Créer et gérer des points de terminaison de pare-feu

Cette page explique comment configurer et gérer un point de terminaison de pare-feu et comment l'associer à un réseau cloud privé virtuel (VPC) à l'aide de la consoleGoogle Cloud et de la Google Cloud CLI.

Vous créez un point de terminaison de pare-feu au niveau d'une zone, puis vous l'associez à un ou plusieurs réseaux VPC dans la même zone. Si vous avez activé l'inspection de couche 7 dans la stratégie de pare-feu associée à votre réseau VPC, le trafic correspondant est intercepté et transféré de manière transparente vers le point de terminaison de pare-feu.

Vous pouvez créer un point de terminaison de pare-feu avec ou sans prise en charge des trames géantes. Pour en savoir plus sur les tailles de paquets acceptées par les points de terminaison de pare-feu, consultez Taille de paquet acceptée.

Avant de commencer

Rôles

Pour obtenir les autorisations nécessaires pour créer, afficher, mettre à jour ou supprimer des points de terminaison de pare-feu, demandez à votre administrateur de vous accorder les rôles IAM nécessaires sur votre organisation ou votre projet. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Quotas

Pour afficher les quotas des points de terminaison et des associations de pare-feu, consultez la page Quotas et limites.

Créer un point de terminaison de pare-feu

Créez un point de terminaison de pare-feu dans une zone spécifique.

Point de terminaison au niveau de l'organisation

Vous pouvez créer un point de terminaison de pare-feu au niveau de l'organisation. Ces points de terminaison ne sont compatibles qu'avec les groupes de profils de sécurité au niveau de l'organisation.

Console

  1. Dans la console Google Cloud , accédez à la page Points de terminaison de pare-feu.

    Accéder à la page "Points de terminaison de pare-feu"

  2. Dans le menu de sélection du projet, sélectionnez votre organisation.

  3. Cliquez sur Créer.

  4. Dans la liste Région, sélectionnez la région dans laquelle vous souhaitez créer le point de terminaison de pare-feu.

  5. Dans la liste Zone, sélectionnez la zone dans laquelle vous souhaitez créer le point de terminaison de pare-feu.

  6. Saisissez un nom dans le champ Nom.

  7. Dans la liste Projet de facturation, sélectionnez le projet Google Cloud que vous souhaitez utiliser pour facturer le point de terminaison de pare-feu.

  8. Cliquez sur Continuer.

  9. Si vous souhaitez que le point de terminaison prenne en charge les trames géantes, cochez la case Activer la prise en charge des trames géantes. Sinon, décochez-la.

  10. Cliquez sur Continuer.

  11. Si vous souhaitez ajouter une association de points de terminaison de pare-feu, cliquez sur Ajouter une association de points de terminaison. Sinon, ignorez cette étape.

    1. Dans la liste Projet, sélectionnez le projet Google Cloud dans lequel vous souhaitez créer l'association de points de terminaison de pare-feu.
    2. Si l'API Compute Engine ou l'API Network Security ne sont pas activées pour le projet Google Cloud , cliquez sur Activer.
    3. Dans la liste Réseau, sélectionnez le réseau que vous souhaitez associer au point de terminaison de pare-feu.
    4. Dans la liste Règle d'inspection TLS, sélectionnez la règle d'inspection TLS que vous souhaitez ajouter à cette association.
    5. Pour ajouter une autre association, cliquez sur Ajouter une association de points de terminaison.

  12. Cliquez sur Créer.

gcloud

Pour créer un point de terminaison de pare-feu, exécutez la commande gcloud network-security firewall-endpoints create :

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --billing-project BILLING_PROJECT_ID

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • ORGANIZATION_ID : organisation dans laquelle le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

  • BILLING_PROJECT_ID : ID de projet Google Cloud à utiliser pour la facturation du point de terminaison de pare-feu.

Pour créer un point de terminaison de pare-feu compatible avec les trames géantes jusqu'à 8 500 octets, utilisez l'option facultative --enable-jumbo-frames. Ignorez cet indicateur pour créer un point de terminaison sans prise en charge des trames géantes. Pour en savoir plus sur les tailles de paquets acceptées par les points de terminaison de pare-feu, consultez Taille de paquet acceptée.

Pour associer le point de terminaison de pare-feu à un réseau VPC, consultez Créer des associations de points de terminaison de pare-feu.

Terraform

Utilisez la ressource Terraform google_network_security_firewall_endpoint.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

Pour créer un point de terminaison de pare-feu compatible avec les trames géantes jusqu'à 8 500 octets, définissez le champ enable_jumbo_frames sur True. Pour créer un point de terminaison de pare-feu qui ne prend pas en charge les trames géantes, définissez ce champ sur False. Pour en savoir plus sur les tailles de paquets acceptées par les points de terminaison de pare-feu, consultez Taille de paquet acceptée.

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez Commandes Terraform de base.

Point de terminaison au niveau du projet

Vous pouvez créer un point de terminaison de pare-feu au niveau du projet. Ces points de terminaison sont compatibles avec les groupes de profils de sécurité au niveau de l'organisation et du projet.

gcloud

Pour créer un point de terminaison de pare-feu, exécutez la commande gcloud beta network-security firewall-endpoints create :

gcloud beta network-security firewall-endpoints create NAME \
    --project PROJECT_ID \
    --zone ZONE \
    --enable-jumbo-frames

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • PROJECT_ID : projet dans lequel le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Pour créer un point de terminaison de pare-feu compatible avec les trames géantes jusqu'à 8 500 octets, utilisez l'option facultative --enable-jumbo-frames. Ignorez cet indicateur pour créer un point de terminaison sans prise en charge des trames géantes. Pour en savoir plus sur les tailles de paquets acceptées par les points de terminaison de pare-feu, consultez Taille de paquet acceptée.

Pour associer le point de terminaison de pare-feu à un réseau VPC, consultez Créer des associations de points de terminaison de pare-feu.

Afficher un point de terminaison de pare-feu

Vous pouvez afficher les détails d'un point de terminaison de pare-feu spécifique.

Points de terminaison au niveau de l'organisation

Pour afficher les détails d'un point de terminaison de pare-feu au niveau de l'organisation, utilisez la consoleGoogle Cloud ou gcloud CLI.

Console

  1. Dans la console Google Cloud , accédez à la page Points de terminaison de pare-feu.

    Accéder à la page "Points de terminaison de pare-feu"

  2. Dans le menu de sélection du projet, sélectionnez l'organisation dans laquelle le point de terminaison a été activé.

    La page Points de terminaison de pare-feu recense tous les points de terminaison de pare-feu configurés dans l'organisation.

  3. Cliquez sur le nom du point de terminaison de pare-feu pour en afficher les détails.

gcloud

Pour afficher les détails d'un point de terminaison de pare-feu, exécutez la commande gcloud network-security firewall-endpoints describe :

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • ORGANIZATION_ID : organisation dans laquelle le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Points de terminaison au niveau du projet

Pour afficher les détails d'un point de terminaison de pare-feu au niveau du projet, utilisez la gcloud CLI.

gcloud

Pour afficher les détails d'un point de terminaison de pare-feu, exécutez la commande gcloud beta network-security firewall-endpoints describe :

gcloud beta network-security firewall-endpoints \
    describe NAME \
    --project PROJECT_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • PROJECT_ID : projet dans lequel le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Lister les points de terminaison de pare-feu

Vous pouvez lister tous les points de terminaison de pare-feu dans une organisation ou un projet.

Points de terminaison au niveau de l'organisation

Pour répertorier tous les points de terminaison de pare-feu au niveau de l'organisation, utilisez la consoleGoogle Cloud ou la gcloud CLI.

Console

  1. Dans la console Google Cloud , accédez à la page Points de terminaison de pare-feu.

    Accéder à la page "Points de terminaison de pare-feu"

  2. Dans le menu de sélection du projet, sélectionnez l'organisation dans laquelle le point de terminaison a été activé.

  3. La page Points de terminaison de pare-feu recense tous les points de terminaison de pare-feu configurés.

gcloud

Pour lister tous les points de terminaison de pare-feu, utilisez la commande gcloud network-security firewall-endpoints list :

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Remplacez les éléments suivants :

  • ORGANIZATION_ID : organisation dans laquelle le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé. Pour répertorier les points de terminaison de toutes les zones, utilisez -.

  • BILLING_PROJECT_ID : ID du projetGoogle Cloud facultatif qui sera facturé par quota pour l'opération. Ce paramètre n'est requis que pour les points de terminaison de pare-feu au niveau de l'organisation.

Points de terminaison au niveau du projet

Pour répertorier tous les points de terminaison de pare-feu au niveau du projet, utilisez la gcloud CLI.

gcloud

Pour lister tous les points de terminaison de pare-feu, utilisez la commande gcloud beta network-security firewall-endpoints list :

gcloud beta network-security firewall-endpoints list \
    --project PROJECT_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • PROJECT_ID : projet dans lequel le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé. Pour répertorier les points de terminaison de toutes les zones, utilisez -.

Mettre à jour un point de terminaison de pare-feu

Vous pouvez gérer les libellés ou modifier la description d'un point de terminaison de pare-feu.

Point de terminaison au niveau de l'organisation

Pour mettre à jour un point de terminaison de pare-feu au niveau de l'organisation, utilisez la consoleGoogle Cloud ou gcloud CLI. Vous pouvez également mettre à jour le projet de facturation d'un point de terminaison de pare-feu dans une organisation.

Console

  1. Dans la console Google Cloud , accédez à la page Points de terminaison de pare-feu.

    Accéder à la page "Points de terminaison de pare-feu"

  2. Dans le menu de sélection du projet, sélectionnez l'organisation dans laquelle le point de terminaison a été activé.

    La page Points de terminaison de pare-feu recense tous les points de terminaison de pare-feu configurés.

  3. Cliquez sur le nom du point de terminaison de pare-feu pour en afficher les détails.

  4. Cliquez sur Modifier.

  5. Dans la liste Projet de facturation, sélectionnez le projet Google Cloud que vous souhaitez utiliser pour facturer le point de terminaison de pare-feu.

  6. Cliquez sur Enregistrer.

gcloud

Pour mettre à jour un point de terminaison de pare-feu, exécutez la commande gcloud network-security firewall-endpoints update :

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • ORGANIZATION_ID : organisation dans laquelle le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

  • BILLING_PROJECT_ID : ID du projet Google Cloud que vous souhaitez associer à ce point de terminaison de pare-feu pour la facturation. Ce paramètre n'est requis que pour les points de terminaison de pare-feu au niveau de l'organisation.

Pour en savoir plus sur les tailles de paquets compatibles avec les points de terminaison du pare-feu, consultez Taille de paquet compatible.

Point de terminaison au niveau du projet

Pour mettre à jour un point de terminaison de pare-feu au niveau du projet, utilisez gcloud CLI. Vous pouvez gérer les libellés ou modifier la description d'un point de terminaison de pare-feu.

gcloud

Pour mettre à jour un point de terminaison de pare-feu, exécutez la commande gcloud beta network-security firewall-endpoints update :

gcloud beta network-security firewall-endpoints \
    update NAME \
    --project PROJECT_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • PROJECT_ID : projet dans lequel le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Pour en savoir plus sur les tailles de paquets compatibles avec les points de terminaison du pare-feu, consultez Taille de paquet compatible.

Supprimer un point de terminaison de pare-feu

Vous pouvez supprimer un point de terminaison de pare-feu en spécifiant son nom, sa zone, son organisation ou son projet.

Points de terminaison au niveau de l'organisation

Pour supprimer un point de terminaison de pare-feu au niveau de l'organisation, utilisez la consoleGoogle Cloud ou la gcloud CLI.

Console

  1. Dans la console Google Cloud , accédez à la page Points de terminaison de pare-feu.

    Accéder à la page "Points de terminaison de pare-feu"

  2. Dans le menu de sélection du projet, sélectionnez l'organisation dans laquelle le point de terminaison a été activé.

  3. Sélectionnez le point de terminaison de pare-feu, puis cliquez sur Supprimer.

  4. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer un point de terminaison de pare-feu, exécutez la commande gcloud network-security firewall-endpoints delete :

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • ORGANIZATION_ID : organisation dans laquelle le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Points de terminaison au niveau du projet

Pour supprimer un point de terminaison de pare-feu au niveau du projet, utilisez la gcloud CLI.

gcloud

Pour supprimer un point de terminaison de pare-feu, exécutez la commande gcloud network-security firewall-endpoints delete :

gcloud beta network-security firewall-endpoints delete NAME
    --project PROJECT_ID \
    --zone ZONE

Remplacez les éléments suivants :

  • NAME : nom du point de terminaison de pare-feu.

  • PROJECT_ID : projet dans lequel le point de terminaison est activé.

  • ZONE : zone dans laquelle le point de terminaison est activé.

Étapes suivantes