Firewall-Endpunkte und Endpunktverknüpfungen erstellen

In diesem Dokument wird beschrieben, wie Sie Firewall-Endpunkte erstellen und sie mit Ihren VPC-Netzwerken (Virtual Private Cloud) über die Google Cloud Console, die Google Cloud CLI oder Terraform verknüpfen.

Zum Steuern des Netzwerkverkehrs und zum Schützen Ihrer VM-Instanzen (Virtual Machine) konfigurieren Sie Firewall-Endpunkte und Endpunktverknüpfungen. Nachdem Sie einen Firewall-Endpunkt erstellt haben, erstellen Sie eine zonale Verknüpfung , um den Endpunkt mit einem oder mehreren VPC-Netzwerken in derselben Zone zu verknüpfen.

Dieses Dokument richtet sich an Netzwerkadministratoren, Sicherheitstechniker und Sicherheitsarchitekten, die Netzwerksicherheit und Firewall-Endpunkte konfigurieren.

Hinweis

Führen Sie vor dem Konfigurieren von Firewall-Endpunkten und -Verknüpfungen die folgenden Schritte aus:

Rollen und Berechtigungen

Bitten Sie Ihren Administrator, Ihnen die erforderlichen IAM-Rollen (Identity and Access Management) in Ihrer Organisation oder Ihrem Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen von Firewall-Endpunkten benötigen. Weitere Informationen finden Sie unter Zugriff verwalten.

Um den Fortschritt der auf dieser Seite aufgeführten Vorgänge zu prüfen, muss Ihrem Nutzerkonto die Rolle „Compute Network User“ (roles/compute.networkUser) zugewiesen sein, die die folgenden Berechtigungen umfasst:

  • networksecurity.operations.get
  • networksecurity.operations.list

Kontingente

Informationen zu Kontingenten für Firewall-Endpunkte und -Verknüpfungen finden Sie unter Kontingente und Limits.

Firewall-Endpunkt erstellen

Sie erstellen einen Firewall-Endpunkt in einer bestimmten Zone. Um eine ordnungsgemäße Traffic-Prüfung zu gewährleisten und Routingfehler zu vermeiden, erstellen Sie den Firewall-Endpunkt in derselben Zone wie die Arbeitslasten, die Sie prüfen möchten.

Sie können einen Firewall-Endpunkt auf Organisations- oder Projektebene erstellen. Endpunkte auf Organisationsebene unterstützen nur Sicherheitsprofilgruppen auf Organisationsebene. Endpunkte auf Projektebene unterstützen sowohl Sicherheitsprofilgruppen auf Organisations- als auch auf Projektebene.

Sie können einen Firewall-Endpunkt mit oder ohne Jumbo-Frame-Unterstützung erstellen. Informationen zu den von Firewall-Endpunkten unterstützten Paketgrößen finden Sie unter Unterstützte Paketgröße.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

    Zu „Firewall-Endpunkte“

  2. Klicken Sie auf Projektauswahl öffnen und wählen Sie Ihre Organisation oder das Projekt aus.

  3. Wenn Sie die Organisation ausgewählt haben, klicken Sie auf Endpunkt auf Organisationsebene erstellen.

    Wenn Sie ein Projekt ausgewählt haben, klicken Sie im Bereich Firewall-Endpunkte in diesem Projekt auf Endpunkt auf Projektebene erstellen.

  4. Wählen Sie in der Liste Region die Region aus, in der Sie den Firewall-Endpunkt erstellen möchten.

  5. Wählen Sie in der Liste Zone die Zone aus, in der Sie den Firewall-Endpunkt erstellen möchten.

  6. Geben Sie im Feld Name einen Namen für den Firewall-Endpunkt ein.

  7. Wenn Sie einen Endpunkt auf Organisationsebene erstellen, wählen Sie in der Liste Abrechnung sprojekt das Google Cloud Projekt aus, das Sie für die Abrechnung des Firewall-Endpunkts verwenden möchten.

  8. Klicken Sie auf Weiter. Der Bereich Erweiterte Konfiguration wird geöffnet.

  9. Wenn Sie die Unterstützung der erweiterten Malware-Sandbox für den Endpunkt aktivieren möchten, klicken Sie das Kästchen Erweiterte Malware-Sandbox (WildFire) aktivieren (Vorschau) an.

    1. Wenn die Endnutzer-Lizenzvereinbarung (EULA) für das ausgewählte Projekt nicht akzeptiert wurde, klicken Sie auf Zustimmen und fortfahren , um die EULA für die erweiterte Malware-Sandbox zu akzeptieren.

    2. Optional: Klicken Sie auf die Liste Zusätzliche Konfigurationen für die erweiterte Malware-Sandbox und führen Sie die folgenden Schritte aus:

      • Wählen Sie in der Liste Region für die erweiterte Malware-Sandbox die Region aus.
      • Wählen Sie in der Liste Region für die Content Cloud die Region aus.
      • Geben Sie im Feld Zeitlimit für die Signatursuche die Zeitlimitdauer ein.
      • Wählen Sie in der Liste Aktion bei Zeitüberschreitung der Signatursuche die Option Allow oder Deny aus.
      • Wenn Sie HTTP-Teilantworten blockieren möchten, klicken Sie das Kästchen HTTP-Teilantworten blockieren an.
      • Geben Sie im Feld Maximale Dauer der Inline-Cloud-Analyse die Dauer ein.
      • Wählen Sie in der Liste Aktion bei Zeitüberschreitung der Inline-Cloud-Analyse die Option Allow oder Deny aus.
      • Wenn Sie die Loggenerierung für Dateien aktivieren möchten, bei denen während der Inline-Cloud-Analyse der erweiterten Malware-Sandbox eine Zeitüberschreitung aufgetreten ist, klicken Sie das Kästchen Logging für Zeitüberschreitung beim Senden aktivieren an.

  10. Wenn der Endpunkt Jumbo-Frames unterstützen soll, klicken Sie das Kästchen Unterstützung für Jumbo-Frames aktivieren an. Andernfalls entfernen Sie das Häkchen aus diesem Kästchen.

  11. Klicken Sie auf Weiter.

  12. Wenn Sie eine Firewall-Endpunktverknüpfung hinzufügen möchten, klicken Sie auf Endpunktverknüpfung hinzufügen. Andernfalls überspringen Sie diesen Schritt.

    1. Wählen Sie in der Liste Projekt das Google Cloud Projekt aus, in dem Sie die Firewall-Endpunktverknüpfung erstellen möchten.
    2. Wenn die Compute Engine API oder die Network Security API für das Google Cloud Projekt nicht aktiviert ist, klicken Sie auf Aktivieren.
    3. Wählen Sie in der Liste Netzwerk das Netzwerk aus, das Sie mit dem Firewall-Endpunkt verknüpfen möchten.
    4. Wählen Sie in der Liste TLS-Prüfungsrichtlinie die TLS-Prüfungsrichtlinie aus, die Sie dieser Verknüpfung hinzufügen möchten.
    5. Wenn Sie eine weitere Verknüpfung hinzufügen möchten, klicken Sie auf Endpunktverknüpfung hinzufügen.

  13. Klicken Sie auf Erstellen.

gcloud

Verwenden Sie zum Erstellen eines Firewall-Endpunkts den gcloud network-security firewall-endpoints create-Befehl:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--billing-project QUOTA_PROJECT_ID] \
    [--enable-jumbo-frames]

Ersetzen Sie dabei Folgendes:

  • NAME: der Name des Firewall-Endpunkts.

  • ORGANIZATION_ID: die Organisations-ID. Verwenden Sie dieses Flag, um einen Firewall-Endpunkt auf Organisationsebene zu erstellen.

  • PROJECT_ID: die Projekt-ID. Verwenden Sie dieses Flag, um einen Firewall-Endpunkt auf Projektebene zu erstellen.

  • LOCATION: die Zone, in der der Endpunkt erstellt werden soll.

  • QUOTA_PROJECT_ID: die Projekt-ID des Kontingents. Verwenden Sie dieses Flag nur für Firewall-Endpunkte auf Organisationsebene.

Verwenden Sie das optionale Flag --enable-jumbo-frames,um einen Firewall-Endpunkt zu erstellen, der Jumbo-Frames mit einer Größe von bis zu 8.500 Byte unterstützt. Überspringen Sie dieses Flag, um einen Endpunkt ohne Jumbo-Frame-Unterstützung zu erstellen. Informationen zu den von Firewall-Endpunkten unterstützten Paketgrößen finden Sie unter Unterstützte Paketgröße.

Verwenden Sie den gcloud beta network-security firewall-endpoints create Befehl (Vorschau), um einen Firewall-Endpunkt zu erstellen, der die erweiterte Malware-Sandbox unterstützt:

gcloud beta network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --enable-wildfire \
    --wildfire-region=WILDFIRE_REGION \
    --content-cloud-region=CONTENT_CLOUD_REGION \
    --hold-for-wildfire-realtime-signature-lookup-timeout-ms=TIMEOUT_MS \
    --hold-for-wildfire-realtime-signature-lookup-timeout-action=ACTION \
    --wildfire-inline-cloud-analysis-timeout-ms=TIMEOUT_MS \
    --wildfire-inline-cloud-analysis-timeout-action=ACTION \
    --[no-]enable-wildfire-analysis-logging \
    --[no-]block-partial-http \
    --billing-project BILLING_PROJECT_ID

Ersetzen Sie dabei Folgendes:

  • WILDFIRE_REGION: geografische Region, an die der Endpunkt unbekannte Dateien sendet.
  • CONTENT_CLOUD_REGION: Region der Content Cloud, die der Endpunkt verwendet.
  • TIMEOUT_MS: Zeitlimits in Millisekunden für die Signatursuche oder die Inline-Analyse.
  • ACTION: die Aktion bei Zeitüberschreitung, die Allow oder Deny sein muss.
  • --[no-]enable-wildfire-analysis-logging: gibt an, ob das Logging für Zeitüberschreitungsereignisse aktiviert werden soll.
  • --[no-]block-partial-http: wählen Sie diese Option aus, um das Fortsetzen blockierter Downloads schädlicher HTTP-Dateien zu blockieren.

Informationen zum Verknüpfen des Firewall-Endpunkts mit einem VPC-Netzwerk finden Sie unter Firewall-Endpunktverknüpfungen erstellen.

Terraform

Verwenden Sie die google_network_security_firewall_endpoint Terraform-Ressource.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

Wenn Sie einen Firewall-Endpunkt erstellen möchten,der Jumbo-Frames mit einer Größe von bis zu 8.500 Byte unterstützt, legen Sie das Feld enable_jumbo_frames auf true fest. Wenn Sie einen Firewall-Endpunkt erstellen möchten, der keine Jumbo-Frames unterstützt, legen Sie dieses Feld auf false fest. Informationen zu den von Firewall-Endpunkten unterstützten Paketgrößen finden Sie unter Unterstützte Paketgröße. Wenn Sie einen Firewall-Endpunkt erstellen möchten, der die erweiterte Malware-Sandbox unterstützt, legen Sie das Feld enable_wildfire auf True fest.

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.

Firewall-Endpunktverknüpfung erstellen

Eine Firewall-Endpunktverknüpfung verbindet einen Firewall-Endpunkt mit einem VPC-Netzwerk in einer bestimmten Zone. Diese Verknüpfung sorgt dafür, dass Traffic, der einer Abfangregel für das verknüpfte Netzwerk in dieser Zone entspricht, vom Firewall-Endpunkt geprüft wird.

Achten Sie darauf, dass Sie einen Firewall-Endpunkt haben, bevor Sie eine Verknüpfung erstellen.

Anforderungen an Verknüpfungen

Beachten Sie beim Konfigurieren von Endpunktverknüpfungen die folgenden Anforderungen:

  • Zonenbeschränkungen:Sie müssen die Verknüpfung in derselben Zone wie den Firewall-Endpunkt erstellen. Für eine effektive Traffic-Prüfung erstellen Sie Verknüpfungen in Zonen, in denen Ihre Compute-Instanzen bereitgestellt werden.
  • Ein Endpunkt pro Zone:In einer einzelnen Zone können Sie ein VPC-Netzwerk nur mit einem Firewall-Endpunkt verknüpfen (entweder auf Projektebene oder Organisationsebene). Sie können jedoch ein einzelnes VPC-Netzwerk mit verschiedenen Firewall-Endpunkten in mehreren verschiedenen Zonen verknüpfen.
  • Projektübergreifende Verknüpfungen:Sie können ein VPC Netzwerk mit einem Firewall-Endpunkt in einem separaten Projekt verknüpfen. Wenn Sie einen Endpunkt auf Projektebene verwenden, muss sich das Projekt des Endpunkts in derselben Organisation wie das VPC-Netzwerk befinden.
  • Ressourcenzuordnung:Eine Verknüpfung ist eine Ressource auf Projektebene. Sie erstellen die Verknüpfung in dem spezifischen Projekt, in dem Ihre Compute-Instanzen bereitgestellt werden, auch wenn die Verknüpfung auf einen Firewall-Endpunkt auf Organisationsebene verweist.

Ein Firewall-Endpunkt mit Jumbo-Frame-Unterstützung kann nur Pakete mit einer Größe von bis zu 8.500 Byte akzeptieren. Alternativ kann ein Firewall-Endpunkt ohne Jumbo-Frame-Unterstützung nur Pakete mit einer Größe von bis zu 1.460 Byte akzeptieren. Wenn Sie einen Dienst zur Einbruchserkennung und -vermeidung, die erweiterte Malware-Sandbox oder einen URL-Filterdienst benötigen, empfehlen wir, die verknüpften VPC-Netzwerke so zu konfigurieren, dass die MTU-Limits (Maximum Transmission Unit) von 8.500 Byte und 1.460 Byte verwendet werden. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewall-Endpunkte auf.

    Zu „Firewall-Endpunkte“

  2. Wählen Sie im Menü der Projektauswahl Ihr Google Cloud Projekt aus.

  3. Klicken Sie auf Endpunktverknüpfung erstellen.

  4. Wählen Sie in der Liste Region die Region aus, in der Sie die Firewall-Endpunktverknüpfung erstellen möchten.

  5. Wählen Sie in der Liste Zone die Zone aus, in der Sie die Firewall-Endpunktverknüpfung erstellen möchten.

  6. Wählen Sie in der Liste Firewall-Endpunkt den Firewall-Endpunkt aus, den Sie der Verknüpfung hinzufügen möchten.

  7. Wählen Sie in der Liste Netzwerk das Netzwerk aus, das Sie der Verknüpfung hinzufügen möchten.

  8. Wählen Sie in der Liste TLS-Prüfungsrichtlinie die TLS-Prüfungsrichtlinie aus, die Sie dieser Verknüpfung hinzufügen möchten.

  9. Klicken Sie auf Erstellen.

gcloud

Verwenden Sie zum Erstellen einer Firewall-Endpunktverknüpfung den gcloud network-security firewall-endpoint-associations create Befehl.

Firewall-Endpunkt auf Organisationsebene

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint organizations/ORGANIZATION_ID/locations/LOCATION/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Firewall-Endpunkt auf Projektebene

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint projects/ENDPOINT_PROJECT_ID/locations/LOCATION/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Ersetzen Sie dabei Folgendes:

  • NAME: der Name der Firewall-Endpunktverknüpfung.

  • ORGANIZATION_ID: die Organisations-ID, in der sich der Firewall-Endpunkt befindet. Verwenden Sie dieses Flag nur für einen Firewall-Endpunkt auf Organisationsebene.

  • ENDPOINT_PROJECT_ID: die Projekt-ID, in der sich der Firewall-Endpunkt befindet. Verwenden Sie dieses Flag nur für einen Firewall-Endpunkt auf Projektebene.

  • LOCATION: die Zone, in der sich der Firewall-Endpunkt befindet.

  • FIREWALL_ENDPOINT_NAME: der Name des Firewall-Endpunkts.

  • PROJECT_NAME: der Google Cloud Projektname des Netzwerks.

  • NETWORK_NAME: der Name des Netzwerks.

  • PROJECT_ID: die Google Cloud Projekt-ID, in der die Verknüpfung erstellt wird. Dies sollte das Projekt sein, in dem Sie Traffic abfangen möchten.

  • TLS_PROJECT_NAME: der Google Cloud Projektname von der TLS-Prüfungsrichtlinie.

  • REGION_NAME: der Regionsname der TLS-Prüfungsrichtlinie.

  • TLS_POLICY_NAME: der Name der TLS-Prüfungsrichtlinie.

    Diese Richtlinie wird für die TLS-Prüfung des verschlüsselten Traffics im angegebenen Netzwerk verwendet. Dies ist ein optionales Argument.

Nächste Schritte