このページは Cloud Translation API によって翻訳されました。

ファイアウォールポリシー

ファイアウォールポリシーを使用すると、複数のファイアウォールルールをグループ化して、一度にまとめて更新できます。これらのルールは、Identity and Access Management（IAM）のロールで効率的に制御できます。Virtual Private Cloud（VPC）ファイアウォールルールと同様に、これらのポリシーには接続を明示的に拒否または許可できるルールが含まれています。

階層型ファイアウォールポリシー

階層型ファイアウォールポリシーを使用すると、ルールを 1 つのポリシーオブジェクトにまとめて、1 つ以上のプロジェクトの複数の VPC ネットワークに適用できます。階層型ファイアウォールポリシーは、組織全体または個々のフォルダに関連付けることができます。

階層型ファイアウォールポリシーの仕様と詳細については、階層型ファイアウォールポリシーをご覧ください。

グローバルネットワークファイアウォールポリシー

グローバルネットワークファイアウォールポリシーを使用すると、VPC ネットワークのすべてのリージョンに適用できるポリシーオブジェクトにルールをグループ化できます。

グローバルネットワークファイアウォールポリシーの仕様と詳細については、グローバルネットワークファイアウォールポリシーをご覧ください。

リージョンネットワークファイアウォールポリシー

リージョンネットワークファイアウォールポリシーを使用すると、VPC ネットワークの特定のリージョンに適用できるポリシーオブジェクトにルールをグループ化できます。

リージョンファイアウォールポリシーの仕様と詳細については、リージョンネットワークファイアウォールポリシーをご覧ください。

リージョンシステムのファイアウォールポリシー数

リージョンシステムファイアウォールポリシーはリージョンネットワークファイアウォールポリシーに似ていますが、Google によって管理されます。リージョンシステムファイアウォールポリシーには、次の特性があります。

Google Cloud は、階層型ファイアウォールポリシーのルールを評価した直後に、リージョンシステムファイアウォールポリシーのルールを評価します。詳細については、ファイアウォールルールの評価プロセスをご覧ください。
ファイアウォールルールロギングを有効または無効にする場合を除き、リージョンシステムファイアウォールポリシーのルールを変更することはできません。代わりに、Google Kubernetes Engine（GKE）などの Google サービスは、内部 API を使用してリージョンシステムファイアウォールポリシーのルールを管理します。
Google Cloud は、Google サービスがネットワークのそのリージョンでルールを必要とする場合に、VPC ネットワークのリージョンにリージョンシステムファイアウォールポリシーを作成します。 Google Cloud は、Google サービスの要件に基づいて、複数のリージョンシステムファイアウォールポリシーを VPC ネットワークのリージョンに関連付けることができます。
リージョンシステムファイアウォールポリシーのルールの評価に対して課金されることはありません。

ネットワークプロファイルのインタラクション

通常の VPC ネットワークは、階層型ファイアウォールポリシー、グローバルネットワークファイアウォールポリシー、リージョンネットワークファイアウォールポリシー、VPC ファイアウォールルールのファイアウォールルールをサポートしています。すべてのファイアウォールルールは、Andromeda ネットワーク仮想化スタックの一部としてプログラムされます。

特定のネットワークプロファイルを使用する VPC ネットワークでは、使用できるファイアウォールポリシーとルール属性が制限されます。RoCE VPC ネットワークの場合は、このページではなく、RoCE VPC ネットワーク用の Cloud NGFW をご覧ください。

ネットワークファイアウォールポリシーの適用順序

各通常の VPC ネットワークには、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーのルールが評価されるタイミングを制御するネットワークファイアウォールポリシーの適用順序があります。

AFTER_CLASSIC_FIREWALL（デフォルト）: Cloud NGFW は、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーのルールを評価する前に、VPC ファイアウォールルールを評価します。
BEFORE_CLASSIC_FIREWALL: Cloud NGFW は、VPC ファイアウォールルールを評価する前に、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーのルールを評価します。

ネットワークファイアウォールポリシーの適用順序を変更するには、次のいずれかを行います。

networks.patch メソッドを使用して、VPC ネットワークの networkFirewallPolicyEnforcementOrder 属性を設定します。
--network-firewall-policy-enforcement-order フラグを指定して gcloud compute networks update コマンドを使用します。

次に例を示します。
```
gcloud compute networks update VPC_NETWORK_NAME \
    --network-firewall-policy-enforcement-order=ENFORCEMENT_ORDER
```

ファイアウォールルールの評価プロセス

このセクションでは、通常の VPC ネットワークのターゲットリソースに適用されるルールを Cloud NGFW が評価する順序について説明します。

各ファイアウォールルールは、トラフィックの方向に基づいて、上り（内向き）ルールまたは下り（外向き）ルールのいずれかになります。

上り（内向き）ルールは、ターゲットリソースが受信する新しい接続のパケットに適用されます。上り（内向き）ルールのサポートされているターゲットリソースは次のとおりです。
- 仮想マシン（VM）インスタンスのネットワークインターフェース。
- 内部アプリケーションロードバランサと内部プロキシネットワークロードバランサで使用されるマネージド Envoy プロキシ（プレビュー）。
下り（外向き）ルールは、ターゲット VM ネットワークインターフェースが送信する新しい接続のパケットに適用されます。

Cloud NGFW は、他のファイアウォールルールを評価する前に、階層型ファイアウォールポリシーとリージョンシステムファイアウォールポリシーのルールを常に評価します。Cloud NGFW が他のファイアウォールルールを評価する順序は、ネットワークファイアウォールポリシーの適用順序を選択することで制御できます。ネットワークファイアウォールポリシーの適用順序は、AFTER_CLASSIC_FIREWALL または BEFORE_CLASSIC_FIREWALL のいずれかになります。

`AFTER_CLASSIC_FIREWALL` ネットワークファイアウォールポリシーの適用順序

ネットワークファイアウォールポリシーの適用順序が AFTER_CLASSIC_FIREWALL の場合、Cloud NGFW は VPC ファイアウォールルールを評価した後、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーのルールを評価します。これがデフォルトの評価順序です。

AFTER_CLASSIC_FIREWALL 適用順序を使用する通常の VPC ネットワークでは、ファイアウォールルールの完全な評価順序は次のとおりです。

階層型ファイアウォールポリシー。

Cloud NGFW は、階層型ファイアウォールポリシーを次の順序で評価します。
1. ターゲットリソースを含む組織に関連付けられている階層型ファイアウォールポリシー。
2. フォルダの祖先に関連付けられた階層型ファイアウォールポリシー（最上位のフォルダから、ターゲットリソースのプロジェクトを含むフォルダまで）。
Cloud NGFW は、各階層型ファイアウォールポリシーのルールを評価するときに、次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
階層型ファイアウォールポリシーでは、トラフィックに一致するルールは最大で 1 つです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- apply_security_profile_group: ルールは、構成されたファイアウォールエンドポイントにトラフィックを転送し、すべてのルール評価を停止します。パケットを許可するかどうかは、セキュリティプロファイルグループの構成済みのセキュリティプロファイルによって異なります。
- goto_next: ルール評価は次のいずれかに続きます。
  - ターゲットリソースに近いフォルダの祖先に関連付けられた階層型ファイアウォールポリシー（存在する場合）。
  - すべての階層型ファイアウォールポリシーが評価された場合の評価順序の次のステップ。
階層型ファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は次のいずれかに継続されます。
- ターゲットリソースに近いフォルダの祖先に関連付けられた階層型ファイアウォールポリシー（存在する場合）。
- すべての階層型ファイアウォールポリシーが評価された場合の、評価順序の次のステップ。
リージョンシステムのファイアウォールポリシー。

リージョンシステムファイアウォールポリシールールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
リージョンシステムファイアウォールポリシーでは、トラフィックと一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- goto_next: ルールの評価が続行されます。
  - 関連付けの優先度が次に高いリージョンシステムファイアウォールポリシー（存在する場合）。
  - すべてのリージョンシステムファイアウォールポリシーが評価された場合の評価順序の次のステップ。
リージョンシステムファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は次のいずれかに継続されます。
- 関連付けの優先度が次に高いリージョンシステムファイアウォールポリシー（存在する場合）。
- すべてのリージョンシステムファイアウォールポリシーが評価された場合の評価順序の次のステップ。
VPC ファイアウォールルール

VPC ファイアウォールルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
1 つまたは 2 つの VPC ファイアウォールルールがトラフィックと一致する場合、ファイアウォールルールの一致したときのアクションは次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
2 つのルールが一致する場合、優先度は同じでアクションは異なる必要があります。この場合、Cloud NGFW は deny VPC ファイアウォールルールを適用し、allow VPC ファイアウォールルールを無視します。

トラフィックに一致する VPC ファイアウォールルールがない場合、Cloud NGFW は暗黙的な goto_next アクションを使用して、評価順序の次のステップに進みます。
グローバルネットワークファイアウォールポリシー。

グローバルネットワークファイアウォールポリシーのルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
グローバルネットワークファイアウォールポリシーでは、トラフィックに一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- apply_security_profile_group: ルールは、構成されたファイアウォールエンドポイントにトラフィックを転送し、すべてのルール評価を停止します。パケットを許可するかどうかは、セキュリティプロファイルグループの構成済みのセキュリティプロファイルによって異なります。
- goto_next: ルールの評価は、評価順序のリージョンネットワークファイアウォールポリシーのステップに進みます。
グローバルネットワークファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価順序のリージョンネットワークファイアウォールポリシーのステップに評価が続行されます。
リージョンネットワークファイアウォールポリシー。

Cloud NGFW は、ターゲットリソースのリージョンと VPC ネットワークに関連付けられているリージョンネットワークファイアウォールポリシーのルールを評価します。

リージョンネットワークファイアウォールポリシーのルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
リージョンネットワークファイアウォールポリシーでは、トラフィックに一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- goto_next: ルールの評価は、評価順序の次のステップに進みます。
リージョンネットワークファイアウォールポリシーのどのルールもトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は評価順序の次のステップに進みます。
最後のステップ - 暗黙的なアクション。

ファイアウォールルールの評価が、明示的または暗黙的な goto_next アクションに従って前のすべてのステップを通過した場合、Cloud NGFW は暗黙的なアクションを適用します。暗黙的なアクションは、トラフィックの方向によって異なります。
- 上り（内向き）トラフィックの場合、暗黙的なアクションはターゲットリソースにも依存します。
  - ターゲットリソースが VM インスタンスのネットワークインターフェースの場合、暗黙的な上り（内向き）アクションは deny です。
  - ターゲットリソースが内部アプリケーションロードバランサまたは内部プロキシネットワークロードバランサの転送ルールの場合、暗黙的な上り（内向き）は allow です。
- 下り（外向き）トラフィックの場合、暗黙的なアクションは allow です。

`AFTER_CLASSIC_FIREWALL` 図

次の図は、AFTER_CLASSIC_FIREWALL ネットワークファイアウォールポリシーの適用順序を示しています。

ファイアウォールルールの解決フロー。 — **図 1.** ネットワークファイアウォールポリシーの適用順序が `AFTER_CLASSIC_FIREWALL` の場合のファイアウォールルールの解決フロー（クリックして拡大）。

`BEFORE_CLASSIC_FIREWALL` ネットワークファイアウォールポリシーの適用順序

ネットワークファイアウォールポリシーの適用順序が BEFORE_CLASSIC_FIREWALL の場合、Cloud NGFW は VPC ファイアウォールルールを評価する前に、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーのルールを評価します。

BEFORE_CLASSIC_FIREWALL 適用順序を使用する通常の VPC ネットワークでは、ファイアウォールルールの完全な評価順序は次のとおりです。

階層型ファイアウォールポリシー。

Cloud NGFW は、階層型ファイアウォールポリシーを次の順序で評価します。
1. ターゲットリソースを含む組織に関連付けられている階層型ファイアウォールポリシー。
2. フォルダの祖先に関連付けられた階層型ファイアウォールポリシー（最上位のフォルダから、ターゲットリソースのプロジェクトを含むフォルダまで）。
Cloud NGFW は、各階層型ファイアウォールポリシーのルールを評価するときに、次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
階層型ファイアウォールポリシーでは、トラフィックに一致するルールは最大で 1 つです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- apply_security_profile_group: ルールは、構成されたファイアウォールエンドポイントにトラフィックを転送し、すべてのルール評価を停止します。パケットを許可するかどうかは、セキュリティプロファイルグループの構成済みのセキュリティプロファイルによって異なります。
- goto_next: ルール評価は次のいずれかに続きます。
  - ターゲットリソースに近いフォルダの祖先に関連付けられた階層型ファイアウォールポリシー（存在する場合）。
  - すべての階層型ファイアウォールポリシーが評価された場合の評価順序の次のステップ。
階層型ファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は次のいずれかに継続されます。
- ターゲットリソースに近いフォルダの祖先に関連付けられた階層型ファイアウォールポリシー（存在する場合）。
- すべての階層型ファイアウォールポリシーが評価された場合の、評価順序の次のステップ。
リージョンシステムのファイアウォールポリシー。

リージョンシステムファイアウォールポリシールールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
リージョンシステムファイアウォールポリシーでは、トラフィックと一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- goto_next: ルールの評価が続行されます。
  - 関連付けの優先度が次に高いリージョンシステムファイアウォールポリシー（存在する場合）。
  - すべてのリージョンシステムファイアウォールポリシーが評価された場合の評価順序の次のステップ。
リージョンシステムファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は次のいずれかに継続されます。
- 関連付けの優先度が次に高いリージョンシステムファイアウォールポリシー（存在する場合）。
- すべてのリージョンシステムファイアウォールポリシーが評価された場合の評価順序の次のステップ。
グローバルネットワークファイアウォールポリシー。

グローバルネットワークファイアウォールポリシーのルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
グローバルネットワークファイアウォールポリシーでは、トラフィックに一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- apply_security_profile_group: ルールは、構成されたファイアウォールエンドポイントにトラフィックを転送し、すべてのルール評価を停止します。パケットを許可するかどうかは、セキュリティプロファイルグループの構成済みのセキュリティプロファイルによって異なります。
- goto_next: ルールの評価は、評価順序のリージョンネットワークファイアウォールポリシーのステップに進みます。
グローバルネットワークファイアウォールポリシーのルールがトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価順序のリージョンネットワークファイアウォールポリシーのステップに評価が続行されます。
リージョンネットワークファイアウォールポリシー。

Cloud NGFW は、ターゲットリソースのリージョンと VPC ネットワークに関連付けられているリージョンネットワークファイアウォールポリシーのルールを評価します。

リージョンネットワークファイアウォールポリシーのルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
リージョンネットワークファイアウォールポリシーでは、トラフィックに一致するルールは 1 つだけです。ファイアウォールルールの一致したときのアクションは、次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
- goto_next: ルールの評価は、評価順序の次のステップに進みます。
リージョンネットワークファイアウォールポリシーのどのルールもトラフィックと一致しない場合、Cloud NGFW は暗黙的な goto_next アクションを使用します。このアクションにより、評価は評価順序の次のステップに進みます。
VPC ファイアウォールルール

VPC ファイアウォールルールを評価するとき、Cloud NGFW は次の手順を実行します。
1. ターゲットがターゲットリソースと一致しないルールはすべて無視します。
2. パケットの方向と一致しないルールはすべて無視します。
3. 残りのルールを優先度の高い順に評価します。
  評価は、次のいずれかの条件が満たされると停止します。
  - ターゲットリソースに適用されるルールがトラフィックと一致する。
  - ターゲットリソースに適用されるルールで、トラフィックに一致するものがない。
1 つまたは 2 つの VPC ファイアウォールルールがトラフィックと一致する場合、ファイアウォールルールの一致したときのアクションは次のいずれかになります。
- allow: ルールがトラフィックを許可し、すべてのルール評価が停止します。
- deny: ルールがトラフィックを拒否し、すべてのルール評価が停止します。
2 つのルールが一致する場合、優先度は同じでアクションは異なる必要があります。この場合、Cloud NGFW は deny VPC ファイアウォールルールを適用し、allow VPC ファイアウォールルールを無視します。

トラフィックに一致する VPC ファイアウォールルールがない場合、Cloud NGFW は暗黙的な goto_next アクションを使用して、評価順序の次のステップに進みます。
最後のステップ - 暗黙的なアクション。

ファイアウォールルールの評価が、明示的または暗黙的な goto_next アクションに従って前のすべてのステップを通過した場合、Cloud NGFW は暗黙的なアクションを適用します。暗黙的なアクションは、トラフィックの方向によって異なります。
- 上り（内向き）トラフィックの場合、暗黙的なアクションはターゲットリソースにも依存します。
  - ターゲットリソースが VM インスタンスのネットワークインターフェースの場合、暗黙的な上り（内向き）アクションは deny です。
  - ターゲットリソースが内部アプリケーションロードバランサまたは内部プロキシネットワークロードバランサの転送ルールの場合、暗黙的な上り（内向き）は allow です。
- 下り（外向き）トラフィックの場合、暗黙的なアクションは allow です。

`BEFORE_CLASSIC_FIREWALL` 図

次の図は、BEFORE_CLASSIC_FIREWALL ネットワークファイアウォールポリシーの適用順序を示しています。

有効になっているファイアウォールルール

階層型ファイアウォールポリシールール、VPC ファイアウォールルール、グローバルおよびリージョンネットワークファイアウォールポリシールールによって接続が制御されます。個々のネットワークまたは VM インターフェースに影響するすべてのファイアウォールルールを確認すると役に立つ場合があります。

ネットワークで有効なファイアウォールルール

VPC ネットワークに適用されているすべてのファイアウォールルールを表示できます。このリストには、次のすべてのルールが含まれます。

階層型ファイアウォールポリシーから継承されたルール
VPC ファイアウォールルール
グローバルおよびリージョンネットワークファイアウォールポリシーから適用されるルール

インスタンスで有効になっているファイアウォールルール

VM のネットワークインターフェースに適用されているすべてのファイアウォールルールを表示できます。このリストには、次のすべてのルールが含まれます。

階層型ファイアウォールポリシーから継承されたルール
インターフェースの VPC ファイアウォールから適用されるルール
グローバルおよびリージョンネットワークファイアウォールポリシーから適用されるルール

ルールは、組織レベルから VPC ネットワークの順に並べられます。ここでは、VM インターフェースに適用されるルールのみが表示され、他のポリシーのルールは表示されません。

リージョン内で有効なファイアウォールポリシーのルールを確認するには、ネットワークで有効なリージョンファイアウォールポリシーを取得するをご覧ください。

事前定義ルール

階層型ファイアウォールポリシー、グローバルネットワークファイアウォールポリシー、またはリージョンネットワークファイアウォールポリシーを作成すると、Cloud NGFW は事前定義されたルールをポリシーに追加します。Cloud NGFW がポリシーに追加する事前定義ルールは、ポリシーの作成方法によって異なります。

Google Cloud コンソールを使用してファイアウォールポリシーを作成すると、Cloud NGFW は新しいポリシーに次のルールを追加します。

プライベート IPv4 範囲の goto-next ルール
事前定義された Google Threat Intelligence の拒否ルール
事前定義された位置情報拒否ルール
優先度が最も低い goto-next ルール

Google Cloud CLI または API を使用してファイアウォールポリシーを作成した場合、Cloud NGFW は優先度が最も低い goto-next ルールのみをポリシーに追加します。

新しいファイアウォールポリシーの事前定義ルールはすべて、意図的に低い優先度（大きな優先度の数値）を使用するため、優先度の高いルールを作成することで、それらをオーバーライドできます。優先度が最も低い goto-next ルールを除き、事前定義ルールをカスタマイズすることもできます。

プライベート IPv4 範囲の goto-next ルール

宛先 IPv4 範囲が 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16、優先度が 1000、アクションが goto_next の下り（外向き）ルール。
送信元 IPv4 範囲が 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16、優先度が 1001、アクションが goto_next の上り（内向き）ルール。

事前定義された Google Threat Intelligence の拒否ルール

送信元の Google Threat Intelligence リストが iplist-tor-exit-nodes、優先度が 1002、アクションが deny の上り（内向き）ルール。
送信元の Google Threat Intelligence リストが iplist-known-malicious-ips、優先度が 1003、アクションが deny の上り（内向き）ルール。
宛先の Google 脅威インテリジェンスリストが iplist-known-malicious-ips、優先度が 1004、アクションが deny の下り（外向き）ルール。

Google Threat Intelligence の詳細については、ファイアウォールポリシールールの Google Threat Intelligence をご覧ください。

事前定義された位置情報拒否ルール

送信元の位置情報が CU、IR、KP、SY、XC、XD、優先度が 1005、アクションが deny の上り（内向き）ツール。

位置情報について詳しくは、位置情報オブジェクトをご覧ください。

優先度が最も低い goto-next ルール

次のルールは変更または削除できません。

宛先 IPv6 範囲が ::/0、優先度が 2147483644、アクションが goto_next の下り（外向き）ルール。
送信元 IPv6 範囲が ::/0、優先度が 2147483645、アクションが goto_next の上り（内向き）ルール。
宛先 IPv4 範囲が 0.0.0.0/0、優先度が 2147483646、アクションが goto_next の下り（外向き）ルール。
送信元 IPv4 範囲が 0.0.0.0/0、優先度が 2147483647、アクションが goto_next の上り（内向き）ルール。

次のステップ

階層型ファイアウォールポリシーとルールの作成方法と変更方法を確認する。階層型ファイアウォールポリシーとルールを使用するをご覧ください。
階層型ファイアウォールポリシーの実装例については、階層型ファイアウォールポリシーの例をご覧ください。
グローバルネットワークファイアウォールポリシーとルールを作成および変更する。グローバルネットワークファイアウォールポリシーとルールを使用するをご覧ください。
リージョンネットワークファイアウォールポリシーとルールを作成および変更する。リージョンネットワークファイアウォールポリシーとルールを使用するをご覧ください。

ファイアウォール ポリシー コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

階層型ファイアウォール ポリシー

グローバル ネットワーク ファイアウォール ポリシー

リージョン ネットワーク ファイアウォール ポリシー

リージョン システムのファイアウォール ポリシー数

ネットワーク プロファイルのインタラクション

ネットワーク ファイアウォール ポリシーの適用順序

ファイアウォール ルールの評価プロセス

AFTER_CLASSIC_FIREWALL ネットワーク ファイアウォール ポリシーの適用順序

AFTER_CLASSIC_FIREWALL 図

BEFORE_CLASSIC_FIREWALL ネットワーク ファイアウォール ポリシーの適用順序

BEFORE_CLASSIC_FIREWALL 図

有効になっているファイアウォール ルール

ネットワークで有効なファイアウォール ルール

インスタンスで有効になっているファイアウォール ルール