Crea endpoint firewall e associazioni di endpoint

Questa pagina spiega come configurare un endpoint firewall e associarlo a una rete Virtual Private Cloud (VPC) utilizzando la consoleGoogle Cloud , Google Cloud CLI o Terraform.

Crea un endpoint firewall a livello di zona e poi associalo a una o più reti VPC nella stessa zona. Se l'ispezione di livello 7 è abilitata nella policy firewall associata alla tua rete VPC, il traffico corrispondente viene intercettato e inoltrato in modo trasparente all'endpoint firewall.

Puoi creare un endpoint firewall con o senza supporto dei frame jumbo. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint del firewall, consulta Dimensioni dei pacchetti supportate.

Prima di iniziare

Prima di configurare endpoint e associazioni firewall, completa le seguenti operazioni:

1. Assicurati di avere una rete VPC e una subnet.
2. Abilita le API richieste:
   • API Compute Engine nel tuo progetto Google Cloud .
   • API Network Security nel progetto Google Cloud che vuoi utilizzare per la fatturazione.
   • API Certificate Authority Service nel tuo progetto Google Cloud .
3. Installa gcloud CLI se vuoi eseguire gli esempi della riga di comando gcloud.

Ruoli e autorizzazioni

Per ottenere le autorizzazioni necessarie per creare endpoint firewall, chiedi all'amministratore di concederti i ruoli IAM (Identity and Access Management) necessari per la tua organizzazione o il tuo progetto. Per saperne di più, vedi Gestire l'accesso.

Per controllare l'avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo account utente disponga del ruolo Utente di rete Compute (roles/compute.networkUser), che include le seguenti autorizzazioni:

• networksecurity.operations.get
• networksecurity.operations.list

Quote

Per visualizzare le quote per gli endpoint firewall e le associazioni, consulta Quote e limiti.

Crea un endpoint firewall

Crea un endpoint firewall in una zona specifica.

**Nota:** la creazione di un endpoint firewall può richiedere fino a 20 minuti e la creazione di associazioni di endpoint firewall può richiedere altri 15 minuti.

Endpoint a livello di organizzazione

Puoi creare un endpoint firewall a livello di organizzazione. Questi endpoint supportano solo gruppi di profili di sicurezza a livello di organizzazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.firewallEndpoints.create

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione

Console

1. Nella console Google Cloud , vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Nel menu del selettore dei progetti, seleziona la tua organizzazione.

3. Fai clic su Crea.

4. Nell'elenco Regione, seleziona la regione in cui vuoi creare l'endpoint firewall.

5. Nell'elenco Zona, seleziona la zona in cui vuoi creare l'endpoint firewall.

6. Inserisci un nome nel campo Nome.

   Non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome dell'endpoint firewall.

7. Nell'elenco Progetto di fatturazione, seleziona il progetto che vuoi utilizzare per la fatturazione dell'endpoint firewall. Google Cloud

8. Fai clic su Continua.

9. Se vuoi che l'endpoint supporti i frame jumbo, seleziona la casella di controllo Abilita supporto per i frame jumbo; altrimenti, deseleziona questa casella di controllo.

10. Fai clic su Continua.

11. Se vuoi aggiungere un'associazione di endpoint firewall, fai clic su Aggiungi associazione endpoint, altrimenti salta questo passaggio.

    1. Nell'elenco Progetto, seleziona il progetto Google Cloud in cui vuoi creare l'associazione di endpoint firewall.
    2. Se l'API Compute Engine o l'API Network Security non sono abilitate per il progetto Google Cloud , fai clic su Abilita.
    3. Nell'elenco Rete, seleziona la rete che vuoi associare all'endpoint firewall.
    4. Nell'elenco Criterio di ispezione TLS, seleziona il criterio di ispezione TLS che vuoi aggiungere a questa associazione.
    5. Per aggiungere un'altra associazione, fai clic su Aggiungi associazione endpoint.

12. Fai clic su Crea.

gcloud

Per creare un endpoint firewall, utilizza il comando gcloud network-security firewall-endpoints create:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --billing-project BILLING_PROJECT_ID

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

  Non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome dell'endpoint firewall.

• ORGANIZATION_ID: l'organizzazione in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

• BILLING_PROJECT_ID: un ID progetto da utilizzare per la fatturazione dell'endpoint firewall. Google Cloud

Per creare un endpoint del firewall che supporti frame jumbo di dimensioni fino a 8500 byte, utilizza il flag facoltativo --enable-jumbo-frames. Ignora questo flag per creare un endpoint senza supporto dei frame jumbo. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint del firewall, consulta Dimensioni dei pacchetti supportate.

Per associare l'endpoint firewall a una rete VPC, consulta la sezione Creare associazioni di endpoint firewall.

Terraform

Utilizza la risorsa Terraform google_network_security_firewall_endpoint.

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

Per creare un endpoint firewall che supporti frame jumbo di dimensioni fino a 8500 byte, imposta il campo enable_jumbo_frames su true. Per creare un endpoint firewall che non supporti i frame jumbo, imposta questo campo su false. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint del firewall, consulta Dimensioni dei pacchetti supportate.

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Endpoint a livello di progetto

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Puoi creare un endpoint firewall a livello di progetto. Questi endpoint supportano gruppi di profili di sicurezza a livello di organizzazione e di progetto.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.firewallEndpoints.create

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) concesso a livello di progetto o di organizzazione

gcloud

Per creare un endpoint firewall, utilizza il comando gcloud beta network-security firewall-endpoints create:

gcloud beta network-security firewall-endpoints create NAME \
    --project PROJECT_ID \
    --zone ZONE \
    --enable-jumbo-frames

Sostituisci quanto segue:

• NAME: il nome dell'endpoint firewall.

  Non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome dell'endpoint firewall.

• PROJECT_ID: il progetto in cui è attivato l'endpoint.

• ZONE: la zona in cui è attivato l'endpoint.

Per creare un endpoint del firewall che supporti frame jumbo di dimensioni fino a 8500 byte, utilizza il flag facoltativo --enable-jumbo-frames. Ignora questo flag per creare un endpoint senza supporto dei frame jumbo. Per informazioni sulle dimensioni dei pacchetti supportate dagli endpoint del firewall, consulta Dimensioni dei pacchetti supportate.

Per associare l'endpoint firewall a una rete VPC, consulta la sezione Creare associazioni di endpoint firewall.

Crea un'associazione di endpoint firewall

L'associazione di un endpoint firewall collega un endpoint firewall a una rete VPC in una zona specifica. Questa associazione garantisce che il traffico corrispondente a una regola di intercettazione per la rete associata in quella zona venga ispezionato dall'endpoint firewall.

Assicurati di disporre di un endpoint firewall prima di creare un'associazione.

**Nota:** la creazione di un'associazione di endpoint firewall può richiedere fino a 15 minuti.

Requisiti di associazione

Quando configuri le associazioni degli endpoint, rispetta questi requisiti:

• Vincoli di zona:devi creare l'associazione nella stessa zona dell'endpoint firewall. Per un'ispezione efficace del traffico, crea associazioni nelle zone in cui vengono implementate le istanze di calcolo.
• Un endpoint per zona:in una singola zona, puoi associare una rete VPC a un solo endpoint firewall (a livello di progetto (anteprima) o a livello di organizzazione). Tuttavia, puoi associare una singola rete VPC a endpoint firewall diversi in più zone diverse.
• Associazioni tra progetti: puoi associare una rete VPC a un endpoint firewall in un progetto separato.
  • Se utilizzi un endpoint a livello di progetto (anteprima), il progetto dell'endpoint deve trovarsi nella stessa organizzazione della rete VPC.
• Mappatura delle risorse:un'associazione è una risorsa a livello di progetto. Crea l'associazione all'interno del progetto specifico in cui sono implementate le istanze di Compute, anche se l'associazione punta a un endpoint firewall a livello di organizzazione.

Un endpoint del firewall con supporto dei frame jumbo può accettare pacchetti fino a 8500 byte. In alternativa, un endpoint del firewall senza supporto dei frame jumbo può accettare pacchetti solo fino a 1460 byte. Se hai bisogno del servizio di filtro URL o del servizio di rilevamento e prevenzione delle intrusioni, ti consigliamo di configurare le reti VPC associate in modo che utilizzino i limiti dell'unità massima di trasmissione (MTU) di 8500 byte e 1460 byte. Per ulteriori informazioni, vedi Dimensioni dei pacchetti supportate.

Attenzione:un endpoint firewall non esegue il servizio di filtro URL o il servizio di rilevamento e prevenzione delle intrusioni per una rete VPC se la rete è configurata con un'MTU superiore al limite dell'endpoint firewall.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use sull'organizzazione o sul progetto in cui viene creato l'endpoint firewall.

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Firewall Endpoint Admin (roles/networksecurity.firewallEndpointAdmin) concesso a livello di organizzazione o progetto

Console

1. Nella console Google Cloud , vai alla pagina Endpoint firewall.

   Vai a Endpoint firewall

2. Nel menu del selettore dei progetti, seleziona il tuo progetto Google Cloud .

3. Fai clic su Crea associazione endpoint.

4. Nell'elenco Regione, seleziona la regione in cui vuoi creare l'associazione di endpoint firewall.

5. Nell'elenco Zona, seleziona la zona in cui vuoi creare l'associazione di endpoint firewall.

6. Nell'elenco Endpoint firewall, seleziona l'endpoint firewall che vuoi aggiungere all'associazione.

7. Nell'elenco Rete, seleziona l'emittente che vuoi aggiungere all'associazione.

8. Nell'elenco Criterio di ispezione TLS, seleziona il criterio di ispezione TLS che vuoi aggiungere a questa associazione.

9. Fai clic su Crea.

Nota: puoi anche creare associazioni di endpoint firewall dalla scheda Endpoint firewall nella pagina Reti VPC.

gcloud

Per creare un'associazione di endpoint firewall, utilizza il comando gcloud network-security firewall-endpoint-associations create.

Endpoint firewall a livello di organizzazione

gcloud network-security firewall-endpoint-associations \
    create NAME \
    --endpoint organizations/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Endpoint firewall a livello di progetto

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

gcloud beta network-security firewall-endpoint-associations \
    create NAME \
    --endpoint projects/ENDPOINT_PROJECT_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
    --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

Sostituisci quanto segue:

• NAME: il nome dell'associazione degli endpoint firewall.

  Non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome dell'associazione endpoint firewall.

• ORGANIZATION_ID: l'identificatore dell'organizzazione in cui viene creato l'endpoint firewall a livello di organizzazione.

• ENDPOINT_PROJECT_ID: l'ID progetto Google Cloud in cui viene creato l'endpoint firewall a livello di progetto.

• ZONE: la zona dell'endpoint firewall.

• FIREWALL_ENDPOINT_NAME: il nome dell'endpoint firewall.

• PROJECT_NAME: il nome del progetto Google Cloud della rete.

• NETWORK_NAME: il nome della rete.

• PROJECT_ID: l'ID Google Cloud progetto in cui viene creata l'associazione. Deve trattarsi del progetto in cui vuoi intercettare il traffico.

• TLS_PROJECT_NAME: il nome del progetto Google Cloud della policy di ispezione TLS.

• REGION_NAME: il nome della regione della policy di ispezione TLS.

• TLS_POLICY_NAME: il nome della policy di ispezione TLS.

  Questa policy viene utilizzata per l'ispezione TLS del traffico criptato sulla rete specificata. Questo è un argomento facoltativo.

Passaggi successivi

• Utilizzare criteri e regole firewall gerarchici
• Utilizzare regole e policy firewall di rete globali