適用於 RoCE 虛擬私有雲網路的 Cloud NGFW

如果虛擬私有雲 (VPC) 網路具有相關聯的融合乙太網路 (RoCE) 網路設定檔，即可使用 Cloud Next Generation Firewall 區域網路防火牆政策。RoCE 虛擬私有雲網路是使用 RDMA RoCE 網路設定檔建立的網路。

RoCE 虛擬私有雲網路可為高效能運算 (包括 Google Cloud中的 AI 工作負載) 提供區域工作負載。本頁面說明 Cloud NGFW 對 RoCE VPC 網路的支援服務主要差異。

規格

下列防火牆規格適用於 RoCE VPC 網路：

  • 支援的防火牆規則和政策：RoCE 虛擬私有雲網路僅支援區域網路防火牆政策中的防火牆規則。不支援全域網路防火牆政策、階層式防火牆政策或虛擬私有雲防火牆規則。

  • 區域和政策類型：如要搭配 RoCE 虛擬私有雲網路使用區域網路防火牆政策，您必須建立具有下列屬性的政策：

    • 防火牆政策的區域必須包含 RoCE 虛擬私有雲網路的 RoCE 網路設定檔所用的區域。

    • 您必須將防火牆政策的防火牆政策類型設為 RDMA_ROCE_POLICY。

    因此，區域網路防火牆政策只能由特定區域中的 RoCE 虛擬私有雲網路使用。RoCE VPC 網路和一般 VPC 網路都無法使用區域網路防火牆政策。

  • RoCE 防火牆政策為無狀態：RoCE 防火牆政策會將每個封包視為獨立單元處理，不會追蹤進行中的連線。因此，如要確保兩部虛擬機器 (VM) 可以通訊，您必須建立雙向允許連入規則。

隱含防火牆規則

RoCE 虛擬私有雲網路使用下列隱含防火牆規則，這些規則與一般虛擬私有雲網路使用的隱含防火牆規則不同：

  • 默示允許輸出
  • 隱含允許輸入

如果 RoCE VPC 網路在相關聯的區域網路防火牆政策中沒有任何規則，就會允許所有輸出和輸入流量。這些隱含防火牆規則不支援防火牆規則記錄。

規則規格

政策類型為 RDMA_ROCE_POLICY 的區域網路防火牆政策規則必須符合下列規定：

  • 僅限輸入方向：規則的方向必須是輸入。 如果區域網路防火牆政策的政策類型為 RDMA_ROCE_POLICY，您就無法在其中建立輸出防火牆規則。

  • 目標參數：支援目標安全代碼，但不支援目標服務帳戶。

  • 來源參數：僅支援下列來源參數值的其中兩項：

    • 系統支援來源 IP 位址範圍 (src-ip-ranges)，但唯一有效的值是 0.0.0.0/0。

    • 系統完全支援來源安全標記 (src-secure-tags)。建議使用安全標記，區隔相同 RoCE 虛擬私有雲網路中的工作負載。

    來源安全標記和來源 IP 位址範圍互斥。舉例來說，如果您使用 src-ip-ranges=0.0.0.0/0 建立規則，就無法使用來源安全標記 (src-secure-tags)。此外，系統也不支援其他屬於 Cloud NGFW Standard 的來源參數，例如來源位址群組、來源網域名稱、來源地理位置和來源 Google 威脅情報清單。

  • 動作參數：支援允許和拒絕動作，但有下列限制：

    • 具有 src-ip-ranges=0.0.0.0/0 的 Ingress 規則可以使用 ALLOW 或 DENY 動作。

    • 含有來源安全標記的輸入規則只能使用 ALLOW 動作。

  • 通訊協定和通訊埠參數：唯一支援的通訊協定是 all (--layer4-configs=all)。不允許套用至特定通訊協定或通訊埠的規則。

監控與記錄

防火牆規則記錄功能支援下列限制：

  • 系統會在每次建立通道時發布輸入允許防火牆規則的記錄，並提供 2 元組封包資訊。

  • 系統會以取樣封包的形式發布輸入拒絕防火牆規則的記錄，並提供 5 元組封包資訊。記錄檔的發布頻率上限為每 5 秒一次，且所有防火牆記錄檔每 5 秒最多只能發布 4,000 個封包。

不支援的功能

不支援的功能如下：

設定 RoCE 虛擬私有雲網路

如要為 RoCE 虛擬私有雲網路建立防火牆規則，請參閱下列指南和資源：

後續步驟