רכיבים של כלל מדיניות חומת אש

במסמך הזה מתוארים הרכיבים של כלל מדיניות חומת אש, שאותו מגדירים במדיניות חומת אש היררכית, גלובלית או אזורית שחלה על רשת רגילה של ענן וירטואלי פרטי (VPC). הרכיבים האלה כוללים כיוון, מקור, יעד ומאפיינים של שכבה 4, כמו פרוטוקול ויציאת יעד (אם הפרוטוקול משתמש ביציאות).

כללי המדיניות של חומת האש ב- Google Cloud מאפשרים לכם לשלוט בתנועה כדי לשפר את האבטחה והיעילות התפעולית. כשיוצרים כלל מדיניות חומת אש, מציינים את הרכיבים שמגדירים מה הכלל עושה. כל כלל במדיניות חומת האש חל על חיבורים נכנסים (ingress) או יוצאים (egress), אבל לא על שניהם.

בפרופילי רשת מיוחדים עם ביצועים גבוהים, כמו גישה ישירה מרוחקת לזיכרון (RDMA) דרך Converged Ethernet‏ (RoCE), היכולות וההגדרות של כללי המדיניות של חומת האש שונות מאלה של רשתות רגילות. למידע נוסף על כללי חומת אש לפרופילי רשת RDMA, קראו את המאמר Cloud NGFW לרשתות RoCE VPC.

המסמך הזה מיועד למנהלי רשת ולמהנדסי אבטחה שמגדירים ומנהלים כללי מדיניות חומת אש.

עדיפות

לכל כלל במדיניות חומת האש צריכה להיות עדיפות ייחודית.

כדאי להביא בחשבון את ההנחיות הבאות כשמקצים עדיפות לכלל במדיניות חומת אש:

  • העדיפות היא מספר שלם מ-0 עד 2,147,483,547, כולל.
  • במדיניות חומת אש, לכל כלל צריך להיות מספר עדיפות ייחודי. לכללים של מדיניות חומת האש אין שמות.
  • מספר העדיפות 0 הוא העדיפות הגבוהה ביותר ו-2,147,483,547 הוא העדיפות הנמוכה ביותר. ככל שהמספר גבוה יותר, העדיפות נמוכה יותר. במדיניות חומת אש, אם חבילה תואמת לכמה כללים, רק הכלל התואם עם העדיפות הגבוהה ביותר נאכף.

נניח שיש שני כללים של מדיניות חומת אש במדיניות חומת אש בין רשתות גלובליות שמשויכת לרשת ה-VPC:

  • כלל תעבורת נתונים נכנסת מהמקורות 0.0.0.0/0 (כל כתובת IPv4) שרלוונטי לכל היעדים, לכל הפרוטוקולים ולכל יציאות היעד, עם פעולת deny ועדיפות 1000.

  • כלל תעבורת נתונים נכנסת מהמקורות 0.0.0.0/0 (כל כתובת IPv4) שרלוונטי ליעדים ספציפיים עם התג המאובטח tagKeys/123/tagValues/456 (מפתח התג shortName role וערך התג webserver), לתנועה ב-TCP 80, עם פעולת allow.

העדיפות של הכלל השני קובעת אם תנועת TCP ליציאה 80 מותרת ליעדים של webserver:

  • אם העדיפות של הכלל השני מוגדרת למספר גדול מ- 1000, העדיפות שלו נמוכה יותר, ולכן חל הכלל הראשון שדוחה את כל התנועה.

  • אם העדיפות של הכלל השני מוגדרת למספר נמוך מ-1000, העדיפות שלו גבוהה יותר. חבילה שמגיעה אל webserver ב-TCP 80 תואמת קודם לכלל השני. התנועה מותרת וחומת האש מפסיקה לבדוק כללים אחרים. הכלל הראשון אף פעם לא נבדק לגבי החבילה הספציפית הזו.

הדוגמה הקודמת ממחישה איך אפשר להשתמש בעדיפויות כדי ליצור כללי allow סלקטיביים וכללי deny גלובליים, כדי ליישם את השיטה המומלצת לאבטחה של הרשאות מינימליות.

פעולה במקרה של התאמה

לכלל במדיניות חומת אש יכולה להיות אחת מהפעולות הבאות:

פרמטר של פעולה תיאור
allow

מאפשרת חבילות לחיבור חדש. הפסקת הערכת הכללים במדיניות חומת האש שמכילה את הכלל התואם. לא בודק כללים אחרים של חומת האש.

לא משנה מה כיוון הכלל, אם פרוטוקול החבילה וסוג מדיניות חומת האש תומכים במעקב אחרי חיבורים, כלל ההרשאה יוצר רשומה בטבלת המעקב אחרי חיבורים של חומת האש שמאפשרת גם חבילות נכנסות וגם חבילות יוצאות.
deny

חוסמת חבילות של חיבור חדש. הערכת הכללים במדיניות חומת האש שמכילה את הכלל התואם נפסקת. לא בודק כללים אחרים של חומת האש.

‫Cloud NGFW תמיד בודק אם יש רשומה בטבלת המעקב אחרי חיבורים של חומת האש לפני שהוא בודק את כללי חומת האש. לכן, אם כלל ההרשאה יצר רשומה בטבלת מעקב החיבורים, הרשומה הזו מקבלת עדיפות.
apply_security_profile_group

מיירטת חבילות של חיבור חדש ושולחת אותן לנקודת קצה של חומת אש או ל קבוצה של נקודות קצה ליירוט. הפסקת ההערכה של הכללים במדיניות חומת האש שמכילה את הכלל התואם. לא בודק כללים אחרים של חומת האש.

לא משנה מה הכיוון של הכלל, אם פרוטוקול החבילה וסוג מדיניות חומת האש תומכים במעקב אחרי חיבורים, כלל עם הפעולה apply_security_profile_group יוצר רשומה בטבלת המעקב אחרי חיבורים של חומת האש, כדי שגם חבילות נכנסות וגם חבילות יוצאות יופסקו על ידי נקודת הקצה של חומת האש או קבוצת נקודות הקצה להפסקה.

אי אפשר להשתמש בפעולה apply_security_profile_group בכללי מדיניות חומת אש ברשת אזורית או בכללי מדיניות חומת אש במערכת אזורית.

לפעולה apply_security_profile_group יש כמה דרישות מיוחדות, בהתאם לסוג היעד של הכלל. מידע נוסף זמין במאמר יעדים.
goto_next

הערכת כללים אחרים במדיניות חומת האש נפסקת, והכללים מוערכים בשלב הבא של סדר ההערכה של כללי המדיניות וחומת האש.

השלב הבא בסדר ההערכה של מדיניות חומת האש והכללים עשוי להיות הערכה של כללים במדיניות חומת אש אחרת או של כללי חומת האש המשתמעים.

אכיפה

אתם יכולים לבחור אם לאכוף כלל של מדיניות חומת אש על ידי הגדרת המצב שלו למופעל או מושבת. אתם מגדירים את מצב האכיפה כשאתם יוצרים או מעדכנים כלל.

אם לא מגדירים מצב אכיפה כשיוצרים כלל חדש לחומת האש, הכלל מופעל באופן אוטומטי.

פרוטוקולים ויציאות

כלל מדיניות חומת אש מאחסן אילוצי פרוטוקול ויציאה ברשימת ההגדרות של שכבה 4. אם לא תציינו את פרטי ההגדרה של שכבה 4, הכלל של מדיניות חומת האש יחול על כל הפרוטוקולים ועל כל יציאות היעד.

כל הגדרה של שכבה 4 ברשימה יכולה לציין אחד מהבאים:

  • שם של פרוטוקול IP, כמו tcp, או מספר פרוטוקול IP של IANA, כמו 17, בלי יציאת יעד:

    • אפשר להשתמש בשמות הבאים של פרוטוקולי IP: ‏tcp,‏ udp,‏ icmp (ל-IPv4 ICMP),‏ esp,‏ ah,‏ sctp ו-ipip.
    • לכל שאר הפרוטוקולים, צריך להשתמש במספר פרוטוקול של IANA. רוב הפרוטוקולים משתמשים באותו שם ומספר גם ב-IPv4 וגם ב-IPv6, אבל פרוטוקולים מסוימים, כמו ICMP, לא משתמשים באותו שם ומספר. כדי לציין IPv4 ICMP, משתמשים ב-icmp או במספר הפרוטוקול 1. כדי לציין IPv6 ICMP, משתמשים במספר הפרוטוקול 58. כללי מדיניות חומת אש לא תומכים בפרוטוקול Hop-by-Hop של IPv6.

  • שילוב של שם חוקי של פרוטוקול IP ופרטי יציאת היעד:

    • פרוטוקולי IP תקינים הם פרוטוקולים שמשתמשים ביציאות יעד, כמו tcp ו-udp.
    • כדי לציין יציאות יעד, צריך לכלול שם פרוטוקול אחד. אפשר לציין שם פרוטוקול עם מספר יציאת יעד אחד או טווח של יציאות יעד.

הגדרות של שכבה 4 לא תומכות באפשרויות הבאות:

  • פרטי יציאת המקור לפרוטוקולים שמשתמשים ביציאות מקור, כמו tcp ו-udp

  • סוגים וקודים של ICMP.

כשמגדירים את סוג היעד של כלל מדיניות חומת האש ל-INTERNAL_MANAGED_LB, חלות ההגבלות הנוספות הבאות:

  • צריך לציין רק את פרוטוקול TCP (tcp או מספר פרוטוקול ה-IP של IANA‏ 6).
  • צריך להשמיט את פרטי יציאת היעד כי כלל ההעברה של מאזן העומסים מגדיר את יציאת היעד.

רישום ביומן

רישום ביומן של כללי מדיניות חומת האש פועל כמו רישום ביומן של כללי חומת האש של VPC, מלבד ההבדלים הבאים:

  • השדה reference כולל את מזהה מדיניות חומת האש ומספר שמציין את רמת המשאב שאליו מצורפת המדיניות. לדוגמה, 0 פירושו שהמדיניות חלה על ארגון, ו-1 פירושו שהמדיניות חלה על תיקייה ברמה העליונה בארגון.

  • היומנים של כללי מדיניות חומת האש כוללים את השדה target_resource, שמזהה את רשתות ה-VPC שהכלל חל עליהן.

  • אפשר להפעיל רישום ביומן רק לכללים מסוג allow,‏ deny ו-apply_security_profile_group, אבל לא לכללים מסוג goto_next.

  • כשמפעילים רישום ביומן לכלל שמשתמש בפעולה apply_security_profile_group, ‏Cloud NGFW יוצר רשומה אחת ביומן כשהוא מיירט סשן של תעבורת נתונים ומפנה את תעבורת הנתונים לנקודת הקצה של חומת האש לבדיקת חבילות עמוקה. רשומת היומן הזו מאשרת שהכלל של חומת האש תאם לתנועה והפנה אותה בהצלחה לנקודת הקצה של חומת האש. למידע נוסף, קראו את סקירה כללית על רישום ביומן של כללי מדיניות חומת אש.

  • נקודת הקצה של חומת האש מבצעת בדיקת חבילות מעמיקה, כמו שירות זיהוי ומניעת פריצות ושירות סינון כתובות URL, ויוצרת קבוצת יומנים משלה. היומנים האלה מספקים מידע מפורט על החיבורים בסשן שבו בוצע יירוט, ומפרטים את כל האיומים שזוהו או את פעולות הסינון של כתובות ה-URL. יומני ה-DPI האלה יכולים ליצור כמה רשומות ביומן לכל סשן.

יעד, מקור, יעד

הפרמטרים של היעד, המקור והיעד פועלים יחד כדי לקבוע את ההיקף של כלל חומת האש.

  • פרמטרים של יעד: זיהוי המשאבים שכלל חומת האש חל עליהם.

  • פרמטרים של מקור ויעד: מגדירים את הקריטריונים של התנועה. אפשר לציין את שניהם בכללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress). האפשרויות התקינות לפרמטרים של המקור והיעד תלויות בפרמטרים של היעד ובכיוון של כלל חומת האש.

יעדים

הפרמטר target type ופרמטר אחד או יותר של target מגדירים את היעדים של כלל חומת האש. היעדים האלה של כלל חומת האש הם המשאבים שכלל חומת האש מגן עליהם.

  • אם משמיטים את סוג היעד או מגדירים אותו כ-INSTANCES, כלל חומת האש חל על ממשקי הרשת של מכונות Compute Engine, כולל צמתים של Google Kubernetes Engine (GKE) ומכונות בסביבה הגמישה של App Engine. יש תמיכה גם בכללים לתעבורת נתונים נכנסת וגם בכללים לתעבורת נתונים יוצאת.

    כדי לציין לאילו ממשקי רשת של מכונות וירטואליות הכלל של חומת האש חל, משתמשים בפרמטרים של היעד:

  • אם מגדירים את סוג היעד לערך INTERNAL_MANAGED_LB, כלל חומת האש חל על שרתי ה-proxy המנוהלים של Envoy שמטפלים בתנועה של מאזני עומסים פנימיים של אפליקציות ושל מאזני עומסי רשת פנימיים בשרת proxy.

    • אם משמיטים את הפרמטר כללי העברה של יעד, כלל חומת האש חל על היעדים הרחבים ביותר של מאזן העומסים.

    • כדי להגביל את כלל חומת האש למאזן עומסים אחד, משתמשים בפרמטר של כללי ההעברה של היעד. אי אפשר להשתמש בפרמטרים ספציפיים אחרים של יעד, כמו תגים מאובטחים או חשבונות שירות. מידע נוסף זמין במאמרים יעדים ספציפיים ופורמט של כללי העברה ליעד.

      אם סוג היעד של כלל במדיניות של פיירוול ברשת גלובלית מוגדר כ-INTERNAL_MANAGED_LB והפעולה שלו מוגדרת כ-apply_security_profile_group, צריך להשתמש בפרמטר של כללי העברת היעד כדי להגביל את הכלל למאזן עומסים פנימי אחד של אפליקציות בכמה אזורים.

    • בכללי חומת אש שבהם סוג היעד מוגדר כ-INTERNAL_MANAGED_LB יש את ההגבלות הבאות:

      • הכלל חייב להיות כלל תעבורת כניסה.

      • צריך להשמיט את פרמטר היעד של הכלל, כי כלל ההעברה של מאזן העומסים מגדיר את כתובת ה-IP של היעד.

      • בהגדרות של שכבה 4 של הכלל, צריך לציין רק את פרוטוקול TCP (tcp או מספר פרוטוקול ה-IP של IANA‏ 6). צריך להשמיט את יציאות היעד כי כלל ההעברה של מאזן העומסים מגדיר את יציאת היעד.

      • אפשר למחוק כלל העברה של מאזן עומסים פנימי של אפליקציות או של מאזן עומסי רשת פנימי לשרת proxy, בלי להסיר את כלל חומת האש שמטרגט אותו. כללי ההעברה של היעד מקושרים לכלל חומת האש לפי המזהה שלהם, ולא לפי השם. אם יוצרים כלל העברה חדש עם אותו שם, כלל חומת האש לא נקשר מחדש באופן אוטומטי לכלל ההעברה החדש. כדי להחיל מחדש את הכלל של חומת האש, צריך לעדכן את הכלל כך שיפנה לכלל ההעברה החדש.

יעדי המכונה הרחבים ביותר

היעדים הרחבים ביותר של המכונות תלויים בסוג מדיניות חומת האש:

  • יעדי המכונות הרחבים ביותר לכלל במדיניות היררכית של חומת אש: כל ממשקי הרשת של המכונות הווירטואליות ברשת משנה בכל אזור של כל רשת VPC שנמצאת בפרויקט מתחת לצומת של מנהל המשאבים (תיקייה או ארגון) שמשויך למדיניות ההיררכית של חומת האש.

  • המכונות הרחבות ביותר שאפשר לטרגט בכלל במדיניות חומת אש של רשת גלובלית: כל ממשקי הרשת של המכונות הווירטואליות בתת-רשת בכל אזור של רשת ה-VPC שמשויכת למדיניות חומת האש של הרשת הגלובלית.

  • יעדי המכונות הרחבים ביותר עבור כלל במדיניות חומת אש ברשת אזורית: כל ממשקי הרשת של המכונות הווירטואליות ברשת משנה באזור וברשת ה-VPC שמשויכים למדיניות חומת האש ברשת האזורית.

היעדים הרחבים ביותר של מאזן העומסים

המטרות הרחבות ביותר של מאזן העומסים תלויות בסוגים הבאים של מדיניות חומת האש:

  • היעדים הרחבים ביותר של מאזן העומסים לכלל במדיניות חומת אש של רשת גלובלית: כל כללי ההעברה של מאזני עומסים פנימיים של אפליקציות (ALB) ומאזני עומסי רשת פנימיים לשרת proxy בתת-רשת בכל אזור של רשת ה-VPC שמשויכת למדיניות חומת האש של הרשת הגלובלית.

  • היעדים הרחבים ביותר של מאזן העומסים לכלל במדיניות חומת אש של רשת אזורית: כל כללי ההעברה של מאזני עומסים פנימיים של אפליקציות (ALB) ומאזני עומסי רשת פנימיים לשרת proxy ברשת משנה באזור וברשת ה-VPC שמשויכת למדיניות חומת האש של הרשת האזורית.

יעדים ספציפיים

בטבלה הבאה מפורטים הפרמטרים של היעד, כללי המדיניות של חומת האש שתומכים בכללים עם כל פרמטר וסוגי היעדים הנתמכים של הכללים. אם לא מציינים פרמטר יעד, הכלל משתמש ביעדי המכונה הרחבים ביותר או ביעדי מאזן העומסים הרחבים ביותר, בהתאם לסוג היעד של הכלל. סימן וי מציין שיש תמיכה בפרמטר, והסמל מציין שאין תמיכה בפרמטר.

פרמטר היעד תמיכה במדיניות חומת אש תמיכה בסוגי טירגוט של כללים
היררכי רשת גלובלית רשת אזורית INSTANCES INTERNAL_MANAGED_LB
משאבים של רשת VPC לטירגוט

רשימה של רשת VPC אחת או יותר שצוינו באמצעות הפרמטר target-resources. הרשימה הזו מצמצמת את היעדים הרחבים ביותר של המכונות לממשקי הרשת של המכונות הווירטואליות שנמצאים לפחות באחת מרשתות ה-VPC שצוינו.
חשבונות שירות לטירגוט

רשימה של חשבון שירות אחד או יותר שצוינו באמצעות הפרמטר target-service-accounts. הרשימה הזו מצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות ששייכים למכונות וירטואליות שמשויכות לפחות לאחד מחשבונות השירות שצוינו.
טירגוט ערכי תגים מאובטחים ממפתח תג עם נתוני מטרה ברשת

כלל שמשתמש בפרמטר target-secure-tags שמכיל רשימה של ערך תג אחד או יותר ממפתח תג שה-purpose-data שלו מציין רשת VPC אחת.

הרשימה הזו מצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של המכונות הווירטואליות שעומדים בשני הקריטריונים הבאים:

  • הממשק נמצא ברשת ה-VPC שתואמת ל-purpose-data של מפתח התג.
  • הממשק שייך ל-VM שמקושר לערך התג.

מידע נוסף זמין במאמר תגים מאובטחים לחומות אש.
טירגוט ערכי תגים מאובטחים ממפתח תג עם נתוני מטרת הארגון

כלל שמשתמש בפרמטר target-secure-tags שמכיל רשימה של ערך תג אחד או יותר ממפתח תג שה-purpose-data שלו הוא organization=auto.

הרשימה הזו מצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של המכונות הווירטואליות שעומדים בשני הקריטריונים הבאים:

  • הממשק נמצא ברשת VPC כלשהי של הארגון.
  • הממשק שייך ל-VM שמקושר לערך התג.

מידע נוסף זמין במאמר תגים מאובטחים לחומות אש.
כללי העברה לטירגוט

כלל העברה יחיד למאזן עומסים פנימי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy, שצוין בפורמט של כללי העברה לטירגוט. הפרמטר הזה מצמצם את היעדים הרחבים ביותר של מאזן העומסים למאזן עומסים פנימי ספציפי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy.

שילובים ספציפיים של יעדים

בכללים שתומכים בפרמטר target-resources, אפשר לשלב אותו עם פרמטר יעד אחר כדי ליצור שילוב של פרמטרים של יעדים. בטבלה הבאה מפורטים השילובים הנתמכים של פרמטרים של יעדים, כללי המדיניות של חומת האש שתומכים בכללים עם כל פרמטר וסוגי הטירגוט הנתמכים של הכללים. אם לא מציינים פרמטר יעד, הכלל משתמש ביעדי המכונה הרחבים ביותר או ביעדי מאזן העומסים הרחבים ביותר, בהתאם לסוג היעד של הכלל.

סימן ה-V מציין שיש תמיכה בפרמטר, והסמל מציין שאין תמיכה בפרמטר.

שילוב פרמטרים של טירגוט תמיכה במדיניות חומת אש תמיכה בסוגי טירגוט של כללים
היררכי רשת גלובלית רשת אזורית INSTANCES INTERNAL_MANAGED_LB
שילוב של משאבי רשת VPC וחשבונות שירות של היעד

כלל שמשתמש גם בפרמטר target-resources וגם בפרמטר target-service-accounts.

השילוב הזה מצמצם את יעדי המכונות הרחבים ביותר לממשקי רשת של מכונות וירטואליות, שכל אחד מהם עומד בשני הקריטריונים הבאים:

  • הממשק נמצא לפחות באחת מרשתות ה-VPC שצוינו ב-target-resources.
  • הממשק שייך למכונה וירטואלית שמשויכת לפחות לאחד מחשבונות השירות שצוינו.
שילוב של משאבי רשת VPC וערכי תגים מאובטחים

כלל שמשתמש גם בפרמטר target-resources וגם בפרמטר target-secure-tags. ערכי התגים חייבים להגיע ממפתח תג שהערך של purpose-data שלו הוא organization=auto.

השילוב הזה מצמצם את יעדי המכונות הרחבים ביותר לממשקי רשת של מכונות וירטואליות, שכל אחד מהם עומד בשני הקריטריונים הבאים:

  • הממשק נמצא לפחות באחת מרשתות ה-VPC שצוינו ב-target-resources.
  • הממשק שייך ל-VM שמקושר לערך התג.

הפורמט של כללי העברה לטירגוט

כשמגדירים את סוג היעד של כלל חומת האש ל-INTERNAL_MANAGED_LB, הפרמטר target-forwarding-rules מקבל ערכים בפורמטים הבאים:

  • במאזני עומסים פנימיים אזוריים של אפליקציות (ALB) ובמאזני עומסי רשת פנימיים אזוריים בשרת proxy:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • במאזני עומסים פנימיים של אפליקציות (ALB) ובמאזני עומסי רשת פנימיים בשרת proxy, בשני המקרים בין אזורים:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

יעדים וכתובות IP לכללים של תעבורת נתונים נכנסת (ingress)

אם סוג היעד של כלל חומת האש מושמט או מוגדר כ-INSTANCES, הכלל חל על חבילות שמנותבות לממשקי הרשת של המכונות הווירטואליות המוגדרות כיעד.

  • אם כלל חומת האש לתעבורת נתונים נכנסת כולל טווח של כתובות IP, כתובת היעד של החבילה צריכה להתאים לאחד מהטווחים שהוגדרו במפורש.

  • אם כלל חומת האש לתעבורת נתונים נכנסת לא כולל טווח של כתובות IP של יעד, היעד של החבילה חייב להתאים לאחת מכתובות ה-IP הבאות של כל מכונה וירטואלית של יעד:

    • כתובת ה-IPv4 הפנימית הראשית שהוקצתה ל-NIC של המכונה.

    • כל טווחי כתובות ה-IP החלופיות שהוגדרו ב-NIC של המכונה.

    • כתובת ה-IPv4 החיצונית שמשויכת ל-NIC של המכונה.

    • אם IPv6 מוגדר ברשת המשנה, כל אחת מכתובות ה-IPv6 שהוקצו ל-NIC.

    • כתובת IP פנימית או חיצונית שמשויכת לכלל העברה שמשמש לאיזון עומסים של העברת סיגנל ללא שינוי, שבו המכונה היא קצה עורפי של מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי או של מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי.

    • כתובת IP פנימית או חיצונית שמשויכת לכלל העברה שמשמש להעברת פרוטוקולים, שבה המכונה מקושרת למכונת יעד.

    • כתובת IP בטווח היעד של נתיב סטטי בהתאמה אישית, שמשתמש במכונה (next-hop-instance או next-hop-address) כמכונה וירטואלית של הדילוג הבא.

    • כתובת IP בטווח היעד של מסלול סטטי בהתאמה אישית, שמשתמש במאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי (next-hop-ilb) בתור הצעד הבא, אם ה-VM הוא קצה עורפי של מאזן העומסים הזה.

אם מגדירים את סוג היעד של כלל חומת האש כ-INTERNAL_MANAGED_LB, צריך להשמיט את הפרמטר של היעד. כלל ההעברה של מאזן העומסים הפנימי של האפליקציות (ALB) או של מאזן עומסי הרשת הפנימי לשרת proxy מגדיר את כתובת היעד של ה-IP.

יעדים וכתובות IP לכללים של תעבורת נתונים יוצאת (egress)

אם משמיטים את סוג היעד של כלל חומת האש או מגדירים אותו כ-INSTANCES, הכלל חל על חבילות שנשלחות על ידי ממשקי הרשת של המכונות הווירטואליות המוגדרות כיעד.

  • אם במכונה הווירטואלית של היעד מושבתת האפשרות העברת IP (ברירת המחדל), המכונה הווירטואלית יכולה לשלוח רק חבילות עם המקורות הבאים:

    • כתובת ה-IPv4 הפנימית הראשית של כרטיס הרשת של המכונה.

    • כל טווח מוגדר של כתובות IP חלופיות ב-NIC של מכונה.

    • אם IPv6 מוגדר ברשת המשנה, כל אחת מכתובות ה-IPv6 שהוקצו ל-NIC.

    • כתובת IP פנימית או חיצונית שמשויכת לכלל העברה, לאיזון עומסים מסוג העברת סיגנל ללא שינוי או להעברת פרוטוקול. האפשרות הזו רלוונטית אם המכונה היא קצה עורפי של מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי, מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי, או אם מכונת יעד מפנה אליה.

    אם כלל חומת האש לתעבורת נתונים יוצאת כולל טווחי כתובות IP של מקור, המכונות הווירטואליות של היעד עדיין מוגבלות לכתובות ה-IP של המקור שצוינו קודם, אבל אפשר להשתמש בפרמטר מקור כדי לצמצם את המקורות. שימוש בפרמטר מקור בלי להפעיל העברת IP אף פעם לא מרחיב את קבוצת הכתובות האפשריות של מקורות החבילות.

    אם כלל חומת האש לתעבורת נתונים יוצאת לא כולל טווח של כתובות IP של מקור, כל כתובות ה-IP של המקור שצוינו קודם מותרות.

  • אם במכונה הווירטואלית המטורגטת מופעלת העברת IP, המכונה הווירטואלית יכולה לשלוח חבילות עם כתובות מקור שרירותיות. אפשר להשתמש בפרמטר המקור כדי להגדיר בצורה מדויקת יותר את קבוצת מקורות החבילות המותרים.

מקורות

ערכי הפרמטרים של המקור תלויים בכיוון של כלל חומת האש.

מקורות לכללים לתעבורת נתונים נכנסת (ingress)

בטבלה הבאה מפורטים הפרמטרים של המקור לכללי תעבורת נתונים נכנסת, כללי המדיניות של חומת האש שתומכים בכל פרמטר וסוגי היעדים של הכללים שתואמים לכל פרמטר. צריך לציין לפחות פרמטר מקור אחד. סימן וי מציין שיש תמיכה בפרמטר, והסמל מציין שאין תמיכה בפרמטר.

פרמטר המקור של כלל תעבורת הנתונים הנכנסת (ingress) תמיכה במדיניות חומת אש תמיכה בסוגי טירגוט של כללים
היררכי רשת גלובלית רשת אזורית INSTANCES INTERNAL_MANAGED_LB
טווחי כתובות IP של המקור

רשימה שמורכבת מכתובות IPv4 בפורמט CIDR או מכתובות IPv6 בפורמט CIDR. הרשימה מאוחסנת בתוך הכלל של מדיניות חומת האש עצמו.
קבוצות של כתובות מקור

אוספים לשימוש חוזר של כתובות IPv4 בפורמט CIDR או כתובות IPv6 בפורמט CIDR. הכלל של חומת האש מפנה לאוסף. מידע נוסף זמין במאמר קבוצות כתובות למדיניות חומת אש.
הגדרת ערכים של תגים מאובטחים במקור באמצעות מפתח תג עם נתוני מטרה ברשת

רשימה של ערך תג אחד או יותר ממפתח תג שנתוני המטרה שלו מציינים רשת VPC אחת. למידע נוסף, קראו את המאמרים תגים מאובטחים לחומות אש ואיך תגים מאובטחים של מקורות מרמזים על מקורות של חבילות.
העברת ערכי תגים מאובטחים ממפתח תג עם נתוני מטרת הארגון

רשימה של ערך אחד או יותר של תג ממפתח תג שמטרת הנתונים שלו היא organization=auto. למידע נוסף, קראו את המאמרים תגים מאובטחים לחומות אש ואיך תגים מאובטחים של מקורות מרמזים על מקורות של חבילות.
מיקומים גיאוגרפיים של המקור

רשימה של מיקום גיאוגרפי אחד או יותר של מקורות, שמצוינים כקודי מדינה או אזור בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
רשימות של מקורות ב-Google Threat Intelligence

רשימה של שם אחד או יותר של רשימות מוגדרות מראש של Google Threat Intelligence. מידע נוסף זמין במאמר Google Threat Intelligence למדיניות חומת אש.
הקשר של רשת המקור

אילוץ שמגדיר גבול אבטחה. הערכים התקינים תלויים בסוג היעד של הכלל. מידע נוסף זמין במאמר הקשרים של רשתות.
שילובים של מקורות לכללי תעבורת נתונים נכנסת (ingress)

בכלל כניסה אחד, אפשר להשתמש בשני פרמטרים או יותר של מקור כדי ליצור שילוב של מקורות. ‫Cloud NGFW אוכף את המגבלות הבאות על שילובי המקורות של כל כלל תעבורת נתונים נכנסת:

  • טווחי כתובות ה-IP של המקור חייבים להכיל CIDR של IPv4 או של IPv6, ולא שילוב של שניהם.
  • אי אפשר להשתמש בקבוצת כתובות מקור שמכילה טווחי CIDR של IPv4 עם קבוצת כתובות מקור שמכילה טווחי CIDR של IPv6.
  • אי אפשר להשתמש בטווח כתובות IP של מקור שמכיל כתובות IPv4 CIDR עם קבוצת כתובות מקור שמכילה כתובות IPv6 CIDR.
  • אי אפשר להשתמש בטווח כתובות IP של מקור שמכיל כתובות CIDR מסוג IPv6 עם קבוצת כתובות מקור שמכילה כתובות CIDR מסוג IPv4.
  • אי אפשר להשתמש בהקשר של רשת האינטרנט עם התגים המאובטחים של המקור.
  • אי אפשר להשתמש בהקשרים שאינם אינטרנט, בהקשרים של רשתות VPC ובהקשרים בין רשתות VPC עם רשימות של מקורות Google Threat Intelligence או עם מיקומים גיאוגרפיים של מקורות.

‫Cloud NGFW מיישם את הלוגיקה הבאה כדי להתאים את חבילות הנתונים לכלל תעבורת נתונים נכנסת שמשתמש בשילוב מקורות:

  • אם שילוב המקורות לא כולל הקשר של רשת מקור, החבילות תואמות לכלל התעבורה הנכנסת אם הן תואמות לפרמטר מקור אחד לפחות בשילוב המקורות.

  • אם שילוב המקורות כולל הקשר של רשת מקור, החבילות תואמות לכלל ה-ingress אם הן תואמות להקשר של רשת המקור וגם לפחות לאחד מהפרמטרים האחרים של המקור בשילוב המקורות.

איך תגי אבטחה של מקורות מרמזים על מקורות של חבילות

כלל חומת אש לתעבורת נתונים נכנסת יכול להשתמש בערכים של תגי אבטחה כמקור, אם סוג היעד שלו מושמט או מוגדר כ-INSTANCES. ערכי תגים מאובטחים מזהים ממשקי רשת, ולא מאפייני חבילות כמו כתובות IP.

חבילות שנשלחות מממשק רשת של מכונה וירטואלית תואמות לכלל תעבורת נתונים נכנסת שמשתמש בערך של תג אבטחה במקור, בהתאם לכללים הבאים:

  • אם כלל התעבורה הנכנסת נמצא במדיניות רשת אזורית, המכונה הווירטואלית צריכה להיות ממוקמת באזור שבו נמצאת מדיניות חומת האש של הרשת האזורית. אחרת, המכונה הווירטואלית יכולה להיות בכל אזור.

  • מכונת ה-VM צריכה להיות משויכת לאותו ערך של תג מאובטח שמשמש כתג מאובטח של מקור בכלל חומת אש לתעבורת נתונים נכנסת.

  • ערך התג המאובטח שמשויך למכונה הווירטואלית ומשמש את כלל חומת האש לתעבורת נתונים נכנסת, חייב להגיע ממפתח תג שהמאפיין purpose-data שלו מזהה לפחות רשת VPC אחת שמכילה ממשק רשת של המכונה הווירטואלית:

    • אם נתוני המטרה של מפתח התג מציינים רשת VPC אחת, כללי חומת האש לתעבורת נתונים נכנסת שמשתמשים בערך של תג האבטחה של המקור חלים על ממשקי הרשת של המכונה הווירטואלית שנמצאים באותה רשת VPC.

    • אם נתוני המטרה של מפתח התג מציינים את הארגון, כללי חומת האש לתעבורת נתונים נכנסת שמשתמשים בערך של תג האבטחה של המקור חלים על ממשקי הרשת של המכונה הווירטואלית שנמצאים בכל רשת VPC של הארגון.

  • ממשק הרשת של המכונה הווירטואלית שזוהה צריך לעמוד באחד מהקריטריונים הבאים:

    • ממשק הרשת של המכונה הווירטואלית נמצא באותה רשת VPC שאליה חלה מדיניות חומת האש.

    • ממשק הרשת של ה-VM נמצא ברשת VPC שמחוברת, באמצעות קישור בין רשתות VPC שכנות, לרשת ה-VPC שעליה חלה מדיניות חומת האש.

    • רשת ה-VPC שמשמשת את ממשק הרשת של ה-VM ורשת ה-VPC שעליה חלה מדיניות חומת האש הן שתיהן רשתות VPC מסועפות באותו מרכז של Network Connectivity Center.

למידע נוסף על תגים מאובטחים לחומות אש, קראו את המפרט.

מקורות לכללים לתעבורת נתונים יוצאת (egress)

אפשר להשתמש במקורות הבאים לכללי תעבורת נתונים יוצאת, גם במדיניות היררכית של חומת אש וגם במדיניות של חומת אש ברמת הרשת:

  • ברירת מחדל – משתמעת מהיעד: אם משמיטים את פרמטר המקור מכלל תעבורת נתונים יוצאת, מקורות חבילות הנתונים מוגדרים באופן משתמע, כפי שמתואר בקטע יעדים וכתובות IP לכללי תעבורת נתונים יוצאת.

  • ‫Source IPv4 address ranges: רשימה של כתובות IPv4 בפורמט CIDR.

  • טווחי כתובות IPv6 של מקור: רשימה של כתובות IPv6 בפורמט CIDR.

כדי להוסיף טווחים של כתובות IP של מקור לכללי תעבורת נתונים יוצאת (egress), צריך לפעול לפי ההנחיות הבאות:

  • אם לממשק רשת של מכונה וירטואלית מוקצית כתובת IPv4 חיצונית, או אם אין לו כתובת IPv4 חיצונית אבל הוא משתמש בשער Cloud NAT, הערכת חומת האש לתעבורת נתונים יוצאת מתרחשת לפני ש- Google Cloud משנה את המקור של החבילה היוצאת מכתובת IPv4 פנימית לכתובת IPv4 חיצונית. כדי להחיל כלל חומת אש לתעבורת נתונים יוצאת, צריך להשמיט את הפרמטר Source או לכלול את כתובת ה-IPv4 הפנימית של ממשק הרשת של המכונה הווירטואלית בפרמטר Source.

  • אם יש לכם טווח של כתובות IP של מקור ופרמטרים של יעד בכלל התעבורה היוצאת, הפרמטרים של היעד יומרו לאותה גרסת IP כמו גרסת ה-IP של המקור.

יעדים

ערכי הפרמטרים של היעד תלויים בכיוון של כלל חומת האש.

יעדים לכללים לתעבורת נתונים נכנסת (ingress)

אפשר להשתמש ביעדים הבאים לכללי חומת אש של תעבורת נתונים נכנסת, גם במדיניות היררכית של חומת אש וגם במדיניות של חומת אש ברשת:

  • ברירת מחדל – משתמעת מהיעד: אם משמיטים את פרמטר היעד מכלל תעבורת הנתונים הנכנסת, יעדי החבילות מוגדרים באופן משתמע, כפי שמתואר בקטע יעדים וכתובות IP לכללי תעבורת נתונים נכנסת.

  • ‫Destination IPv4 address ranges: רשימה של כתובות IPv4 בפורמט CIDR. אי אפשר להשתמש בפרמטר הזה אם מגדירים את סוג היעד של כלל חומת האש כ-INTERNAL_MANAGED_LB.

  • Destination IPv6 address ranges: רשימה של כתובות IPv6 בפורמט CIDR. אי אפשר להשתמש בפרמטר הזה אם מגדירים את סוג היעד של כלל חומת האש כ-INTERNAL_MANAGED_LB.

כדי להוסיף טווחים של כתובות IP של יעדים לכללי תעבורת נתונים נכנסת, צריך לפעול לפי ההנחיות הבאות:

  • אם לממשק רשת של מכונה וירטואלית מוקצית כתובת IPv4 חיצונית, או אם אין לו כתובת IPv4 חיצונית אבל הוא משתמש בשער Cloud NAT, הערכת חומת האש של תעבורת הנתונים הנכנסת מתרחשת אחרי ש- Google Cloud משנה את היעד של החבילה הנכנסת מכתובת IPv4 חיצונית לכתובת IPv4 פנימית. כדי להחיל כלל חומת אש לתעבורת נתונים נכנסת, צריך להשמיט את הפרמטר Destination או לכלול את כתובת ה-IPv4 הפנימית של ממשק הרשת של המכונה הווירטואלית בפרמטר Destination.

  • אם הגדרתם גם פרמטרים של מקור וגם פרמטרים של יעד בכלל תעבורת נתונים נכנסת, הפרמטרים של המקור יומרו לאותה גרסת IP כמו גרסת ה-IP של היעד. למידע נוסף על הגדרת מקור לכללי תעבורת נתונים נכנסת, ראו מקורות לכללי תעבורת נתונים נכנסת במדיניות היררכית של חומת אש ומקורות לכללי תעבורת נתונים נכנסת במדיניות של חומת אש ברשת.

    לדוגמה, בכלל תעבורת נתונים נכנסת, יש לכם טווח כתובות IPv6 בפרמטר היעד וקוד מדינה של מיקום גיאוגרפי בפרמטר המקור. במהלך אכיפת הכלל, רק כתובת ה-IPv6 הממופה משמשת לקוד המדינה שצוין כמקור.

יעדים לכללים של תעבורת נתונים יוצאת (egress)

בטבלה הבאה מפורטים הפרמטרים של היעד לכללי תעבורת נתונים יוצאת, כללי המדיניות של חומת האש שתומכים בכל פרמטר וסוגי היעדים של הכללים שתואמים לכל פרמטר. צריך לציין לפחות פרמטר יעד אחד. סימן וי מציין שיש תמיכה בפרמטר, והסמל מציין שאין תמיכה בפרמטר.

פרמטר היעד של כלל תעבורת הנתונים היוצאת (egress) תמיכה במדיניות חומת אש תמיכה בסוגי טירגוט של כללים
היררכי רשת גלובלית רשת אזורית INSTANCES INTERNAL_MANAGED_LB
טווחי כתובות IP של היעד

רשימה שמורכבת מכתובות IPv4 בפורמט CIDR או מכתובות IPv6 בפורמט CIDR. הרשימה מאוחסנת בתוך הכלל של מדיניות חומת האש עצמו.
קבוצות של כתובות יעד

אוספים לשימוש חוזר של כתובות IPv4 בפורמט CIDR או כתובות IPv6 בפורמט CIDR. הכלל של מדיניות חומת האש מפנה לאוסף. מידע נוסף זמין במאמר קבוצות כתובות למדיניות חומת אש.
מיקומים גיאוגרפיים של היעד

רשימה של מיקום גיאוגרפי אחד או יותר של מקורות, שמצוינים כקודים של מדינות או אזורים בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
רשימות של יעדים ב-Google Threat Intelligence

רשימה של שם אחד או יותר של רשימות מוגדרות מראש של Google Threat Intelligence. מידע נוסף זמין במאמר Google Threat Intelligence למדיניות חומת אש.
הקשר של רשת היעד

אילוץ שמגדיר גבול אבטחה.
שילובים של יעדים בכללים לתעבורת נתונים יוצאת (egress)

בכלל תעבורת נתונים יוצאת אחד, אפשר להשתמש בשני פרמטרים או יותר של יעד כדי ליצור שילוב של יעדים. ‫Cloud NGFW אוכף את המגבלות הבאות על שילובי היעדים של כל כלל תעבורת נתונים יוצאת:

  • טווחי כתובות ה-IP של היעד חייבים להכיל CIDR של IPv4 או של IPv6, ולא שילוב של שניהם.
  • אי אפשר להשתמש בקבוצת כתובות יעד שמכילה טווחי CIDR של IPv4 עם קבוצת כתובות יעד שמכילה טווחי CIDR של IPv6.
  • אי אפשר להשתמש בטווח כתובות IP של יעד שמכיל כתובות IPv4 CIDR עם קבוצת כתובות יעד שמכילה כתובות IPv6 CIDR.
  • אי אפשר להשתמש בטווח כתובות IP של יעד שמכיל כתובות CIDR מסוג IPv6 עם קבוצת כתובות יעד שמכילה כתובות CIDR מסוג IPv4.
  • אי אפשר להשתמש ברשימות של Google Threat Intelligence או במיקומים גיאוגרפיים כיעד, אם היעד הוא הקשר של רשת שאינה באינטרנט.

‫Cloud NGFW מיישם את הלוגיקה הבאה כדי להתאים את חבילות הנתונים לכלל תעבורת נתונים יוצאת שמשתמש בשילוב של יעדים:

  • אם שילוב היעדים לא כולל הקשר של רשת יעד, החבילות תואמות לכלל תעבורת הנתונים היוצאת אם הן תואמות לפרמטר יעד אחד לפחות בשילוב היעדים.

  • אם שילוב היעדים כולל הקשר של רשת יעד, החבילות תואמות לכלל התעבורה היוצאת אם הן תואמות להקשר של רשת היעד וגם לפחות לאחד מהפרמטרים האחרים של היעד בשילוב היעדים.

המאמרים הבאים