Composants des règles de stratégie de pare-feu

Ce document décrit les composants d'une règle de stratégie de pare-feu que vous configurez dans une stratégie de pare-feu hiérarchique, globale ou régionale qui s'applique à un réseau de cloud privé virtuel (VPC) standard. Ces composants incluent la direction, la source, la destination et les caractéristiques de couche 4, telles que le protocole et le port de destination (si le protocole utilise des ports).

Les règles de stratégie de pare-feu dans Google Cloud vous permettent de contrôler le trafic pour améliorer la sécurité et l'efficacité opérationnelle. Lorsque vous créez une règle de stratégie de pare-feu, vous spécifiez les composants qui définissent le rôle de cette règle. Chaque règle de stratégie de pare-feu s'applique soit aux connexions entrantes (entrée), soit aux connexions sortantes (sortie), mais pas aux deux.

Pour les profils réseau spécialisés et hautes performances tels que RDMA (Remote Direct Memory Access) over Converged Ethernet (RoCE), les fonctionnalités et les configurations des règles de stratégie de pare-feu diffèrent de celles des réseaux standards. Pour en savoir plus sur les règles de pare-feu pour les profils réseau RDMA, consultez Cloud NGFW pour les réseaux VPC RoCE.

Ce document est destiné aux administrateurs réseau et aux ingénieurs de sécurité qui configurent et gèrent les règles de stratégie de pare-feu.

Priorité

Chaque règle d'une stratégie de pare-feu doit avoir une priorité unique.

Tenez compte des consignes suivantes lorsque vous attribuez une priorité à une règle de stratégie de pare-feu :

  • La priorité est un entier compris entre 0 et 2,147,483,547 (inclus).
  • Dans une stratégie de pare-feu, chaque règle doit avoir un numéro de priorité unique. Les règles de stratégie de pare-feu n'ont pas de nom.
  • Le numéro de priorité 0 correspond à la priorité la plus élevée, et 2,147,483,547 à la plus faible. La priorité diminue à mesure que le nombre augmente. Dans une stratégie de pare-feu, si un paquet correspond à plusieurs règles, seule la règle correspondante ayant la priorité la plus élevée est appliquée.

Prenons l'exemple suivant, dans lequel deux règles de stratégie de pare-feu existent dans une stratégie de pare-feu réseau globale associée à votre réseau VPC :

  • Une règle d'entrée depuis les sources 0.0.0.0/0 (toute adresse IPv4) applicable à toutes les cibles, tous les protocoles et tous les ports de destination, ayant une action deny et une priorité de 1000.

  • Une règle d'entrée depuis les sources 0.0.0.0/0 (toute adresse IPv4) applicable à des cibles spécifiques avec le tag sécurisé tagKeys/123/tagValues/456 (clé de tag shortName role et valeur de tag webserver), pour le trafic sur TCP 80, avec une action allow.

La priorité de la seconde règle détermine si le trafic TCP sur le port 80 est autorisé pour les cibles webserver :

  • Si la priorité de la seconde règle est définie sur un nombre supérieur à 1000, sa priorité est inférieure. La première règle refusant tout le trafic est donc appliquée.

  • Si la priorité de la seconde règle est définie sur un nombre inférieur à 1000, sa priorité est supérieure. Un paquet arrivant pour webserver sur le port TCP 80 correspond d'abord à la deuxième règle. Le trafic est autorisé et le pare-feu cesse d'examiner les autres règles. La première règle n'est jamais vérifiée pour ce paquet spécifique.

L'exemple précédent montre comment vous pouvez utiliser des priorités pour créer des règles allow sélectives et des règles deny globales pour mettre en œuvre une bonne pratique de sécurité de moindre privilège.

Action en cas de correspondance

Une règle d'une stratégie de pare-feu peut avoir l'une des quatre actions suivantes :

Paramètre d'action Description
allow

Autorise les paquets pour une nouvelle connexion. Arrête l'évaluation des règles dans la stratégie de pare-feu qui contient la règle correspondante. N'évalue aucune autre règle de pare-feu.

Quelle que soit la direction de la règle, si le protocole de paquet et le type de stratégie de pare-feu sont compatibles avec le suivi des connexions, une règle d'autorisation crée une entrée de table de suivi des connexions de pare-feu qui autorise les paquets entrants et sortants.
deny

Interdit les paquets pour une nouvelle connexion. Arrête l'évaluation des règles dans la stratégie de pare-feu qui contient la règle correspondante. N'évalue aucune autre règle de pare-feu.

Cloud NGFW vérifie toujours s'il existe une entrée dans la table de suivi des connexions du pare-feu avant d'évaluer les règles de pare-feu. Par conséquent, si une règle d'autorisation a créé une entrée dans la table de suivi des connexions, cette entrée est prioritaire.
apply_security_profile_group

Intercepte les paquets d'une nouvelle connexion et les envoie à un point de terminaison de pare-feu ou à un groupe de points de terminaison d'interception. Arrête l'évaluation des règles dans la stratégie de pare-feu qui contient la règle correspondante. N'évalue aucune autre règle de pare-feu.

Quelle que soit la direction de la règle, si le protocole de paquet et le type de stratégie de pare-feu sont compatibles avec le suivi des connexions, une règle avec l'action apply_security_profile_group crée une entrée de table de suivi des connexions de pare-feu afin que les paquets entrants et sortants soient interceptés par le point de terminaison de pare-feu ou le groupe de points de terminaison d'interception.

Vous ne pouvez pas utiliser l'action apply_security_profile_group dans les stratégies de pare-feu réseau régionales ni dans les stratégies de pare-feu système régionales.

L'action apply_security_profile_group est soumise à des exigences particulières en fonction du type de cible de la règle. Pour en savoir plus, consultez la section Cibles.
goto_next

Arrête l'évaluation des autres règles de la stratégie de pare-feu et évalue les règles à l'étape suivante de l' ordre d'évaluation des stratégies et des règles de pare-feu.

L'étape suivante de l'ordre d'évaluation des stratégies et des règles de pare-feu peut être l'évaluation des règles d'une autre stratégie de pare-feu ou des règles de pare-feu implicites.

Application

Vous pouvez décider si une règle de stratégie de pare-feu est appliquée ou non en définissant son état sur "Activé" ou "Désactivé". Vous définissez l'état d'application lorsque vous créez une règle ou lorsque vous mettez à jour une règle.

Si vous ne définissez pas d'état d'application lorsque vous créez une règle de pare-feu, la règle de pare-feu est automatiquement activée.

Protocoles et ports

Une règle de stratégie de pare-feu stocke les contraintes de protocole et de port dans sa liste de configurations de couche 4. Si vous omettez les informations de configuration de la couche 4, la règle de stratégie de pare-feu s'applique à tous les protocoles et à tous les ports de destination.

Chaque configuration de couche 4 de la liste peut spécifier l'un des éléments suivants :

  • Un nom de protocole IP, tel que tcp, ou un numéro de protocole IP IANA, tel que 17, sans port de destination :

    • Vous pouvez utiliser les noms de protocoles IP suivants : tcp, udp, icmp (pour IPv4 ICMP), esp, ah, sctp et ipip.
    • Pour tous les autres protocoles, utilisez un numéro de protocole IANA. La plupart des protocoles ont les mêmes nom et numéro dans IPv4 et IPv6, ce qui n'est pas le cas de certains protocoles comme ICMP. Pour spécifier le protocole ICMP IPv4, utilisez icmp ou le numéro de protocole 1. Pour spécifier ICMP IPv6, utilisez le numéro de protocole 58. Les règles de stratégie de pare-feu ne sont pas compatibles avec le protocole IPv6 Hop-by-Hop.

  • Combinaison d'un nom de protocole IP valide et d'informations sur le port de destination :

    • Les protocoles IP valides sont ceux qui utilisent des ports de destination, tels que tcp et udp.
    • Pour spécifier des ports de destination, vous devez inclure un seul nom de protocole. Vous pouvez spécifier un nom de protocole avec un seul numéro de port de destination ou une plage de ports de destination.

Les configurations de couche 4 ne sont pas compatibles avec les éléments suivants :

  • Informations sur les ports sources pour les protocoles qui utilisent des ports sources, tels que tcp et udp

  • Types et codes ICMP.

Lorsque vous définissez le type de cible d'une règle de stratégie de pare-feu sur INTERNAL_MANAGED_LB, les restrictions supplémentaires suivantes s'appliquent :

  • Vous ne devez spécifier que le protocole TCP (tcp ou le numéro de protocole IP IANA 6).
  • Vous devez omettre les informations sur le port de destination, car la règle de transfert de l'équilibreur de charge définit le port de destination.

Journalisation

La journalisation des règles des stratégies de pare-feu fonctionne de la même manière que la journalisation des règles de pare-feu VPC, à l'exception des éléments suivants :

  • Le champ de référence inclut l'ID de la stratégie de pare-feu ainsi qu'un numéro indiquant le niveau de la ressource auquel la stratégie est associée. Par exemple, 0 signifie que la stratégie est appliquée à une organisation et 1 signifie qu'elle est appliquée à un dossier de premier niveau sous l'organisation.

  • Les journaux des règles des stratégies de pare-feu incluent un champ target_resource qui identifie les réseaux VPC auxquels la règle s'applique.

  • La journalisation ne peut être activée que pour les règles allow, deny et apply_security_profile_group. Elle ne peut pas être activée pour les règles goto_next.

  • Lorsque vous activez la journalisation pour une règle qui utilise l'action apply_security_profile_group, Cloud NGFW génère une seule entrée de journal lorsqu'il intercepte une session de trafic et redirige le trafic vers le point de terminaison du pare-feu pour une inspection approfondie des paquets. Cette entrée de journal confirme que la règle de pare-feu correspondait au trafic et l'a redirigé vers le point de terminaison de pare-feu. Pour en savoir plus, consultez Présentation de la journalisation des règles de stratégie de pare-feu.

  • Le point de terminaison de pare-feu effectue une inspection approfondie des paquets, comme le service de détection et de prévention des intrusions et le service de filtrage d'URL, et génère son propre ensemble de journaux. Ces journaux fournissent des informations détaillées sur les connexions au sein de la session interceptée, en listant les menaces détectées ou les actions de filtrage d'URL. Ces journaux d'inspection approfondie des paquets peuvent générer plusieurs entrées de journal par session.

Cible, source, destination

Les paramètres de cible, de source et de destination fonctionnent conjointement pour déterminer le champ d'application d'une règle de pare-feu.

  • Paramètres cibles : identifient les ressources auxquelles la règle de pare-feu s'applique.

  • Paramètres de source et de destination : définissent les critères de trafic. Vous pouvez spécifier les deux pour les règles d'entrée et de sortie. Les options valides pour les paramètres source et de destination dépendent des paramètres cibles et de la direction de la règle de pare-feu.

Cibles

Le paramètre target type (type de cible) et un ou plusieurs paramètres target (cible) définissent les cibles d'une règle de pare-feu. Ces cibles d'une règle de pare-feu sont les ressources que la règle de pare-feu protège.

  • Si le type de cible est omis ou défini sur INSTANCES, la règle de pare-feu s'applique aux interfaces réseau des instances Compute Engine, y compris les nœuds Google Kubernetes Engine (GKE) et les instances de l'environnement flexible App Engine. Les règles d'entrée et de sortie sont toutes deux acceptées.

    Pour spécifier les interfaces réseau de VM auxquelles la règle de pare-feu s'applique, utilisez les paramètres cibles :

  • Si vous définissez le type de cible sur INTERNAL_MANAGED_LB, la règle de pare-feu s'applique aux proxys Envoy gérés qui gèrent le trafic pour les équilibreurs de charge d'application internes et les équilibreurs de charge réseau proxy internes.

    • Si vous omettez le paramètre Règles de transfert cibles, la règle de pare-feu s'applique aux cibles d'équilibreur de charge les plus larges.

    • Pour limiter la règle de pare-feu à un seul équilibreur de charge, utilisez le paramètre de règles de transfert cibles. Vous ne pouvez pas utiliser d'autres paramètres cibles spécifiques, tels que des tags sécurisés ou des comptes de service. Pour en savoir plus, consultez Cibles spécifiques et Format des règles de transfert cibles.

      Si une règle d'une stratégie de pare-feu réseau mondiale a son type de cible défini sur INTERNAL_MANAGED_LB et son action définie sur apply_security_profile_group, vous devez utiliser le paramètre de règles de transfert cibles pour limiter la règle à un seul équilibreur de charge d'application interne interrégional.

    • Les règles de pare-feu dont le type de cible est défini sur INTERNAL_MANAGED_LB sont soumises aux restrictions suivantes :

      • La règle doit être une règle d'entrée.

      • Vous devez omettre le paramètre de destination de la règle, car la règle de transfert de l'équilibreur de charge définit l'adresse IP de destination.

      • Dans les configurations de couche 4 de la règle, vous ne devez spécifier que le protocole TCP (tcp ou le numéro de protocole IP IANA 6). Vous devez omettre les ports de destination, car la règle de transfert de l'équilibreur de charge définit le port de destination.

      • Vous pouvez supprimer une règle de transfert d'équilibreur de charge d'application interne ou d'équilibreur de charge réseau proxy interne sans supprimer la règle de pare-feu qui la cible. Les règles de transfert cibles sont liées à la règle de pare-feu par leur ID, et non par leur nom. Si vous créez une règle de transfert portant le même nom, la règle de pare-feu ne se lie pas automatiquement à la nouvelle règle de transfert. Pour réappliquer la règle de pare-feu, vous devez la mettre à jour pour qu'elle référence la nouvelle règle de transfert.

Cibles d'instances les plus larges

Les cibles d'instance les plus larges dépendent du type de stratégie de pare-feu :

  • Cibles d'instance les plus larges pour une règle dans une stratégie de pare-feu hiérarchique : toutes les interfaces réseau de VM d'un sous-réseau dans n'importe quelle région de n'importe quel réseau VPC situé dans un projet sous le nœud Resource Manager (dossier ou organisation) associé à la stratégie de pare-feu hiérarchique.

  • Cibles d'instance les plus larges pour une règle dans une stratégie de pare-feu de réseau mondial : toutes les interfaces réseau de VM d'un sous-réseau dans n'importe quelle région du réseau VPC associé à la stratégie de pare-feu de réseau mondial.

  • Cibles d'instance les plus larges pour une règle dans une stratégie de pare-feu de réseau régionale : toutes les interfaces réseau de VM d'un sous-réseau de la région et du réseau VPC associés à la stratégie de pare-feu de réseau régionale.

Cibles d'équilibreur de charge les plus larges

Les cibles d'équilibreur de charge les plus larges dépendent des types de stratégies de pare-feu suivants :

  • Cibles d'équilibreur de charge les plus larges pour une règle dans une stratégie de pare-feu de réseau globale : toutes les règles de transfert pour les équilibreurs de charge d'application internes et les équilibreurs de charge réseau proxy internes dans un sous-réseau de n'importe quelle région du réseau VPC associé à la stratégie de pare-feu de réseau globale.

  • Cibles d'équilibreur de charge les plus larges pour une règle dans une stratégie de pare-feu réseau régionale : toutes les règles de transfert pour les équilibreurs de charge d'application internes et les équilibreurs de charge réseau proxy internes dans un sous-réseau de la région et du réseau VPC associé à la stratégie de pare-feu réseau régionale.

Cibles spécifiques

Le tableau suivant liste les paramètres cibles, les stratégies de pare-feu compatibles avec les règles pour chaque paramètre et les types de cibles de règles compatibles. Si vous ne spécifiez pas de paramètre de cible, la règle utilise les cibles d'instance les plus larges ou les cibles d'équilibreur de charge les plus larges, en fonction du type de cible de la règle. La coche indique que le paramètre est accepté, et le symbole indique que le paramètre n'est pas accepté.

Paramètre de cible Compatibilité des stratégies de pare-feu Compatibilité avec les types de cibles de règles
Hiérarchique Réseau mondial Réseau régional INSTANCES INTERNAL_MANAGED_LB
Ressources du réseau VPC cible

Liste d'un ou de plusieurs réseaux VPC spécifiés à l'aide du paramètre target-resources. Cette liste limite les cibles d'instance les plus larges aux interfaces réseau de VM qui se trouvent dans au moins l'un des réseaux VPC spécifiés.
Comptes de service cibles

Liste d'un ou de plusieurs comptes de service spécifiés à l'aide du paramètre target-service-accounts. Cette liste limite les cibles d'instance les plus larges aux interfaces réseau de VM qui appartiennent aux instances de VM associées à au moins l'un des comptes de service spécifiés.
Cibler les valeurs de tag sécurisé à partir d'une clé de tag avec des données d'objectif réseau

Règle qui utilise le paramètre target-secure-tags contenant une liste d'une ou de plusieurs valeurs de tag d'une clé de tag dont le purpose-data spécifie un seul réseau VPC.

Cette liste limite les cibles d'instance les plus larges aux interfaces réseau de VM qui répondent chacune aux deux critères suivants :

  • L'interface se trouve dans le réseau VPC qui correspond au purpose-data de la clé de tag.
  • L'interface appartient à une VM liée à la valeur du tag.

Pour en savoir plus, consultez Tags sécurisés pour les pare-feu.
Cibler les valeurs de tags sécurisés à partir d'une clé de tag avec des données d'objectif d'organisation

Règle qui utilise le paramètre target-secure-tags contenant une liste d'une ou de plusieurs valeurs de tag d'une clé de tag dont le purpose-data est organization=auto.

Cette liste limite les cibles d'instance les plus larges aux interfaces réseau de VM qui répondent chacune aux deux critères suivants :

  • L'interface se trouve dans n'importe quel réseau VPC de l'organisation.
  • L'interface appartient à une VM liée à la valeur du tag.

Pour en savoir plus, consultez Tags sécurisés pour les pare-feu.
Règles de transfert cibles

Une seule règle de transfert pour un équilibreur de charge d'application interne ou un équilibreur de charge réseau proxy interne spécifié au format des règles de transfert cibles. Ce paramètre limite les cibles d'équilibreur de charge les plus larges à un équilibreur de charge d'application interne ou à un équilibreur de charge réseau proxy interne spécifique.

Combinaisons de cibles spécifiques

Les règles compatibles avec le paramètre target-resources peuvent le combiner avec un autre paramètre cible pour créer une combinaison de paramètres cibles. Le tableau suivant liste les combinaisons de paramètres cibles compatibles, les stratégies de pare-feu qui acceptent les règles avec chaque paramètre et les types de cibles de règles compatibles. Si vous ne spécifiez pas de paramètre de cible, la règle utilise les cibles d'instance les plus larges ou les cibles d'équilibreur de charge les plus larges, en fonction du type de cible de la règle.

La coche indique que le paramètre est compatible, et le symbole indique qu'il ne l'est pas.

Combinaison de paramètres de cible Compatibilité des stratégies de pare-feu Compatibilité avec les types de cibles de règles
Hiérarchique Réseau mondial Réseau régional INSTANCES INTERNAL_MANAGED_LB
Combinaison de ressources de réseau VPC cibles et de comptes de service cibles

Une règle qui utilise les paramètres target-resources et target-service-accounts.

Cette combinaison limite les cibles d'instance les plus larges aux interfaces réseau de VM qui répondent chacune aux deux critères suivants :

  • L'interface se trouve dans au moins l'un des réseaux VPC spécifiés dans target-resources.
  • L'interface appartient à une instance de VM associée à au moins l'un des comptes de service spécifiés.
Combinaison de ressources de réseau VPC cibles et de valeurs de tags sécurisés cibles

Une règle qui utilise les paramètres target-resources et target-secure-tags. Les valeurs de tag doivent provenir d'une clé de tag dont le purpose-data est organization=auto.

Cette combinaison limite les cibles d'instance les plus larges aux interfaces réseau de VM qui répondent chacune aux deux critères suivants :

  • L'interface se trouve dans au moins l'un des réseaux VPC spécifiés dans target-resources.
  • L'interface appartient à une VM liée à la valeur du tag.

Format des règles de transfert cibles

Lorsque vous définissez le type de cible d'une règle de pare-feu sur INTERNAL_MANAGED_LB, le paramètre target-forwarding-rules accepte les valeurs aux formats suivants :

  • Pour les équilibreurs de charge d'application internes régionaux et les équilibreurs de charge réseau proxy internes régionaux :

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • Pour les équilibreurs de charge d'application internes interrégionaux et les équilibreurs de charge réseau proxy internes interrégionaux :

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

Cibles et adresses IP pour les règles d'entrée

Lorsque le type de cible d'une règle de pare-feu est omis ou défini sur INSTANCES, la règle s'applique aux paquets acheminés vers les interfaces réseau des VM cibles.

  • Si la règle de pare-feu d'entrée inclut une plage d'adresses IP de destination, la destination du paquet doit correspondre à l'une des plages d'adresses IP de destination explicitement définies.

  • Si la règle de pare-feu d'entrée n'inclut pas de plage d'adresses IP de destination, la destination du paquet doit correspondre à l'une des adresses IP suivantes de chaque VM cible :

    • L'adresse IPv4 interne principale attribuée à la carte d'interface réseau de l'instance.

    • Toutes les plages d'adresses IP d'alias configurées sur la carte d'interface réseau de l'instance.

    • L'adresse IPv4 externe associée à la carte d'interface réseau de l'instance.

    • Si IPv6 est configuré sur le sous-réseau, l'une des adresses IPv6 attribuées à la carte d'interface réseau.

    • Une adresse IP interne ou externe associée à une règle de transfert utilisée pour l'équilibrage de charge passthrough, où l'instance est un backend pour un équilibreur de charge réseau passthrough interne ou un équilibreur de charge réseau passthrough externe.

    • Une adresse IP externe ou interne associée à une règle de transfert utilisée pour le transfert de protocole, où l'instance est référencée par une instance cible.

    • Une adresse IP dans la plage de destination d'une route statique personnalisée utilisant l'instance comme VM de saut suivant (next-hop-instance ou next-hop-address).

    • Une adresse IP dans la plage de destination d'une route statique personnalisée utilisant un équilibreur de charge réseau passthrough interne (next-hop-ilb) comme saut suivant si la VM est un backend pour cet équilibreur de charge.

Si vous définissez le type de cible d'une règle de pare-feu sur INTERNAL_MANAGED_LB, vous devez omettre le paramètre de destination. La règle de transfert de l'équilibreur de charge d'application interne ou de l'équilibreur de charge réseau proxy interne définit l'adresse IP de destination.

Cibles et adresses IP pour les règles de sortie

Lorsque le type de cible d'une règle de pare-feu est omis ou défini sur INSTANCES, la règle s'applique aux paquets émis par les interfaces réseau des VM cibles.

  • Si le transfert IP est désactivé sur la VM cible (par défaut), celle-ci ne peut émettre des paquets qu'avec les sources suivantes :

    • L'adresse IPv4 interne principale de la carte d'interface réseau d'une instance.

    • Toutes les plages d'adresses IP d'alias configurées sur la carte d'interface réseau d'une instance.

    • Si IPv6 est configuré sur le sous-réseau, l'une des adresses IPv6 attribuées à la carte d'interface réseau.

    • L'adresse IP interne ou externe associée à une règle de transfert, pour l'équilibrage de charge passthrough ou le transfert de protocole. Cela est valide si l'instance est un backend pour un équilibreur de charge réseau passthrough interne, un équilibreur de charge réseau passthrough externe, ou est référencée par une instance cible.

    Si la règle de pare-feu de sortie inclut des plages d'adresses IP sources, les VM cibles sont toujours limitées aux adresses IP sources mentionnées précédemment, mais un paramètre source peut être utilisé pour affiner les sources. L'utilisation d'un paramètre source sans activer le transfert IP n'étend jamais l'ensemble des adresses sources de paquets possibles.

    Si la règle de pare-feu de sortie n'inclut pas de plage d'adresses IP sources, toutes les adresses IP sources mentionnées précédemment sont autorisées.

  • Si le transfert IP est activé sur la VM cible, celle-ci peut émettre des paquets avec des adresses sources arbitraires. Vous pouvez utiliser le paramètre de source pour définir plus précisément l'ensemble des sources de paquets autorisées.

Sources

Les valeurs des paramètres sources dépendent de la direction de la règle de pare-feu.

Sources des règles d'entrée

Ce tableau liste les paramètres sources des règles d'entrée, les stratégies de pare-feu compatibles avec chaque paramètre et les types de cibles de règle compatibles avec chaque paramètre. Vous devez spécifier au moins un paramètre source. La coche indique que le paramètre est accepté, et le symbole indique que le paramètre n'est pas accepté.

Paramètre source de la règle d'Ingress Compatibilité des stratégies de pare-feu Compatibilité avec les types de cibles de règles
Hiérarchique Réseau mondial Réseau régional INSTANCES INTERNAL_MANAGED_LB
Plages d'adresses IP sources

Liste d'adresses IPv4 au format CIDR ou d'adresses IPv6 au format CIDR. La liste est stockée dans la règle de stratégie de pare-feu elle-même.
Groupes d'adresses sources

Collections réutilisables d'adresses IPv4 au format CIDR ou d'adresses IPv6 au format CIDR. La règle de pare-feu fait référence à la collection. Pour en savoir plus, consultez Groupes d'adresses pour les stratégies de pare-feu.
Récupérer les valeurs de tag sécurisé à partir d'une clé de tag avec des données d'objectif réseau

Liste d'une ou de plusieurs valeurs de tag d'une clé de tag dont les données d'objectif spécifient un seul réseau VPC. Pour en savoir plus, consultez Tags sécurisés pour les pare-feu et Comment les tags sécurisés sources impliquent des sources de paquets.
Récupérer les valeurs de tags sécurisés à partir d'une clé de tag avec des données d'objectif d'organisation

Liste d'une ou de plusieurs valeurs de tag d'une clé de tag dont les données d'objectif sont organization=auto. Pour en savoir plus, consultez Tags sécurisés pour les pare-feu et Comment les tags sécurisés sources impliquent des sources de paquets.
Géolocalisations sources

Liste d'un ou de plusieurs emplacements géographiques sources spécifiés sous forme de codes pays ou région à deux lettres. Pour en savoir plus, consultez la section Objets de géolocalisation.
Listes Google Threat Intelligence sources

Liste d'un ou de plusieurs noms de liste Google Threat Intelligence prédéfinis. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu.
Contexte du réseau source

Contrainte qui définit une limite de sécurité. Les valeurs valides dépendent du type de cible de la règle. Pour en savoir plus, consultez Contextes réseau.
Combinaisons de sources de règles d'Ingress

Dans une seule règle d'entrée, vous pouvez utiliser deux paramètres sources ou plus pour produire une combinaison de sources. Cloud NGFW applique les contraintes suivantes aux combinaisons de sources de chaque règle d'entrée :

  • Les plages d'adresses IP sources doivent contenir des CIDR IPv4 ou IPv6, et non une combinaison des deux.
  • Un groupe d'adresses sources contenant des CIDR IPv4 ne peut pas être utilisé avec un groupe d'adresses sources contenant des CIDR IPv6.
  • Une plage d'adresses IP sources contenant des CIDR IPv4 ne peut pas être utilisée avec un groupe d'adresses sources contenant des CIDR IPv6.
  • Une plage d'adresses IP sources contenant des CIDR IPv6 ne peut pas être utilisée avec un groupe d'adresses sources contenant des CIDR IPv4.
  • Le contexte du réseau Internet ne peut pas être utilisé avec les tags sécurisés sources.
  • Le contexte hors Internet, le contexte des réseaux VPC et le contexte inter-VPC ne peuvent pas être utilisés avec les listes de sources Google Threat Intelligence ou les emplacements géographiques sources .

Cloud NGFW applique la logique suivante pour faire correspondre les paquets à une règle d'entrée qui utilise une combinaison de sources :

  • Si la combinaison de sources n'inclut pas de contexte de réseau source, les paquets correspondent à la règle d'entrée s'ils correspondent à au moins un paramètre source de la combinaison de sources.

  • Si la combinaison de sources inclut un contexte de réseau source, les paquets correspondent à la règle d'entrée s'ils correspondent au contexte de réseau source et à au moins l'un des autres paramètres sources de la combinaison de sources.

Comment les tags sécurisés sources impliquent des sources de paquets

Une règle de pare-feu d'entrée peut utiliser des valeurs de tag sécurisé source lorsque son type de cible est omis ou défini sur INSTANCES. Les valeurs de tag sécurisé identifient les interfaces réseau, et non les caractéristiques des paquets telles que les adresses IP.

Les paquets envoyés depuis une interface réseau d'une instance de VM correspondent à une règle d'entrée qui utilise une valeur de tag sécurisé source selon les règles suivantes :

  • Si la règle d'entrée se trouve dans une stratégie de réseau régionale, l'instance de VM doit se trouver dans une zone de la même région que la stratégie de pare-feu réseau régionale. Sinon, l'instance de VM peut se trouver dans n'importe quelle zone.

  • L'instance de VM doit être associée à la même valeur de tag sécurisé que celle utilisée comme tag sécurisé source dans une règle de pare-feu d'entrée.

  • La valeur du tag sécurisé associée à l'instance de VM et utilisée par la règle de pare-feu d'entrée doit provenir d'une clé de tag dont l'attribut purpose-data identifie au moins un réseau VPC contenant une interface réseau de l'instance de VM :

    • Si les données d'objectif de la clé de tag spécifient un seul réseau VPC, les règles de pare-feu d'entrée qui utilisent la valeur du tag sécurisé source s'appliquent aux interfaces réseau de l'instance de VM qui se trouvent dans ce réseau VPC.

    • Si les données d'objectif de la clé de tag spécifient l'organisation, les règles de pare-feu d'entrée qui utilisent la valeur du tag sécurisé source s'appliquent aux interfaces réseau de l'instance de VM qui se trouvent dans n'importe quel réseau VPC de l'organisation.

  • L'interface réseau de la VM identifiée doit répondre à l'un des critères suivants :

    • L'interface réseau de la VM se trouve dans le même réseau VPC que le réseau VPC auquel la stratégie de pare-feu s'applique.

    • L'interface réseau de la VM se trouve dans un réseau VPC connecté, à l'aide de l'appairage de réseaux VPC, au réseau VPC auquel la stratégie de pare-feu s'applique.

    • Le réseau VPC utilisé par l'interface réseau de la VM et le réseau VPC auquel s'applique la stratégie de pare-feu sont tous deux des spokes VPC sur le même hub Network Connectivity Center.

Pour en savoir plus sur les tags sécurisés pour les pare-feu, consultez Spécifications.

Sources des règles de sortie

Vous pouvez utiliser les sources suivantes pour les règles de sortie dans les stratégies de pare-feu hiérarchiques et les stratégies de pare-feu de réseau :

  • Par défaut, implicite par la cible : si vous omettez le paramètre source d'une règle de sortie, les sources des paquets sont définies implicitement comme décrit dans la section Cibles et adresses IP pour les règles de sortie.

  • Plages d'adresses IPv4 sources : liste d'adresses IPv4 au format CIDR.

  • Plages d'adresses IPv6 sources : liste d'adresses IPv6 au format CIDR.

Suivez les instructions ci-dessous pour ajouter des plages d'adresses IP sources aux règles de sortie :

  • Si une adresse IPv4 externe est attribuée à une interface réseau de VM, ou si elle ne possède pas d'adresse IPv4 externe mais utilise une passerelle Cloud NAT, l'évaluation du pare-feu de sortie se produit avant que Google Cloud ne remplace la source du paquet sortant par une adresse IPv4 externe. Pour appliquer une règle de pare-feu de sortie, vous devez omettre le paramètre Source ou inclure l'adresse IPv4 interne de l'interface réseau de la VM dans le paramètre Source.

  • Si vous disposez d'une plage d'adresses IP sources et de paramètres de destination dans la règle de sortie, les paramètres de destination sont résolus dans la même version IP que la version IP source.

Destinations

Les valeurs des paramètres de destination dépendent de la direction de la règle de pare-feu.

Destinations pour les règles d'entrée

Vous pouvez utiliser les destinations suivantes pour les règles de pare-feu d'entrée dans les stratégies de pare-feu hiérarchiques et de réseau :

  • Par défaut, implicite par la cible : si vous omettez le paramètre de destination dans une règle d'entrée, les destinations des paquets sont définies implicitement, comme décrit dans la section Cibles et adresses IP pour les règles d'entrée.

  • Plages d'adresses IPv4 de destination : liste des adresses IPv4 au format CIDR. Vous ne pouvez pas utiliser ce paramètre si vous définissez le type de cible de la règle de pare-feu sur INTERNAL_MANAGED_LB.

  • Plages d'adresses IPv6 de destination : liste des adresses IPv6 au format CIDR. Vous ne pouvez pas utiliser ce paramètre si vous définissez le type de cible de la règle de pare-feu sur INTERNAL_MANAGED_LB.

Suivez ces instructions pour ajouter des plages d'adresses IP de destination pour les règles d'entrée :

  • Si une adresse IPv4 externe est attribuée à une interface réseau de VM, ou si elle ne dispose pas d'une adresse IPv4 externe, mais utilise une passerelle Cloud NAT, l'évaluation du pare-feu d'entrée se produit après que Google Cloud a modifié la destination du paquet entrant d'une adresse IPv4 externe en une adresse IPv4 interne. Pour appliquer une règle de pare-feu d'entrée, vous devez omettre le paramètre Destination ou inclure l'adresse IPv4 interne de l'interface réseau de la VM dans le paramètre Destination.

  • Si des paramètres source et de destination sont définis dans une règle d'entrée, les paramètres sources sont résolus dans la même version IP que la version IP de destination. Pour en savoir plus sur la définition d'une source pour les règles d'entrée, consultez les sections Sources pour les règles d'entrée dans les stratégies de pare-feu hiérarchiques et Sources pour les règles d'entrée dans les stratégies de pare-feu réseau.

    Par exemple, dans une règle d'entrée, vous disposez d'une plage d'adresses IPv6 dans le paramètre de destination et d'un code pays de géolocalisation dans le paramètre source. Lors de l'application de la règle, seule l'adresse IPv6 mappée est utilisée pour le code pays source spécifié.

Destinations pour les règles de sortie

Ce tableau liste les paramètres de destination des règles de sortie, les stratégies de pare-feu compatibles avec chaque paramètre et les types de cibles de règle compatibles avec chaque paramètre. Vous devez spécifier au moins un paramètre de destination. La coche indique que le paramètre est accepté, et le symbole indique que le paramètre n'est pas accepté.

Paramètre de destination de la règle de sortie Compatibilité des stratégies de pare-feu Compatibilité avec les types de cibles de règles
Hiérarchique Réseau mondial Réseau régional INSTANCES INTERNAL_MANAGED_LB
Plages d'adresses IP de destination

Liste d'adresses IPv4 au format CIDR ou d'adresses IPv6 au format CIDR. La liste est stockée dans la règle de stratégie de pare-feu elle-même.
Groupes d'adresses de destination

Collections réutilisables d'adresses IPv4 au format CIDR ou d'adresses IPv6 au format CIDR. La règle de stratégie de pare-feu fait référence à la collection. Pour en savoir plus, consultez Groupes d'adresses pour les stratégies de pare-feu.
Géolocalisations de destination

Liste d'un ou de plusieurs emplacements géographiques sources spécifiés sous forme de codes pays ou région à deux lettres. Pour en savoir plus, consultez la section Objets de géolocalisation.
Listes Google Threat Intelligence de destination

Liste d'un ou de plusieurs noms de liste Google Threat Intelligence prédéfinis. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu.
Contexte du réseau de destination

Contrainte qui définit une limite de sécurité.
Combinaisons de destinations pour les règles de sortie

Dans une même règle de sortie, vous pouvez utiliser deux paramètres de destination ou plus pour produire une combinaison de destinations. Cloud NGFW applique les contraintes suivantes aux combinaisons de destinations de chaque règle de sortie :

  • Les plages d'adresses IP de destination doivent contenir des CIDR IPv4 ou IPv6, et non une combinaison des deux.
  • Vous ne pouvez pas utiliser un groupe d'adresses de destination contenant des CIDR IPv4 avec un groupe d'adresses de destination contenant des CIDR IPv6.
  • Vous ne pouvez pas utiliser une plage d'adresses IP de destination contenant des CIDR IPv4 avec un groupe d'adresses de destination contenant des CIDR IPv6.
  • Vous ne pouvez pas utiliser une plage d'adresses IP de destination contenant des CIDR IPv6 avec un groupe d'adresses de destination contenant des CIDR IPv4.
  • Vous ne pouvez pas utiliser les listes de destination Google Threat Intelligence ni les zones géographiques de destination avec un contexte de réseau de destination non Internet.

Cloud NGFW applique la logique suivante pour faire correspondre les paquets à une règle de sortie qui utilise une combinaison de destinations :

  • Si la combinaison de destinations n'inclut pas de contexte réseau de destination, les paquets correspondent à la règle de sortie s'ils correspondent à au moins un paramètre de destination dans la combinaison de destinations.

  • Si la combinaison de destinations inclut un contexte de réseau de destination, les paquets correspondent à la règle de sortie s'ils correspondent au contexte de réseau de destination et à au moins un des autres paramètres de destination de la combinaison de destinations.

Étapes suivantes