Halaman ini diterjemahkan oleh Cloud Translation API.

Kebijakan firewall

Kebijakan firewall memungkinkan Anda mengelompokkan beberapa aturan firewall sehingga Anda dapat memperbaruinya sekaligus, yang dikontrol secara efektif oleh peran Identity and Access Management (IAM). Kebijakan ini berisi aturan yang dapat secara eksplisit menolak atau mengizinkan koneksi, seperti aturan firewall Virtual Private Cloud (VPC).

Kebijakan firewall hierarkis

Dengan kebijakan firewall hierarkis, Anda dapat mengelompokkan aturan ke dalam objek kebijakan yang dapat diterapkan ke banyak jaringan VPC dalam satu atau beberapa project. Anda dapat mengaitkan kebijakan firewall hierarkis dengan organisasi secara keseluruhan atau folder individual.

Untuk spesifikasi dan detail kebijakan firewall hierarkis, lihat Kebijakan firewall hierarkis.

Kebijakan firewall jaringan global

Kebijakan firewall jaringan global memungkinkan Anda mengelompokkan aturan ke dalam objek kebijakan yang dapat diterapkan ke semua region jaringan VPC.

Untuk spesifikasi dan detail kebijakan firewall jaringan global, lihat Kebijakan firewall jaringan global.

Kebijakan firewall jaringan regional

Kebijakan firewall jaringan regional memungkinkan Anda mengelompokkan aturan ke dalam objek kebijakan yang dapat diterapkan ke region tertentu dari jaringan VPC.

Untuk spesifikasi dan detail kebijakan firewall regional, lihat Kebijakan firewall jaringan regional.

Kebijakan firewall sistem regional

Kebijakan firewall sistem regional mirip dengan kebijakan firewall jaringan regional, tetapi dikelola oleh Google. Kebijakan firewall sistem regional memiliki karakteristik berikut:

Google Cloud mengevaluasi aturan dalam kebijakan firewall sistem regional segera setelah mengevaluasi aturan dalam kebijakan firewall hierarkis. Untuk mengetahui informasi selengkapnya, lihat Proses evaluasi aturan firewall.
Anda tidak dapat mengubah aturan dalam kebijakan firewall sistem regional, kecuali untuk mengaktifkan atau menonaktifkan logging aturan firewall. Sebagai gantinya, layanan Google seperti Google Kubernetes Engine (GKE) mengelola aturan dalam kebijakan firewall sistem regional menggunakan API internal.
Google Cloud membuat kebijakan firewall sistem regional di region jaringan VPC saat layanan Google memerlukan aturan di region jaringan tersebut. Google Cloud dapat mengaitkan lebih dari satu kebijakan firewall sistem regional dengan region jaringan VPC berdasarkan persyaratan layanan Google.
Anda tidak dikenai biaya untuk evaluasi aturan dalam kebijakan firewall sistem regional.

Interaksi profil jaringan

Jaringan VPC reguler mendukung aturan firewall dalam kebijakan firewall hierarkis, kebijakan firewall jaringan global, kebijakan firewall jaringan regional, dan aturan firewall VPC. Semua aturan firewall diprogram sebagai bagian dari stack virtualisasi jaringan Andromeda.

Jaringan VPC yang menggunakan profil jaringan tertentu membatasi kebijakan firewall dan atribut aturan yang dapat Anda gunakan. Untuk jaringan VPC RoCE, lihat Cloud NGFW untuk jaringan VPC RoCE, bukan halaman ini.

Urutan penerapan kebijakan firewall jaringan

Setiap jaringan VPC reguler memiliki urutan penerapan kebijakan firewall jaringan yang mengontrol kapan aturan dalam kebijakan firewall jaringan global dan kebijakan firewall jaringan regional dievaluasi.

AFTER_CLASSIC_FIREWALL (default): Cloud NGFW mengevaluasi aturan firewall VPC sebelum mengevaluasi aturan dalam kebijakan firewall jaringan global dan kebijakan firewall jaringan regional.
BEFORE_CLASSIC_FIREWALL: Cloud NGFW mengevaluasi aturan dalam kebijakan firewall jaringan global dan kebijakan firewall jaringan regional sebelum mengevaluasi aturan firewall VPC.

Untuk mengubah urutan penerapan kebijakan firewall jaringan, lakukan salah satu hal berikut:

Gunakan metode networks.patch dan tetapkan atribut networkFirewallPolicyEnforcementOrder jaringan VPC.

Gunakan perintah gcloud compute networks update dengan flag --network-firewall-policy-enforcement-order.

Contoh:

gcloud compute networks update VPC_NETWORK_NAME \
    --network-firewall-policy-enforcement-order=ENFORCEMENT_ORDER

Proses evaluasi aturan firewall

Bagian ini menjelaskan urutan Cloud NGFW mengevaluasi aturan yang berlaku untuk target resource di jaringan VPC reguler.

Setiap aturan firewall adalah aturan ingress atau aturan egress, berdasarkan arah traffic:

Aturan ingress berlaku untuk paket koneksi baru yang diterima oleh resource target. Resource target yang didukung untuk aturan ingress adalah sebagai berikut:
- Antarmuka jaringan instance virtual machine (VM).
- Proxy Envoy terkelola yang digunakan oleh Load Balancer Aplikasi internal dan Load Balancer Jaringan proxy internal (Pratinjau).
Aturan keluar berlaku untuk paket koneksi baru yang dikirim oleh antarmuka jaringan VM target.

Cloud NGFW selalu mengevaluasi aturan dalam kebijakan firewall hierarkis dan kebijakan firewall sistem regional sebelum mengevaluasi aturan firewall lainnya. Anda mengontrol urutan evaluasi aturan firewall lainnya oleh Cloud NGFW dengan memilih urutan penerapan kebijakan firewall jaringan. Urutan penerapan kebijakan firewall jaringan dapat berupa AFTER_CLASSIC_FIREWALL atau BEFORE_CLASSIC_FIREWALL.

Urutan penerapan kebijakan firewall jaringan `AFTER_CLASSIC_FIREWALL`

Jika urutan penerapan kebijakan firewall jaringan adalah AFTER_CLASSIC_FIREWALL, Cloud NGFW mengevaluasi aturan dalam kebijakan firewall jaringan global dan regional setelah mengevaluasi aturan firewall VPC. Ini adalah urutan evaluasi default.

Dalam jaringan VPC reguler yang menggunakan urutan penerapan AFTER_CLASSIC_FIREWALL, urutan evaluasi aturan firewall lengkap adalah sebagai berikut:

Kebijakan firewall hierarkis.

Cloud NGFW mengevaluasi kebijakan firewall hierarkis dalam urutan berikut:
1. Kebijakan firewall hierarkis yang terkait dengan organisasi yang berisi resource target.
2. Kebijakan firewall hierarkis yang terkait dengan folder induk, dari folder tingkat teratas hingga folder yang berisi project resource target.
Saat mengevaluasi aturan dalam setiap kebijakan firewall hierarkis, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall hierarkis, paling banyak satu aturan yang dapat cocok dengan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- apply_security_profile_group: aturan meneruskan traffic ke endpoint firewall yang dikonfigurasi, dan semua evaluasi aturan berhenti. Keputusan untuk mengizinkan atau membuang paket bergantung pada profil keamanan yang dikonfigurasi dari grup profil keamanan.
- goto_next: evaluasi aturan dilanjutkan ke salah satu hal berikut:
  - Kebijakan firewall hierarkis yang dikaitkan dengan ancestor folder yang lebih dekat ke resource target, jika ada.
  - Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall hierarkis telah dievaluasi.
Jika tidak ada aturan dalam kebijakan firewall hierarkis yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next tersirat. Tindakan ini melanjutkan evaluasi ke salah satu dari berikut:
- Kebijakan firewall hierarkis yang dikaitkan dengan ancestor folder yang lebih dekat ke resource target, jika ada.
- Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall hierarkis telah dievaluasi.
Kebijakan firewall sistem regional.

Saat mengevaluasi aturan kebijakan firewall sistem regional, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall sistem regional, paling banyak satu aturan yang dapat mencocokkan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- goto_next: evaluasi aturan berlanjut ke
  - Kebijakan firewall sistem regional dengan prioritas asosiasi tertinggi berikutnya, jika ada.
  - Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall sistem regional telah dievaluasi.
Jika tidak ada aturan dalam kebijakan firewall sistem regional yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_nextimplied. Tindakan ini melanjutkan evaluasi ke salah satu dari berikut:
- Kebijakan firewall sistem regional dengan prioritas asosiasi tertinggi berikutnya, jika ada.
- Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall sistem regional telah dievaluasi.
VPC firewall rules.

Saat mengevaluasi aturan firewall VPC, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Jika satu atau dua aturan firewall VPC cocok dengan traffic, tindakan saat cocok aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
Jika dua aturan cocok, keduanya harus memiliki prioritas yang sama tetapi tindakan yang berbeda. Dalam kasus ini, Cloud NGFW menerapkan aturan firewall VPC deny, dan mengabaikan aturan firewall VPC allow.

Jika tidak ada aturan firewall VPC yang cocok dengan traffic, Cloud NGFW menggunakan tindakan goto_next implisit untuk melanjutkan ke langkah berikutnya dalam urutan evaluasi.
Kebijakan firewall jaringan global.

Saat mengevaluasi aturan dalam kebijakan firewall jaringan global, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall jaringan global, paling banyak satu aturan yang dapat cocok dengan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- apply_security_profile_group: aturan meneruskan traffic ke endpoint firewall yang dikonfigurasi, dan semua evaluasi aturan berhenti. Keputusan untuk mengizinkan atau membuang paket bergantung pada profil keamanan yang dikonfigurasi dari grup profil keamanan.
- goto_next: evaluasi aturan berlanjut ke langkah kebijakan firewall jaringan regional dalam urutan evaluasi.
Jika tidak ada aturan dalam kebijakan firewall jaringan global yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next tersirat. Tindakan ini melanjutkan evaluasi ke langkah kebijakan firewall jaringan regional dalam urutan evaluasi.
Kebijakan firewall jaringan regional.

Cloud NGFW mengevaluasi aturan dalam kebijakan firewall jaringan regional yang terkait dengan region dan jaringan VPC resource target.

Saat mengevaluasi aturan dalam kebijakan firewall jaringan regional, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall jaringan regional, paling banyak satu aturan yang dapat mencocokkan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- goto_next: evaluasi aturan berlanjut ke langkah berikutnya dalam urutan evaluasi.
Jika tidak ada aturan dalam kebijakan firewall jaringan regional yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next yang tersirat. Tindakan ini melanjutkan evaluasi ke langkah berikutnya dalam urutan evaluasi.
Langkah terakhir—tindakan tersirat.

Cloud NGFW menerapkan tindakan tersirat jika evaluasi aturan firewall telah dilanjutkan melalui setiap langkah sebelumnya dengan mengikuti tindakan goto_next eksplisit atau implisit. Tindakan yang tersirat bergantung pada arah traffic:
- Untuk traffic ingress, tindakan yang tersirat juga bergantung pada target resource:
  - Jika resource target adalah antarmuka jaringan instance VM, tindakan ingress tersirat adalah deny.
  - Jika resource target adalah aturan penerusan Load Balancer Aplikasi internal atau Load Balancer Jaringan proxy internal, ingress yang tersirat adalah allow.
- Untuk traffic keluar, tindakan yang tersirat adalah allow.

Diagram `AFTER_CLASSIC_FIREWALL`

Diagram berikut menggambarkan urutan penerapan kebijakan firewall jaringan AFTER_CLASSIC_FIREWALL:

Alur penyelesaian aturan firewall. — **Gambar 1.** Alur penyelesaian aturan firewall jika urutan penerapan kebijakan firewall jaringan adalah `AFTER_CLASSIC_FIREWALL` (klik untuk memperbesar).

Urutan penerapan kebijakan firewall jaringan `BEFORE_CLASSIC_FIREWALL`

Jika urutan penerapan kebijakan firewall jaringan adalah BEFORE_CLASSIC_FIREWALL, Cloud NGFW mengevaluasi aturan dalam kebijakan firewall jaringan global dan regional sebelum mengevaluasi aturan firewall VPC.

Dalam jaringan VPC reguler yang menggunakan urutan penerapan BEFORE_CLASSIC_FIREWALL, urutan evaluasi aturan firewall lengkap adalah sebagai berikut:

Kebijakan firewall hierarkis.

Cloud NGFW mengevaluasi kebijakan firewall hierarkis dalam urutan berikut:
1. Kebijakan firewall hierarkis yang terkait dengan organisasi yang berisi resource target.
2. Kebijakan firewall hierarkis yang terkait dengan folder induk, dari folder tingkat teratas hingga folder yang berisi project resource target.
Saat mengevaluasi aturan dalam setiap kebijakan firewall hierarkis, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall hierarkis, paling banyak satu aturan yang dapat cocok dengan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- apply_security_profile_group: aturan meneruskan traffic ke endpoint firewall yang dikonfigurasi, dan semua evaluasi aturan berhenti. Keputusan untuk mengizinkan atau membuang paket bergantung pada profil keamanan yang dikonfigurasi dari grup profil keamanan.
- goto_next: evaluasi aturan dilanjutkan ke salah satu hal berikut:
  - Kebijakan firewall hierarkis yang dikaitkan dengan ancestor folder yang lebih dekat ke resource target, jika ada.
  - Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall hierarkis telah dievaluasi.
Jika tidak ada aturan dalam kebijakan firewall hierarkis yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next tersirat. Tindakan ini melanjutkan evaluasi ke salah satu dari berikut:
- Kebijakan firewall hierarkis yang dikaitkan dengan ancestor folder yang lebih dekat ke resource target, jika ada.
- Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall hierarkis telah dievaluasi.
Kebijakan firewall sistem regional.

Saat mengevaluasi aturan kebijakan firewall sistem regional, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall sistem regional, paling banyak satu aturan yang dapat mencocokkan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- goto_next: evaluasi aturan berlanjut ke
  - Kebijakan firewall sistem regional dengan prioritas asosiasi tertinggi berikutnya, jika ada.
  - Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall sistem regional telah dievaluasi.
Jika tidak ada aturan dalam kebijakan firewall sistem regional yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_nextimplied. Tindakan ini melanjutkan evaluasi ke salah satu dari berikut:
- Kebijakan firewall sistem regional dengan prioritas asosiasi tertinggi berikutnya, jika ada.
- Langkah berikutnya dalam urutan evaluasi, jika semua kebijakan firewall sistem regional telah dievaluasi.
Kebijakan firewall jaringan global.

Saat mengevaluasi aturan dalam kebijakan firewall jaringan global, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall jaringan global, paling banyak satu aturan yang dapat cocok dengan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- apply_security_profile_group: aturan meneruskan traffic ke endpoint firewall yang dikonfigurasi, dan semua evaluasi aturan berhenti. Keputusan untuk mengizinkan atau membuang paket bergantung pada profil keamanan yang dikonfigurasi dari grup profil keamanan.
- goto_next: evaluasi aturan berlanjut ke langkah kebijakan firewall jaringan regional dalam urutan evaluasi.
Jika tidak ada aturan dalam kebijakan firewall jaringan global yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next tersirat. Tindakan ini melanjutkan evaluasi ke langkah kebijakan firewall jaringan regional dalam urutan evaluasi.
Kebijakan firewall jaringan regional.

Cloud NGFW mengevaluasi aturan dalam kebijakan firewall jaringan regional yang terkait dengan region dan jaringan VPC resource target.

Saat mengevaluasi aturan dalam kebijakan firewall jaringan regional, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Dalam kebijakan firewall jaringan regional, paling banyak satu aturan yang dapat mencocokkan traffic. Tindakan pada pencocokan aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
- goto_next: evaluasi aturan berlanjut ke langkah berikutnya dalam urutan evaluasi.
Jika tidak ada aturan dalam kebijakan firewall jaringan regional yang cocok dengan traffic, Cloud NGFW akan menggunakan tindakan goto_next yang tersirat. Tindakan ini melanjutkan evaluasi ke langkah berikutnya dalam urutan evaluasi.
VPC firewall rules.

Saat mengevaluasi aturan firewall VPC, Cloud NGFW melakukan langkah-langkah berikut:
1. Abaikan semua aturan yang targetnya tidak cocok dengan resource target.
2. Abaikan semua aturan yang tidak cocok dengan arah paket.
3. Evaluasi aturan yang tersisa dari prioritas tertinggi hingga terendah.
  Evaluasi berhenti jika salah satu kondisi berikut terpenuhi:
  - Aturan yang berlaku untuk resource target cocok dengan traffic.
  - Tidak ada aturan yang berlaku untuk resource target yang cocok dengan traffic.
Jika satu atau dua aturan firewall VPC cocok dengan traffic, tindakan saat cocok aturan firewall dapat berupa salah satu dari berikut ini:
- allow: aturan mengizinkan traffic, dan semua evaluasi aturan berhenti.
- deny: aturan menolak traffic, dan semua evaluasi aturan berhenti.
Jika dua aturan cocok, keduanya harus memiliki prioritas yang sama tetapi tindakan yang berbeda. Dalam kasus ini, Cloud NGFW menerapkan aturan firewall VPC deny, dan mengabaikan aturan firewall VPC allow.

Jika tidak ada aturan firewall VPC yang cocok dengan traffic, Cloud NGFW menggunakan tindakan goto_next implisit untuk melanjutkan ke langkah berikutnya dalam urutan evaluasi.
Langkah terakhir—tindakan tersirat.

Cloud NGFW menerapkan tindakan tersirat jika evaluasi aturan firewall telah dilanjutkan melalui setiap langkah sebelumnya dengan mengikuti tindakan goto_next eksplisit atau implisit. Tindakan yang tersirat bergantung pada arah traffic:
- Untuk traffic ingress, tindakan yang tersirat juga bergantung pada target resource:
  - Jika resource target adalah antarmuka jaringan instance VM, tindakan ingress tersirat adalah deny.
  - Jika resource target adalah aturan penerusan Load Balancer Aplikasi internal atau Load Balancer Jaringan proxy internal, ingress yang tersirat adalah allow.
- Untuk traffic keluar, tindakan yang tersirat adalah allow.

Diagram `BEFORE_CLASSIC_FIREWALL`

Diagram berikut menggambarkan urutan penerapan kebijakan firewall jaringan BEFORE_CLASSIC_FIREWALL:

Aturan firewall yang efektif

Aturan kebijakan firewall hierarkis, aturan firewall VPC, dan aturan kebijakan firewall jaringan global dan regional mengontrol koneksi. Anda mungkin akan terbantu dengan melihat semua aturan firewall yang memengaruhi jaringan atau antarmuka VM tertentu.

Aturan firewall efektif jaringan

Anda dapat melihat semua aturan firewall yang diterapkan ke jaringan VPC. Daftar ini mencakup semua jenis aturan berikut:

Aturan yang diwarisi dari kebijakan firewall hierarkis
Aturan firewall VPC
Aturan yang diterapkan dari kebijakan firewall jaringan global dan regional

Aturan firewall efektif instance

Anda dapat melihat semua aturan firewall yang diterapkan ke antarmuka jaringan VM. Daftar ini mencakup semua jenis aturan berikut:

Aturan yang diwarisi dari kebijakan firewall hierarkis
Aturan yang diterapkan dari firewall VPC antarmuka
Aturan yang diterapkan dari kebijakan firewall jaringan global dan regional

Aturan diurutkan dari tingkat organisasi hingga jaringan VPC. Hanya aturan yang berlaku untuk antarmuka VM yang ditampilkan. Aturan dalam kebijakan lain tidak ditampilkan.

Untuk melihat aturan kebijakan firewall yang efektif dalam suatu region, lihat Mendapatkan kebijakan firewall regional yang efektif untuk jaringan.

Aturan yang telah ditentukan sebelumnya

Saat Anda membuat kebijakan firewall hierarkis, kebijakan firewall jaringan global, atau kebijakan firewall jaringan regional, Cloud NGFW akan menambahkan aturan standar ke kebijakan tersebut. Aturan standar yang ditambahkan Cloud NGFW ke kebijakan bergantung pada cara Anda membuat kebijakan.

Jika Anda membuat kebijakan firewall menggunakan Google Cloud konsol, Cloud NGFW akan menambahkan aturan berikut ke kebijakan baru:

Aturan goto-next untuk rentang IPv4 pribadi
Aturan penolakan Google Threat Intelligence yang telah ditentukan sebelumnya
Aturan penolakan geolokasi yang telah ditentukan sebelumnya
Aturan goto-next dengan prioritas serendah mungkin

Jika Anda membuat kebijakan firewall menggunakan Google Cloud CLI atau API, Cloud NGFW hanya menambahkan aturan goto-next dengan prioritas terendah ke kebijakan.

Semua aturan bawaan dalam kebijakan firewall baru sengaja menggunakan prioritas rendah (angka prioritas besar) sehingga Anda dapat menggantinya dengan membuat aturan dengan prioritas yang lebih tinggi. Kecuali aturan goto-next dengan prioritas terendah, Anda juga dapat menyesuaikan aturan standar.

Aturan goto-next untuk rentang IPv4 pribadi

Aturan keluar dengan rentang IPv4 tujuan 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, prioritas 1000, dan tindakan goto_next.
Aturan masuk dengan rentang IPv4 sumber 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, prioritas 1001, dan tindakan goto_next.

Aturan penolakan Google Threat Intelligence yang telah ditetapkan

Aturan ingress dengan daftar Google Threat Intelligence sumber iplist-tor-exit-nodes, prioritas 1002, dan tindakan deny.
Aturan ingress dengan daftar Google Threat Intelligence sumber iplist-known-malicious-ips, prioritas 1003, dan tindakan deny.
Aturan egress dengan tujuan daftar Google Threat Intelligence iplist-known-malicious-ips, prioritas 1004, dan tindakan deny.

Untuk mempelajari Google Threat Intelligence lebih lanjut, lihat Google Threat Intelligence untuk aturan kebijakan firewall.

Aturan penolakan geolokasi yang telah ditentukan sebelumnya

Aturan ingress dengan geolokasi pencocokan sumber CU,IR, KP, SY, XC, dan XD, prioritas 1005, dan tindakan deny.

Untuk mempelajari lebih lanjut geolokasi, lihat Objek geolokasi.

Aturan goto-next dengan prioritas serendah mungkin

Anda tidak dapat mengubah atau menghapus aturan berikut:

Aturan keluar dengan rentang IPv6 tujuan ::/0, prioritas 2147483644, dan tindakan goto_next.
Aturan masuk dengan rentang IPv6 sumber ::/0, prioritas 2147483645, dan tindakan goto_next.
Aturan keluar dengan rentang IPv4 tujuan 0.0.0.0/0, prioritas 2147483646, dan tindakan goto_next.
Aturan masuk dengan rentang IPv4 sumber 0.0.0.0/0, prioritas 2147483647, dan tindakan goto_next.

Langkah berikutnya

Untuk membuat dan mengubah kebijakan serta aturan firewall hierarkis, lihat Menggunakan kebijakan dan aturan firewall hierarkis.
Untuk melihat contoh penerapan kebijakan firewall hierarkis, lihat Contoh kebijakan firewall hierarkis.
Untuk membuat dan mengubah kebijakan serta aturan firewall jaringan global, lihat Menggunakan kebijakan dan aturan firewall jaringan global.
Untuk membuat dan mengubah kebijakan serta aturan firewall jaringan regional, lihat Menggunakan kebijakan dan aturan firewall jaringan regional.