ניהול הרישום ביומן של כללי מדיניות חומת האש

בדף הזה מוסבר איך להפעיל ולהשבית את הרישום ביומן של כללי מדיניות חומת אש היררכית ושל כללי מדיניות חומת אש ברשת. הוראות לגבי רישום ביומן של כללים במדיניות חומת האש מופיעות במאמר הפעלה והשבתה של רישום ביומן של כללים במדיניות חומת האש. אפשר גם לקבל מידע על צפייה ביומנים שנוצרו עבור כללים של מדיניות חומת האש. כדי להבין את הרישום ביומן של כללי מדיניות חומת האש, אפשר לעיין במאמר סקירה כללית על רישום ביומן של כללי מדיניות חומת האש.

אם מפעילים את הרישום ביומן בכלל מדיניות חומת אש, אפשר לראות תובנות והמלצות לגביו מתוך תובנות לגבי חומת האש. מידע נוסף זמין במאמר תובנות לגבי חומת האש במסמכי התיעוד של Network Intelligence Center.

הרשאות

כדי לשנות כללים במדיניות חומת האש או ביומני הגישה, נדרש לאנשי הקשר (principals) בניהול הזהויות והרשאות הגישה (IAM) אחד מהתפקידים הבאים.

משימה תפקיד נדרש
יצירה, מחיקה או עדכון של כללים לחומת האש פרויקט בעלים או עריכה או התפקיד Security Admin (roles/compute.securityAdmin)
צפייה ביומנים בעלים, עריכה או צפייה בפרויקט או התפקיד 'צפייה ביומני רישום' (roles/logging.viewer)
פרטים על תפקידים והרשאות ב-IAM של Logging זמינים במאמר תפקידים מוגדרים מראש.

הפעלה והשבתה של רישום ביומן של כללי מדיניות חומת אש

כשיוצרים כלל מדיניות של חומת אש, אפשר להפעיל את הרישום ביומן של כללי המדיניות של חומת האש. למידע נוסף, קראו את המאמרים הבאים:

כשמפעילים את רישום היומן, אפשר לציין אם לכלול שדות של מטא-נתונים. אם לא כוללים אותם, אפשר לחסוך בעלויות האחסון. כדי להפעיל או להשבית את הרישום ביומן של כללים במדיניות חומת אש קיימת, אפשר לעיין בקטעים הבאים.

הפעלת רישום ביומן של כללי מדיניות חומת אש עבור מדיניות חומת אש היררכית

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    לדף Firewall policies

  2. בתפריט לבחירת פרויקט, בוחרים את שם הארגון שבו יצרתם את מדיניות חומת האש ההיררכית.

  3. בקטע Firewall policies located in this organization (מדיניות חומת האש שנמצאת בארגון הזה), לוחצים על השם של מדיניות חומת האש ההיררכית.

  4. בעמודה Logs, בודקים אם הרישום ביומן של כללי מדיניות חומת האש מושבת או מופעל.

  5. כדי להפעיל רישום ביומן עבור כלל במדיניות חומת אש, לוחצים על העדיפות של הכלל ואז על עריכה.

  6. בקטע Logs (יומנים), בוחרים באפשרות Enabled (מופעל).

  7. לוחצים על Save.

gcloud

כדי לעדכן את הכללים של מדיניות חומת האש של הארגון, משתמשים בפקודה gcloud compute firewall-policies rules update:

gcloud compute firewall-policies rules update PRIORITY \
    --firewall-policy= FIREWALL_POLICY \
    --enable-logging

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש לעדכון.
  • ‫FIREWALL_POLICY: השם של מדיניות חומת האש שבה מתעדכן הכלל.

מידע נוסף מופיע במאמרי העזרה של ה-SDK.

Terraform

אפשר להשתמש במשאב Terraform כדי ליצור כלל במדיניות חומת האש עם הפעלת רישום ביומן.

resource "google_compute_firewall_policy_rule" "primary" {
  firewall_policy = google_compute_firewall_policy.POLICY_ID
  description     = "Creates an ingress firewall policy rule with logging enabled"
  priority        = PRIORITY
  enable_logging  = true
  action          = "allow"
  direction       = "INGRESS"
  disabled        = false
  match {
    layer4_configs {
      ip_protocol = "tcp"
      ports = [8080]
    }
    layer4_configs {
      ip_protocol = "udp"
      ports = [22]
    }
    src_ip_ranges = ["SOURCE_IP_ADDRESS"]
  }
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

API

הפעלה של רישום ביומן של כללי מדיניות חומת אש בכלל מדיניות קיים של חומת אש היררכית.

POST https://compute.googleapis.com/compute/v1/locations/global/firewallPolicies/POLICY_ID/patchRule?priority=PRIORITY

{
  "enableLogging": true,
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫POLICY_ID: המזהה של מדיניות חומת האש ההיררכית שבה נמצא כלל מדיניות חומת האש.
  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש.

מידע נוסף זמין במאמר על השיטה firewallPolicies.patchRule.

השבתת רישום ביומן של כללי מדיניות חומת אש במדיניות חומת אש היררכית

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    לדף Firewall policies

  2. בתפריט לבחירת פרויקט, בוחרים את שם הארגון שבו יצרתם את מדיניות חומת האש ההיררכית.

  3. בקטע Firewall policies located in this organization (מדיניות חומת האש שנמצאת בארגון הזה), לוחצים על השם של מדיניות חומת האש ההיררכית.

  4. בעמודה Logs, בודקים אם הרישום ביומן של כללי מדיניות חומת האש מושבת או מופעל.

  5. כדי להשבית את הרישום ביומן של כלל במדיניות חומת האש, לוחצים על העדיפות של הכלל ואז על עריכה.

  6. בקטע Logs (יומנים), בוחרים באפשרות Disabled (מושבת).

  7. לוחצים על Save.

gcloud

כדי לעדכן את הכללים של מדיניות חומת האש של הארגון, משתמשים בפקודה gcloud compute firewall-policies rules update:

gcloud compute firewall-policies rules update PRIORITY \
    --firewall-policy= FIREWALL_POLICY \
    --no-enable-logging

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש לעדכון.
  • ‫FIREWALL_POLICY: השם של מדיניות חומת האש שבה מתעדכן הכלל.

מידע נוסף מופיע במאמרי העזרה של ה-SDK.

API

השבתת רישום ביומן של כללים במדיניות חומת אש היררכית קיימת

POST https://compute.googleapis.com/compute/v1/locations/global/firewallPolicies/POLICY_ID/patchRule?priority=PRIORITY

{
  "enableLogging": false,
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫POLICY_ID: המזהה של מדיניות חומת האש ההיררכית שבה נמצא כלל מדיניות חומת האש.
  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש.

מידע נוסף זמין במאמר על השיטה firewallPolicies.patchRule.

הפעלת רישום ביומן של כללי מדיניות חומת אש במדיניות חומת אש ברשת

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    לדף Firewall policies

  2. בתפריט לבחירת פרויקט, בוחרים את שם הפרויקט שבו יצרתם את מדיניות חומת האש של הרשת.

  3. בקטע Network firewall policies (מדיניות חומת אש ברשת), לוחצים על השם של מדיניות חומת האש ברשת שרוצים להפעיל עבורה את הרישום ביומן.

  4. בעמודה Logs, בודקים אם הרישום ביומן של כללי מדיניות חומת האש מושבת או מופעל.

  5. כדי להפעיל את הרישום ביומן עבור כלל במדיניות חומת אש ברשת, לוחצים על העדיפות של הכלל ואז על עריכה.

  6. בקטע Logs (יומנים), בוחרים באפשרות Enabled (מופעל).

  7. לוחצים על Save.

gcloud

כדי לעדכן את הכללים של מדיניות חומת האש ברשת, משתמשים בפקודה gcloud compute network-firewall-policies rules update:

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy= FIREWALL_POLICY \
    --enable-logging

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש לעדכון.
  • ‫FIREWALL_POLICY: השם של מדיניות חומת האש ברשת שבה נמצא כלל מדיניות חומת האש.

מידע נוסף מופיע במאמרי העזרה של ה-SDK.

Terraform

אפשר להשתמש במשאב Terraform כדי ליצור כלל במדיניות חומת האש עם הפעלת רישום ביומן.

resource "google_compute_firewall_policy_rule" "primary" {
  firewall_policy = google_compute_firewall_policy.POLICY_ID
  description     = "Creates an ingress firewall policy rule with logging enabled"
  priority        = PRIORITY
  enable_logging  = true
  action          = "allow"
  direction       = "INGRESS"
  disabled        = false
  match {
    layer4_configs {
      ip_protocol = "tcp"
      ports = [8080]
    }
    layer4_configs {
      ip_protocol = "udp"
      ports = [22]
    }
    src_ip_ranges = ["SOURCE_IP_ADDRESS"]
  }
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

API

הפעלת רישום ביומן של כללי מדיניות חומת אש עבור כלל מדיניות קיים של חומת אש ברשת.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewallPolicies/POLICY_ID/patchRule?priority=PRIORITY

{
  "enableLogging": true,
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט שבו נמצאת מדיניות הרשת.
  • ‫POLICY_ID: המזהה של מדיניות חומת האש ההיררכית שבה נמצא כלל מדיניות חומת האש.
  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש.

מידע נוסף זמין במאמר על השיטה networkFirewallPolicies.patchRule.

השבתת רישום ביומן של כללי מדיניות חומת אש ברשת

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    לדף Firewall policies

  2. בתפריט לבחירת פרויקט, בוחרים את שם הפרויקט שבו יצרתם את מדיניות חומת האש של הרשת.

  3. בקטע Network firewall policies (מדיניות חומת אש ברשת), לוחצים על השם של מדיניות חומת האש ברשת שרוצים להפעיל עבורה את הרישום ביומן.

  4. בעמודה Logs, בודקים אם הרישום ביומן של כללי מדיניות חומת האש מושבת או מופעל.

  5. כדי להשבית את הרישום ביומן של כלל במדיניות חומת אש ברשת, לוחצים על העדיפות של הכלל ואז על עריכה.

  6. בקטע Logs (יומנים), בוחרים באפשרות Disabled (מושבת).

  7. לוחצים על Save.

gcloud

כדי לעדכן את הכללים של מדיניות חומת האש ברשת, משתמשים בפקודה gcloud compute network-firewall-policies rules update:

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy= FIREWALL_POLICY \
    --no-enable-logging

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש לעדכון.
  • ‫FIREWALL_POLICY: השם של מדיניות חומת האש ברשת שבה נמצא כלל מדיניות חומת האש.

מידע נוסף מופיע במאמרי העזרה של ה-SDK.

API

השבתת רישום ביומן של כללים במדיניות חומת אש היררכית קיימת

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewallPolicies/POLICY_ID/patchRule?priority=PRIORITY

{
  "enableLogging": false,
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫POLICY_ID: המזהה של מדיניות חומת האש ההיררכית שבה נמצא כלל מדיניות חומת האש.
  • ‫PRIORITY: העדיפות של כלל מדיניות חומת האש.

מידע נוסף זמין במאמר על השיטה networkFirewallPolicies.patchRule.

צפייה ביומנים

יומנים של כללי מדיניות חומת אש נוצרים בפרויקט שמארח את הרשת שמכילה את המכונות הווירטואליות ואת כללי חומת האש. עם VPC משותף, אתם יוצרים מכונות וירטואליות בפרויקטים של שירותים, אבל המכונות האלה משתמשות ברשת VPC משותפת שנמצאת בפרויקט המארח. בתרחישים כאלה, יומני הכללים של מדיניות חומת האש מאוחסנים בפרויקט המארח.

כדי להציג את היומנים של כללי מדיניות חומת האש, משתמשים בקטע Logs Explorer במסוף Google Cloud . מידע נוסף זמין במאמר הצגה וניתוח של יומנים.

השאילתות הבאות מדגימות איך אפשר לחפש אירועים ספציפיים של חומת אש.

הצגת כל יומני חומת האש

כדי לראות את היומנים של כלל מדיניות חומת האש, משתמשים באחת מהאפשרויות הבאות.

אפשרות 1

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. לוחצים על All resource.

  3. ברשימה Select resource, לוחצים על Subnetwork ואז על Apply.

  4. לוחצים על All log names (כל שמות היומנים) ואז בוחרים באפשרות firewall (חומת אש) ברשימה.

  5. לוחצים על אישור.

אפשרות 2

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. מדביקים את הטקסט הבא בשדה של עורך השאילתות.

    resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"

    מחליפים את PROJECT_ID במזהה הפרויקט.

  3. אם שדה עורך השאילתות לא מוצג, לוחצים על המתג הצגת השאילתה.

  4. לוחצים על Run query.

צפייה ביומנים של רשתות משנה ספציפיות

כדי לראות את היומנים של כללים במדיניות חומת האש עבור רשתות משנה ספציפיות, משתמשים באחת מהאפשרויות הבאות.

אפשרות 1

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. לוחצים על All resource.

  3. ברשימה Select resource, לוחצים על Subnetwork.

  4. בוחרים את רשת המשנה שרוצים לראות את היומנים שלה ולוחצים על הפעלה.

  5. לוחצים על All log names (כל שמות היומנים) ואז בוחרים באפשרות firewall (חומת אש) ברשימה.

  6. לוחצים על אישור.

אפשרות 2

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. מדביקים את הטקסט הבא בשדה של עורך השאילתות.

    resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
resource.labels.subnetwork_name="SUBNET_NAME"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫SUBNET_NAME: השם של רשת המשנה

  3. אם שדה עורך השאילתות לא מוצג, לוחצים על המתג הצגת השאילתה.

  4. לוחצים על Run query.

צפייה ביומנים במכונות וירטואליות ספציפיות

כדי לראות את היומנים של כלל מדיניות חומת האש עבור מכונות וירטואליות ספציפיות, אפשר להשתמש באחת מהאפשרויות הבאות.

אפשרות 1

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. לוחצים על All resource.

  3. ברשימה Select resource (בחירת משאב), לוחצים על VM instance (מכונת VM).

  4. בוחרים את המופע שרוצים לראות את היומנים שלו ולוחצים על החלה.

  5. לוחצים על All log names (כל שמות היומנים) ואז בוחרים באפשרות firewall (חומת אש) ברשימה.

  6. לוחצים על אישור.

אפשרות 2

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. מדביקים את הטקסט הבא בשדה של עורך השאילתות.

    resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
jsonPayload.instance.vm_name="INSTANCE_ID"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫INSTANCE_ID: המזהה של מכונת ה-VM שרוצים להציג את היומנים שלה

  3. אם שדה עורך השאילתות לא מוצג, לוחצים על המתג הצגת השאילתה.

  4. לוחצים על Run query.

צפייה ביומנים של חיבורים ממדינה ספציפית

כדי להציג את יומני הכללים של מדיניות חומת האש במדינה ספציפית:

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. מדביקים את הטקסט הבא בשדה של עורך השאילתות.

    resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
jsonPayload.remote_location.country=COUNTRY

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫COUNTRY: קוד ISO 3166-1alpha-3 של המדינה שרוצים לראות את היומנים שלה

  3. אם שדה עורך השאילתות לא מוצג, לוחצים על המתג הצגת השאילתה.

  4. לוחצים על Run query.

ייצוא היומנים

הוראות לייצוא יומנים של כללים במדיניות חומת האש מופיעות במאמר ניתוב יומנים ליעדים נתמכים. אפשר להשתמש בדוגמאות לשאילתות כדי לצמצם את היומנים שמייצאים.

טבלת האינטראקציות

  • במקרה של תקשורת בין מכונות וירטואליות, יכול להיות שרשומות ביומן ייווצרו על ידי שתי המכונות הווירטואליות, בהתאם לכללי חומת האש שלהן.
  • החיבור שנרשם ביומן כולל חבילות שזורמות לשני הכיוונים אם חומת האש אישרה את החבילה הראשונית.
  • לגבי מכונה וירטואלית מסוימת, חיבורים נכנסים מושווים לכללי חומת אש שהוגדרו במכונה הווירטואלית, וחיבורים יוצאים מושווים לכלל חומת אש ליציאה שהוגדר במכונה הווירטואלית.
  • חיבור מותר שתואם לכלל חומת אש עם 'אישור ורישום ביומן' נרשם ביומן פעם אחת בלבד. רשומת היומן לא חוזרת על עצמה כל 5 שניות, גם אם החיבור נמשך.
  • חיבור שנדחה שתואם לכלל חומת אש עם הערך 'נדחה ומתועד' חוזר על רשומת היומן כל 5 שניות כל עוד יש מנות שנצפות בחיבור שנדחה.
  • אם מפעילים רישום ביומן בכלל של חומת אש שתואם לחיבור TCP או UDP שכבר פעיל, לא נוצרת רשומה חדשה ביומן. רשומה ביומן נוצרת רק אם החיבור נשאר ללא פעילות למשך 10 דקות לפחות, ונשלח מנה חדשה באותו חיבור. אם התנועה רציפה ויש תקופות של חוסר פעילות שנמשכות פחות מ-10 דקות, נוצר רק רשומה אחת ביומן לחיבור.

בטבלה הזו מוצגת ההתנהגות של רישום ביומן של חומת האש מנקודת המבט של מכונה וירטואלית אחת.

בתרחיש שבו למכונה וירטואלית VM1 יש כלל תעבורה נכנסת R1 שתואם לחבילות וכלל תעבורה יוצאת R2 שתואם גם לחבילות, ההתנהגות של רישום ביומן של חומת האש היא כדלקמן:

למכונה וירטואלית VM1 יש כלל תעבורת נכנסת R1 (שמתאים למנות) למכונה VM1 יש כלל תעבורת נתונים יוצאת (egress) R2 (שמתאים למנות) כיוון החיבור פעולה יומן
אישור ותיעוד אישור תעבורת נתונים נכנסת (Ingress) אישור רשומה אחת ביומן:
disposition=allow, rule=R1
דחייה
אישור ותיעוד
דחייה + רישום ביומן
אישור אישור תעבורת נתונים נכנסת (Ingress) אישור ללא רישום ביומן
דחייה
אישור ותיעוד
דחייה + רישום ביומן
דחייה + רישום ביומן לא רלוונטי תעבורת נתונים נכנסת (Ingress) דחייה רשומה אחת ביומן כל 5 שניות:
disposition=deny, rule=R1
דחייה לא רלוונטי תעבורת נתונים נכנסת (Ingress) דחייה ללא רישום ביומן
אישור אישור ותיעוד תעבורת נתונים יוצאת (egress) אישור רשומה אחת ביומן:
disposition=allow, rule=R2
דחייה
אישור ותיעוד
דחייה + רישום ביומן
אישור אישור תעבורת נתונים יוצאת (egress) אישור ללא רישום ביומן
דחייה
אישור ותיעוד
דחייה + רישום ביומן
לא רלוונטי דחייה + רישום ביומן תעבורת נתונים יוצאת (egress) דחייה רישום אחד ביומן כל 5 שניות:
disposition=deny, rule=R2
לא רלוונטי דחייה תעבורת נתונים יוצאת (egress) דחייה ללא רישום ביומן

חשוב לזכור שהתנועה הנכנסת והתנועה היוצאת הן סימטריות.

זהו תיאור מפורט של הסמנטיקה של יומני חומת האש:

  • התרה + רישום ביומן (רישום ביומן נתמך רק עבור TCP ו-UDP)

    • חיבור שהופעל בכיוון שאליו הכלל חל גורם ליצירת רשומה אחת ביומן.
    • תנועת גולשים של תשובות מותרת בגלל מעקב אחר חיבורים. תעבורת נתונים של תשובות לא גורמת לרישום ביומן, ללא קשר לכללי חומת האש של ה-VPC בכיוון הזה.
    • אם תוקף החיבור פג בחומת האש (לא פעיל במשך 10 דקות או שהתקבל TCP RST), חבילה נוספת בכל אחד מהכיוונים עשויה להפעיל את הרישום ביומן.
    • הרישום מתבסס על 5-tuples. דגלי TCP לא משפיעים על אופן הרישום ביומן.

  • דחייה + רישום ביומן (רישום ביומן נתמך רק עבור TCP ו-UDP)

    • החבילות נשמטות (לא מתבצעת התחברות).
    • כל מנה שמתאימה ל-5-tuple ייחודית נרשמת כניסיון כושל ליצירת חיבור.
    • אותו 5-tuple נרשם ביומן שוב כל 5 שניות אם הוא ממשיך לקבל מנות.

המאמרים הבאים