Firewall-Endpunktverknüpfungen erstellen und verwalten

Auf dieser Seite wird erläutert, wie Sie Firewall-Endpunktzuordnungen mit der Google Cloud Console und der Google Cloud CLI erstellen und verwalten.

Wenn Sie einen Firewall-Endpunkt mit einem oder mehreren Virtual Private Cloud-Netzwerken (VPC) verknüpfen, erstellen Sie die Verknüpfung in der Zone, in der sich auch der Firewall-Endpunkt befindet. Sie können ein VPC-Netzwerk in einer Zone mit einem Firewall-Endpunkt auf Projekt- oder Organisationsebene verknüpfen.

Beachten Sie bei der Konfiguration von Endpunktzuordnungen die folgenden Anforderungen:

• In einer einzelnen Zone können Sie ein VPC-Netzwerk nur mit einem Firewall-Endpunkt verknüpfen (entweder auf Projektebene (Vorschau) oder auf Organisationsebene). Sie können jedoch ein VPC-Netzwerk mit verschiedenen Firewall-Endpunkten in mehreren Zonen verknüpfen.

• Sie können ein VPC-Netzwerk mit einem Firewall-Endpunkt in einem separaten Projekt verknüpfen. Dies gilt sowohl für Endpunkte auf Projektebene (Vorschau) als auch auf Organisationsebene. Wenn sich der Endpunkt auf Projektebene in einem separaten Projekt befindet, muss sich dieses Projekt in derselben Organisation wie Ihr VPC-Netzwerk befinden.

Ein Firewallendpunkt mit Unterstützung für Jumbo-Frames kann nur Pakete mit einer Größe von bis zu 8.500 Bytes akzeptieren. Alternativ kann ein Firewallendpunkt ohne Jumbo Frame-Unterstützung nur Pakete mit einer Größe von bis zu 1.460 Bytes akzeptieren. Wenn Sie einen URL-Filterdienst oder einen Dienst zur Einbruchserkennung und -verhinderung benötigen, empfehlen wir, die zugehörigen VPC-Netzwerke so zu konfigurieren, dass die Grenzwerte für die maximale Übertragungseinheit (Maximum Transmission Unit, MTU) von 8.500 Byte und 1.460 Byte verwendet werden. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

Achtung:Ein Firewall-Endpunkt führt keinen URL-Filterdienst oder Dienst zur Einbruchserkennung und -vermeidung für ein VPC-Netzwerk aus, wenn das Netzwerk mit einer MTU konfiguriert ist, die größer als das Limit des Firewall-Endpunkts ist.

Hinweis: Um den Fortschritt der auf dieser Seite aufgeführten Vorgänge zu prüfen, muss Ihre Nutzerrolle die folgenden Berechtigungen der Nutzerrolle "Compute Network" (roles/compute.networkUser) haben:

• networksecurity.operations.get
• networksecurity.operations.list

Vorbereitung

• Sie benötigen ein VPC-Netzwerk und ein Subnetz.

• Sie müssen in Ihrem Google Cloud Projekt die Compute Engine API aktivieren.

• Sie müssen die Network Security API in Ihrem Google Cloud Projekt aktivieren.

• Sie müssen in Ihrem Google Cloud Projekt die Certificate Authority Service API aktivieren.

• Installieren Sie die gcloud CLI, wenn Sie die gcloud-Befehlszeilenbeispiele in dieser Anleitung ausführen möchten.

• Sie benötigen einen Firewall-Endpunkt.

Rollen

Bitten Sie Ihren Administrator, Ihnen die erforderlichen IAM-Rollen in Ihrer Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen, Aufrufen, Aktualisieren oder Löschen von Firewall-Endpunktverknüpfungen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Kontingente

Informationen zu Kontingenten für Firewall-Endpunktverknüpfungen finden Sie unter Kontingente und Limits.

Firewall-Endpunktverknüpfung erstellen

Eine Firewall-Endpunktverknüpfung verbindet einen Firewall-Endpunkt mit einem VPC-Netzwerk in einer bestimmten Zone. Diese Verknüpfung sorgt dafür, dass Traffic, der einer Abfangregel für das zugehörige VPC-Netzwerk in dieser Zone entspricht, vom Firewall-Endpunkt geprüft wird. Für eine effektive Traffic-Prüfung sollten Sie Endpunktzuordnungen in Zonen erstellen, in denen Ihre Compute-Instanzen bereitgestellt werden.

Für jede Kombination aus einem VPC-Netzwerk und einer Zone können Sie entweder einen Firewall-Endpunkt auf Organisationsebene oder auf Projektebene verknüpfen, aber nicht beides. Sie können Firewall-Endpunktzuordnungen mit der Google Cloud Console oder der gcloud CLI erstellen.

Eine Zuordnung ist eine Ressource auf Projektebene. Sie erstellen die Verknüpfung in einem bestimmten Projekt, auch wenn sie auf einen Firewall-Endpunkt auf Organisationsebene verweist. Sie sollten die Zuordnung in dem Projekt erstellen, in dem Ihre Compute-Instanzen bereitgestellt werden.

Verwenden Sie zum Erstellen einer Firewall-Endpunktverknüpfung auf Organisationsebene dieGoogle Cloud Console oder die gcloud CLI. Verwenden Sie die gcloud CLI, um eine Firewall-Endpunktverknüpfung auf Projektebene zu erstellen (Vorabversion).

Hinweis: In einer einzelnen Zone können Sie ein VPC-Netzwerk nur mit einem Firewall-Endpunkt (entweder auf Projektebene oder Organisationsebene) verknüpfen.

Hinweis: Es kann bis zu 15 Minuten dauern, bis in der Cloud NGFW eine Firewall-Endpunktverknüpfung erstellt wurde.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen oder eine der folgenden IAM-Rollen für Ihr Projekt.

Berechtigungen

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use für die Organisation oder das Projekt, in dem der Firewall-Endpunkt erstellt wird.

Rollen

• Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
• Die Rolle „Firewall Endpoint Admin“ (roles/networksecurity.firewallEndpointAdmin) ist auf Organisations- oder Projektebene zugewiesen.

Console

1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

   Zu „Firewall-Endpunkte“

2. Wählen Sie im Menü „Projektauswahl“ Ihr Google Cloud -Projekt aus.

3. Klicken Sie auf Endpunktverknüpfung erstellen.

4. Wählen Sie in der Liste Region die Region aus, in der Sie die Firewall-Endpunktverknüpfung erstellen möchten.

5. Wählen Sie in der Liste Zone die Zone aus, in der Sie die Firewall-Endpunktverknüpfung erstellen möchten.

6. Wählen Sie in der Liste Firewall-Endpunkt den Firewall-Endpunkt aus, den Sie der Verknüpfung hinzufügen möchten.

7. Wählen Sie in der Liste Netzwerk das Netzwerk aus, das Sie der Zuordnung hinzufügen möchten.

8. Wählen Sie in der Liste TLS-Prüfungsrichtlinie die TLS-Prüfungsrichtlinie aus, die Sie dieser Verknüpfung hinzufügen möchten.

9. Klicken Sie auf Erstellen.

Hinweis :Sie können Firewall-Endpunktverknüpfungen auch auf der Seite VPC-Netzwerke auf dem Tab Firewall-Endpunkte erstellen.

gcloud

Verwenden Sie zum Erstellen einer Firewall-Endpunktverknüpfung den gcloud network-security firewall-endpoint-associations create-Befehl.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint organizations/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Firewall-Endpunkt auf Projektebene

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

gcloud beta network-security firewall-endpoint-associations \
    create NAME \
    --endpoint projects/ENDPOINT_PROJECT_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Ersetzen Sie Folgendes:

• NAME: der Name der Firewall-Endpunktverknüpfung.

  Der Name der Firewall-Endpunktverknüpfung sollte keine vertraulichen Informationen wie personenidentifizierbare Informationen oder Sicherheitsdaten enthalten.

• ORGANIZATION_ID: Organisations-ID, in der der Firewall-Endpunkt auf Organisationsebene erstellt wird.

• ENDPOINT_PROJECT_ID: die Google Cloud Projekt-ID, in der der Firewall-Endpunkt auf Projektebene erstellt wird.

• ZONE: die Zone des Firewall-Endpunkts.

• FIREWALL_ENDPOINT_NAME: der Name des Firewall-Endpunkts.

• PROJECT_NAME: Der Google Cloud Projektname des Netzwerks.

• NETWORK_NAME: Der Name des Netzwerks.

• PROJECT_ID: die Google Cloud Projekt-ID, in der die Verknüpfung erstellt wird. Dies sollte das Projekt sein, in dem Sie den Traffic abfangen möchten.

• TLS_PROJECT_NAME: der Google Cloud Projektname der TLS-Prüfungsrichtlinie.

• REGION_NAME: der Name der Region der TLS-Prüfungsrichtlinie

• TLS_POLICY_NAME: der Name der TLS-Prüfungsrichtlinie.

  Diese Richtlinie wird für die TLS-Prüfung des verschlüsselten Traffics im angegebenen Netzwerk verwendet. Dies ist ein optionales Argument.

Firewall-Endpunktverknüpfung aufrufen

Wenn Sie Details zu einer Firewall-Endpunktverknüpfung auf Organisationsebene oder auf Projektebene aufrufen möchten, verwenden Sie die gcloud CLI.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen oder eine der folgenden IAM-Rollen für Ihr Projekt.

Berechtigungen

• networksecurity.firewallEndpointAssociations.get

Rollen

• Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
• Compute Netzwerknutzer (roles/compute.networkUser)
• Compute-Netzwerkbetrachter (roles/compute.networkViewer)
• „Firewall Endpoint Admin“ (roles/networksecurity.firewallEndpointAdmin) auf Organisations- oder Projektebene

gcloud

Verwenden Sie den gcloud network-security firewall-endpoint-associations describe-Befehl, um eine Firewall-Endpunktverknüpfung aufzurufen.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations \
    describe NAME \
    --zone ZONE \
    [ --project PROJECT_ID ]

Firewall-Endpunkt auf Projektebene

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

gcloud beta network-security firewall-endpoint-associations \
    describe NAME \
    --zone ZONE \
    [ --project PROJECT_ID ]

Ersetzen Sie Folgendes:

• NAME: der Name der Firewall-Endpunktverknüpfung.

• ZONE: die Zone der Firewall-Endpunktverknüpfung.

• PROJECT_ID: die Google Cloud Projekt-ID, in der die Verknüpfung erstellt wird.

Alle Firewall-Endpunktverknüpfungen auflisten

Verwenden Sie dieGoogle Cloud console oder die gcloud CLI, um alle Firewall-Endpunktverknüpfungen auf Organisationsebene aufzulisten. Verwenden Sie die gcloud CLI, um alle Firewall-Endpunktverknüpfungen auf Projektebene aufzulisten.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen oder eine der folgenden IAM-Rollen für Ihr Projekt.

Berechtigungen

• networksecurity.firewallEndpointAssociations.list

Rollen

• Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
• Compute Netzwerknutzer (roles/compute.networkUser)
• Compute-Netzwerkbetrachter (roles/compute.networkViewer)
• „Firewall Endpoint Admin“ (roles/networksecurity.firewallEndpointAdmin) auf Organisations- oder Projektebene

Console

1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

   Zu „Firewall-Endpunkte“

2. Wählen Sie im Menü „Projektauswahl“ Ihr Google Cloud -Projekt aus.

   Im Abschnitt Firewall-Endpunktverknüpfungen listet eine Tabelle alle konfigurierten Firewall-Endpunktverknüpfungen für dieses Projekt auf.

gcloud

Verwenden Sie den gcloud network-security firewall-endpoint-associations list-Befehl mit dem --filter-Flag, um Firewall-Endpunktverknüpfungen für ein bestimmtes Netzwerk aufzulisten.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [ --project PROJECT_ID ]

Firewall-Endpunkt auf Projektebene

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

gcloud beta network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [ --project PROJECT_ID ]

Ersetzen Sie Folgendes:

• NETWORK_NAME: der Name des VPC-Netzwerks
• PROJECT_ID: die Google Cloud Projekt-ID, in der die Firewall-Endpunktverknüpfung erstellt wird.

Firewall-Endpunktverknüpfung bearbeiten

Verwenden Sie dieGoogle Cloud Console oder die gcloud CLI, um eine Firewall-Endpunktverknüpfung auf Organisationsebene zu bearbeiten. Verwenden Sie die gcloud CLI, um eine Firewall-Endpunktverknüpfung auf Projektebene zu bearbeiten.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen oder eine der folgenden IAM-Rollen für Ihr Projekt.

Berechtigungen

• networksecurity.firewallEndpointAssociations.update

Rollen

• Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
• „Firewall Endpoint Admin“ (roles/networksecurity.firewallEndpointAdmin) auf Organisations- oder Projektebene

Console

1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

   Zu „Firewall-Endpunkte“

2. Wählen Sie im Menü „Projektauswahl“ Ihr Google Cloud -Projekt aus.

   Im Abschnitt Firewall-Endpunktverknüpfungen listet eine Tabelle alle konfigurierten Firewall-Endpunktverknüpfungen für dieses Projekt auf.

3. Klicken Sie neben der Firewall-Endpunktzuordnung, die Sie aktualisieren möchten, auf Bearbeiten.

4. Wenn Sie die Firewall-Endpunktverknüpfung deaktivieren möchten, entfernen Sie das Häkchen aus dem Kästchen Verknüpfung aktivieren.

5. Wählen Sie zum Aktualisieren der TLS-Prüfungsrichtlinie eine neue Richtlinie aus der Liste der TLS-Prüfungsrichtlinien aus.

6. Klicken Sie auf Speichern.

gcloud

Verwenden Sie zum Aktualisieren einer Firewall-Endpunktverknüpfung den gcloud network-security firewall-endpoint-associations update-Befehl.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Firewall-Endpunkt auf Projektebene

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

gcloud beta network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Ersetzen Sie Folgendes:

• NAME: der Name der Firewall-Endpunktverknüpfung.

• ZONE: die Zone der Firewall-Endpunktverknüpfung.

• PROJECT_ID: die Google Cloud Projekt-ID, in der die Verknüpfung erstellt wird.

• TLS_PROJECT_NAME: der Google Cloud Projektname der TLS-Prüfungsrichtlinie.

• REGION_NAME: der Name der Region der TLS-Prüfungsrichtlinie

• TLS_POLICY_NAME: der Name der TLS-Prüfungsrichtlinie

Firewall-Endpunktverknüpfung löschen

Verwenden Sie dieGoogle Cloud Console oder die gcloud CLI, um eine Firewall-Endpunktverknüpfung auf Organisationsebene zu löschen. Verwenden Sie die gcloud CLI, um eine Firewall-Endpunktverknüpfung auf Projektebene zu löschen.

Wenn ein Google Cloud -Projekt gelöscht wird, werden die zugehörigen Firewall-Endpunktzuordnungen automatisch entfernt. Das Löschen kann nicht rückgängig gemacht werden, auch wenn das Projekt später wiederhergestellt wird.

Das Löschen dieser Verknüpfungen kann jedoch manchmal fehlschlagen. In diesem Fall und nach der Wiederherstellung des Projekts haben die zugehörigen Firewallendpunkte im wiederhergestellten Projekt den Status ORPHAN. Dies weist auf die unterbrochene Verknüpfung zwischen dem Projekt und seinen Ressourcen aufgrund des fehlgeschlagenen Löschvorgangs hin.

Sie können sich diese verwaisten Verknüpfungen in der Google Cloud Console ansehen, sie jedoch nicht bearbeiten. Die Cloud Next Generation Firewall führt regelmäßig einen Hintergrundprozess aus, mit dem diese verwaisten Ressourcen gelöscht werden.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen oder eine der folgenden IAM-Rollen für Ihr Projekt.

Berechtigungen

• networksecurity.firewallEndpointAssociations.delete

Rollen

• Compute-Netzwerkadminstrator (roles/compute.networkAdmin)
• „Firewall Endpoint Admin“ (roles/networksecurity.firewallEndpointAdmin) auf Organisations- oder Projektebene

Console

1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

   Zu „Firewall-Endpunkte“

2. Wählen Sie im Menü „Projektauswahl“ Ihr Google Cloud -Projekt aus.

   Im Abschnitt Firewall-Endpunktverknüpfungen listet eine Tabelle alle konfigurierten Firewall-Endpunktverknüpfungen für dieses Projekt auf.

3. Wählen Sie die Firewall-Endpunktverknüpfung aus und klicken Sie auf Löschen.

4. Klicken Sie zum Bestätigen noch einmal auf Löschen.

gcloud

Verwenden Sie zum Löschen einer Firewall-Endpunktverknüpfung den gcloud network-security firewall-endpoint-associations delete-Befehl.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations \
    delete NAME \
    --zone ZONE \
    --project PROJECT_ID

Firewall-Endpunkt auf Projektebene

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

gcloud beta network-security firewall-endpoint-associations \
    delete NAME \
    --zone ZONE \
    --project PROJECT_ID

Ersetzen Sie Folgendes:

• NAME: der Name der Firewall-Endpunktverknüpfung.

• ZONE: die Zone der Firewall-Endpunktverknüpfung.

• PROJECT_ID: die Google Cloud Projekt-ID, in der die Verknüpfung erstellt wird.

Nächste Schritte

• Hierarchische Firewallrichtlinien und -regeln verwenden
• Globale Netzwerkrichtlinien und -regeln verwenden