ניהול נקודות קצה של חומת אש ושיוכים של נקודות קצה

בדף הזה מוסבר איך לנהל נקודת קצה (endpoint) של חומת אש ואת השיוכים שלה לרשת של ענן וירטואלי פרטי (VPC) באמצעות מסוףGoogle Cloud ו-Google Cloud CLI.

למידע נוסף על נקודות קצה של חומת האש כדי ליצור נקודת קצה של חומת אש, ראו יצירת נקודות קצה של חומת אש.

לפני שמתחילים

לפני שמנהלים את נקודות הקצה של חומת האש ואת השיוכים שלהן, צריך לבצע את הפעולות הבאות:

  1. מוודאים שיש רשת VPC ורשת משנה.
  2. מפעילים את ממשקי ה-API הנדרשים:
  3. אם רוצים להריץ דוגמאות של שורת פקודה, צריך להתקין את ה-CLI של gcloud.gcloud

תפקידים והרשאות

כדי לקבל את ההרשאות שדרושות לצפייה בנקודות קצה של חומת אש ובשיוכים שלהן, לעדכון או למחיקה שלהן, צריך לבקש מהאדמין להקצות לכם את תפקידי ניהול הזהויות והרשאות הגישה (IAM) הנדרשים בארגון או בפרויקט. מידע נוסף מופיע במאמר בנושא ניהול גישה.

כדי לבדוק את התקדמות הפעולות שמפורטות בדף הזה, צריך לוודא שלחשבון המשתמש שלכם יש את התפקיד Compute Network User ‏ (roles/compute.networkUser), שכולל את ההרשאות הבאות:

  • networksecurity.operations.get
  • networksecurity.operations.list

מכסות

כדי לראות את המכסות של נקודות קצה של חומות אש ושיוכים, אפשר לעיין במאמר מכסות ומגבלות.

ניהול נקודות קצה ברמת הארגון

בקטע הזה מוסבר איך לנהל את נקודות הקצה של חומת האש שמוגדרות ברמת הארגון.

הצגת נקודות קצה ברמת הארגון

כדי לראות את הפרטים של נקודת קצה של חומת אש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון שבו הופעל נקודת הקצה.

    בדף Firewall endpoints מפורטים כל נקודות הקצה של חומת האש שהוגדרו בארגון.

  3. לוחצים על השם של נקודת הקצה של חומת האש כדי לראות את הפרטים שלה.

gcloud

כדי לראות את הפרטים של נקודת קצה של חומת אש, משתמשים בפקודה gcloud network-security firewall-endpoints describe:

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫ORGANIZATION_ID: הארגון שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

הצגת רשימה של נקודות קצה ברמת הארגון

כדי לראות רשימה של כל נקודות הקצה של חומת האש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון שבו הופעל נקודת הקצה.

  3. בדף Firewall endpoints מופיעה רשימה של כל נקודות הקצה של חומת האש שהוגדרו.

gcloud

כדי לראות את רשימת נקודות הקצה של חומת האש, משתמשים בפקודה gcloud network-security firewall-endpoints list:

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫ORGANIZATION_ID: הארגון שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת. כדי להציג רשימה של נקודות קצה בכל האזורים, משתמשים בפקודה -.

  • ‫BILLING_PROJECT_ID: מזהה פרויקט אופציונליGoogle Cloud שעליו יחויבו מכסות על הפעולה. הפעולה הזו נדרשת רק לנקודות קצה של חומת אש ברמת הארגון.

עדכון נקודת קצה ברמת הארגון

כדי לעדכן נקודת קצה של חומת אש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud. אפשר גם לעדכן את פרויקט החיוב של נקודת קצה של חומת אש בארגון.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון שבו הופעל נקודת הקצה.

    בדף Firewall endpoints מופיעה רשימה של כל נקודות הקצה של חומת האש שהוגדרו.

  3. לוחצים על השם של נקודת הקצה של חומת האש כדי לראות את הפרטים שלה.

  4. לוחצים על Edit.

  5. ברשימה Billing project, בוחרים את הפרויקט שרוצים להשתמש בו לחיוב של נקודת הקצה של חומת האש. Google Cloud

  6. לוחצים על Save.

gcloud

כדי לעדכן נקודת קצה של חומת אש, משתמשים בפקודה gcloud network-security firewall-endpoints update:

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫ORGANIZATION_ID: הארגון שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

  • ‫BILLING_PROJECT_ID: Google Cloud מזהה הפרויקט שרוצים לשייך לנקודת הקצה הזו של חומת האש לצורך חיוב. הפעולה הזו נדרשת רק לנקודות קצה של חומת אש ברמת הארגון.

מידע על גדלי החבילות שנתמכים בנקודות קצה של חומת אש זמין במאמר בנושא גודל חבילה נתמך.

מחיקת נקודות קצה ברמת הארגון

כדי למחוק נקודת קצה של חומת אש, צריך לציין את השם, האזור והארגון או הפרויקט שלה.

כדי למחוק נקודת קצה של חומת אש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הארגון שבו נקודת הקצה הופעלה.

  3. בוחרים את נקודת הקצה של חומת האש ולוחצים על מחיקה.

  4. כדי לאשר, לוחצים שוב על מחיקה.

gcloud

כדי למחוק נקודת קצה של חומת אש, משתמשים בפקודה gcloud network-security firewall-endpoints delete:

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫ORGANIZATION_ID: הארגון שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

ניהול נקודות קצה ברמת הפרויקט

בקטע הזה מוסבר איך לנהל את נקודות הקצה של חומת האש שמוגדרות ברמת הפרויקט.

הצגת נקודות קצה ברמת הפרויקט

כדי לראות את הפרטים של נקודת קצה של חומת אש ברמת הפרויקט, משתמשים במסוף Google Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שבו קיים נקודת הקצה.

    בקטע Firewall endpoints located in this project בדף Firewall endpoints מופיעה רשימה של כל נקודות הקצה של חומת האש שהוגדרו בפרויקט הנוכחי.

  3. לוחצים על השם של נקודת הקצה של חומת האש כדי לראות את הפרטים שלה.

gcloud

כדי לראות את הפרטים של נקודת קצה של חומת אש, משתמשים בפקודה gcloud beta network-security firewall-endpoints describe:

gcloud beta network-security firewall-endpoints \
    describe NAME \
    --project PROJECT_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: הפרויקט שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

הצגת רשימה של נקודות קצה ברמת הפרויקט

כדי לראות רשימה של כל נקודות הקצה של חומת האש ברמת הפרויקט, משתמשים במסוף Google Cloud או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שבו קיים נקודת הקצה.

    בקטע Firewall endpoints located in this project בדף Firewall endpoints מופיעה רשימה של כל נקודות הקצה של חומת האש שהוגדרו בפרויקט הנוכחי.

gcloud

כדי לראות את רשימת נקודות הקצה של חומת האש, משתמשים בפקודה gcloud beta network-security firewall-endpoints list:

gcloud beta network-security firewall-endpoints list \
    --project PROJECT_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: הפרויקט שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת. כדי להציג רשימה של נקודות קצה בכל האזורים, משתמשים בפקודה -.

עדכון נקודת קצה ברמת הפרויקט

כדי לעדכן נקודת קצה של חומת אש ברמת הפרויקט, משתמשים ב-CLI של gcloud. אפשר לנהל תוויות או לעדכן את התיאור של נקודת קצה של חומת אש.

gcloud

כדי לעדכן נקודת קצה של חומת אש, משתמשים בפקודה gcloud beta network-security firewall-endpoints update:

gcloud beta network-security firewall-endpoints \
    update NAME \
    --project PROJECT_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: הפרויקט שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

מידע על גדלי החבילות שנתמכים בנקודות קצה של חומת אש זמין במאמר בנושא גודל חבילה נתמך.

מחיקת נקודות קצה ברמת הפרויקט

כדי למחוק נקודת קצה של חומת אש ברמת הפרויקט, משתמשים ב-CLI של gcloud.

gcloud

כדי למחוק נקודת קצה של חומת אש, משתמשים בפקודה gcloud network-security firewall-endpoints delete:

gcloud beta network-security firewall-endpoints delete NAME
    --project PROJECT_ID \
    --zone ZONE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: הפרויקט שבו נקודת הקצה מופעלת.

  • ‫ZONE: האזור שבו נקודת הקצה מופעלת.

ניהול שיוכים של נקודות קצה לחומת אש

שיוך של נקודת קצה של חומת אש מקשר נקודת קצה של חומת אש לרשת VPC באזור ספציפי.

לפני שמנהלים את השיוכים של נקודת הקצה, צריך לוודא שיש נקודת קצה של חומת אש. במאמר יצירת נקודות קצה של חומת אש ושיוכים מוסבר איך ליצור שיוך.

דרישות השיוך

כשמגדירים שיוכים של נקודות קצה, צריך לעמוד בדרישות הבאות:

  • הגבלות אזור: צריך ליצור את השיוך באותו אזור שבו נמצאת נקודת הקצה של חומת האש. כדי לבצע בדיקה יעילה של התנועה, צריך ליצור שיוכים באזורים שבהם פריסת מופעי המחשוב מתבצעת.
  • נקודת קצה אחת לכל אזור: באזור יחיד, אפשר לשייך רשת VPC רק לנקודת קצה אחת של חומת אש (ברמת הפרויקט (גרסת Preview) או ברמת הארגון). עם זאת, אפשר לשייך רשת VPC אחת לנקודות קצה שונות של חומת אש בכמה אזורים שונים.
  • שיוכים בין פרויקטים: אפשר לשייך רשת VPC לנקודת קצה של חומת אש בפרויקט נפרד.
    • אם משתמשים בנקודת קצה ברמת הפרויקט (תצוגה מקדימה), הפרויקט של נקודת הקצה צריך להיות באותו ארגון כמו רשת ה-VPC.
  • מיפוי משאבים: שיוך הוא משאב ברמת הפרויקט. אתם יוצרים את השיוך בתוך הפרויקט הספציפי שבו פריסת מכונות ה-Compute, גם אם השיוך מצביע על נקודת קצה של חומת אש ברמת הארגון.

נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות של עד 8,500 בייט. לחלופין, נקודת קצה של חומת אש ללא תמיכה ב-jumbo frame יכולה לקבל מנות עד 1,460 בייט. אם אתם צריכים שירות סינון כתובות URL או שירות לזיהוי ולמניעה של פריצות, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות יחידת השידור המקסימלית (MTU) של 8,500 בייט ו-1,460 בייט. מידע נוסף זמין במאמר בנושא גודל מנות נתונים נתמך.

הצגת שיוך של נקודת קצה לחומת אש

כדי להציג פרטים של שיוך נקודת קצה של חומת אש ברמת הארגון או ברמת הפרויקט, משתמשים ב-CLI של gcloud.

gcloud

כדי לראות את השיוך של נקודת קצה לחומת אש, משתמשים בפקודה gcloud network-security firewall-endpoint-associations describe.

נקודת קצה של חומת אש ברמת הארגון

gcloud network-security firewall-endpoint-associations \
    describe NAME \
    --zone ZONE \
    [ --project PROJECT_ID ]

נקודת קצה של חומת אש ברמת הפרויקט

gcloud beta network-security firewall-endpoint-associations \
    describe NAME \
    --zone ZONE \
    [ --project PROJECT_ID ]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של השיוך של נקודת הקצה של חומת האש.

  • ‫ZONE: האזור של השיוך של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שבו נוצר השיוך.

הצגת רשימה של כל השיוכים של נקודות קצה לחומת האש

כדי לראות את כל השיוכים של נקודות קצה של חומת אש ברמת הארגון וברמת הפרויקט, משתמשים ב-Google Cloud מסוף או ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט הרצוי. Google Cloud

    בקטע Firewall endpoint associations, בטבלה מפורטות כל נקודות הקצה של חומת האש ברמת הארגון וברמת הפרויקט.

gcloud

כדי לראות את רשימת השיוכים של נקודות קצה של חומת אש לרשת ספציפית, משתמשים בפקודה gcloud network-security firewall-endpoint-associations list עם הדגל --filter.

נקודת קצה של חומת אש ברמת הארגון

gcloud network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [ --project PROJECT_ID ]

נקודת קצה של חומת אש ברמת הפרויקט

gcloud beta network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [ --project PROJECT_ID ]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NETWORK_NAME: השם של רשת ה-VPC.
  • ‫PROJECT_ID: Google Cloud מזהה הפרויקט שבו נוצר שיוך נקודת הקצה של חומת האש.

עריכת שיוך של נקודת קצה לחומת אש

כדי לערוך שיוך של נקודת קצה של חומת אש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud. כדי לערוך שיוך של נקודת קצה של חומת אש ברמת הפרויקט, משתמשים ב-CLI של gcloud.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט הרצוי. Google Cloud

    בקטע Firewall endpoint associations (שיוכים של נקודות קצה לחומת אש), בטבלה מפורטים כל השיוכים של נקודות קצה לחומת האש שהוגדרו לפרויקט הזה.

  3. לצד שיוך נקודת הקצה של חומת האש שרוצים לעדכן, לוחצים על עריכה.

  4. כדי להשבית את השיוך של נקודת הקצה לחומת האש, מבטלים את הסימון בתיבה Enable association.

  5. כדי לעדכן את המדיניות של בדיקת TLS, בוחרים מדיניות חדשה מהרשימה מדיניות של בדיקת TLS.

  6. לוחצים על Save.

gcloud

כדי לעדכן את השיוך של נקודת קצה לחומת אש, משתמשים בפקודה gcloud network-security firewall-endpoint-associations update.

נקודת קצה של חומת אש ברמת הארגון

gcloud network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

נקודת קצה של חומת אש ברמת הפרויקט

gcloud beta network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של השיוך של נקודת הקצה של חומת האש.

  • ‫ZONE: האזור של השיוך של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שבו נוצר השיוך.

  • ‫TLS_PROJECT_NAME: שם הפרויקט של מדיניות בדיקת ה-TLS. Google Cloud

  • ‫REGION_NAME: שם האזור של מדיניות הבדיקה של TLS.

  • ‫TLS_POLICY_NAME: השם של מדיניות בדיקת ה-TLS.

מחיקת שיוך של נקודת קצה לחומת אש

כדי למחוק שיוך של נקודת קצה של חומת אש ברמת הארגון, משתמשים במסוףGoogle Cloud או ב-CLI של gcloud. כדי למחוק שיוך של נקודת קצה של חומת אש ברמת הפרויקט, משתמשים ב-CLI של gcloud.

כשמוחקים פרויקט, השיוכים של נקודות הקצה של חומת האש שמשויכים אליו מוסרים אוטומטית. Google Cloud המחיקה הזו היא בלתי הפיכה, גם אם הפרויקט ישוחזר בהמשך.

עם זאת, לפעמים תהליך המחיקה של השיוכים האלה נכשל. אם זה קורה והפרויקט משוחזר, נקודות הקצה של חומת האש המשויכות מופיעות במצב ORPHAN בפרויקט המשוחזר. המשמעות היא שהקישור בין הפרויקט לבין המשאבים שלו נותק בגלל שהמחיקה נכשלה.

אפשר לראות את השיוכים היתומים האלה במסוף Google Cloud , אבל אי אפשר לערוך אותם. ‫Cloud Next Generation Firewall מריץ מעת לעת תהליך ברקע שמוחק את המשאבים היתומים האלה.

המסוף

  1. נכנסים לדף Firewall endpoints במסוף Google Cloud .

    לדף Firewall endpoints

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט הרצוי. Google Cloud

    בקטע Firewall endpoint associations (שיוכים של נקודות קצה לחומת אש), בטבלה מפורטים כל השיוכים של נקודות קצה לחומת האש שהוגדרו לפרויקט הזה.

  3. בוחרים את השיוך של נקודת הקצה של חומת האש ולוחצים על מחיקה.

  4. כדי לאשר, לוחצים שוב על מחיקה.

gcloud

כדי למחוק שיוך של נקודת קצה לחומת אש, משתמשים בפקודה gcloud network-security firewall-endpoint-associations delete.

נקודת קצה של חומת אש ברמת הארגון

gcloud network-security firewall-endpoint-associations \
    delete NAME \
    --zone ZONE \
    --project PROJECT_ID

נקודת קצה של חומת אש ברמת הפרויקט

gcloud beta network-security firewall-endpoint-associations \
    delete NAME \
    --zone ZONE \
    --project PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAME: השם של השיוך של נקודת הקצה של חומת האש.

  • ‫ZONE: האזור של השיוך של נקודת הקצה של חומת האש.

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud שבו נוצר השיוך.

המאמרים הבאים