Creare e gestire gli endpoint firewall

Questa pagina spiega come configurare e gestire un endpoint firewall e associarlo a una rete Virtual Private Cloud (VPC) utilizzando la Google Cloud console e Google Cloud CLI.

Crea un endpoint firewall a livello di zona e poi lo associ a una o più reti VPC nella stessa zona. Se hai abilitato l'ispezione di livello 7 nella policy firewall associata alla tua rete VPC, il traffico corrispondente viene intercettato e inoltrato in modo trasparente all'endpoint firewall.

Puoi creare un endpoint firewall con o senza supporto per i frame jumbo. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint firewall, consulta Dimensioni dei pacchetti supportate.

Nota: per verificare lo stato di avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo ruolo utente disponga delle seguenti autorizzazioni del ruolo Utente di rete Compute (roles/compute.networkUser) :

• networksecurity.operations.get
• networksecurity.operations.list

Prima di iniziare

• Devi avere una rete VPC e una subnet.

• Devi abilitare l'API Compute Engine nel tuo Google Cloud progetto.

• Devi abilitare l'API Network Security nel Google Cloud progetto che vuoi utilizzare per la fatturazione.

• Devi abilitare l'API Certificate Authority Service nel tuo Google Cloud progetto.

• Installa gcloud CLI se vuoi eseguire gli gcloud esempi della riga di comando in questa guida.

Ruoli

Per ottenere le autorizzazioni necessarie per creare, visualizzare, aggiornare o eliminare gli endpoint firewall, chiedi all'amministratore di concederti i ruoli IAM necessari nella tua organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso.

Quote

Per visualizzare le quote per gli endpoint firewall e le associazioni, consulta Quote e limiti.

Crea un endpoint firewall

Crea un endpoint firewall in una zona specifica.

Nota: Cloud NGFW potrebbe impiegare fino a 20 minuti per creare un endpoint firewall e altri 15 minuti per creare le associazioni di endpoint firewall.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.create

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)

Console

1. Nella Google Cloud console, vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Nel menu del selettore dei progetti, seleziona la tua organizzazione.

3. Fai clic su Crea.

4. Nell'elenco Regione, seleziona la regione in cui vuoi creare l'endpoint firewall.

5. Nell'elenco Zona, seleziona la zona in cui vuoi creare l'endpoint firewall.

6. Inserisci un nome nel campo Nome.

   Non includere informazioni sensibili come informazioni che consentono l'identificazione personale o dati di sicurezza nel nome dell'endpoint firewall.

7. Nell'elenco Progetto di fatturazione, seleziona il Google Cloud progetto che vuoi utilizzare per la fatturazione dell'endpoint firewall.

8. Fai clic su Continua.

9. Se vuoi che l'endpoint supporti i frame jumbo, seleziona la casella di controllo Abilita supporto per i frame jumbo ; in caso contrario, deseleziona questa casella di controllo.

10. Fai clic su Continua.

11. Se vuoi aggiungere un'associazione di endpoint firewall, fai clic su Aggiungi associazione endpoint, altrimenti salta questo passaggio.

    1. Nell'elenco Progetto, seleziona il Google Cloud progetto in cui vuoi creare l'associazione di endpoint firewall.
    2. Se l'API Compute Engine o l'API Network Security non sono abilitate per il Google Cloud progetto, fai clic su Abilita.
    3. Nell'elenco Rete, seleziona la rete che vuoi associare all'endpoint firewall.
    4. Nell'elenco Policy di ispezione TLS, seleziona la policy di ispezione TLS che vuoi aggiungere a questa associazione.
    5. Per aggiungere un'altra associazione, fai clic su Aggiungi associazione endpoint.

12. Fai clic su Crea.

gcloud

Per creare un endpoint firewall, utilizza il gcloud network-security firewall-endpoints create comando:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --billing-project BILLING_PROJECT_ID

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

  Non includere informazioni sensibili come informazioni che consentono l'identificazione personale o dati di sicurezza nel nome dell'endpoint firewall.

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

• BILLING_PROJECT_ID: l' Google Cloud ID progetto da utilizzare per la fatturazione dell'endpoint firewall.

Per creare un endpoint firewall che supporti frame jumbo di dimensioni fino a 8500 byte, utilizza il flag facoltativo --enable-jumbo-frames. Salta questo flag per creare un endpoint senza supporto per i frame jumbo. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint firewall, consulta Dimensioni dei pacchetti supportate.

Per associare l'endpoint firewall a una rete VPC, consulta Creare associazioni di endpoint firewall.

Terraform

Utilizza la risorsa Terraform google_network_security_firewall_endpoint.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

Per creare un endpoint firewall che supporti frame jumbo di dimensioni fino a 8500 byte, imposta il campo enable_jumbo_frames su True. Per creare un endpoint firewall che non supporti i frame jumbo, imposta questo campo su False. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint firewall, consulta Dimensioni dei pacchetti supportate.

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Visualizza un endpoint firewall

Puoi visualizzare i dettagli di un endpoint firewall specifico.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Compute Network User (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)

Console

1. Nella Google Cloud console, vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Nel menu del selettore dei progetti, seleziona la tua organizzazione.

   La pagina Endpoint firewall elenca tutti gli endpoint firewall configurati nell'organizzazione.

3. Fai clic sul nome dell'endpoint firewall per visualizzarne i dettagli.

gcloud

Per visualizzare i dettagli di un endpoint firewall, utilizza il gcloud network-security firewall-endpoints describe comando:

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

Elenca gli endpoint firewall

Puoi elencare tutti gli endpoint firewall in un'organizzazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.list

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Compute Network User (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)

Console

1. Nella Google Cloud console, vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. La pagina Endpoint firewall elenca tutti gli endpoint firewall configurati nell'organizzazione.

gcloud

Per elencare tutti gli endpoint firewall, utilizza il gcloud network-security firewall-endpoints list comando:

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Sostituisci quanto segue:

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint. Per elencare gli endpoint in tutte le zone, utilizza -.

• BILLING_PROJECT_ID: un ID progetto facoltativo a cui verrà addebitata la quota per l'operazione.Google Cloud

Aggiorna un endpoint firewall

Puoi aggiornare il progetto di fatturazione di un endpoint firewall in un'organizzazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Compute Network User (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)

Console

1. Nella Google Cloud console, vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Nel menu del selettore dei progetti, seleziona la tua organizzazione.

   La pagina Endpoint firewall elenca tutti gli endpoint firewall configurati nell'organizzazione.

3. Fai clic sul nome dell'endpoint firewall per visualizzarne i dettagli.

4. Fai clic su Modifica.

5. Nell'elenco Progetto di fatturazione, seleziona il Google Cloud progetto che vuoi utilizzare per la fatturazione dell'endpoint firewall.

6. Fai clic su Salva.

gcloud

Per modificare un endpoint firewall, utilizza il gcloud network-security firewall-endpoints update comando:

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

• BILLING_PROJECT_ID: l' Google Cloud ID progetto che vuoi associare a questo endpoint firewall per la fatturazione.

Nota: non puoi riconfigurare un endpoint esistente per aggiungere o rimuovere il supporto per i frame jumbo. Per aggiungere o rimuovere il supporto per i frame jumbo, elimina l'endpoint e ricrealo. Per saperne di più, consulta Eliminare un endpoint firewall e Creare un endpoint firewall.

Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint firewall, consulta Dimensioni dei pacchetti supportate.

Elimina un endpoint firewall

Puoi eliminare un endpoint firewall specificandone il nome, la zona e l'organizzazione.

Nota: puoi eliminare un endpoint firewall solo se non è associato ad alcuna rete VPC.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.delete

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin)

Console

1. Nella Google Cloud console, vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Seleziona l'endpoint firewall, quindi fai clic su Elimina.

3. Fai di nuovo clic su Elimina per confermare.

gcloud

Per eliminare un endpoint firewall, utilizza il gcloud network-security firewall-endpoints delete comando:

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

Passaggi successivi

• Crea e gestisci le associazioni di endpoint firewall
• Utilizza criteri e regole firewall gerarchici
• Utilizza criteri e regole firewall di rete globali