan subnet.
2. Aktifkan API yang diperlukan:
   • Compute Engine API (Compute Engine API) di project Google Cloud Anda.
   • Network Security API di Google Cloud project yang ingin Anda gunakan untuk penagihan.
   • Certificate Authority Service API di Google Cloud project Anda.
3. Instal gcloud CLI jika Anda ingin menjalankan contoh command line gcloud.

Peran dan izin

Untuk mendapatkan izin yang diperlukan saat membuat endpoint firewall, minta administrator untuk memberi Anda peran Identity and Access Management (IAM) yang diperlukan di organisasi atau project Anda. Untuk mengetahui informasi selengkapnya, lihat Mengelola akses.

Untuk memeriksa progres operasi yang tercantum di halaman ini, pastikan akun pengguna Anda memiliki peran Compute Network User (roles/compute.networkUser), yang mencakup izin berikut:

• networksecurity.operations.get
• networksecurity.operations.list

Kuota

Untuk melihat kuota endpoint dan asosiasi firewall, lihat Kuota dan batas.

Membuat endpoint firewall

Anda membuat endpoint firewall di zona tertentu. Untuk memastikan pemeriksaan traffic yang tepat dan menghindari kegagalan perutean, buat endpoint firewall di zona yang sama dengan beban kerja yang ingin Anda periksa.

Anda dapat membuat endpoint firewall di tingkat organisasi atau tingkat project. Endpoint tingkat organisasi hanya mendukung grup profil keamanan tingkat organisasi. Endpoint tingkat project mendukung grup profil keamanan tingkat organisasi dan tingkat project.

Catatan: Pembuatan endpoint firewall dapat memerlukan waktu hingga 20 menit.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus telah diberi izin berikut atau salah satu peran IAM berikut di organisasi atau project Anda.

Izin

• networksecurity.firewallEndpoints.create

Peran

• Admin Jaringan Compute (roles/compute.networkAdmin)
• Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project

Konsol

1. Di konsol Google Cloud , buka halaman Firewall endpoints.

   Buka Endpoint firewall

2. Di menu pemilih project, pilih organisasi atau project Anda.

3. Jika Anda memilih organisasi, klik Buat endpoint tingkat organisasi.

   Jika Anda memilih project, di bagian Firewall endpoints located in this project, klik Create project-level endpoint.

4. Dalam daftar Region, pilih region tempat Anda ingin membuat endpoint firewall.

5. Di daftar Zone, pilih zona tempat Anda ingin membuat endpoint firewall.

6. Masukkan nama di kolom Name.

   Jangan sertakan informasi sensitif seperti informasi identitas pribadi atau data keamanan dalam nama endpoint firewall.

7. Jika Anda membuat endpoint tingkat organisasi, di daftar Project penagihan, pilih Google Cloud project yang ingin Anda gunakan untuk menagih endpoint firewall.

8. Klik Lanjutkan.

9. Jika Anda ingin endpoint mendukung frame jumbo, centang kotak Aktifkan dukungan frame jumbo; jika tidak, hapus centang pada kotak ini.

10. Klik Lanjutkan.

11. Jika Anda ingin menambahkan asosiasi endpoint firewall, klik Tambahkan asosiasi endpoint, atau lewati langkah ini.

    1. Di daftar Project, pilih Google Cloud project tempat Anda ingin membuat asosiasi endpoint firewall.
    2. Jika Compute Engine API atau Network Security API tidak diaktifkan untuk project, klik Aktifkan. Google Cloud
    3. Di daftar Network, pilih jaringan yang ingin Anda kaitkan dengan endpoint firewall.
    4. Dalam daftar Kebijakan pemeriksaan TLS, pilih kebijakan pemeriksaan TLS yang ingin Anda tambahkan ke asosiasi ini.
    5. Untuk menambahkan asosiasi lain, klik Tambahkan asosiasi endpoint.

12. Klik Create.

gcloud

Untuk membuat endpoint firewall, gunakan perintah gcloud network-security firewall-endpoints create:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--billing-project QUOTA_PROJECT_ID] \
    [--enable-jumbo-frames]

Ganti kode berikut:

• NAME: nama endpoint firewall.

  Jangan sertakan informasi sensitif seperti informasi identitas pribadi atau data keamanan dalam nama endpoint firewall.

• ORGANIZATION_ID: ID organisasi. Gunakan tanda ini untuk membuat endpoint firewall tingkat organisasi.

• PROJECT_ID: project ID. Gunakan flag ini untuk membuat endpoint firewall level project.

• LOCATION: zona tempat membuat endpoint.

• QUOTA_PROJECT_ID: project ID kuota. Gunakan tanda ini hanya untuk endpoint firewall tingkat organisasi.

Untuk membuat endpoint firewall yang mendukung frame jumbo hingga berukuran 8.500 byte, gunakan flag --enable-jumbo-frames opsional. Lewati tanda ini untuk membuat endpoint tanpa dukungan frame jumbo. Untuk mengetahui informasi tentang ukuran paket yang didukung oleh endpoint firewall, lihat Ukuran paket yang didukung.

Untuk mengaitkan endpoint firewall ke jaringan VPC, lihat Membuat asosiasi endpoint firewall.

Terraform

Gunakan resource Terraform google_network_security_firewall_endpoint.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

Untuk membuat endpoint firewall yang mendukung frame jumbo hingga ukuran 8.500 byte, tetapkan kolom enable_jumbo_frames ke true. Untuk membuat endpoint firewall yang tidak mendukung frame jumbo, tetapkan kolom ini ke false. Untuk mengetahui informasi tentang ukuran paket yang didukung oleh endpoint firewall, lihat Ukuran paket yang didukung.

Untuk mempelajari cara menerapkan atau menghapus konfigurasi Terraform, lihat Perintah dasar Terraform.

Membuat pengaitan endpoint firewall

Pengaitan endpoint firewall menghubungkan endpoint firewall ke jaringan VPC di zona tertentu. Asosiasi ini memastikan bahwa traffic yang cocok dengan aturan pencegatan untuk jaringan terkait di zona tersebut diperiksa oleh endpoint firewall.

Pastikan Anda memiliki endpoint firewall sebelum membuat asosiasi.

**Catatan:** Pembuatan asosiasi endpoint firewall dapat memerlukan waktu hingga 15 menit.

Persyaratan atribusi

Saat mengonfigurasi asosiasi endpoint, ikuti persyaratan berikut:

• Batasan zona: Anda harus membuat asosiasi di zona yang sama dengan endpoint firewall. Untuk pemeriksaan traffic yang efektif, buat asosiasi di zona tempat instance komputasi Anda di-deploy.
• Satu endpoint per zona: Dalam satu zona, Anda hanya dapat mengaitkan jaringan VPC dengan satu endpoint firewall (baik tingkat project maupun tingkat organisasi). Namun, Anda dapat mengaitkan satu jaringan VPC dengan berbagai endpoint firewall di beberapa zona yang berbeda.
• Asosiasi lintas project: Anda dapat mengaitkan jaringan VPC dengan endpoint firewall dalam project terpisah. Jika Anda menggunakan endpoint level project, project endpoint harus berada dalam organisasi yang sama dengan jaringan VPC.
• Pemetaan resource: Asosiasi adalah resource tingkat project. Anda membuat pengaitan dalam project tertentu tempat instance komputasi Anda di-deploy, meskipun pengaitan mengarah ke endpoint firewall tingkat organisasi.

Endpoint firewall dengan dukungan frame jumbo hanya dapat menerima paket hingga 8.500 byte. Atau, endpoint firewall tanpa dukungan frame jumbo dapat menerima paket hingga 1.460 byte saja. Jika Anda memerlukan layanan pemfilteran URL atau layanan deteksi dan pencegahan intrusi, sebaiknya konfigurasi jaringan VPC terkait untuk menggunakan batas unit transmisi maksimum (MTU) sebesar 8.500 byte dan 1.460 byte. Untuk mengetahui informasi selengkapnya, lihat Ukuran paket yang didukung.

Perhatian: Endpoint firewall tidak menjalankan layanan pemfilteran URL atau layanan deteksi penyusupan dan pencegahan untuk jaringan VPC jika jaringan dikonfigurasi dengan MTU yang lebih besar daripada batas endpoint firewall.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus telah diberi izin berikut atau salah satu peran IAM berikut di organisasi atau project Anda.

Izin

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use di organisasi atau project tempat endpoint firewall dibuat.

Peran

• Admin Jaringan Compute (roles/compute.networkAdmin)
• Admin Endpoint Firewall (roles/networksecurity.firewallEndpointAdmin) diberikan di level organisasi untuk endpoint firewall level organisasi, dan di level project atau level organisasi untuk endpoint firewall level project

Konsol

1. Di konsol Google Cloud , buka halaman Firewall endpoints.

   Buka Endpoint firewall

2. Di menu pemilih project, pilih project Google Cloud Anda.

3. Klik Create endpoint association.

4. Di daftar Region, pilih region tempat Anda ingin membuat asosiasi endpoint firewall.

5. Di daftar Zone, pilih zona tempat Anda ingin membuat asosiasi endpoint firewall.

6. Di daftar Endpoint firewall, pilih endpoint firewall yang ingin Anda tambahkan ke asosiasi.

7. Di daftar Network, pilih jaringan yang ingin Anda tambahkan ke asosiasi.

8. Di daftar TLS inspection policy, pilih kebijakan pemeriksaan TLS yang ingin Anda tambahkan ke asosiasi ini.

9. Klik Create.

Catatan: Anda juga dapat membuat asosiasi endpoint firewall dari tab Endpoint firewall di halaman jaringan VPC.

gcloud

Untuk membuat asosiasi endpoint firewall, gunakan perintah gcloud network-security firewall-endpoint-associations create.

Endpoint firewall tingkat organisasi

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint organizations/ORGANIZATION_ID/locations/LOCATION/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Endpoint firewall tingkat project

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint projects/ENDPOINT_PROJECT_ID/locations/LOCATION/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Ganti kode berikut:

• NAME: nama asosiasi endpoint firewall.

  Jangan menyertakan informasi sensitif seperti informasi identitas pribadi atau data keamanan dalam nama asosiasi endpoint firewall.

• ORGANIZATION_ID: ID organisasi tempat endpoint firewall berada. Gunakan tanda ini hanya untuk endpoint firewall tingkat organisasi.

• ENDPOINT_PROJECT_ID: project ID tempat endpoint firewall berada. Gunakan tanda ini hanya untuk endpoint firewall level project.

• LOCATION: zona tempat endpoint firewall berada.

• FIREWALL_ENDPOINT_NAME: nama endpoint firewall.

• PROJECT_NAME: Google Cloud nama project jaringan.

• NETWORK_NAME: nama jaringan.

• PROJECT_ID: Google Cloud project ID tempat asosiasi dibuat. Project ini harus berupa project tempat Anda ingin mencegat traffic.

• TLS_PROJECT_NAME: nama project Google Cloud dari kebijakan inspeksi TLS.

• REGION_NAME: nama region kebijakan pemeriksaan TLS.

• TLS_POLICY_NAME: nama kebijakan pemeriksaan TLS.

  Kebijakan ini digunakan untuk pemeriksaan TLS pada traffic terenkripsi di jaringan yang ditentukan. Ini adalah argumen opsional.

Langkah berikutnya

• Menggunakan kebijakan dan aturan firewall hierarkis
• Menggunakan kebijakan dan aturan firewall jaringan global