Komponenten von Firewallrichtlinienregeln

In diesem Dokument werden die Komponenten einer Firewallrichtlinienregel beschrieben, die Sie in einer hierarchischen, globalen oder regionalen Firewallrichtlinie konfigurieren, die für ein reguläres VPC-Netzwerk (Virtual Private Cloud) gilt. Diese Komponenten umfassen Richtung, Quelle, Ziel und Ebene-4-Merkmale wie Protokoll und Zielport (wenn das Protokoll Ports verwendet).

Mit Firewallrichtlinienregeln in Google Cloud können Sie den Traffic steuern, um die Sicherheit und die betriebliche Effizienz zu verbessern. Beim Erstellen einer Firewallrichtlinienregel geben Sie die Komponenten an, die die Funktionsweise der Regel definieren. Jede Firewallrichtlinienregel gilt entweder für eingehende (ingress) oder für ausgehende Verbindungen (egress), jedoch nicht für beide Verbindungen.

Bei spezialisierten, leistungsstarken Netzwerkprofilen wie RDMA-RoCE (Remote Direct Memory Access over Converged Ethernet) unterscheiden sich die Funktionen und Konfigurationen von Firewallrichtlinienregeln von denen regulärer Netzwerke. Weitere Informationen zu Firewallregeln für RDMA-Netzwerkprofile finden Sie unter Cloud NGFW für RoCE-VPC-Netzwerke.

Dieses Dokument richtet sich an Netzwerkadministratoren und Sicherheitsingenieure, die Firewallrichtlinienregeln konfigurieren und verwalten.

Priorität

Jede Regel in einer Firewallrichtlinie muss eine eindeutige Priorität haben.

Beachten Sie die folgenden Richtlinien, wenn Sie einer Firewallrichtlinienregel eine Priorität zuweisen:

  • Die Priorität ist eine Ganzzahl von 0 bis einschließlich 2,147,483,547.
  • In einer Firewallrichtlinie muss jede Regel eine eindeutige Prioritätsnummer haben. Firewallrichtlinien-Regeln haben keine Namen.
  • Die Prioritätsnummer 0 ist die höchste Priorität und 2,147,483,547 die niedrigste. Die Priorität nimmt ab, je höher die Zahl ist. Wenn ein Paket in einer Firewallrichtlinie mit mehreren Regeln übereinstimmt, wird nur die übereinstimmende Regel mit der höchsten Priorität erzwungen.

Betrachten Sie das folgende Beispiel, in dem zwei Firewallrichtlinienregeln in einer globalen Netzwerk-Firewallrichtlinie vorhanden sind, die Ihrem VPC-Netzwerk zugeordnet ist:

  • Eine Regel für eingehenden Traffic aus den Quellen 0.0.0.0/0 (beliebige IPv4-Adresse), die für alle Ziele, alle Protokolle und alle Zielports gilt und eine deny-Aktion sowie die Priorität 1000 hat.

  • Eine Regel für eingehenden Traffic an TCP 80 aus den Quellen 0.0.0.0/0 (beliebige IPv4-Adresse), die für bestimmte Ziele mit dem sicheren Tag tagKeys/123/tagValues/456 (Tag-Schlüssel shortName role und Tag-Wert webserver) gilt und eine allow-Aktion hat.

Die Priorität der zweiten Regel bestimmt, ob TCP-Traffic zu Port 80 für die webserver-Ziele zugelassen wird:

  • Wenn für die Priorität der zweiten Regel eine Zahl größer als 1000 festgelegt ist, hat sie eine niedrigere Priorität. Es gilt dann die erste Regel, die den gesamten Traffic ablehnt.

  • Wenn für die Priorität der zweiten Regel eine Zahl kleiner als 1000 festgelegt ist, hat die Regel eine höhere Priorität. Ein Paket, das für webserver auf TCP 80 ankommt, entspricht zuerst der zweiten Regel. Der Traffic wird zugelassen und die Firewall prüft keine weiteren Regeln. Die erste Regel wird für dieses spezifische Paket nie geprüft.

Das vorherige Beispiel zeigt, wie Sie mithilfe von Prioritäten selektive allow-Regeln und globale deny-Regeln als Best Practice im Sicherheitsbereich nach dem Prinzip der geringsten Berechtigung implementieren können.

Aktion bei Übereinstimmung

Eine Regel in einer Firewallrichtlinie kann eine der folgenden Aktionen haben:

Aktionsparameter Beschreibung
allow

Lässt Pakete für eine neue Verbindung zu. Beendet die Auswertung von Regeln in der Firewallrichtlinie, die die übereinstimmende Regel enthält. Es werden keine anderen Firewallregeln ausgewertet.

Unabhängig von der Richtung der Regel gilt: Wenn das Paketprotokoll und der Firewallrichtlinientyp das Verbindungstracking unterstützen, wird durch eine Zulassungsregel ein Eintrag in der Firewall-Verbindungstracking-Tabelle erstellt, der sowohl eingehende als auch ausgehende Pakete zulässt.
deny

Lässt keine Pakete für eine neue Verbindung zu. Beendet die Auswertung von Regeln in der Firewallrichtlinie, die die übereinstimmende Regel enthält. Es werden keine anderen Firewallregeln ausgewertet.

Die Cloud NGFW sucht immer nach einem Eintrag in der Firewall-Verbindungstracking-Tabelle, bevor sie Firewallregeln auswertet. Wenn also eine Zulassungsregel einen Eintrag in der Verbindungs-Tracking-Tabelle erstellt hat, hat dieser Eintrag Vorrang.
apply_security_profile_group

Fängt Pakete für eine neue Verbindung ab und sendet sie an einen Firewall-Endpunkt oder eine Abfangendpunktgruppe. Beendet die Auswertung von Regeln in der Firewallrichtlinie, die die übereinstimmende Regel enthält. Es werden keine anderen Firewallregeln ausgewertet.

Unabhängig von der Richtung der Regel erstellt eine Regel mit der Aktion apply_security_profile_group einen Eintrag in der Firewall-Verbindungs-Tracking-Tabelle, wenn das Paketprotokoll und der Firewallrichtlinientyp Verbindungs-Tracking unterstützen. Dadurch werden sowohl eingehende als auch ausgehende Pakete vom Firewall-Endpunkt oder der Abfang-Endpunktgruppe abgefangen.

Sie können die Aktion apply_security_profile_group nicht in regionalen Netzwerk-Firewallrichtlinien oder regionalen System-Firewallrichtlinien verwenden.

Für die Aktion apply_security_profile_group gelten je nach Zieltyp der Regel bestimmte Anforderungen. Weitere Informationen finden Sie unter Ziele.
goto_next

Die Auswertung anderer Regeln in der Firewallrichtlinie wird beendet und die Regeln im nächsten Schritt der Reihenfolge der Firewallrichtlinien- und Regelauswertung werden ausgewertet.

Der nächste Schritt der Auswertungsreihenfolge für Firewallrichtlinien und ‑regeln kann die Auswertung von Regeln in einer anderen Firewallrichtlinie oder die Auswertung der implizierten Firewallregeln sein.

Erzwingung

Sie können auswählen, ob eine Firewallrichtlinienregel für erzwungen werden soll. Dazu legen Sie deren Status auf "Aktiviert" oder "Deaktiviert" fest. Sie können den Erzwingungszustand festlegen, wenn Sie eine Regel erstellen oder eine Regel aktualisieren.

Wenn Sie beim Erstellen einer neuen Firewallregel keinen Erzwingungsstatus festlegen, wird die Firewallregel automatisch aktiviert.

Protokolle und Ports

In einer Firewallrichtlinienregel werden Protokoll- und Portbeschränkungen in der Liste der Layer-4-Konfigurationen gespeichert. Wenn Sie die Konfigurationsinformationen für Ebene 4 weglassen, gilt die Firewallrichtlinienregel für alle Protokolle und alle Zielports.

In jeder Layer-4-Konfiguration in der Liste kann eine der folgenden Optionen angegeben werden:

  • Ein IP-Protokollname wie tcp oder eine IANA-IP-Protokollnummer wie 17, ohne Zielport:

    • Sie können die folgenden IP-Protokollnamen verwenden: tcp, udp, icmp (für IPv4 ICMP), esp, ah, sctp und ipip.
    • Verwenden Sie für alle anderen Protokolle eine IANA-Protokollnummer. Die meisten Protokolle verwenden bei IPv4 und IPv6 denselben Namen und dieselbe Nummer, einige Protokolle wie ICMP jedoch nicht. Verwenden Sie icmp oder die Protokollnummer 1, um IPv4 ICMP anzugeben. Verwenden Sie die Protokollnummer 58, um IPv6 ICMP anzugeben. Firewallrichtlinienregeln unterstützen das IPv6-Hop-by-Hop-Protokoll nicht.

  • Eine Kombination aus einem gültigen IP-Protokollnamen und Zielportinformationen:

    • Gültige IP-Protokolle sind Protokolle, die Zielports wie tcp und udp verwenden.
    • Wenn Sie Zielports angeben möchten, müssen Sie einen einzelnen Protokollnamen angeben. Sie können einen Protokollnamen entweder mit einer einzelnen Zielportnummer oder einem Zielportbereich angeben.

Layer-4-Konfigurationen unterstützen Folgendes nicht:

  • Quellportinformationen für Protokolle, die Quellports verwenden, z. B. tcp und udp

  • ICMP-Typen und -Codes.

Wenn Sie den Zieltyp einer Firewallrichtlinienregel auf INTERNAL_MANAGED_LB festlegen, gelten die folgenden zusätzlichen Einschränkungen:

  • Sie dürfen nur das TCP-Protokoll (tcp oder IANA-IP-Protokollnummer 6) angeben.
  • Sie müssen Informationen zum Zielport weglassen, da die Weiterleitungsregel des Load Balancers den Zielport definiert.

Logging

Das Logging für Regeln von Firewallrichtlinien funktioniert genauso wie das Logging von Regeln in VPC-Firewalls, mit folgenden Ausnahmen:

  • Das Referenzfeld enthält die Firewallrichtlinien-ID und eine Zahl, die die Ebene der Ressource angibt, mit dem die Richtlinie verknüpft ist. 0 bedeutet beispielsweise, dass die Richtlinie auf eine Organisation angewendet wird, und 1, dass die Richtlinie auf einen Ordner auf oberster Ebene unter der Organisation angewendet wird.

  • Logs für Regeln Firewallrichtlinien enthalten ein target_resource-Feld, das die VPC-Netzwerke angibt, auf die die Regel angewendet wird.

  • Logging kann nur für allow-, deny- und apply_security_profile_group-Regeln aktiviert werden, nicht jedoch für goto_next-Regeln.

  • Wenn Sie das Logging für eine Regel aktivieren, die die Aktion apply_security_profile_group verwendet, generiert Cloud NGFW einen einzelnen Logeintrag, wenn eine Traffic-Sitzung abgefangen und der Traffic zur Deep Packet Inspection an den Firewall-Endpunkt weitergeleitet wird. Dieser Logeintrag bestätigt, dass die Firewallregel mit dem Traffic übereinstimmt und ihn erfolgreich an den Firewall-Endpunkt weitergeleitet hat. Weitere Informationen finden Sie unter Logging von Firewallrichtlinien-Regeln – Übersicht.

  • Der Firewall-Endpunkt führt eine gründliche Paketprüfung durch, z. B. den Dienst zur Einbruchserkennung und -vermeidung und den URL-Filterdienst, und generiert eigene Logs. Diese Logs enthalten detaillierte Informationen zu den Verbindungen innerhalb der abgefangenen Sitzung und listen alle erkannten Bedrohungen oder URL-Filteraktionen auf. Diese Logs zur Deep Packet Inspection können mehrere Logeinträge pro Sitzung generieren.

Ziel, Quelle, Bestimmungsort

Die Ziel- und Quellparameter arbeiten zusammen, um den Umfang einer Firewallregel zu bestimmen.

  • Zielparameter: Identifizieren die Ressourcen, für die die Firewallregel gilt.

  • Quell- und Zielparameter: Definieren Sie die Traffic-Kriterien. Sie können beides für Regeln für eingehenden und ausgehenden Traffic angeben. Die gültigen Optionen für Quell- und Zielparameter hängen von den Zielparametern und der Richtung der Firewallregel ab.

Ziele

Der Parameter Zieltyp und mindestens ein Parameter Ziel definieren die Ziele einer Firewallregel. Diese Ziele einer Firewallregel sind die Ressourcen, die durch die Firewallregel geschützt werden.

  • Wenn der Zieltyp weggelassen oder auf INSTANCES gesetzt wird, gilt die Firewallregel für die Netzwerkschnittstellen von Compute Engine-Instanzen, einschließlich GKE-Knoten (Google Kubernetes Engine) und Instanzen der flexiblen App Engine-Umgebung. Es werden sowohl Regeln für eingehenden als auch für ausgehenden Traffic unterstützt.

    Mit Zielparametern können Sie angeben, für welche VM-Netzwerkschnittstellen die Firewallregel gilt:

  • Wenn Sie den Zieltyp auf INTERNAL_MANAGED_LB festlegen, gilt die Firewallregel für die verwalteten Envoy-Proxys, die den Traffic für interne Application Load Balancer und interne Proxy-Network Load Balancer verarbeiten.

    • Wenn Sie den Parameter Zielweiterleitungsregeln weglassen, gilt die Firewallregel für die breitesten Load-Balancer-Ziele.

    • Wenn Sie die Firewallregel auf einen einzelnen Load Balancer beschränken möchten, verwenden Sie den Parameter für die Zielweiterleitungsregeln. Andere spezifische Zielparameter wie sichere Tags oder Dienstkonten können nicht verwendet werden. Weitere Informationen finden Sie unter Spezifische Ziele und Format der Zielweiterleitungsregeln.

      Wenn für eine Regel in einer globalen Netzwerk-Firewallrichtlinie der Zieltyp auf INTERNAL_MANAGED_LB und die Aktion auf apply_security_profile_group festgelegt ist, müssen Sie den Parameter für Zielweiterleitungsregeln verwenden, um die Regel auf einen einzelnen regionenübergreifenden internen Application Load Balancer zu beschränken.

    • Für Firewallregeln mit dem Zieltyp INTERNAL_MANAGED_LB gelten die folgenden Einschränkungen:

      • Die Regel muss eine Regel für eingehenden Traffic sein.

      • Sie müssen den Zielparameter der Regel weglassen, da die Weiterleitungsregel des Load Balancers die Ziel-IP-Adresse definiert.

      • In den Layer-4-Konfigurationen der Regel dürfen Sie nur das TCP-Protokoll (tcp oder IANA-IP-Protokollnummer 6) angeben. Zielports müssen weggelassen werden, da die Weiterleitungsregel des Load Balancers den Zielport definiert.

      • Sie können eine Weiterleitungsregel für einen internen Application Load Balancer oder einen internen Proxy-Network-Load-Balancer löschen, ohne die Firewallregel zu entfernen, die auf sie abzielt. Zielweiterleitungsregeln sind über ihre ID, nicht über ihren Namen, an die Firewallregel gebunden. Wenn Sie eine neue Weiterleitungsregel mit demselben Namen erstellen, wird die Firewallregel nicht automatisch an die neue Weiterleitungsregel gebunden. Wenn Sie die Firewallregel wieder anwenden möchten, müssen Sie sie so aktualisieren, dass sie auf die neue Weiterleitungsregel verweist.

Breiteste Instanzziele

Die breitesten Instanzziele hängen vom Typ der Firewallrichtlinie ab:

  • Breiteste Instanzziele für eine Regel in einer hierarchischen Firewallrichtlinie: Alle VM-Netzwerkschnittstellen in einem Subnetz in einer beliebigen Region eines beliebigen VPC-Netzwerk, das sich in einem Projekt unter dem Resource Manager-Knoten (Ordner oder Organisation) befindet, der mit der hierarchischen Firewallrichtlinie verknüpft ist.

  • Breiteste Instanzziele für eine Regel in einer globalen Netzwerk-Firewallrichtlinie: alle VM-Netzwerkschnittstellen in einem Subnetz in einer beliebigen Region des VPC-Netzwerk, das mit der globalen Netzwerk-Firewallrichtlinie verknüpft ist.

  • Breiteste Instanzziele für eine Regel in einer regionalen Netzwerk-Firewallrichtlinie: alle VM-Netzwerkschnittstellen in einem Subnetz innerhalb der Region und des VPC-Netzwerk, die mit der regionalen Netzwerk-Firewallrichtlinie verknüpft sind.

Breiteste Auswahl an Load-Balancer-Zielen

Die umfassendsten Load-Balancer-Ziele hängen von den folgenden Firewallrichtlinientypen ab:

  • Breiteste Load-Balancer-Ziele für eine Regel in einer globalen Netzwerk-Firewallrichtlinie: Alle Weiterleitungsregeln für interne Application Load Balancer und interne Proxy-Network Load Balancer in einem Subnetz in einer beliebigen Region des VPC-Netzwerk, das mit der globalen Netzwerk-Firewallrichtlinie verknüpft ist.

  • Breiteste Load-Balancer-Ziele für eine Regel in einer regionalen Netzwerk-Firewallrichtlinie: Alle Weiterleitungsregeln für interne Application Load Balancer und interne Proxy-Network Load Balancer in einem Subnetz innerhalb der Region und des VPC-Netzwerk, das mit der regionalen Netzwerk-Firewallrichtlinie verknüpft ist.

Bestimmte Ziele

In der folgenden Tabelle sind die Zielparameter, die Firewallrichtlinien, die Regeln mit den einzelnen Parametern unterstützen, und die unterstützten Regelzieltypen aufgeführt. Wenn Sie keinen Zielparameter angeben, verwendet die Regel je nach Zieltyp der Regel entweder die breitesten Instanzziele oder die breitesten Load-Balancer-Ziele. Das Häkchen gibt an, dass der Parameter unterstützt wird, und das Symbol, dass der Parameter nicht unterstützt wird.

Zielparameter Unterstützung von Firewallrichtlinien Unterstützung für Targeting-Typen von Regeln
Hierarchisch Globales Netzwerk Regionales Netzwerk INSTANCES INTERNAL_MANAGED_LB
Ziel-VPC-Netzwerk-Netzwerkressourcen

Eine Liste mit einem oder mehreren VPC-Netzwerken, die mit dem Parameter target-resources angegeben werden. Diese Liste beschränkt die breitesten Instanzziele auf die VM-Netzwerkschnittstellen, die sich in mindestens einem der angegebenen VPC-Netzwerke befinden.
Zieldienstkonten

Eine Liste mit einem oder mehreren Dienstkonten, die mit dem Parameter target-service-accounts angegeben werden. Diese Liste beschränkt die breiteste Gruppe von Instanzzielen auf die VM-Netzwerkschnittstellen, die zu VM-Instanzen gehören, die mit mindestens einem der angegebenen Dienstkonten verknüpft sind.
Sichere Tag-Werte aus einem Tag-Schlüssel mit Netzwerkzweckdaten als Ziel festlegen

Eine Regel, die den Parameter target-secure-tags verwendet, der eine Liste mit einem oder mehreren Tag-Werten aus einem Tag-Schlüssel enthält, dessen purpose-data ein einzelnes VPC-Netzwerk angibt.

In dieser Liste werden die breitesten Instanzziele auf die VM-Netzwerkschnittstellen beschränkt, die beide der folgenden Kriterien erfüllen:

  • Die Schnittstelle befindet sich im VPC-Netzwerk, das mit dem purpose-data des Tag-Schlüssels übereinstimmt.
  • Die Schnittstelle gehört zu einer VM, die an den Tag-Wert gebunden ist.

Weitere Informationen finden Sie unter Sichere Tags für Firewalls.
Sichere Tag-Werte aus einem Tag-Schlüssel mit Daten zum Organisationszweck als Ziel festlegen

Eine Regel, die den Parameter target-secure-tags verwendet, der eine Liste mit einem oder mehreren Tag-Werten aus einem Tag-Schlüssel enthält, dessen purpose-data organization=auto ist.

In dieser Liste werden die breitesten Instanzziele auf die VM-Netzwerkschnittstellen beschränkt, die beide der folgenden Kriterien erfüllen:

  • Die Schnittstelle befindet sich in einem beliebigen VPC-Netzwerk der Organisation.
  • Die Schnittstelle gehört zu einer VM, die an den Tag-Wert gebunden ist.

Weitere Informationen finden Sie unter Sichere Tags für Firewalls.
Zielweiterleitungsregeln

Eine einzelne Weiterleitungsregel für einen internen Application Load Balancer oder einen internen Proxy-Network Load Balancer, die im Format für Zielweiterleitungsregeln angegeben ist. Dieser Parameter schränkt die breitesten Load-Balancer-Ziele auf einen bestimmten internen Application Load Balancer oder internen Proxy-Network Load Balancer ein.

Spezifische Zielkombinationen

Regeln, die den Parameter target-resources unterstützen, können ihn mit einem anderen Zielparameter kombinieren, um eine Zielparameterkombination zu erstellen. In der folgenden Tabelle sind die unterstützten Zielparameterkombinationen, die Firewallrichtlinien, die Regeln mit den einzelnen Parametern unterstützen, und die unterstützten Regelzieltypen aufgeführt. Wenn Sie keinen Zielparameter angeben, verwendet die Regel je nach Zieltyp der Regel entweder die breitesten Instanzziele oder die breitesten Load-Balancer-Ziele.

Das Häkchen gibt an, dass der Parameter unterstützt wird, und das Symbol, dass der Parameter nicht unterstützt wird.

Zielparameterkombination Unterstützung von Firewallrichtlinien Unterstützung für Targeting-Typen von Regeln
Hierarchisch Globales Netzwerk Regionales Netzwerk INSTANCES INTERNAL_MANAGED_LB
Kombination aus Ziel-VPC-Netzwerkressourcen und Zieldienstkonten

Eine Regel, die sowohl den Parameter target-resources als auch den Parameter target-service-accounts verwendet.

Diese Kombination beschränkt die breitesten Instanzziele auf VM-Netzwerkschnittstellen, die beide der folgenden Kriterien erfüllen:

  • Die Schnittstelle befindet sich in mindestens einem der in target-resources angegebenen VPC-Netzwerke.
  • Die Schnittstelle gehört zu einer VM-Instanz, die mit mindestens einem der angegebenen Dienstkonten verknüpft ist.
Kombination aus Ziel-VPC-Netzwerkressourcen und sicheren Ziel-Tag-Werten

Eine Regel, die sowohl den Parameter target-resources als auch den Parameter target-secure-tags verwendet. Tag-Werte müssen von einem Tag-Schlüssel stammen, dessen purpose-data organization=auto ist.

Diese Kombination beschränkt die breitesten Instanzziele auf VM-Netzwerkschnittstellen, die beide der folgenden Kriterien erfüllen:

  • Die Schnittstelle befindet sich in mindestens einem der in target-resources angegebenen VPC-Netzwerke.
  • Die Schnittstelle gehört zu einer VM, die an den Tag-Wert gebunden ist.

Format der Zielweiterleitungsregeln

Wenn Sie den Zieltyp für eine Firewallregel auf INTERNAL_MANAGED_LB festlegen, akzeptiert der Parameter target-forwarding-rules Werte in den folgenden Formaten:

  • Für regionale interne Application Load Balancer und regionale interne Proxy-Network Load Balancer:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • Für regionenübergreifende interne Application Load Balancer und regionenübergreifende interne Proxy-Network Load Balancer:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

Ziele und IP-Adressen für Regeln für eingehenden Traffic

Wenn der Zieltyp einer Firewallregel entweder weggelassen oder auf INSTANCES gesetzt wird, gilt die Regel für Pakete, die an Netzwerkschnittstellen von Ziel-VMs weitergeleitet werden.

  • Wenn die Firewallregel für eingehenden Traffic einen Ziel-IP-Adressbereich enthält, muss das Ziel des Pakets in einen der explizit definierten Ziel-IP-Adressbereiche passen.

  • Wenn die Firewallregel für eingehenden Traffic keinen Ziel-IP-Adressbereich enthält, muss das Ziel des Pakets mit einer der folgenden IP-Adressen jeder Ziel-VM übereinstimmen:

    • Die primäre interne IPv4-Adresse, die der NIC der Instanz zugewiesen ist.

    • Alle konfigurierten Alias-IP-Adressbereiche auf der NIC der Instanz.

    • Die externe IPv4-Adresse, die der NIC der Instanz zugeordnet ist.

    • Beliebige IPv6-Adresse, die der NIC zugewiesenen ist, wenn IPv6 im Subnetz konfiguriert ist.

    • Eine interne oder externe IP-Adresse, die mit einer Weiterleitungsregel verbunden ist, die für das Passthrough Load-Balancing verwendet wird, wobei die Instanz ein Backend für einen internen Passthrough Network Load Balancer oder einen externen Passthrough Network Load Balancer ist.

    • Eine interne oder externe IP-Adresse, die einer Weiterleitungsregel für die Protokollweiterleitung zugeordnet ist, wobei auf die Instanz von einer Zielinstanz verwiesen wird.

    • Eine IP-Adresse im Zielbereich einer benutzerdefinierten statischen Route, die die Instanz (next-hop-instance oder next-hop-address) als VM des nächsten Hops verwendet.

    • Eine IP-Adresse innerhalb des Zielbereichs einer benutzerdefinierten statischen Route, die einen internen Passthrough Network Load Balancer (next-hop-ilb) als nächsten Hop verwendet, wenn die VM ein Backend für diesen Load Balancer ist.

Wenn Sie den Zieltyp einer Firewallregel auf INTERNAL_MANAGED_LB festlegen, müssen Sie den Zielparameter weglassen. Die Weiterleitungsregel des internen Application Load Balancers oder des internen Proxy-Network Load Balancers definiert die Ziel-IP-Adresse.

Ziele und IP-Adressen für Regeln für ausgehenden Traffic

Wenn der Zieltyp einer Firewallregel entweder weggelassen oder auf INSTANCES gesetzt wird, gilt die Regel für Pakete, die von Netzwerkschnittstellen von Ziel-VMs ausgegeben werden.

  • Wenn für die Ziel-VM die IP-Weiterleitung deaktiviert ist (Standardeinstellung), kann die VM nur Pakete mit den folgenden Quellen ausgeben:

    • Die primäre interne IPv4-Adresse der NIC einer Instanz.

    • Jeder konfigurierte Alias-IP-Adressbereich auf der NIC einer Instanz.

    • Beliebige IPv6-Adresse, die der NIC zugewiesenen ist, wenn IPv6 im Subnetz konfiguriert ist.

    • Eine interne oder externe IP-Adresse, die mit einer Weiterleitungsregel verbunden ist, für Passthrough Load-Balancing oder Protokollweiterleitung. Dies gilt, wenn die Instanz ein Backend für einen internen Passthrough Network Load Balancer oder einen externen Passthrough Network Load Balancer ist oder von einer Zielinstanz referenziert wird.

    Wenn die Firewallregel für ausgehenden Traffic Quell-IP-Adressbereiche enthält, sind die Ziel-VMs weiterhin auf die zuvor erwähnten Quell-IP-Adressen beschränkt. Sie können diesen Satz jedoch mit dem Quellparameter verfeinern. Wenn Sie einen Quellparameter verwenden, ohne die IP-Weiterleitung zu aktivieren, wird der Satz möglicher Paketquelladressen nie erweitert.

    Wenn die Firewallregel für ausgehenden Traffic keinen Quell-IP-Adressbereich enthält, sind alle zuvor genannten Quell-IP-Adressen zulässig.

  • Wenn für die Ziel-VM die IP-Weiterleitung aktiviert ist, kann die VM Pakete mit beliebigen Quelladressen ausgeben. Mit dem Quellparameter können Sie den Satz zulässiger Paketquellen genauer definieren.

Quellen

Die Werte der Quellparameter hängen von der Richtung der Firewallregel ab.

Quellen für Regeln für eingehenden Traffic

In dieser Tabelle sind die Quellparameter für Regeln für eingehenden Traffic, die Firewallrichtlinien, die die einzelnen Parameter unterstützen, und die Regelzieltypen aufgeführt, die mit den einzelnen Parametern kompatibel sind. Sie müssen mindestens einen Quellparameter angeben. Das Häkchen gibt an, dass der Parameter unterstützt wird, und das Symbol, dass der Parameter nicht unterstützt wird.

Quellparameter für Regeln für eingehenden Traffic Unterstützung von Firewallrichtlinien Unterstützung für Targeting-Typen von Regeln
Hierarchisch Globales Netzwerk Regionales Netzwerk INSTANCES INTERNAL_MANAGED_LB
Quell-IP-Adressbereiche

Eine Liste mit IPv4-Adressen im CIDR-Format oder IPv6-Adressen im CIDR-Format. Die Liste wird in der Firewallrichtlinienregel selbst gespeichert.
Quelladressgruppen

Wiederverwendbare Sammlungen von IPv4-Adressen im CIDR-Format oder IPv6-Adressen im CIDR-Format. Die Firewallregel verweist auf die Sammlung. Weitere Informationen finden Sie unter Adressgruppen für Firewallrichtlinien.
Sichere Quell-Tag-Werte aus einem Tag-Schlüssel mit Daten zum Netzwerkzweck

Eine Liste mit einem oder mehreren Tag-Werten aus einem Tag-Schlüssel, dessen Zweckdaten ein einzelnes VPC-Netzwerk angeben. Weitere Informationen finden Sie unter Sichere Tags für Firewalls und Wie sichere Quell-Tags Paketquellen implizieren.
Sichere Tag-Werte aus einem Tag-Schlüssel mit Daten zum Organisationszweck beziehen

Eine Liste mit einem oder mehreren Tag-Werten aus einem Tag-Schlüssel, dessen Zweckdaten organization=auto sind. Weitere Informationen finden Sie unter Sichere Tags für Firewalls und Wie sichere Quell-Tags Paketquellen implizieren.
Ausgangsstandortbestimmungen

Eine Liste mit einem oder mehreren geografischen Standorten, die als Ländercodes mit zwei Buchstaben oder Regionscodes angegeben sind. Weitere Informationen finden Sie unter Standortobjekte.
Google Threat Intelligence-Listen als Quelle verwenden

Eine Liste mit einem oder mehreren vordefinierten Google Threat Intelligence-Listennamen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.
Quellnetzwerkkontext

Eine Einschränkung, die eine Sicherheitsgrenze definiert. Gültige Werte hängen vom Zieltyp der Regel ab. Weitere Informationen finden Sie unter Netzwerkkontexte.
Quellkombinationen für Regeln für eingehenden Traffic

In einer einzelnen Regel für eingehenden Traffic können Sie zwei oder mehr Quellparameter verwenden, um eine Quellkombination zu erstellen. Die Cloud NGFW erzwingt die folgenden Einschränkungen für Quellkombinationen jeder Regel für eingehenden Traffic:

  • Quell-IP-Adressbereiche müssen entweder IPv4- oder IPv6-CIDRs enthalten, keine Kombination aus beidem.
  • Eine Quelladressgruppe, die IPv4-CIDRs enthält, kann nicht mit einer Quelladressgruppe verwendet werden, die IPv6-CIDRs enthält.
  • Ein Quell-IP-Adressbereich, der IPv4-CIDRs enthält, kann nicht mit einer Quelladressgruppe verwendet werden, die IPv6-CIDRs enthält.
  • Ein Quell-IP-Adressbereich, der IPv6-CIDRs enthält, kann nicht mit einer Quelladressgruppe verwendet werden, die IPv4-CIDRs enthält.
  • Der Internetnetzwerk-Kontext kann nicht mit den sicheren Quell-Tags verwendet werden.
  • Der Kontext „Ohne Internet“, der Kontext „VPC-Netzwerke“ und der Kontext „VPC-übergreifend“ können nicht mit Google Threat Intelligence-Quelllisten oder Quellgeostandorten verwendet werden.

Cloud NGFW wendet die folgende Logik an, um die Pakete einer Regel für eingehenden Traffic zuzuordnen, die eine Quellkombination verwendet:

  • Wenn die Quellkombination keinen Quellnetzwerkkontext enthält, entsprechen Pakete der Regel für eingehenden Traffic, wenn sie mindestens einem Quellparameter in der Quellkombination entsprechen.

  • Wenn die Quellkombination einen Quellnetzwerkkontext enthält, entsprechen Pakete der Regel für eingehenden Traffic, wenn sie mit dem Quellnetzwerkkontext und mindestens einem der anderen Quellparameter in der Quellkombination übereinstimmen.

Wie sichere Quell-Tags Paketquellen implizieren

Eine Firewallregel für eingehenden Traffic kann Werte für sichere Quell-Tags verwenden, wenn der Zieltyp weggelassen oder auf INSTANCES gesetzt wird. Sichere Tag-Werte identifizieren Netzwerkschnittstellen, keine Paketmerkmale wie IP-Adressen.

Pakete, die von einer Netzwerkschnittstelle einer VM-Instanz gesendet werden, entsprechen einer Regel für eingehenden Traffic, die einen sicheren Tag-Wert für die Quelle gemäß den folgenden Regeln verwendet:

  • Wenn sich die Regel für eingehenden Traffic in einer regionalen Netzwerkrichtlinie befindet, muss sich die VM-Instanz in einer Zone derselben Region wie die regionale Netzwerk-Firewallrichtlinie befinden. Andernfalls kann sich die VM-Instanz in einer beliebigen Zone befinden.

  • Die VM-Instanz muss mit demselben sicheren Tag-Wert verknüpft sein, der als sicheres Quell-Tag in einer Firewallregel für eingehenden Traffic verwendet wird.

  • Der Wert des sicheren Tags, der der VM-Instanz zugeordnet ist und von der Firewallregel für eingehenden Traffic verwendet wird, muss von einem Tag-Schlüssel stammen, dessen Attribut purpose-data mindestens ein VPC-Netzwerk identifiziert, das eine Netzwerkschnittstelle der VM-Instanz enthält:

    • Wenn in den Zweckdaten des Tag-Schlüssels ein einzelnes VPC-Netzwerk angegeben ist, gelten Firewallregeln für eingehenden Traffic, die den sicheren Tag-Wert der Quelle verwenden, für die Netzwerkschnittstellen der VM-Instanz, die sich in diesem VPC-Netzwerk befinden.

    • Wenn in den Zweckdaten des Tag-Schlüssels die Organisation angegeben ist, gelten Firewallregeln für eingehenden Traffic, die den Wert des sicheren Quell-Tags verwenden, für die Netzwerkschnittstellen der VM-Instanz, die sich in einem beliebigen VPC-Netzwerk der Organisation befinden.

  • Die identifizierte VM-Netzwerkschnittstelle muss eines der folgenden Kriterien erfüllen:

    • Die VM-Netzwerkschnittstelle befindet sich im selben VPC-Netzwerk wie das VPC-Netzwerk, für das die Firewallrichtlinie gilt.

    • Die VM-Netzwerkschnittstelle befindet sich in einem VPC-Netzwerk, das über VPC-Netzwerk-Peering mit dem VPC-Netzwerk verbunden ist, für das die Firewallrichtlinie gilt.

    • Das VPC-Netzwerk, das von der VM-Netzwerkschnittstelle verwendet wird, und das VPC-Netzwerk, für das die Firewallrichtlinie gilt, sind beide VPC-Spokes im selben Network Connectivity Center-Hub.

Weitere Informationen zu sicheren Tags für Firewalls finden Sie unter Spezifikationen.

Quellen für Regeln für ausgehenden Traffic

Sie können die folgenden Quellen für Regeln für ausgehenden Traffic sowohl in hierarchischen Firewallrichtlinien als auch in Netzwerk-Firewallrichtlinien verwenden:

  • Standard – durch Ziel impliziert: Wenn Sie den Quellparameter in einer Regel für ausgehenden Traffic weglassen, werden die Paketquellen implizit wie in Ziele und IP-Adressen für Regeln für ausgehenden Traffic beschrieben definiert.

  • IPv4-Quelladressbereiche: Eine Liste von IPv4-Adressen im CIDR-Format.

  • IPv6-Quelladressbereiche: Eine Liste von IPv6-Adressen im CIDR-Format.

Befolgen Sie diese Richtlinien, um Quell-IP-Adressbereiche für Regeln für ausgehenden Traffic hinzuzufügen:

  • Wenn einer VM-Netzwerkschnittstelle eine externe IPv4-Adresse zugewiesen ist oder wenn sie keine externe IPv4-Adresse hat, aber ein Cloud NAT-Gateway verwendet, erfolgt die Prüfung der Firewall für ausgehenden Traffic, bevor Google Cloud die Quelle des ausgehenden Pakets von einer internen IPv4-Adresse in eine externe IPv4-Adresse ändert. Wenn Sie eine Firewallregel für ausgehenden Traffic anwenden möchten, müssen Sie entweder den Parameter Quelle weglassen oder die interne IPv4-Adresse der VM-Netzwerkschnittstelle in den Parameter Quelle aufnehmen.

  • Wenn Sie in der Regel für ausgehenden Traffic einen Quell-IP-Adressbereich und Zielparameter haben, werden die Zielparameter in dieselbe IP-Version aufgelöst wie die Quell-IP-Version.

Ziele

Die Werte der Zielparameter hängen von der Richtung der Firewallregel ab.

Ziele für Regeln für eingehenden Traffic

Sie können die folgenden Ziele für Firewallregeln für eingehenden Traffic sowohl in hierarchischen als auch in Netzwerk-Firewallrichtlinien verwenden:

  • Standard – durch Ziel impliziert: Wenn Sie den Zielparameter in einer Regel für eingehenden Traffic weglassen, werden die Paketziele implizit definiert, wie unter Ziele und IP-Adressen für Regeln für eingehenden Traffic beschrieben.

  • IPv4-Zieladressbereiche: Eine Liste von IPv4-Adressbereichen im CIDR-Format. Sie können diesen Parameter nicht verwenden, wenn Sie den Targeting-Typ der Firewallregel auf INTERNAL_MANAGED_LB festlegen.

  • IPv6-Zieladressbereiche: Eine Liste von IPv6-Adressbereichen im CIDR-Format. Sie können diesen Parameter nicht verwenden, wenn Sie den Targeting-Typ der Firewallregel auf INTERNAL_MANAGED_LB festlegen.

Befolgen Sie diese Richtlinien, um Ziel-IP-Adressbereiche für Regeln für eingehenden Traffic hinzuzufügen:

  • Wenn einer VM-Netzwerkschnittstelle eine externe IPv4-Adresse zugewiesen ist oder wenn sie keine externe IPv4-Adresse hat, aber ein Cloud NAT-Gateway verwendet, erfolgt die Auswertung der Firewall für eingehenden Traffic, nachdem Google Cloud das Ziel des eingehenden Pakets von einer externen IPv4-Adresse in eine interne IPv4-Adresse geändert hat. Wenn Sie eine Firewallregel für eingehenden Traffic anwenden möchten, müssen Sie entweder den Parameter Ziel weglassen oder die interne IPv4-Adresse der VM-Netzwerkschnittstelle in den Parameter Ziel aufnehmen.

  • Wenn Sie sowohl Quell- als auch Zielparameter in einer Regel für eingehenden Traffic definiert haben, werden die Quellparameter in dieselbe IP-Version wie die Ziel-IP-Version aufgelöst. Weitere Informationen zum Definieren einer Quelle für Regeln für eingehenden Traffic finden Sie unter Quellen für Regeln für eingehenden Traffic in hierarchischen Firewallrichtlinien und Quellen für Regeln für eingehenden Traffic in Netzwerk-Firewallrichtlinien.

    Beispiel: In einer Regel für eingehenden Traffic haben Sie im Zielparameter einen IPv6-Adressbereich und im Quellparameter einen Ländercode für die Standortbestimmung. Während der Regelerzwingung wird für den angegebenen Ländercode nur die zugeordnete IPv6-Adresse verwendet.

Ziele für Regeln für ausgehenden Traffic

In dieser Tabelle sind die Zielparameter für Regeln für ausgehenden Traffic, die Firewallrichtlinien, die die einzelnen Parameter unterstützen, und die Regelzieltypen aufgeführt, die mit den einzelnen Parametern kompatibel sind. Sie müssen mindestens einen Zielparameter angeben. Das Häkchen gibt an, dass der Parameter unterstützt wird, und das Symbol , dass der Parameter nicht unterstützt wird.

Zielparameter für Regeln für ausgehenden Traffic Unterstützung von Firewallrichtlinien Unterstützung für Targeting-Typen von Regeln
Hierarchisch Globales Netzwerk Regionales Netzwerk INSTANCES INTERNAL_MANAGED_LB
IP-Adressbereiche des Ziels

Eine Liste mit IPv4-Adressen im CIDR-Format oder IPv6-Adressen im CIDR-Format. Die Liste wird in der Firewallrichtlinienregel selbst gespeichert.
Zieladressgruppen

Wiederverwendbare Sammlungen von IPv4-Adressen im CIDR-Format oder IPv6-Adressen im CIDR-Format. Die Firewallrichtlinienregel verweist auf die Sammlung. Weitere Informationen finden Sie unter Adressgruppen für Firewallrichtlinien.
Geografische Zielorte

Eine Liste mit einem oder mehreren geografischen Standorten, die als Ländercodes mit zwei Buchstaben oder Regionscodes angegeben sind. Weitere Informationen finden Sie unter Standortobjekte.
Google Threat Intelligence-Ziellisten

Eine Liste mit einem oder mehreren vordefinierten Google Threat Intelligence-Listennamen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.
Zielnetzwerkkontext

Eine Einschränkung, die eine Sicherheitsgrenze definiert.
Zielkombinationen für Regeln für ausgehenden Traffic

In einer einzelnen Regel für ausgehenden Traffic können Sie zwei oder mehr Zielparameter verwenden, um eine Zielkombination zu erstellen. Cloud NGFW erzwingt die folgenden Einschränkungen für Zielkombinationen jeder Regel für ausgehenden Traffic:

  • Ziel-IP-Adressbereiche müssen entweder IPv4- oder IPv6-CIDRs enthalten, keine Kombination aus beiden.
  • Sie können eine Zieladressgruppe, die IPv4-CIDRs enthält, nicht mit einer Zieladressgruppe verwenden, die IPv6-CIDRs enthält.
  • Sie können keinen Ziel-IP-Adressbereich, der IPv4-CIDRs enthält, mit einer Zieladressgruppe verwenden, die IPv6-CIDRs enthält.
  • Sie können keinen Ziel-IP-Adressbereich, der IPv6-CIDRs enthält, mit einer Zieladressgruppe verwenden, die IPv4-CIDRs enthält.
  • Sie können keine Google Threat Intelligence-Listen für Ziele oder -Geostandorte für Ziele mit dem Zielkontext „Nicht-Internet-Netzwerk“ verwenden.

Die Cloud NGFW wendet die folgende Logik an, um die Pakete mit einer Regel für ausgehenden Traffic abzugleichen, die eine Zielkombination verwendet:

  • Wenn die Zielkombination keinen Zielnetzwerkkontext enthält, entsprechen Pakete der Regel für ausgehenden Traffic, wenn sie mit mindestens einem Zielparameter in der Zielkombination übereinstimmen.

  • Wenn die Zielkombination einen Zielnetzwerkkontext enthält, entsprechen Pakete der Regel für ausgehenden Traffic, wenn sie mit dem Zielnetzwerkkontext und mindestens einem der anderen Zielparameter in der Zielkombination übereinstimmen.

Nächste Schritte