Componentes de las reglas de las políticas de firewall

En este documento, se describen los componentes de una regla de política de firewall que configuras en una política de firewall jerárquica, global o regional que se aplica a una red de nube privada virtual (VPC) normal. Estos componentes incluyen la dirección, el origen, el destino y las características de la capa 4, como el protocolo y el puerto de destino (si el protocolo usa puertos).

Las reglas de las políticas de firewall en Google Cloud te permiten controlar el tráfico para mejorar la seguridad y la eficiencia operativa. Cuando creas una regla de política de firewall, especificas los componentes que definen lo que hace la regla. Cada regla de política de firewall se aplica a las conexiones entrantes (entrada) o salientes (salida), pero no a ambas.

Para los perfiles de red especializados y de alto rendimiento, como el acceso remoto directo a memoria (RDMA) sobre Ethernet convergente (RoCE), las capacidades y los parámetros de configuración de las reglas de políticas de firewall difieren de las redes normales. Para obtener detalles sobre las reglas de firewall para los perfiles de red de RDMA, consulta Cloud NGFW para redes de VPC de RoCE.

Este documento está dirigido a administradores de red y a ingenieros de seguridad que configuran y administran reglas de políticas de firewall.

Prioridad

Cada regla en una política de firewall debe tener una prioridad única.

Ten en cuenta los siguientes lineamientos cuando asignes una prioridad a una regla de política de firewall:

  • La prioridad es un número entero del 0 al 2,147,483,547, ambos incluidos.
  • En una política de firewall, cada regla debe tener un número de prioridad único. Las reglas de las políticas de firewall no tienen nombres.
  • El número de prioridad 0 es la prioridad más alta y 2,147,483,547 es la más baja. La prioridad disminuye a medida que aumenta el número. En una política de firewall, si un paquete coincide con varias reglas, solo se aplica la regla coincidente con la prioridad más alta.

Considera el siguiente ejemplo en el que existen dos reglas de política de firewall en una política de firewall de red global asociada con tu red de VPC:

  • Una regla de entrada de orígenes 0.0.0.0/0 (cualquier dirección IPv4) aplicable a todos los destinos, protocolos y puertos, con una acción deny y una prioridad de 1000.

  • Una regla de entrada de orígenes 0.0.0.0/0 (cualquier dirección IPv4) aplicable a objetivos específicos con la etiqueta segura tagKeys/123/tagValues/456 (clave de etiqueta shortName role y valor de etiqueta webserver), para el tráfico en TCP 80, con una acción allow.

La prioridad de la segunda regla determina si se permite el tráfico de TCP en el puerto 80 para los objetivos webserver:

  • Si la prioridad de la segunda regla es un número mayor que 1000, tiene una prioridad más baja, por lo que se aplica la primera regla que rechaza todo el tráfico.

  • Si la prioridad de la segunda regla se establece en un número menor que 1000, tiene una prioridad más alta. Un paquete que llega para el webserver en TCP 80 coincide primero con la segunda regla. Se permite el tráfico y el firewall deja de buscar otras reglas. La primera regla nunca se verifica para este paquete específico.

En el ejemplo anterior, se demuestra cómo puedes usar las prioridades para crear reglas allow selectivas y reglas deny globales a fin de implementar una práctica recomendada de seguridad de privilegio mínimo.

Acción en caso de coincidencia

Una regla en una política de firewall puede tener una de las siguientes acciones:

Parámetro de acción Descripción
allow

Permite paquetes para una conexión nueva. Detiene la evaluación de las reglas en la política de firewall que contiene la regla coincidente. No evalúa ninguna otra regla de firewall.

Independientemente de la dirección de la regla, si el protocolo del paquete y el tipo de política de firewall admiten el seguimiento de conexiones, una regla de permiso crea una entrada en la tabla de seguimiento de conexiones del firewall que permite los paquetes de entrada y salida.
deny

No permite paquetes para una conexión nueva. Detiene la evaluación de las reglas en la política de firewall que contiene la regla coincidente. No evalúa ninguna otra regla de firewall.

Cloud NGFW siempre verifica si hay una entrada en la tabla de seguimiento de conexiones del firewall antes de evaluar las reglas de firewall. Por lo tanto, si una regla de permiso creó una entrada de tabla de seguimiento de conexiones, esa entrada de tabla de seguimiento de conexiones tiene prioridad.
apply_security_profile_group

Intercepta paquetes para una conexión nueva y los envía a un extremo de firewall o a un grupo de extremos de intercepción. Detiene la evaluación de las reglas en la política de firewall que contiene la regla coincidente. No evalúa ninguna otra regla de firewall.

Independientemente de la dirección de la regla, si el protocolo del paquete y el tipo de política de firewall admiten el seguimiento de conexiones, una regla con la acción apply_security_profile_group crea una entrada de tabla de seguimiento de conexiones de firewall para que el extremo de firewall o el grupo de extremos de intercepción intercepten los paquetes de entrada y salida.

No puedes usar la acción apply_security_profile_group en las políticas de firewall de red regionales ni en las políticas de firewall del sistema regionales.

La acción apply_security_profile_group tiene algunos requisitos especiales según el tipo de destino de la regla. Para obtener más información, consulta Destinos.
goto_next

Detiene la evaluación de otras reglas en la política de firewall y evalúa las reglas en el siguiente paso del orden de evaluación de reglas y políticas de firewall.

El siguiente paso del orden de evaluación de reglas y políticas de firewall podría ser la evaluación de reglas en otra política de firewall o las reglas de firewall implícitas.

Aplicación

Puedes cambiar si una regla de política de firewall se aplica configurando su estado como habilitada o inhabilitada. Establece el estado de aplicación cuando creas una regla o cuando actualizas una regla.

Si no configuras un estado de aplicación cuando creas una regla de firewall nueva, la regla de firewall se habilita de forma automática.

Protocolos y puertos

Una regla de política de firewall almacena restricciones de protocolo y puerto en su lista de parámetros de configuración de capa 4. Si omites la información de configuración de la capa 4, la regla de política de firewall se aplica a todos los protocolos y todos los puertos de destino.

Cada configuración de capa 4 de la lista puede especificar una de las siguientes opciones:

  • Un nombre de protocolo IP, como tcp, o un número de protocolo IP de IANA, como 17, sin ningún puerto de destino:

    • Puedes usar los siguientes nombres de protocolo IP: tcp, udp, icmp (para ICMP de IPv4), esp, ah, sctp y ipip.
    • Para todos los demás protocolos, usa un número de protocolo de IANA. La mayoría de los protocolos usan el mismo nombre y número en IPv4 y en IPv6, pero algunos protocolos, como ICMP, no. Para especificar ICMP de IPv4, usa icmp o el número de protocolo 1. Para especificar ICMP de IPv6, usa el número de protocolo 58. Las reglas de política de firewall no admiten el protocolo IPv6 de salto por salto.

  • Una combinación de un nombre de protocolo IP válido y la información del puerto de destino:

    • Los protocolos IP válidos son aquellos que usan puertos de destino, como tcp y udp.
    • Para especificar los puertos de destino, debes incluir un solo nombre de protocolo. Puedes especificar un nombre de protocolo con un solo número de puerto de destino o un rango de puertos de destino.

Los parámetros de configuración de la capa 4 no admiten lo siguiente:

  • Información del puerto de origen para los protocolos que usan puertos de origen, como tcp y udp

  • Tipos y códigos de ICMP

Cuando configuras el tipo de segmentación de una política de firewall como INTERNAL_MANAGED_LB, se aplican las siguientes restricciones adicionales:

  • Solo debes especificar el protocolo TCP (tcp o el número de protocolo IP de IANA 6).
  • Debes omitir la información del puerto de destino, ya que la regla de reenvío del balanceador de cargas define el puerto de destino.

Logging

El registro de las reglas de políticas de firewall funciona igual que el registro de reglas de firewall de VPC, excepto por las siguientes diferencias:

  • El campo de referencia incluye el ID de la política de firewall y un número que indica el nivel del recurso al que se adjunta la política. Por ejemplo, 0 significa que la política se aplica a una organización, y 1 significa que la política se aplica a una carpeta de nivel superior en la organización.

  • Los registros de las reglas de políticas de firewall incluyen un campo target_resource que identifica las redes de VPC a las que se aplica la regla.

  • El registro solo se puede habilitar para las reglas allow, deny y apply_security_profile_group. No se puede habilitar en reglas goto_next.

  • Cuando habilitas el registro para una regla que usa la acción apply_security_profile_group, Cloud NGFW genera una sola entrada de registro cuando intercepta una sesión de tráfico y redirecciona el tráfico al extremo de firewall para la inspección profunda de paquetes. Esta entrada de registro confirma que la regla de firewall coincidió con el tráfico y lo redireccionó correctamente al extremo de firewall. Para obtener más información, consulta la Descripción general del registro de reglas de políticas de firewall.

  • El extremo de firewall realiza una inspección profunda de paquetes, como el servicio de detección y prevención de intrusiones y el servicio de filtrado de URLs, y genera su propio conjunto de registros. Estos registros proporcionan información detallada sobre las conexiones dentro de la sesión interceptada, con una lista de las amenazas o acciones de filtrado de URLs detectadas. Estos registros de inspección profunda de paquetes pueden generar varias entradas de registro por sesión.

Objetivo, origen y destino

Los parámetros de objetivo, origen y destino funcionan juntos para determinar el alcance de una regla de firewall.

  • Parámetros de destino: identifican los recursos a los que se aplica la regla de firewall.

  • Parámetros de origen y destino: Definen los criterios de tráfico. Puedes especificar ambos para las reglas de entrada y salida. Las opciones válidas para los parámetros de origen y destino dependen de los parámetros de destino y de la dirección de la regla de firewall.

Destinos

El parámetro tipo de destino y uno o más parámetros de destino definen los destinos de una regla de firewall. Estos destinos de una regla de firewall son los recursos que protege la regla de firewall.

  • Si se omite el tipo de destino o se establece en INSTANCES, la regla de firewall se aplica a las interfaces de red de las instancias de Compute Engine, incluidos los nodos de Google Kubernetes Engine (GKE) y las instancias del entorno flexible de App Engine. Se admiten las reglas de entrada y salida.

    Para especificar a qué interfaces de red de VM se aplica la regla de firewall, usa los parámetros de destino:

  • Si configuras el tipo de destino como INTERNAL_MANAGED_LB, la regla de firewall se aplica a los proxies de Envoy administrados que controlan el tráfico de los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red del proxy interno.

    • Si omites el parámetro reglas de reenvío de destino, la regla de firewall se aplica a los destinos de balanceador de cargas más amplios.

    • Para restringir la regla de firewall a un solo balanceador de cargas, usa el parámetro de reglas de reenvío de destino. No puedes usar otros parámetros de destino específicos, como etiquetas seguras o cuentas de servicio. Para obtener más información, consulta Destinos específicos y Formato de las reglas de reenvío de destino.

      Si una regla de una política de firewall de red global tiene su tipo de destino establecido en INTERNAL_MANAGED_LB y su acción establecida en apply_security_profile_group, debes usar el parámetro de reglas de reenvío de destino para restringir la regla a un solo balanceador de cargas de aplicaciones interno entre regiones.

    • Las reglas de firewall con el tipo de segmentación establecido en INTERNAL_MANAGED_LB tienen las siguientes restricciones:

      • La regla debe ser una regla de entrada.

      • Debes omitir el parámetro de destino de la regla, ya que la regla de reenvío del balanceador de cargas define la dirección IP de destino.

      • En la configuración de la capa 4 de la regla, debes especificar solo el protocolo TCP (tcp o el número de protocolo IP de IANA 6). Debes omitir los puertos de destino porque la regla de reenvío del balanceador de cargas define el puerto de destino.

      • Puedes borrar una regla de reenvío del balanceador de cargas de aplicaciones interno o del balanceador de cargas de red del proxy interno sin quitar la regla de firewall que la orienta. Las reglas de reenvío de destino están vinculadas a la regla de firewall por su ID, no por su nombre. Si creas una regla de reenvío nueva con el mismo nombre, la regla de firewall no se vuelve a vincular de forma automática a la regla de reenvío nueva. Para volver a aplicar la regla de firewall, debes actualizarla de modo que haga referencia a la nueva regla de reenvío.

Objetivos de instancias más amplios

Los objetivos de instancia más amplios dependen del tipo de política de firewall:

  • Objetivos de instancia más amplios para una regla en una política de firewall jerárquica: todas las interfaces de red de VM en una subred en cualquier región de cualquier red de VPC que se encuentre en un proyecto en el nodo de Resource Manager (organización o carpeta) asociado con la política de firewall jerárquica.

  • Objetivos de instancia más amplios para una regla en una política de firewall de red global: todas las interfaces de red de VM en una subred en cualquier región de la red de VPC asociada con la política de firewall de red global.

  • Objetivos de instancia más amplios para una regla en la política de firewall de red regional: todas las interfaces de red de VM en una subred dentro de la región y la red de VPC que están asociadas con la política de firewall de red regional.

Destinos de balanceador de cargas más amplios

Los destinos más amplios del balanceador de cargas dependen de los siguientes tipos de políticas de firewall:

  • Destinos de balanceador de cargas más amplios para una regla en una política de firewall de red global: todas las reglas de reenvío para los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red de proxy internos en una subred de cualquier región de la red de VPC que esté asociada con la política de firewall de red global.

  • Destinos de balanceador de cargas más amplios para una regla en una política de firewall de red regional: todas las reglas de reenvío para los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red de proxy internos en una subred dentro de la región y la red de VPC que está asociada con la política de firewall de red regional.

Segmentaciones específicas

En la siguiente tabla, se enumeran los parámetros de destino, las políticas de firewall que admiten reglas con cada parámetro y los tipos de destino de regla admitidos. Si no especificas un parámetro de destino, la regla usa los destinos de instancia más amplios o los destinos de balanceador de cargas más amplios, según el tipo de destino de la regla. La marca de verificación indica que se admite el parámetro, y el símbolo indica que no se admite.

Parámetro de destino Compatibilidad con políticas de firewall Compatibilidad con los tipos de segmentación de reglas
Jerárquicas Red global Red regional INSTANCES INTERNAL_MANAGED_LB
Recursos de red de VPC de destino

Es una lista de una o más redes de VPC especificadas con el parámetro target-resources. Esta lista limita los objetivos de instancia más amplios a las interfaces de red de VM que se encuentran en al menos una de las redes de VPC especificadas.
Cuentas de servicio de destino

Una lista de una o más cuentas de servicio especificadas con el parámetro target-service-accounts. Esta lista limita los destinos de instancia más amplios a las interfaces de red de VM que pertenecen a las instancias de VM asociadas con al menos una de las cuentas de servicio especificadas.
Orienta los valores de etiquetas seguras desde una clave de etiqueta con datos de propósito de red

Es una regla que usa el parámetro target-secure-tags que contiene una lista de uno o más valores de etiqueta de una clave de etiqueta cuyo purpose-data especifica una sola red de VPC.

Esta lista restringe los destinos de instancia más amplios a las interfaces de red de la VM que cumplen con ambos de los siguientes criterios:

  • La interfaz está en la red de VPC que coincide con el purpose-data de la clave de etiqueta.
  • La interfaz pertenece a una VM que está vinculada al valor de la etiqueta.

Para obtener más información, consulta Etiquetas seguras para firewalls.
Orienta los valores de etiquetas seguras desde una clave de etiqueta con datos de propósito de la organización

Es una regla que usa el parámetro target-secure-tags que contiene una lista de uno o más valores de etiqueta de una clave de etiqueta cuyo purpose-data es organization=auto.

Esta lista restringe los destinos de instancia más amplios a las interfaces de red de la VM que cumplen con ambos de los siguientes criterios:

  • La interfaz se encuentra en cualquier red de VPC de la organización.
  • La interfaz pertenece a una VM que está vinculada al valor de la etiqueta.

Para obtener más información, consulta Etiquetas seguras para firewalls.
Reglas de reenvío de destino

Una sola regla de reenvío para un balanceador de cargas de aplicaciones interno o un balanceador de cargas de red del proxy interno especificado en el formato de reglas de reenvío de destino. Este parámetro restringe los destinos más amplios del balanceador de cargas a un balanceador de cargas de aplicaciones interno o un balanceador de cargas de red de proxy interno específicos.

Combinaciones de segmentación específicas

Las reglas que admiten el parámetro target-resources pueden combinarlo con otro parámetro de segmentación para crear una combinación de parámetros de segmentación. En la siguiente tabla, se enumeran las combinaciones de parámetros de destino admitidas, las políticas de firewall que admiten reglas con cada parámetro y los tipos de destino de regla admitidos. Si no especificas un parámetro de destino, la regla usa los destinos de instancia más amplios o los destinos de balanceador de cargas más amplios, según el tipo de destino de la regla.

La marca de verificación indica que el parámetro es compatible, y el símbolo indica que el parámetro no es compatible.

Combinación de parámetros de destino Compatibilidad con políticas de firewall Compatibilidad con los tipos de segmentación de reglas
Jerárquicas Red global Red regional INSTANCES INTERNAL_MANAGED_LB
Combinación de recursos de red de VPC de destino y cuentas de servicio de destino

Una regla que usa los parámetros target-resources y target-service-accounts.

Esta combinación limita los objetivos de instancia más amplios a las interfaces de red de VM que cumplen con ambos de los siguientes criterios:

  • La interfaz se encuentra en al menos una de las redes de VPC especificadas en target-resources.
  • La interfaz pertenece a una instancia de VM que está asociada con al menos una de las cuentas de servicio especificadas.
Combinación de recursos de red de VPC de destino y valores de etiquetas seguras de destino

Una regla que usa los parámetros target-resources y target-secure-tags. Los valores de etiqueta deben provenir de una clave de etiqueta cuyo purpose-data sea organization=auto.

Esta combinación limita los objetivos de instancia más amplios a las interfaces de red de VM que cumplen con ambos de los siguientes criterios:

  • La interfaz se encuentra en al menos una de las redes de VPC especificadas en target-resources.
  • La interfaz pertenece a una VM que está vinculada al valor de la etiqueta.

Formato de las reglas de reenvío de destino

Cuando configuras el tipo de destino de una regla de firewall como INTERNAL_MANAGED_LB, el parámetro target-forwarding-rules acepta valores en los siguientes formatos:

  • Para balanceadores de cargas de aplicaciones internos regionales y balanceadores de cargas de red del proxy internos regionales:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • Para los balanceadores de cargas de aplicaciones internos entre regiones y los balanceadores de cargas de red de proxy internos entre regiones, haz lo siguiente:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

Objetivos y direcciones IP para reglas de entrada

Cuando se omite el tipo de destino de una regla de firewall o se establece en INSTANCES, la regla se aplica a los paquetes que se enrutan a las interfaces de red de las VMs de destino.

  • Si la regla de firewall de entrada incluye un rango de direcciones IP de destino, el destino del paquete debe ajustarse a uno de los rangos de direcciones IP de destino definidos de forma explícita.

  • Si la regla de firewall de entrada no incluye un rango de direcciones IP de destino, el destino del paquete debe coincidir con una de las siguientes direcciones IP de cada VM de destino:

    • La dirección IPv4 interna principal que se asigna a la NIC de la instancia.

    • Cualquier rango de direcciones IP que se configura en la NIC de la instancia.

    • La dirección IPv4 externa que está asociada a la NIC de la instancia.

    • Si se configura IPv6 en la subred, cualquiera de las direcciones IPv6 asignadas a la NIC.

    • Una dirección IP interna o externa asociada con una regla de reenvío que se usa para el balanceo de cargas de transferencia, en la que la instancia es un backend de un balanceador de cargas de red de transferencia interno o un balanceador de cargas de red de transferencia externo.

    • Una dirección IP interna o externa asociada con una regla de reenvío que se usa para el reenvío de protocolos, en la que una instancia de destino hace referencia a la instancia.

    • Una dirección IP dentro del rango de destino de una ruta estática personalizada que usa la instancia (next-hop-instance o next-hop-address) como una VM de próximo salto.

    • Una dirección IP dentro del rango de destino de una ruta estática personalizada que usa un balanceador de cargas de red de transferencia interno (next-hop-ilb) como próximo salto si la VM es un backend para ese balanceador de cargas.

Si configuras el tipo de destino de una regla de firewall como INTERNAL_MANAGED_LB, debes omitir el parámetro de destino. La regla de reenvío del balanceador de cargas de aplicaciones interno o del balanceador de cargas de red del proxy interno define la dirección IP de destino.

Objetivos y direcciones IP para reglas de salida

Cuando se omite el tipo de destino de una regla de firewall o se establece en INSTANCES, la regla se aplica a los paquetes que emiten las interfaces de red de las VMs de destino.

  • Si la VM de destino tiene inhabilitado el reenvío de IP (predeterminado), solo puede emitir paquetes con los siguientes orígenes:

    • La dirección IPv4 interna principal de la NIC de una instancia.

    • Cualquier rango de direcciones IP que se configura en la NIC de una instancia.

    • Si se configura IPv6 en la subred, cualquiera de las direcciones IPv6 asignadas a la NIC.

    • Una dirección IP interna o externa asociada con una regla de reenvío, para el balanceo de cargas de transferencia o el reenvío de protocolos. Esto es válido si la instancia es un backend de un balanceador de cargas de red de transferencia interno o un balanceador de cargas de red de transferencia externo, o si una instancia de destino hace referencia a ella.

    Si la regla de firewall de salida incluye rangos de direcciones IP de origen, las VMs de destino aún están limitadas a las direcciones IP de origen mencionadas antes, pero se puede usar un parámetro de origen para definir mejor los orígenes. El uso de un parámetro de origen sin habilitar el reenvío de IP nunca expande el conjunto de direcciones de origen de paquetes posibles.

    Si la regla de firewall de salida no incluye un rango de direcciones IP de origen, se permiten todas las direcciones IP de origen mencionadas antes.

  • Si la VM de destino tiene habilitado el reenvío de IP, puede emitir paquetes con direcciones de origen arbitrarias. Puedes usar el parámetro de origen para definir con mayor precisión el conjunto de orígenes de paquetes permitidos.

Fuentes

Los valores del parámetro de origen dependen de la dirección de la regla de firewall.

Orígenes para reglas de entrada

En esta tabla, se enumeran los parámetros de origen para las reglas de entrada, las políticas de firewall que admiten cada parámetro y los tipos de destino de regla que son compatibles con cada parámetro. Debes especificar al menos un parámetro de fuente. La marca de verificación indica que se admite el parámetro, y el símbolo indica que no se admite.

Parámetro de origen de la regla de entrada Compatibilidad con políticas de firewall Compatibilidad con los tipos de segmentación de reglas
Jerárquicas Red global Red regional INSTANCES INTERNAL_MANAGED_LB
Rangos de direcciones IP de origen

Es una lista que consta de direcciones IPv4 en formato CIDR o direcciones IPv6 en formato CIDR. La lista se almacena dentro de la regla de política de firewall.
Grupos de direcciones de origen

Colecciones reutilizables de direcciones IPv4 en formato CIDR o direcciones IPv6 en formato CIDR. La regla de firewall hace referencia a la colección. Para obtener más información, consulta Grupos de direcciones para políticas de firewall.
Obtén valores de etiquetas seguras de origen de una clave de etiqueta con datos de propósito de red

Es una lista de uno o más valores de etiqueta de una clave de etiqueta cuyos datos de propósito especifican una sola red de VPC. Para obtener más información, consulta Etiquetas seguras para firewalls y Cómo las etiquetas seguras de origen implican los orígenes de los paquetes.
Obtén valores de etiquetas seguras de una clave de etiqueta con datos de propósito de la organización

Es una lista de uno o más valores de etiqueta de una clave de etiqueta cuyos datos de propósito son organization=auto. Para obtener más información, consulta Etiquetas seguras para firewalls y Cómo las etiquetas seguras de origen implican los orígenes de los paquetes.
Ubicaciones geográficas de origen

Es una lista de una o más ubicaciones geográficas de origen especificadas como códigos de país o región de dos letras. Para obtener más información, consulta Objetos de ubicación geográfica.
Listas de origen de Google Threat Intelligence

Es una lista de uno o más nombres predefinidos de listas de Google Threat Intelligence. Para obtener más información, consulta Google Threat Intelligence para reglas de políticas de firewall.
Contexto de la red de origen

Una restricción que define un límite de seguridad. Los valores válidos dependen del tipo de destino de la regla. Para obtener más información, consulta Contextos de red.
Combinaciones de fuentes de reglas de entrada

En una sola regla de entrada, puedes usar dos o más parámetros de origen para producir una combinación de origen. Cloud NGFW aplica las siguientes restricciones a las combinaciones de origen de cada regla de entrada:

  • Los rangos de direcciones IP de origen deben contener CIDR IPv4 o IPv6, no una combinación de ambos.
  • No se puede usar un grupo de direcciones de origen que contenga CIDR de IPv4 con un grupo de direcciones de origen que contenga CIDR de IPv6.
  • No se puede usar un rango de direcciones IP de origen que contenga CIDR de IPv4 con un grupo de direcciones de origen que contenga CIDR de IPv6.
  • No se puede usar un rango de direcciones IP de origen que contenga CIDR de IPv6 con un grupo de direcciones de origen que contenga CIDR de IPv4.
  • El contexto de red de Internet no se puede usar con las etiquetas de red de origen.
  • El contexto fuera de Internet, el contexto de redes de VPC y el contexto entre VPC no se pueden usar con las listas de Google Threat Intelligence de origen de ni con las ubicaciones geográficas de origen de .

Cloud NGFW aplica la siguiente lógica para hacer coincidir los paquetes con una regla de entrada que usa una combinación de origen:

  • Si la combinación de origen no incluye un contexto de red de origen, los paquetes coinciden con la regla de entrada si coinciden con al menos un parámetro de origen en la combinación de origen.

  • Si la combinación de fuentes incluye un contexto de red de origen, los paquetes coinciden con la regla de entrada si coinciden con el contexto de red de origen y al menos uno de los otros parámetros de origen en la combinación de fuentes.

Cómo las etiquetas seguras de origen implican los orígenes de los paquetes

Una regla de firewall de entrada puede usar valores de etiqueta segura de origen cuando se omite su tipo de destino o se establece en INSTANCES. Los valores de las etiquetas seguras identifican las interfaces de red, no las características de los paquetes, como las direcciones IP.

Los paquetes enviados desde una interfaz de red de una instancia de VM coinciden con una regla de entrada que usa un valor de etiqueta segura de origen según las siguientes reglas:

  • Si la regla de entrada está en una política de red regional, la instancia de VM debe estar ubicada en una zona de la misma región que la política de firewall de red regional. De lo contrario, la instancia de VM puede estar ubicada en cualquier zona.

  • La instancia de VM debe estar asociada con el mismo valor de etiqueta segura que se usa como etiqueta segura de origen en una regla de firewall de entrada.

  • El valor de la etiqueta segura asociado con la instancia de VM y que usa la regla de firewall de entrada debe provenir de una clave de etiqueta cuyo atributo purpose-data identifique al menos una red de VPC que contenga una interfaz de red de la instancia de VM:

    • Si los datos de propósito de la clave de etiqueta especifican una sola red de VPC, las reglas de firewall de entrada que usan el valor de la etiqueta de seguridad de origen se aplican a las interfaces de red de la instancia de VM que se encuentran en esa red de VPC.

    • Si los datos de propósito de la clave de etiqueta especifican la organización, las reglas de firewall de entrada que usan el valor de la etiqueta segura de origen se aplican a las interfaces de red de la instancia de VM que se encuentran en cualquier red de VPC de la organización.

  • La interfaz de red de la VM identificada debe cumplir con uno de los siguientes criterios:

    • La interfaz de red de la VM se encuentra en la misma red de VPC que la red de VPC a la que se aplica la política de firewall.

    • La interfaz de red de la VM está en una red de VPC que está conectada, con el intercambio de tráfico entre redes de VPC, a la red de VPC a la que se aplica la política de firewall.

    • La red de VPC que usa la interfaz de red de la VM y la red de VPC a la que se aplica la política de firewall son radios de VPC en el mismo concentrador de Network Connectivity Center.

Para obtener más información sobre las etiquetas seguras para firewalls, consulta Especificaciones.

Orígenes para las reglas de salida

Puedes usar los siguientes orígenes para reglas de salida en las políticas de firewall jerárquicas y en las políticas de firewall de red:

  • Predeterminado: implicado por el destino: Si omites el parámetro de origen de una regla de salida, las fuentes de paquetes se definen de forma implícita como se describe en Destinos y direcciones IP para reglas de salida.

  • Rangos de direcciones IPv4 de origen: Es una lista de direcciones IPv4 en formato CIDR.

  • Rangos de direcciones IPv6 de origen: Es una lista de direcciones IPv6 en formato CIDR.

Sigue estos lineamientos a fin de agregar rangos de direcciones IP de origen para reglas de salida:

  • Si a una interfaz de red de VM se le asigna una dirección IPv4 externa o si no tiene una dirección IPv4 externa, pero usa una puerta de enlace de Cloud NAT, la evaluación del firewall de salida se produce antes de que Google Cloud cambie el origen del paquete saliente de una dirección IPv4 interna a una dirección IPv4 externa. Para aplicar una regla de firewall de salida, debes omitir el parámetro Origen o incluir la dirección IPv4 interna de la interfaz de red de la VM en el parámetro Origen.

  • Si tienes un rango de direcciones IP de origen y parámetros de destino en la regla de salida, los parámetros de destino se resuelven en la misma versión de IP que la versión de IP de origen.

Destinos

Los valores del parámetro de destino dependen de la dirección de la regla de firewall.

Destinos para las reglas de entrada

Puedes usar los siguientes destinos para las reglas de firewall de entrada en las políticas jerárquicas y de firewall de red:

  • Predeterminado: implicado por el objetivo: Si omites el parámetro de destino de una regla de entrada, los destinos del paquete se definen de forma implícita como se describe en Objetivos y direcciones IP para reglas de entrada.

  • Rangos de direcciones IPv4 de destino: Es una lista de direcciones IPv4 en formato CIDR. No puedes usar este parámetro si estableces el tipo de segmentación de la regla de firewall en INTERNAL_MANAGED_LB.

  • Rangos de direcciones IPv6 de destino: una lista de direcciones IPv6 en formato CIDR. No puedes usar este parámetro si estableces el tipo de segmentación de la regla de firewall en INTERNAL_MANAGED_LB.

Sigue estos lineamientos a fin de agregar rangos de direcciones IP de destino para las reglas de entrada:

  • Si a una interfaz de red de VM se le asigna una dirección IPv4 externa o si no tiene una dirección IPv4 externa, pero usa una puerta de enlace de Cloud NAT, la evaluación del firewall de entrada se produce después de que Google Cloud cambia el destino del paquete entrante de una dirección IPv4 externa a una dirección IPv4 interna. Para aplicar una regla de firewall de entrada, debes omitir el parámetro Destino o incluir la dirección IPv4 interna de la interfaz de red de la VM en el parámetro Destino.

  • Si tienes parámetros de origen y destino definidos en una regla de entrada, los parámetros de origen se resuelven en la misma versión de IP que la versión de IP de destino. Para obtener más información sobre cómo definir un origen para las reglas de entrada, consulta Orígenes de las reglas de entrada en las políticas de firewall jerárquicas y Orígenes de las reglas de entrada en las políticas de firewall de red..

    Por ejemplo, en una regla de entrada, tienes un rango de direcciones IPv6 en el parámetro de destino y un código de país de ubicación geográfica en el parámetro de origen. Durante la aplicación de la regla, solo se usa la dirección IPv6 asignada para el código de país de origen especificado.

Destinos para las reglas de salida

En esta tabla, se enumeran los parámetros de destino para las reglas de salida, las políticas de firewall que admiten cada parámetro y los tipos de destino de regla que son compatibles con cada parámetro. Debes especificar al menos un parámetro de destino. La marca de verificación indica que el parámetro es compatible, y el símbolo indica que el parámetro no es compatible.

Parámetro de destino de la regla de salida Compatibilidad con políticas de firewall Compatibilidad con los tipos de segmentación de reglas
Jerárquicas Red global Red regional INSTANCES INTERNAL_MANAGED_LB
Rangos de direcciones IP de destino

Es una lista que consta de direcciones IPv4 en formato CIDR o direcciones IPv6 en formato CIDR. La lista se almacena dentro de la regla de política de firewall.
Grupos de direcciones de destino

Colecciones reutilizables de direcciones IPv4 en formato CIDR o direcciones IPv6 en formato CIDR. La regla de política de firewall hace referencia a la colección. Para obtener más información, consulta Grupos de direcciones para políticas de firewall.
Ubicaciones geográficas de destino

Es una lista de una o más ubicaciones geográficas de origen especificadas como códigos de país o región de dos letras. Para obtener más información, consulta Objetos de ubicación geográfica.
Listas de Google Threat Intelligence de destino

Es una lista de uno o más nombres predefinidos de listas de Google Threat Intelligence. Para obtener más información, consulta Google Threat Intelligence para reglas de políticas de firewall.
Contexto de la red de destino

Una restricción que define un límite de seguridad.
Combinaciones de destinos de reglas de salida

En una sola regla de salida, puedes usar dos o más parámetros de destino para producir una combinación de destinos. Cloud NGFW aplica las siguientes restricciones a las combinaciones de destino de cada regla de salida:

  • Los rangos de direcciones IP de destino deben contener CIDR IPv4 o IPv6, no una combinación de ambos.
  • No puedes usar un grupo de direcciones de destino que contenga CIDR de IPv4 con un grupo de direcciones de destino que contenga CIDR de IPv6.
  • No puedes usar un rango de direcciones IP de destino que contenga CIDR de IPv4 con un grupo de direcciones de destino que contenga CIDR de IPv6.
  • No puedes usar un rango de direcciones IP de destino que contenga CIDR de IPv6 con un grupo de direcciones de destino que contenga CIDR de IPv4.
  • No puedes usar listas de Google Threat Intelligence de destino ni ubicaciones geográficas de destino con un contexto de red que no sea de Internet de destino.

Cloud NGFW aplica la siguiente lógica para hacer coincidir los paquetes con una regla de salida que usa una combinación de destino:

  • Si la combinación de destinos no incluye un contexto de red de destino, los paquetes coinciden con la regla de salida si coinciden con al menos un parámetro de destino en la combinación de destinos.

  • Si la combinación de destinos incluye un contexto de red de destino, los paquetes coinciden con la regla de salida si coinciden con el contexto de red de destino y al menos uno de los otros parámetros de destino en la combinación de destinos.

¿Qué sigue?