ファイアウォール ポリシー ルールのコンポーネント

このドキュメントでは、通常の Virtual Private Cloud（VPC）ネットワークに適用される階層型、グローバル、リージョンのファイアウォール ポリシーで構成するファイアウォール ポリシー ルールのコンポーネントについて説明します。これらのコンポーネントには、方向、送信元、宛先、レイヤ 4 特性（プロトコルなど。プロトコルがポートを使用する場合は宛先ポート）が含まれます。

Google Cloud のファイアウォール ポリシー ルールを使用すると、トラフィックを制御してセキュリティと運用効率を向上させることができます。ファイアウォール ポリシールールを作成するときは、ルールの動作を定義するコンポーネントを指定します。各ファイアウォール ポリシー ルールは、受信（上り、内向き）接続または送信（下り、外向き）接続のいずれかに適用されますが、両方には適用されません。

Remote Direct Memory Access（RDMA）over Converged Ethernet（RoCE）などの特殊なハイパフォーマンス ネットワーク プロファイルの場合、ファイアウォール ポリシールールの機能と構成は通常のネットワークとは異なります。RDMA ネットワーク プロファイルのファイアウォール ルールの詳細については、RoCE VPC ネットワーク用の Cloud NGFW をご覧ください。

このドキュメントは、ファイアウォール ポリシールールを構成して管理するネットワーク管理者とセキュリティ エンジニアを対象としています。

優先度

ファイアウォール ポリシー内の各ルールには一意の優先度が必要です。

ファイアウォール ポリシールールに優先度を割り当てる場合は、次のガイドラインを考慮してください。

  • 優先度は 0～2,147,483,547（両端を含む）の整数です。
  • ファイアウォール ポリシーでは、すべてのルールに一意の優先度番号が必要です。ファイアウォール ポリシーのルールには名前がありません。
  • 優先度番号 0 が最も優先度が高く、2,147,483,547 が最も低くなります。数字が大きくなるほど優先度は低くなります。ファイアウォール ポリシーで、パケットが複数のルールに一致する場合、優先度が最も高い一致ルールのみが適用されます。

次の例では、VPC ネットワークに関連付けられたグローバル ネットワーク ファイアウォール ポリシーに 2 つのファイアウォール ポリシールールが存在します。

  • すべてのターゲット、すべてのプロトコル、すべての送信先ポートに適用可能で、送信元が 0.0.0.0/0（任意の IPv4 アドレス）の上り（内向き）ルール。アクションは deny で、優先度は 1000 です。

  • TCP 80 のトラフィックで、セキュアタグ tagKeys/123/tagValues/456（タグキー shortName role とタグ値 webserver）を持つ特定のターゲットに適用可能な、送信元が 0.0.0.0/0（任意の IPv4 アドレス）の上り（内向き）ルール。アクションは allow です。

2 番目のルールの優先度によって、ポート 80 への TCP トラフィックが webserver ターゲットに対して許可されるかどうかが決まります。

  • 2 番目のルールの優先度が 1000 よりも大きい数値に設定された場合、優先度が低いため、すべてのトラフィックを拒否する最初のルールが適用されます。

  • 2 番目のルールの優先度が 1000 よりも小さい数値に設定された場合、優先度が高くなります。TCP 80 で webserver に到着したパケットは、最初に 2 番目のルールと一致します。トラフィックが許可され、ファイアウォールは他のルールの検索を停止します。この特定のパケットに対して最初のルールはチェックされません。

上記の例は、優先度を使用して個別の allow ルールとグローバルな deny ルールを作成し、最小権限のセキュリティに関するベスト プラクティスの実装方法を示しています。

一致したときのアクション

ファイアウォール ポリシーのルールは、次のアクションのいずれかを実行できます。

アクション パラメータ 説明
allow

新しい接続のパケットを許可します。一致するルールを含むファイアウォール ポリシー内のルールの評価を停止します。他のファイアウォール ルールは評価されません。

ルールの方向に関係なく、パケット プロトコルとファイアウォール ポリシー タイプが接続トラッキングをサポートしている場合、許可ルールは、上り（内向き）パケットと下り（外向き）パケットの両方を許可するファイアウォール接続トラッキング テーブル エントリを作成します。
deny

新しい接続のパケットを許可しません。一致するルールを含むファイアウォール ポリシー内のルールの評価を停止します。他のファイアウォール ルールは評価されません。

Cloud NGFW は、ファイアウォール ルールを評価する前に、ファイアウォール接続トラッキング テーブルのエントリを常に確認します。したがって、許可ルールによって接続トラッキング テーブルのエントリが作成された場合、その接続トラッキング テーブルのエントリが優先されます。
apply_security_profile_group

新しい接続のパケットをインターセプトし、ファイアウォール エンドポイントまたは インターセプト エンドポイント グループに送信します。一致するルールを含むファイアウォール ポリシー内のルールの評価を停止します。他のファイアウォール ルールは評価されません。

ルールの方向に関係なく、パケット プロトコルとファイアウォール ポリシー タイプが接続トラッキングをサポートしている場合、apply_security_profile_group アクションを含むルールはファイアウォール接続トラッキング テーブル エントリを作成します。これにより、上り（内向き）パケットと下り（外向き）パケットの両方がファイアウォール エンドポイントまたはインターセプト エンドポイント グループによってインターセプトされます。

リージョン ネットワーク ファイアウォール ポリシーまたはリージョン システム ファイアウォール ポリシーで apply_security_profile_group アクションを使用することはできません。

apply_security_profile_group アクションには、ルールのターゲティング タイプに応じて特別な要件があります。詳細については、ターゲットをご覧ください。
goto_next

ファイアウォール ポリシー内の他のルールの評価を停止し、 ファイアウォール ポリシーとルールの評価順序の次のステップでルールを評価します。

ファイアウォール ポリシーとルールの評価順序の次のステップは、別のファイアウォール ポリシーまたは暗黙のファイアウォール ルールの評価です。

適用

ルールの状態を有効または無効に設定することで、ファイアウォール ポリシー ルールを適用するかどうかを選択できます。ルールの作成時またはルールの更新時に適用状態を設定します。

新しいファイアウォール ルールを作成するときに適用状態を設定しない場合、ファイアウォール ルールは自動的に有効になります。

プロトコルとポート

ファイアウォール ポリシー ルールは、プロトコルとポートの制約をレイヤ 4 構成リストに保存します。レイヤ 4 構成情報を省略すると、ファイアウォール ポリシールールはすべてのプロトコルとすべての宛先ポートに適用されます。

リスト内の各レイヤ 4 構成では、次のいずれかを指定できます。

  • tcp などの IP プロトコル名、または 17 などの IANA IP プロトコル番号。宛先ポートは指定しません。

    • IP プロトコル名として tcp、udp、icmp（IPv4 ICMP の場合）、esp、ah、sctp、ipip を使用できます。
    • 他のすべてのプロトコルには、IANA プロトコル番号を使用します。ほとんどのプロトコルでは IPv4 と IPv6 の両方で同じ名前と番号が使用されますが、ICMP などの一部のプロトコルでは使用されません。IPv4 ICMP を指定するには、icmp またはプロトコル番号 1 を使用します。IPv6 ICMP を指定するには、プロトコル番号 58 を使用します。ファイアウォール ポリシールールは、IPv6 ホップバイホップ プロトコルをサポートしていません。

  • 有効な IP プロトコル名と宛先ポート情報の組み合わせ。

    • 有効な IP プロトコルは、tcp や udp などの宛先ポートを使用するプロトコルです。
    • 宛先ポートを指定するには、1 つのプロトコル名を含める必要があります。プロトコル名は、単一の宛先ポート番号または宛先ポート範囲で指定できます。

レイヤ 4 構成では、次の機能はサポートされていません。

  • 送信元ポートを使用するプロトコル（tcp、udp など）の送信元ポート情報

  • ICMP のタイプとコード。

ファイアウォール ポリシー ルールのターゲット タイプを INTERNAL_MANAGED_LB に設定すると、次の追加の制限が適用されます。

  • TCP プロトコル（tcp または IANA IP プロトコル番号 6）のみを指定する必要があります。
  • ロードバランサの転送ルールで宛先ポートが定義されているため、宛先ポート情報は省略する必要があります。

ロギング

ファイアウォール ポリシールールのロギングは、VPC ファイアウォール ルールのロギングと同じように機能しますが、次の点が異なります。

  • 参照フィールドには、ファイアウォール ポリシー ID と、ポリシーが接続されているリソースのレベルを示す番号が含まれます。たとえば、0 は組織に適用されていることを意味します。1 はポリシーが組織の最上位フォルダに適用されていることを意味します。

  • ファイアウォール ポリシーのログには、ルールが適用される VPC ネットワークを識別する target_resource フィールドが含まれています。

  • ロギングを有効にできるルールは allow、deny、apply_security_profile_group のみです。goto_next ルールで有効にすることはできません。

  • apply_security_profile_group アクションを使用するルールのロギングを有効にすると、Cloud NGFW はトラフィック セッションをインターセプトし、ディープ パケット インスペクションのためにトラフィックをファイアウォール エンドポイントにリダイレクトするときに、単一のログエントリを生成します。このログエントリは、ファイアウォール ルールがトラフィックに一致し、ファイアウォール エンドポイントに正常にリダイレクトされたことを確認します。詳細については、ファイアウォール ポリシールールのロギングの概要をご覧ください。

  • ファイアウォール エンドポイントは、侵入検知および防止サービスや URL フィルタリング サービスなどの詳細なパケット検査を実行し、独自のログセットを生成します。これらのログには、インターセプトされたセッション内の接続に関する詳細情報が記録され、検出された脅威や URL フィルタリング アクションが一覧表示されます。これらのディープ パケット インスペクション ログでは、セッションごとに複数のログエントリが生成されることがあります。

ターゲット、ソース、宛先

target、source、destination パラメータは連携して動作し、ファイアウォール ルールのスコープを決定します。

  • ターゲット パラメータ: ファイアウォール ルールが適用されるリソースを識別します。

  • 送信元と宛先のパラメータ: トラフィックの条件を定義します。上り（内向き）ルールと下り（外向き）ルールの両方を指定できます。source パラメータと destination パラメータの有効なオプションは、target パラメータとファイアウォール ルールの方向によって異なります。

ターゲット

ターゲティング タイプ パラメータと 1 つ以上のターゲット パラメータは、ファイアウォール ルールのターゲットを定義します。ファイアウォール ルールのターゲットは、ファイアウォール ルールが保護するリソースです。

  • ターゲット タイプを省略するか、INSTANCES に設定すると、ファイアウォール ルールは、Google Kubernetes Engine（GKE）ノードや App Engine フレキシブル環境インスタンスなどの Compute Engine インスタンスのネットワーク インターフェースに適用されます。上り（内向き）ルールと下り（外向き）ルールの両方がサポートされています。

    ファイアウォール ルールが適用される VM ネットワーク インターフェースを指定するには、ターゲット パラメータを使用します。

  • ターゲット タイプを INTERNAL_MANAGED_LB に設定すると、ファイアウォール ルールは、内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサのトラフィックを処理するマネージド Envoy プロキシに適用されます。

    • ターゲット転送ルールパラメータを省略すると、ファイアウォール ルールは最も広範なロードバランサ ターゲットに適用されます。

    • ファイアウォール ルールを 1 つのロードバランサに制限するには、ターゲット転送ルール パラメータを使用します。セキュアタグやサービス アカウントなど、他の特定のターゲット パラメータは使用できません。詳細については、特定のターゲットとターゲット転送ルールの形式をご覧ください。

      グローバル ネットワーク ファイアウォール ポリシーのルールのターゲット タイプが INTERNAL_MANAGED_LB に設定され、アクションが apply_security_profile_group に設定されている場合は、ターゲット転送ルール パラメータを使用して、ルールを単一のクロスリージョン内部アプリケーション ロードバランサに制限する必要があります。

    • ターゲット タイプが INTERNAL_MANAGED_LB に設定されているファイアウォール ルールには、次の制限があります。

      • ルールは上り（内向き）ルールである必要があります。

      • ロードバランサの転送ルールで宛先 IP アドレスが定義されているため、ルールの destination パラメータを省略する必要があります。

      • ルールのレイヤ 4 構成では、TCP プロトコル（tcp または IANA IP プロトコル番号 6）のみを指定する必要があります。ロードバランサの転送ルールで宛先ポートが定義されているため、宛先ポートは省略する必要があります。

      • 内部アプリケーション ロードバランサまたは内部プロキシ ネットワーク ロードバランサの転送ルールを削除する際に、そのルールをターゲットとするファイアウォール ルールを削除する必要はありません。ターゲット転送ルールは、名前ではなく ID でファイアウォール ルールにバインドされます。同じ名前で新しい転送ルールを作成しても、ファイアウォール ルールは新しい転送ルールに自動的に再バインドされません。ファイアウォール ルールを再適用するには、新しい転送ルールを参照するようにルールを更新する必要があります。

最も広範なインスタンス ターゲット

最も広範なインスタンス ターゲットは、ファイアウォール ポリシーのタイプによって異なります。

  • 階層型ファイアウォール ポリシーのルールの最も広範なインスタンス ターゲット: 階層型ファイアウォール ポリシーに関連付けられた Resource Manager ノード（フォルダまたは組織）内のプロジェクトにある VPC ネットワークの任意のリージョンのサブネット内のすべての VM ネットワーク インターフェース。

  • グローバル ネットワーク ファイアウォール ポリシーのルールの最も広範なインスタンス ターゲット: グローバル ネットワーク ファイアウォール ポリシーに関連付けられている VPC ネットワークの任意のリージョンにあるサブネット内のすべての VM ネットワーク インターフェース。

  • リージョン ネットワーク ファイアウォール ポリシーのルールの最も広範なインスタンス ターゲット: リージョン ネットワーク ファイアウォール ポリシーに関連付けられているリージョンと VPC ネットワーク内のサブネット内のすべての VM ネットワーク インターフェース。

最も幅広いロードバランサ ターゲット

最も広範なロードバランサ ターゲットは、次のファイアウォール ポリシー タイプによって異なります。

  • グローバル ネットワーク ファイアウォール ポリシーのルールの最も広範なロードバランサ ターゲット: グローバル ネットワーク ファイアウォール ポリシーに関連付けられている VPC ネットワークの任意のリージョンのサブネット内の内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサのすべての転送ルール。

  • リージョン ネットワーク ファイアウォール ポリシーのルールで最も広範なロードバランサ ターゲット: リージョン ネットワーク ファイアウォール ポリシーに関連付けられているリージョンと VPC ネットワーク内のサブネット内の内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサのすべての転送ルール。

特定のターゲット

次の表に、ターゲット パラメータ、各パラメータのルールをサポートするファイアウォール ポリシー、サポートされているルール ターゲット タイプを示します。ターゲット パラメータを指定しない場合、ルールは、ルールのターゲティング タイプに基づいて、最も広範なインスタンス ターゲットまたは最も広範なロードバランサ ターゲットを使用します。 チェックマークは、パラメータがサポートされていることを示します。 記号は、パラメータがサポートされていないことを示します。

target パラメータ ファイアウォール ポリシーのサポート ルール ターゲティング タイプのサポート
階層的 グローバルなネットワーク リージョン ネットワーク INSTANCES INTERNAL_MANAGED_LB
ターゲット VPC ネットワーク リソース

target-resources パラメータを使用して指定された 1 つ以上の VPC ネットワークのリスト。このリストにより、最も広範なインスタンス ターゲットが、指定された VPC ネットワークの少なくとも 1 つに存在する VM ネットワーク インターフェースに絞り込まれます。
ターゲット サービス アカウント

target-service-accounts パラメータを使用して指定された 1 つ以上のサービス アカウントのリスト。このリストにより、最も広範なインスタンス ターゲットが、指定されたサービス アカウントの少なくとも 1 つに関連付けられている VM インスタンスに属する VM ネットワーク インターフェースに絞り込まれます。
ネットワーク目的のデータを含むタグキーのターゲット セキュアタグ値

purpose-data で単一の VPC ネットワークを指定するタグキーの 1 つ以上のタグ値のリストを含む target-secure-tags パラメータを使用するルール。

このリストにより、最も広範なインスタンス ターゲットが、次の両方の条件を満たす VM ネットワーク インターフェースに絞り込まれます。

  • インターフェースは、タグキーの purpose-data と一致する VPC ネットワーク内にあります。
  • インターフェースは、タグ値にバインドされている VM に属しています。

詳細については、ファイアウォールのセキュアタグをご覧ください。
組織目的のデータを含むタグキーからセキュアタグ値をターゲットにする

purpose-data が organization=auto であるタグキーの 1 つ以上のタグ値のリストを含む target-secure-tags パラメータを使用するルール。

このリストにより、最も広範なインスタンス ターゲットが、次の両方の条件を満たす VM ネットワーク インターフェースに絞り込まれます。

  • インターフェースは、組織の任意の VPC ネットワークにあります。
  • インターフェースは、タグ値にバインドされている VM に属しています。

詳細については、ファイアウォールのセキュアタグをご覧ください。
ターゲット転送ルール

ターゲット転送ルールの形式で指定された、内部アプリケーション ロードバランサまたは内部プロキシ ネットワーク ロードバランサの単一の転送ルール。このパラメータは、最も広範なロードバランサ ターゲットを特定の内部アプリケーション ロードバランサまたは内部プロキシ ネットワーク ロードバランサに絞り込みます。

特定のターゲットの組み合わせ

target-resources パラメータをサポートするルールでは、このパラメータを別のターゲット パラメータと組み合わせて、ターゲット パラメータの組み合わせを作成できます。次の表に、サポートされているターゲット パラメータの組み合わせ、各パラメータのルールをサポートするファイアウォール ポリシー、サポートされているルール ターゲット タイプを示します。ターゲット パラメータを指定しない場合、ルールは、ルールのターゲティング タイプに基づいて、最も広範なインスタンス ターゲットまたは最も広範なロードバランサ ターゲットを使用します。

チェックマークはパラメータがサポートされていることを示し、 記号はパラメータがサポートされていないことを示します。

ターゲット パラメータの組み合わせ ファイアウォール ポリシーのサポート ルール ターゲティング タイプのサポート
階層的 グローバルなネットワーク リージョン ネットワーク INSTANCES INTERNAL_MANAGED_LB
ターゲット VPC ネットワーク リソースとターゲット サービス アカウントの組み合わせ

target-resources パラメータと target-service-accounts パラメータの両方を使用するルール。

この組み合わせにより、最も広範なインスタンス ターゲットが、次の両方の条件を満たす VM ネットワーク インターフェースに絞り込まれます。

  • インターフェースは、target-resources で指定された VPC ネットワークの少なくとも 1 つにあります。
  • インターフェースは、指定されたサービス アカウントの少なくとも 1 つに関連付けられている VM インスタンスに属しています。
ターゲット VPC ネットワーク リソースとターゲット セキュアタグ値の組み合わせ

target-resources パラメータと target-secure-tags パラメータの両方を使用するルール。タグ値は、purpose-data が organization=auto であるタグキーから取得する必要があります。

この組み合わせにより、最も広範なインスタンス ターゲットが、次の両方の条件を満たす VM ネットワーク インターフェースに絞り込まれます。

  • インターフェースが、target-resources で指定された VPC ネットワークの少なくとも 1 つに存在する。
  • インターフェースは、タグ値にバインドされている VM に属しています。

ターゲット転送ルールの形式

ファイアウォール ルールのターゲット タイプを INTERNAL_MANAGED_LB に設定すると、target-forwarding-rules パラメータは次の形式の値を受け入れます。

  • リージョン内部アプリケーション ロードバランサとリージョン内部プロキシ ネットワーク ロードバランサの場合:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • クロスリージョン内部アプリケーション ロードバランサとクロスリージョン内部プロキシ ネットワーク ロードバランサの場合:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

上り（内向き）ルールのターゲットと IP アドレス

ファイアウォール ルールのターゲット タイプが省略されているか、INSTANCES に設定されている場合、ルールはターゲット VM のネットワーク インターフェースにルーティングされるパケットに適用されます。

  • 上り（内向き）ファイアウォール ルールに宛先 IP アドレス範囲が含まれている場合、パケットの宛先は、明示的に定義された宛先 IP アドレス範囲のいずれかに一致する必要があります。

  • 上り（内向き）ファイアウォール ルールに宛先 IP アドレス範囲が含まれていない場合、パケットの宛先は、各ターゲット VM の次のいずれかの IP アドレスと一致する必要があります。

    • インスタンスの NIC に割り振られているプライマリ内部 IPv4 アドレス。

    • インスタンスの NIC に構成されているエイリアス IP アドレス範囲。

    • インスタンスの NIC に関連付けられている外部 IPv4 アドレス。

    • IPv6 がサブネットで構成されている場合、NIC に割り当てられた IPv6 アドレス。

    • パススルー ロード バランシングに使用される転送ルールに関連付けられた内部または外部 IP アドレス。インスタンスは、内部パススルー ネットワーク ロードバランサまたは外部パススルー ネットワーク ロードバランサのバックエンドです。

    • プロトコル転送に使用される転送ルールに関連付けられた内部または外部 IP アドレス。インスタンスはターゲット インスタンスによって参照されます。

    • インスタンスをネクストホップ VM（next-hop-instance または next-hop-address）として使用するカスタム静的ルートの送信先範囲内の IP アドレス。

    • VM が内部パススルー ネットワーク ロードバランサのバックエンドの場合、ネクストホップとしてそのロードバランサ（next-hop-ilb）を使用するカスタム静的ルートの宛先範囲内の IP アドレス。

ファイアウォール ルールのターゲット タイプを INTERNAL_MANAGED_LB に設定する場合は、宛先パラメータを省略する必要があります。内部アプリケーション ロードバランサまたは内部プロキシ ネットワーク ロードバランサの転送ルールは、宛先 IP アドレスを定義します。

下り（外向き）ルールのターゲットと IP アドレス

ファイアウォール ルールのターゲット タイプが省略されているか、INSTANCES に設定されている場合、ルールはターゲット VM のネットワーク インターフェースから送信されるパケットに適用されます。

  • ターゲット VM で IP 転送が無効になっている場合（デフォルト）、VM は次の送信元を含むパケットのみを送信できます。

    • インスタンスの NIC のプライマリ内部 IPv4 アドレス。

    • インスタンスの NIC に構成されたエイリアス IP アドレス範囲。

    • IPv6 がサブネットで構成されている場合、NIC に割り当てられた IPv6 アドレス。

    • パススルー ロード バランシングまたはプロトコル転送の場合、転送ルールに関連付けられた内部または外部 IP アドレス。これは、インスタンスが内部パススルー ネットワーク ロードバランサのバックエンドか、外部パススルー ネットワーク ロードバランサか、あるいはターゲット インスタンスから参照されている場合に有効になります。

    下り（外向き）ファイアウォール ルールに送信元 IP アドレス範囲が含まれている場合でも、ターゲット VM は前述の送信元 IP アドレスに制限されますが、source パラメータを使用して送信元を絞り込むことができます。IP 転送を有効にせずに送信元パラメータを使用しても、パケットの送信元アドレスのセットは展開されません。

    下り（外向き）ファイアウォール ルールに送信元 IP アドレス範囲が含まれていない場合、前述のすべての送信元 IP アドレスが許可されます。

  • ターゲット VM で IP 転送が有効になっている場合、VM は任意の送信元アドレスを持つパケットを送信できます。source パラメータを使用すると、許可されるパケットの送信元のセットをより正確に定義できます。

送信元

source パラメータ値は、ファイアウォール ルールの方向によって異なります。

上り（内向き）ルールの送信元

次の表に、上り（内向き）ルールのソース パラメータ、各パラメータをサポートするファイアウォール ポリシー、各パラメータと互換性のあるルール ターゲット タイプを示します。少なくとも 1 つのソース パラメータを指定する必要があります。 チェックマークは、パラメータがサポートされていることを示します。 記号は、パラメータがサポートされていないことを示します。

上り（内向き）ルールの送信元パラメータ ファイアウォール ポリシーのサポート ルール ターゲティング タイプのサポート
階層的 グローバルなネットワーク リージョン ネットワーク INSTANCES INTERNAL_MANAGED_LB
送信元 IP アドレス範囲

CIDR 形式の IPv4 アドレスまたは CIDR 形式の IPv6 アドレスで構成されるリスト。このリストは、ファイアウォール ポリシー ルール自体に保存されます。
送信元アドレス グループ

CIDR 形式の IPv4 アドレスまたは CIDR 形式の IPv6 アドレスの再利用可能なコレクション。ファイアウォール ルールはコレクションを参照します。詳細については、ファイアウォール ポリシーのアドレス グループをご覧ください。
ネットワーク目的のデータを含むタグキーからセキュアタグの値を取得する

目的データが単一の VPC ネットワークを指定するタグキーの 1 つ以上のタグ値のリスト。詳細については、ファイアウォールのセキュアタグとソースのセキュアタグでパケットソースを表す方法をご覧ください。
組織目的データを含むタグキーからセキュアタグの値を取得する

目的データが organization=auto であるタグキーの 1 つ以上のタグ値のリスト。詳細については、ファイアウォールのセキュアタグとソースのセキュアタグでパケットソースを表す方法をご覧ください。
送信元の位置情報

2 文字の国 / 地域コードで指定された 1 つ以上の送信元の地理的位置のリスト。詳しくは、位置情報オブジェクトをご覧ください。
送信元 Google Threat Intelligence リスト

事前に定義された 1 つ以上の Google Threat Intelligence リスト名のリスト。詳細については、ファイアウォール ポリシールールの Google Threat Intelligence をご覧ください。
ソース ネットワーク コンテキスト

セキュリティ境界を定義する制約。有効な値は、ルールのターゲット タイプによって異なります。詳細については、ネットワーク コンテキストをご覧ください。
上り（内向き）ルールの送信元の組み合わせ

1 つの Ingress ルールで、2 つ以上のソース パラメータを使用してソースの組み合わせを生成できます。Cloud NGFW では、各上り（内向き）ルールの送信元の組み合わせに次の制約が適用されます。

  • 送信元 IP アドレス範囲には、IPv4 または IPv6 の CIDR を含める必要があります。両方を組み合わせることはできません。
  • IPv4 CIDR を含む送信元アドレス グループは、IPv6 CIDR を含む送信元アドレス グループと併用できません。
  • IPv4 CIDR を含む送信元 IP アドレス範囲は、IPv6 CIDR を含む送信元アドレス グループでは使用できません。
  • IPv6 CIDR を含む送信元 IP アドレス範囲は、IPv4 CIDR を含む送信元アドレス グループでは使用できません。
  • インターネット ネットワーク コンテキストは、ソース セキュアタグでは使用できません。
  • インターネット以外のコンテキスト、VPC ネットワークのコンテキスト、VPC 間のコンテキストは、 ソースの Google Threat Intelligence リストまたは ソースの地域情報では使用できません。

Cloud NGFW は、次のロジックを適用して、送信元の組み合わせを使用する上り（内向き）ルールにパケットを照合します。

  • 送信元の組み合わせに送信元ネットワーク コンテキストが含まれていない場合、送信元の組み合わせの少なくとも 1 つの送信元パラメータに一致するパケットは、上り（内向き）ルールに一致します。

  • 送信元の組み合わせに送信元ネットワーク コンテキストが含まれている場合、パケットが送信元ネットワーク コンテキストと送信元の組み合わせの他の送信元パラメータの少なくとも 1 つに一致すると、パケットは上り（内向き）ルールに一致します。

ソース セキュアタグでパケットの送信元を表す方法

上り（内向き）ファイアウォール ルールでは、ターゲット タイプが省略されているか、INSTANCES に設定されている場合、ソースのセキュアタグ値を使用できます。セキュアタグの値は、IP アドレスなどのパケット特性ではなく、ネットワーク インターフェースを識別します。

VM インスタンスのネットワーク インターフェースから送信されたパケットは、次のルールに従って、ソース セキュアタグ値を使用する上り（内向き）ルールと一致します。

  • 上り（内向き）ルールがリージョン ネットワーク ポリシーにある場合、VM インスタンスはリージョン ネットワーク ファイアウォール ポリシーと同じリージョンのゾーンに配置する必要があります。それ以外の場合、VM インスタンスは任意のゾーンに配置できます。

  • VM インスタンスは、上り（内向き）ファイアウォール ルールでソース セキュアタグとして使用される同じセキュアタグ値に関連付けられている必要があります。

  • VM インスタンスに関連付けられ、上り（内向き）ファイアウォール ルールで使用されるセキュアタグの値は、purpose-data 属性が VM インスタンスのネットワーク インターフェースを含む少なくとも 1 つの VPC ネットワークを識別するタグキーから取得する必要があります。

    • タグキーの目的データで単一の VPC ネットワークが指定されている場合、ソース セキュアタグ値を使用する上り（内向き）ファイアウォール ルールは、その VPC ネットワーク内にある VM インスタンスのネットワーク インターフェースに適用されます。

    • タグキーの目的データで組織が指定されている場合、送信元セキュアタグ値を使用する上り（内向き）ファイアウォール ルールは、組織の任意の VPC ネットワーク内にある VM インスタンスのネットワーク インターフェースに適用されます。

  • 特定された VM ネットワーク インターフェースは、次のいずれかの条件を満たす必要があります。

    • VM ネットワーク インターフェースは、ファイアウォール ポリシーが適用される VPC ネットワークと同じ VPC ネットワークにあります。

    • VM ネットワーク インターフェースは、VPC ネットワーク ピアリングを使用して、ファイアウォール ポリシーが適用される VPC ネットワークに接続されている VPC ネットワークにあります。

    • VM ネットワーク インターフェースで使用される VPC ネットワークと、ファイアウォール ポリシーが適用される VPC ネットワークは、どちらも同じ Network Connectivity Center ハブ上の VPC スポークです。

ファイアウォールのセキュアタグの詳細については、仕様をご覧ください。

下り（外向き）ルールの送信元

階層型ファイアウォール ポリシーとネットワーク ファイアウォール ポリシーの両方の下り（外向き）ルールには、次の送信元を使用できます。

  • デフォルト（ターゲットによって暗黙的に指定）: 下り（外向き）ルールの source パラメータを省略すると、下り（外向き）ルールのターゲットと IP アドレスで説明されているようにパケットの送信元が暗黙的に定義されます。

  • 送信元 IPv4 アドレス範囲: CIDR 形式の IPv4 アドレスのリスト。

  • 送信元 IPv6 アドレス範囲: CIDR 形式の IPv6 アドレスのリスト。

下り（外向き）ルールの送信元 IP アドレス範囲を追加するには、次のガイドラインに従ってください。

  • VM ネットワーク インターフェースに外部 IPv4 アドレスが割り当てられている場合、または外部 IPv4 アドレスがないが Cloud NAT ゲートウェイを使用している場合、 Google Cloud が送信パケットの送信元を内部 IPv4 アドレスから外部 IPv4 アドレスに変更する前に、下り（外向き）ファイアウォールの評価が行われます。下り（外向き）ファイアウォール ルールを適用するには、送信元パラメータを省略するか、VM ネットワーク インターフェースの内部 IPv4 アドレスを送信元パラメータに含める必要があります。

  • 下り（外向き）ルールに送信元 IP アドレス範囲と destination パラメータがある場合、destination パラメータは送信元 IP バージョンと同じ IP バージョンに解決されます。

宛先

destination パラメータ値は、ファイアウォール ルールの方向によって異なります。

上り（内向き）ルールの送信先

階層型ポリシーとネットワーク ファイアウォール ポリシーの上り（内向き）ファイアウォール ルールには、次の送信先を使用できます。

  • デフォルト（ターゲットによって暗黙的に指定）: 上り（内向き）ルールの destination パラメータを省略すると、上り（内向き）ルールのターゲットと IP アドレスで説明されているように、パケットの宛先が暗黙的に定義されます。

  • 宛先 IPv4 アドレス範囲: CIDR 形式の IPv4 アドレスのリスト。ファイアウォール ルールのターゲット タイプを INTERNAL_MANAGED_LB に設定した場合、このパラメータは使用できません。

  • 宛先 IPv6 アドレス範囲: CIDR 形式の IPv6 アドレスのリスト。ファイアウォール ルールのターゲット タイプを INTERNAL_MANAGED_LB に設定した場合、このパラメータは使用できません。

上り（内向き）ルールの宛先 IP アドレス範囲を追加するには、次のガイドラインに従ってください。

  • VM ネットワーク インターフェースに外部 IPv4 アドレスが割り当てられている場合、または外部 IPv4 アドレスがないが Cloud NAT ゲートウェイを使用している場合、 Google Cloud がインバウンド パケットの宛先を外部 IPv4 アドレスから内部 IPv4 アドレスに変更した後に、上り（内向き）ファイアウォールの評価が行われます。上り（内向き）ファイアウォール ルールを適用するには、[宛先] パラメータを省略するか、[宛先] パラメータに VM ネットワーク インターフェースの内部 IPv4 アドレスを含める必要があります。

  • 上り（内向き）ルールで定義されている source パラメータと destination パラメータの両方がある場合、送信元パラメータは宛先 IP バージョンと同じ IP バージョンに解決されます。上り（内向き）ルールの送信元を定義する方法については、階層型ファイアウォール ポリシーの上り（内向き）ルールの送信元とネットワーク ファイアウォール ポリシーの上り（内向き）ルールの送信元をご覧ください。

    たとえば、上り（内向き）ルールでは、destination パラメータに IPv6 アドレス範囲、source パラメータに位置情報の国コードが設定されます。ルールの適用中、マッピングされた IPv6 アドレスのみが指定された送信元の国コードに使用されます。

下り（外向き）ルールの送信先

次の表に、下り（外向き）ルールの宛先パラメータ、各パラメータをサポートするファイアウォール ポリシー、各パラメータと互換性のあるルール ターゲット タイプを示します。少なくとも 1 つの宛先パラメータを指定する必要があります。 チェックマークはパラメータがサポートされていることを示し、 記号はパラメータがサポートされていないことを示します。

下り（外向き）ルールの宛先パラメータ ファイアウォール ポリシーのサポート ルール ターゲティング タイプのサポート
階層的 グローバルなネットワーク リージョン ネットワーク INSTANCES INTERNAL_MANAGED_LB
宛先 IP アドレス範囲

CIDR 形式の IPv4 アドレスまたは CIDR 形式の IPv6 アドレスで構成されるリスト。このリストは、ファイアウォール ポリシー ルール自体に保存されます。
宛先アドレス グループ

CIDR 形式の IPv4 アドレスまたは CIDR 形式の IPv6 アドレスの再利用可能なコレクション。ファイアウォール ポリシー ルールは、コレクションを参照します。詳細については、ファイアウォール ポリシーのアドレス グループをご覧ください。
宛先の位置情報

2 文字の国 / 地域コードで指定された 1 つ以上の送信元の地理的位置のリスト。詳しくは、位置情報オブジェクトをご覧ください。
宛先 Google Threat Intelligence リスト

事前に定義された 1 つ以上の Google Threat Intelligence リスト名のリスト。詳細については、ファイアウォール ポリシールールの Google Threat Intelligence をご覧ください。
宛先ネットワーク コンテキスト

セキュリティ境界を定義する制約。
下り（外向き）ルールの宛先の組み合わせ

1 つの下り（外向き）ルールで、2 つ以上の宛先パラメータを使用して宛先の組み合わせを作成できます。Cloud NGFW は、各下り（外向き）ルールの宛先の組み合わせに次の制約を適用します。

  • 宛先 IP アドレス範囲には、IPv4 または IPv6 の CIDR を含める必要があります。両方を組み合わせることはできません。
  • IPv4 CIDR を含む宛先アドレス グループと IPv6 CIDR を含む宛先アドレス グループを併用することはできません。
  • IPv4 CIDR を含む宛先 IP アドレス範囲と、IPv6 CIDR を含む宛先アドレス グループを併用することはできません。
  • IPv6 CIDR を含む宛先 IP アドレス範囲と、IPv4 CIDR を含む宛先アドレス グループを併用することはできません。
  • 宛先の Google Threat Intelligence リストまたは宛先の 位置情報を、宛先のインターネット以外のネットワーク コンテキストで使用することはできません。

Cloud NGFW は、次のロジックを適用して、宛先の組み合わせを使用する下り（外向き）ルールにパケットを照合します。

  • 宛先の組み合わせに宛先ネットワーク コンテキストが含まれていない場合、宛先の組み合わせの少なくとも 1 つの宛先パラメータに一致するパケットは、下り（外向き）ルールに一致します。

  • 宛先の組み合わせに宛先ネットワーク コンテキストが含まれている場合、パケットが宛先ネットワーク コンテキストと宛先の組み合わせの他の宛先パラメータの少なくとも 1 つに一致すると、パケットは下り（外向き）ルールに一致します。

次のステップ