יצירה של נקודות קצה לחומת האש ושיוך של נקודות קצה

בדף הזה מוסבר איך להגדיר נקודת קצה (endpoint) של חומת אש ולשייך אותה לרשת של ענן וירטואלי פרטי (VPC) באמצעות מסוףGoogle Cloud , Google Cloud CLI או Terraform.

יוצרים נקודת קצה של חומת אש ברמת האזור, ואז משייכים אותה לרשת VPC אחת או יותר באותו אזור. אם בדיקה בשכבה 7 מופעלת במדיניות חומת האש שמשויכת לרשת ה-VPC, התנועה התואמת מיוּרטת באופן שקוף ומועברת לנקודת הקצה של חומת האש.

אפשר ליצור נקודת קצה של חומת אש עם תמיכה ב-jumbo frame או בלי תמיכה כזו. מידע על גדלי המנות שנתמכים בנקודות קצה של חומת אש זמין במאמר גודל מנות נתמך.

לפני שמתחילים

לפני שמגדירים נקודות קצה של חומת אש ושיוכים, צריך לבצע את הפעולות הבאות:

  1. מוודאים שיש רשת VPC ורשת משנה.
  2. מפעילים את ממשקי ה-API הנדרשים:
  3. אם רוצים להריץ דוגמאות של שורת פקודה, צריך להתקין את ה-CLI של gcloud.gcloud

תפקידים והרשאות

כדי לקבל את ההרשאות שנדרשות ליצירת נקודות קצה של חומת אש, צריך לבקש מהאדמין להקצות לכם את תפקידי ניהול הזהויות והרשאות הגישה (IAM) הנדרשים בארגון או בפרויקט. מידע נוסף מופיע במאמר בנושא ניהול גישה.

כדי לבדוק את התקדמות הפעולות שמפורטות בדף הזה, צריך לוודא שלחשבון המשתמש שלכם יש את התפקיד Compute Network User ‏(roles/compute.networkUser), שכולל את ההרשאות הבאות:

  • networksecurity.operations.get
  • networksecurity.operations.list

מכסות

כדי לראות את המכסות של נקודות קצה של חומות אש ושיוכים, אפשר לעיין במאמר מכסות ומגבלות.

יצירת נקודת קצה של חומת אש

יוצרים נקודת קצה של חומת אש באזור ספציפי.

נקודת קצה ברמת הארגון

אפשר ליצור נקודת קצה של חומת אש ברמת הארגון. נקודות הקצה האלה תומכות רק בקבוצות של פרופילי אבטחה ברמת הארגון.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון.

  3. לוחצים על יצירה.

  4. ברשימה Region, בוחרים את האזור שבו רוצים ליצור את נקודת הקצה של חומת האש.

  5. ברשימה Zone, בוחרים את התחום שבו רוצים ליצור את נקודת הקצה של חומת האש.

  6. מזינים שם בשדה Name.

  7. ברשימה Billing project, בוחרים את הפרויקט שרוצים להשתמש בו לחיוב של נקודת הקצה של חומת האש. Google Cloud

  8. לוחצים על Continue.

  9. אם רוצים שנקודת הקצה תתמוך ב-jumbo frames, מסמנים את התיבה Enable jumbo frames support. אחרת, מבטלים את הסימון של התיבה הזו.

  10. לוחצים על Continue.

  11. אם רוצים להוסיף שיוך של נקודת קצה לחומת אש, לוחצים על הוספת שיוך של נקודת קצה. אחרת, מדלגים על השלב הזה.

    1. ברשימה Project, בוחרים את הפרויקט שבו רוצים ליצור את השיוך של נקודת הקצה של חומת האש. Google Cloud
    2. אם Compute Engine API או Network Security API לא מופעלים בפרויקט Google Cloud , לוחצים על Enable.
    3. ברשימה Network, בוחרים את הרשת שרוצים לשייך לנקודת הקצה של חומת האש.
    4. ברשימה TLS inspection policy, בוחרים את מדיניות הבדיקה של TLS שרוצים להוסיף לאסוציאציה הזו.
    5. כדי להוסיף עוד שיוך, לוחצים על הוספת שיוך של נקודת קצה.

  12. לוחצים על יצירה.

gcloud

כדי ליצור נקודת קצה של חומת אש, משתמשים בפקודה gcloud network-security firewall-endpoints create:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --billing-project BILLING_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫ORGANIZATION_ID: הארגון שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

  • ‫BILLING_PROJECT_ID: מזהה פרויקט Google Cloud שישמש לחיוב של נקודת הקצה של חומת האש.

כדי ליצור נקודת קצה של חומת אש שתומכת ב-jumbo frames בגודל של עד 8,500 בייט, משתמשים בדגל האופציונלי --enable-jumbo-frames. מדלגים על הדגל הזה כדי ליצור נקודת קצה ללא תמיכה בפריים ג'מבו. מידע על גדלי המנות שנתמכים בנקודות קצה של חומת אש זמין במאמר גודל מנות נתמך.

כדי לשייך את נקודת הקצה של חומת האש לרשת VPC, ראו יצירת שיוכים של נקודות קצה של חומת אש.

Terraform

משתמשים במשאב Terraform‏ google_network_security_firewall_endpoint.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

כדי ליצור נקודת קצה של חומת אש שתומכת בפריימים גדולים (Jumbo Frames) בגודל של עד 8,500 בייט, מגדירים את השדה enable_jumbo_frames לערך true. כדי ליצור נקודת קצה של חומת אש שלא תומכת ב-jumbo frames, צריך להגדיר את השדה הזה לערך false. מידע על גדלי המנות שנתמכים בנקודות קצה של חומת אש זמין במאמר גודל מנות נתמך.

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

נקודת קצה ברמת הפרויקט

אפשר ליצור נקודת קצה של חומת אש ברמת הפרויקט. נקודות הקצה האלה תומכות בקבוצות של פרופילי אבטחה ברמת הארגון וברמת הפרויקט.

gcloud

כדי ליצור נקודת קצה של חומת אש, משתמשים בפקודה gcloud beta network-security firewall-endpoints create:

gcloud beta network-security firewall-endpoints create NAME \
    --project PROJECT_ID \
    --zone ZONE \
    --enable-jumbo-frames

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: הפרויקט שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

כדי ליצור נקודת קצה של חומת אש שתומכת ב-jumbo frames בגודל של עד 8,500 בייט, משתמשים בדגל האופציונלי --enable-jumbo-frames. מדלגים על הדגל הזה כדי ליצור נקודת קצה ללא תמיכה בפריים ג'מבו. מידע על גדלי המנות שנתמכים בנקודות קצה של חומת אש זמין במאמר גודל מנות נתמך.

כדי לשייך את נקודת הקצה של חומת האש לרשת VPC, ראו יצירת שיוכים של נקודות קצה של חומת אש.

יצירת שיוך של נקודת קצה לחומת אש

שיוך של נקודת קצה של חומת אש מקשר נקודת קצה של חומת אש לרשת VPC באזור ספציפי. השיוך הזה מבטיח שנקודת הקצה של חומת האש תבדוק את התנועה שתואמת לכלל יירוט ברשת המשויכת באזור הזה.

לפני שיוצרים שיוך, צריך לוודא שיש נקודת קצה של חומת אש.

דרישות השיוך

כשמגדירים שיוכים של נקודות קצה, צריך לעמוד בדרישות הבאות:

  • הגבלות אזור: צריך ליצור את השיוך באותו אזור שבו נמצאת נקודת הקצה של חומת האש. כדי לבצע בדיקה יעילה של התנועה, צריך ליצור שיוכים באזורים שבהם פריסת מופעי המחשוב מתבצעת.
  • נקודת קצה אחת לכל אזור: באזור יחיד, אפשר לשייך רשת VPC רק לנקודת קצה אחת של חומת אש (ברמת הפרויקט (גרסת Preview) או ברמת הארגון). עם זאת, אפשר לשייך רשת VPC אחת לנקודות קצה שונות של חומת אש בכמה אזורים שונים.
  • שיוכים בין פרויקטים: אפשר לשייך רשת VPC לנקודת קצה של חומת אש בפרויקט נפרד.
    • אם משתמשים בנקודת קצה ברמת הפרויקט (תצוגה מקדימה), הפרויקט של נקודת הקצה צריך להיות באותו ארגון כמו רשת ה-VPC.
  • מיפוי משאבים: שיוך הוא משאב ברמת הפרויקט. אתם יוצרים את השיוך בתוך הפרויקט הספציפי שבו פריסת מכונות ה-Compute, גם אם השיוך מצביע על נקודת קצה של חומת אש ברמת הארגון.

נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות של עד 8,500 בייט. לחלופין, נקודת קצה של חומת אש ללא תמיכה ב-jumbo frame יכולה לקבל מנות עד 1,460 בייט. אם אתם צריכים שירות סינון כתובות URL או שירות לזיהוי ולמניעה של פריצות, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות יחידת השידור המקסימלית (MTU) של 8,500 בייט ו-1,460 בייט. מידע נוסף זמין במאמר בנושא גודל מנות נתונים נתמך.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט הרצוי. Google Cloud

  3. לוחצים על Create endpoint association.

  4. ברשימה אזור, בוחרים את האזור שבו רוצים ליצור את השיוך של נקודת הקצה של חומת האש.

  5. ברשימה Zone, בוחרים את האזור שבו רוצים ליצור את השיוך של נקודת הקצה של חומת האש.

  6. ברשימה Firewall endpoint, בוחרים את נקודת הקצה של חומת האש שרוצים להוסיף לשיוך.

  7. ברשימה רשת, בוחרים את הרשת שרוצים להוסיף לאסוציאציה.

  8. ברשימה TLS inspection policy, בוחרים את מדיניות בדיקת ה-TLS שרוצים להוסיף לאסוציאציה הזו.

  9. לוחצים על יצירה.

gcloud

כדי ליצור שיוך של נקודת קצה לחומת אש, משתמשים בפקודה gcloud network-security firewall-endpoint-associations create.

נקודת קצה של חומת אש ברמת הארגון

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint organizations/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

נקודת קצה של חומת אש ברמת הפרויקט

gcloud beta network-security firewall-endpoint-associations \
    create NAME \
    --endpoint projects/ENDPOINT_PROJECT_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של השיוך של נקודת הקצה של חומת האש.

  • ‫ORGANIZATION_ID: מזהה הארגון שבו נוצרת נקודת הקצה של חומת האש ברמת הארגון.

  • ‫ENDPOINT_PROJECT_ID: Google Cloud מזהה הפרויקט שבו נוצרה נקודת הקצה של חומת האש ברמת הפרויקט.

  • ‫ZONE: האזור של נקודת הקצה של חומת האש.

  • ‫FIREWALL_ENDPOINT_NAME: השם של נקודת הקצה של חומת האש.

  • ‫PROJECT_NAME: שם הפרויקט של הרשת. Google Cloud

  • ‫NETWORK_NAME: שם הרשת.

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שבו נוצר השיוך. זה צריך להיות הפרויקט שבו רוצים ליירט את התנועה.

  • ‫TLS_PROJECT_NAME: שם הפרויקט של מדיניות בדיקת ה-TLS. Google Cloud

  • ‫REGION_NAME: שם האזור של מדיניות בדיקת ה-TLS.

  • ‫TLS_POLICY_NAME: השם של מדיניות הבדיקה של TLS.

    המדיניות הזו משמשת לבדיקת TLS של התנועה המוצפנת ברשת שצוינה. זהו ארגומנט אופציונלי.

המאמרים הבאים