Gestire le policy firewall di rete globali

Per controllare il traffico di rete nel tuo ambiente Google Cloud , gestisci le policy del firewall di rete globali e le relative regole. Questa pagina descrive come elencare, descrivere e aggiornare le policy e le relative regole individuali. Imparerai a clonare le regole tra i criteri e a gestire le associazioni dei criteri con le tue reti Virtual Private Cloud (VPC).

Prima di leggere questa pagina, assicurati di conoscere i concetti descritti nella panoramica delle policy firewall di rete globali.

Attività relative alle policy del firewall

Questa sezione descrive come gestire i criteri firewall di rete globali.

Descrivi una policy del firewall di rete globale

Puoi visualizzare i dettagli di una policy del firewall di rete globale, incluse le regole della policy e gli attributi delle regole associati. Tutti questi attributi delle regole vengono conteggiati come parte della quota degli attributi delle regole. Per saperne di più, consulta "Attributi delle regole per policy del firewall di rete globale" nella tabella Per policy firewall.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete globale.

3. Fai clic sulla policy.

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --global

Aggiorna la descrizione di una policy del firewall di rete globale

L'unico campo dei criteri che può essere aggiornato è Descrizione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete globale.

3. Fai clic sulla policy.

4. Fai clic su Modifica.

5. Nel campo Descrizione, modifica il testo.

6. Fai clic su Salva.

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --global

Elenca le policy del firewall di rete globali

Puoi visualizzare un elenco dei criteri disponibili nel tuo progetto.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.list

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

   La sezione Policy firewall di rete mostra le policy disponibili nel tuo progetto.

gcloud

gcloud compute network-firewall-policies list --global

Rimuovere l'associazione di rete

Se devi modificare la policy del firewall di rete globale associata a una rete VPC, ti consigliamo di associare prima una nuova policy anziché eliminare una policy associata esistente. Puoi associare una nuova policy in un solo passaggio, il che contribuisce a garantire che una policy del firewall di rete globale sia sempre associata alla rete VPC.

Per eliminare un'associazione tra una policy del firewall di rete globale e una rete VPC, segui i passaggi descritti in questa sezione. Le regole nel criterio firewall di rete globale non si applicano alle nuove connessioni dopo l'eliminazione dell'associazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.networks.setFirewallPolicy

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul progetto contenente la rete

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il tuo progetto o la cartella che contiene la policy.

3. Fai clic sulla policy.

4. Fai clic sulla scheda Associazioni.

5. Seleziona l'associazione che vuoi eliminare.

6. Fai clic su Rimuovi associazione.

gcloud

gcloud compute network-firewall-policies associations delete \
    --firewall-policy FIREWALL_POLICY \
    --name ASSOCIATION_NAME \
    --firewall-policy-region FIREWALL_POLICY_REGION \
    --global-firewall-policy

Elimina una policy del firewall di rete globale

Prima di poter eliminare una policy del firewall di rete globale, devi eliminare tutte le relative associazioni.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.delete

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy che vuoi eliminare.

4. Fai clic sulla scheda Associazioni.

5. Seleziona tutte le associazioni.

6. Fai clic su Rimuovi associazione.

7. Dopo aver rimosso tutte le associazioni, fai clic su Elimina.

gcloud

Utilizza il seguente comando per eliminare la policy:

gcloud compute network-firewall-policies delete POLICY_NAME \
    --global

Attività delle regole dei criteri del firewall

Questa sezione descrive come gestire le regole dei criteri firewall di rete globali.

Clonare le regole da una policy a un'altra

La clonazione copia le regole da un criterio di origine a un criterio di destinazione, sostituendo tutte le regole esistenti nel criterio di destinazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.cloneRules
• compute.networks.setFirewallPolicy

Ruoli

• Editor Compute (roles/compute.editor) nel policy del firewall o nel progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy da cui vuoi copiare le regole.

4. Fai clic su Clona nella parte superiore dello schermo.

5. Fornisci il nome di una norma di destinazione.

6. Se vuoi associare immediatamente la nuova norma, fai clic su Continua > Associa.

7. Nella pagina Associa policy a reti VPC, seleziona le reti e fai clic su Associa.

8. Fai clic su Continua.

9. Fai clic su Clona.

gcloud

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --global \
    --source-firewall-policy SOURCE_POLICY

Sostituisci quanto segue:

• TARGET_POLICY: il nome della policy di destinazione.
• SOURCE_POLICY: l'URL della policy di origine.

Descrivere una regola

Puoi visualizzare i dettagli di una regola specifica in una policy firewall di rete globale.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy.

4. Fai clic sulla priorità della regola.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.

Aggiorna una regola della policy del firewall di rete globale

Puoi modificare una regola dei criteri firewall di rete globali per cambiare gli attributi della regola, ad esempio l'azione in caso di corrispondenza, gli intervalli di indirizzi IP o i protocolli e le porte.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.get
• compute.firewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete globale.

3. Fai clic sul nome della policy del firewall di rete globale che contiene la regola da aggiornare.

4. Fai clic sulla priorità della regola.

5. Fai clic su Modifica.

6. Modifica i campi della regola firewall che vuoi cambiare. Per le descrizioni di ogni campo, consulta uno dei seguenti articoli:

   • Crea una regola in entrata per le VM di destinazione
   • Crea una regola in uscita per le VM di destinazione

7. Fai clic su Salva.

gcloud

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy \
    [...other flags that you want to modify...]

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.

Fornisci i flag che vuoi modificare. Per le descrizioni dei flag, consulta uno dei seguenti articoli:

• Crea una regola in entrata per le VM di destinazione
• Crea una regola in uscita per le VM di destinazione

Visualizza le regole firewall effettive per un'interfaccia VM

Puoi visualizzare tutte le regole firewall, provenienti da tutti i criteri firewall applicabili e dalle regole firewall VPC, che si applicano a un'interfaccia di rete di una VM Compute Engine.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.instances.getEffectiveFirewalls

Ruoli

• Amministratore istanze Compute (roles/compute.instanceAdmin) sul progetto contenente l'istanza VM o
• Instance Group Manager Service Agent (roles/compute.instanceGroupManagerServiceAgent) sul progetto contenente l'istanza VM o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto contenente l'istanza VM o
• Compute Viewer (roles/compute.viewer) sul progetto contenente l'istanza VM

Console

1. Nella console Google Cloud , vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la VM.

3. Fai clic sulla VM.

4. In Interfacce di rete, fai clic sul nome dell'interfaccia.

5. Nella sezione Analisi della configurazione di rete, fai clic sulla scheda Firewall.

6. Per visualizzare le regole firewall effettive, fai clic sulla scheda Visualizzazione regole firewall.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Sostituisci quanto segue:

• INSTANCE_NAME: la VM per cui vuoi visualizzare le regole effettive; se non viene specificata alcuna interfaccia, il comando restituisce le regole per l'interfaccia principale (nic0).
• INTERFACE: l'interfaccia VM per cui vuoi visualizzare le regole effettive; il valore predefinito è nic0.
• ZONE: la zona della VM; questa riga è facoltativa se la zona scelta è già impostata come predefinita.

Visualizzare le regole firewall effettive per una rete

Puoi visualizzare tutte le regole dei criteri firewall gerarchici, le regole firewall VPC e le regole dei criteri firewall di rete globali che si applicano a tutte le regioni di una rete VPC.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.networks.getEffectiveFirewalls
• compute.networks.getRegionEffectiveFirewalls

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul progetto contenente la rete o
• Utente di rete Compute (roles/compute.networkUser) sul progetto contenente la rete o
• Compute Network Viewer (roles/compute.networkViewer) sul progetto contenente la rete o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto contenente la rete o
• Compute Viewer (roles/compute.viewer) sul progetto contenente la rete

Console

1. Nella console Google Cloud , vai alla pagina Reti VPC.

   Vai a Reti VPC

2. Fai clic sulla rete per cui vuoi visualizzare le regole dei criteri firewall.

3. Nella pagina Dettagli rete VPC, fai clic sulla scheda Firewall.

4. Per visualizzare le regole che si applicano a questa rete, fai clic sulla scheda Visualizzazione regole firewall.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

Sostituisci NETWORK_NAME con la rete per cui vuoi visualizzare le regole effettive.

Puoi anche visualizzare le regole firewall effettive per una rete dalla pagina Firewall.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.organizations.listAssociations sulla rete
• (Facoltativo) resourcemanager.folders.get e resourcemanager.organizations.get per visualizzare le informazioni nelle colonne Ereditato da e Posizione

Ruoli

Per visualizzare le regole firewall:

• Compute Organization Resource Admin (roles/compute.orgSecurityResourceAdmin)
• Visualizzatore Compute (roles/compute.viewer)

(Facoltativo) Per visualizzare le informazioni nelle colonne Ereditato da e Situato in:

• Browser (roles/browser)
• Amministratore organizzazione (roles/resourcemanager.organizationAdmin)

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Le policy firewall sono elencate nella sezione Policy firewall ereditate da questo progetto.

3. Fai clic su ogni policy del firewall per visualizzare le regole che si applicano a questa rete.

Eliminare una regola da una norma

L'eliminazione di una regola da un criterio fa sì che la regola non venga più applicata alle nuove connessioni da o verso la destinazione della regola.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.firewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy.

4. Seleziona la regola che vuoi eliminare.

5. Fai clic su Elimina.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy=POLICY_NAME \
    --global-firewall-policy

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.

Passaggi successivi

• Policy firewall di rete regionali
• Policy firewall gerarchiche
• Crea regole e policy del firewall di rete globali