I criteri firewall gerarchici forniscono un controllo granulare sul traffico di rete. Questa pagina descrive come gestire le policy del firewall gerarchiche e le relative regole per proteggere le tue risorse. Google Cloud
Prima di leggere questa pagina, assicurati di conoscere i concetti descritti nella panoramica delle policy del firewall gerarchiche. Per visualizzare esempi di implementazioni di policy del firewall gerarchiche, consulta Esempi di policy del firewall gerarchiche.
Attività relative alle policy del firewall
Questa sezione descrive come gestire le policy firewall gerarchiche.
Per controllare l'avanzamento di un'operazione risultante da un'attività elencata in questa sezione, assicurati che la tua entità IAM disponga delle seguenti autorizzazioni o ruoli oltre a quelli richiesti per ogni attività.
Descrivere una norma
Puoi visualizzare i dettagli di una policy del firewall gerarchico, incluse le regole della policy e gli attributi delle regole associati. Tutti questi attributi delle regole vengono conteggiati come parte della quota degli attributi delle regole. Per saperne di più, consulta "Attributi delle regole per policy del firewall gerarchico" nella tabella Per policy del firewall.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy.
gcloud
gcloud compute firewall-policies describe POLICY_NAME \
--organization ORG_ID
Elenca criteri
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Per un'organizzazione, la sezione Policy firewall associate a questa organizzazione mostra le policy associate. La sezione Criteri firewall situati in questa organizzazione elenca i criteri di proprietà dell'organizzazione.
Per una cartella, la sezione Criteri firewall associati a questa cartella o ereditati da questa cartella mostra i criteri associati o ereditati dalla cartella. La sezione Criteri firewall situati in questa cartella elenca i criteri di cui la cartella è proprietaria.
gcloud
gcloud compute firewall-policies list \
[--organization ORG_ID | --folder FOLDER_ID]
Elenca le associazioni per una risorsa
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Per la risorsa selezionata (organizzazione o cartella), viene visualizzato un elenco delle policy associate e ereditate.
gcloud
gcloud compute firewall-policies associations list \
[--organization ORG_ID | --folder FOLDER_ID]
Spostare un criterio da una risorsa a un'altra
Lo spostamento di una policy modifica solo il genitore della policy. La modifica del parent della policy potrebbe modificare le entità IAM che possono creare e aggiornare le regole nella policy e le entità IAM che possono creare associazioni future.
Lo spostamento di una policy non modifica le associazioni esistenti né la valutazione delle regole nella policy.
Console
Utilizza Google Cloud CLI per questa procedura.
gcloud
Esegui questi comandi per spostare la policy del firewall gerarchica in un'organizzazione:
gcloud compute firewall-policies move POLICY_NAME \
--organization ORG_ID
Esegui questi comandi per spostare la policy del firewall gerarchica in una cartella di un'organizzazione:
gcloud compute firewall-policies move POLICY_NAME \
--folder FOLDER_ID
Sostituisci quanto segue:
POLICY_NAME: il nome breve o il nome generato dal sistema della policy che stai spostandoORG_ID: l'ID dell'organizzazione a cui viene spostata la policyFOLDER_ID: l'ID della cartella in cui viene spostata la policy
Aggiornare la descrizione di una policy
L'unico campo dei criteri che può essere aggiornato è Descrizione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy.
Fai clic su Modifica.
Modifica la descrizione.
Fai clic su Salva.
gcloud
gcloud compute firewall-policies update POLICY_NAME \
--description DESCRIPTION \
--organization ORG_ID
Eliminare un'associazione
Se devi modificare la policy del firewall gerarchica associata a un'organizzazione o a una cartella, ti consigliamo di associare una nuova policy anziché eliminare una policy associata esistente. Puoi associare una nuova policy in un solo passaggio, il che contribuisce a garantire che una policy policy del firewall gerarchica sia sempre associata all'organizzazione o alla cartella.
Per eliminare un'associazione tra un criterio firewall gerarchico e un'organizzazione o una cartella, segui i passaggi descritti in questa sezione. Le regole nella policy del firewall gerarchico non si applicano alle nuove connessioni dopo l'eliminazione dell'associazione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy.
Fai clic sulla scheda Associazioni.
Seleziona l'associazione che vuoi eliminare.
Fai clic su Rimuovi associazione.
gcloud
gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
--firewall-policy POLICY_NAME \
--organization ORG_ID
Eliminare una policy
Prima di poter eliminare una policy del firewall gerarchica, devi eliminare tutte le sue associazioni.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy che vuoi eliminare.
Fai clic sulla scheda Associazioni.
Seleziona tutte le associazioni.
Fai clic su Rimuovi associazione.
Dopo aver rimosso tutte le associazioni, fai clic su Elimina.
gcloud
Utilizza il seguente comando per eliminare la policy:
gcloud compute firewall-policies delete POLICY_NAME \
--organization ORG_ID
Attività delle regole dei criteri del firewall
Questa sezione descrive come gestire le regole delle policy del firewall gerarchiche.
Clonare le regole da una policy a un'altra
Rimuovi tutte le regole dal criterio di destinazione e sostituiscile con le regole del criterio di origine.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla norma da cui vuoi copiare le regole.
Fai clic su Clona nella parte superiore dello schermo.
Fornisci il nome di una norma di destinazione.
(Facoltativo) Se vuoi associare immediatamente il nuovo criterio, fai clic su Continua per aprire la sezione Associa criterio alle risorse.
Fai clic su Clona.
gcloud
gcloud compute firewall-policies clone-rules POLICY_NAME \
--source-firewall-policy=SOURCE_POLICY \
--organization=ORG_ID \
Sostituisci quanto segue:
POLICY_NAME: la policy in cui ricevere le regole copiateSOURCE_POLICY: la policy da cui copiare le regole; deve essere l'URL della risorsaORG_ID: l'ID organizzazione che contiene la policy del firewall gerarchica.
Descrivere una regola
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy.
Fai clic sulla priorità della regola.
gcloud
gcloud compute firewall-policies rules describe PRIORITY \
--firewall-policy=POLICY_NAME \
--organization=ORG_ID
Sostituisci quanto segue:
POLICY_NAME: il nome della policy firewall gerarchica che contiene la nuova regola.ORG_ID: l'ID organizzazione che contiene la policy del firewall gerarchica.
Elenca tutte le regole in un criterio
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy. Le regole sono elencate nella scheda Regole firewall.
gcloud
gcloud compute firewall-policies list-rules POLICY_NAME \
--organization=ORG_ID
Sostituisci quanto segue:
POLICY_NAME: il nome del criterio firewall gerarchico che contiene la regola.ORG_ID: l'ID organizzazione che contiene la policy del firewall gerarchica.
Aggiornare una regola
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore di progetti, seleziona l'organizzazione o la cartella che contiene la policy del firewall gerarchico.
Fai clic sul nome della policy del firewall gerarchica che contiene la regola da aggiornare.
Fai clic sulla priorità della regola.
Fai clic su Modifica.
Modifica i campi della regola firewall che vuoi cambiare. Per le descrizioni di ogni campo, consulta uno dei seguenti articoli:
Fai clic su Salva.
gcloud
gcloud compute firewall-policies rules update PRIORITY \
--firewall-policy=POLICY_NAME \
--organization ORG_ID \
[...other flags that you want to modify...]
Sostituisci quanto segue:
PRIORITY: il numero di priorità che identifica in modo univoco la regola.POLICY_NAME: il nome della policy che contiene la regola.ORG_ID: l'ID organizzazione che contiene la policy del firewall gerarchica.
Fornisci i flag che vuoi modificare. Per le descrizioni dei flag, consulta uno dei seguenti articoli:
Eliminare una regola
L'eliminazione di una regola da un criterio fa sì che la regola non venga più applicata alle nuove connessioni da o verso la destinazione della regola.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.
Fai clic sulla policy.
Seleziona la regola che vuoi eliminare.
Fai clic su Elimina.
gcloud
gcloud compute firewall-policies rules delete PRIORITY \
--firewall-policy=POLICY_NAME \
--organization=ORG_ID
Sostituisci quanto segue:
PRIORITY: la priorità della regola che vuoi eliminare dalla policy.POLICY_NAME: il nome del criterio firewall gerarchico che contiene la regola.ORG_ID: l'ID organizzazione che contiene la policy del firewall gerarchica.
Recupera le regole firewall effettive per una rete
Puoi visualizzare tutte le regole dei criteri firewall gerarchici, le regole firewall VPC e le regole dei criteri firewall di rete globali che si applicano a tutte le regioni di una rete VPC.
Console
Nella console Google Cloud , vai alla pagina Reti VPC.
Fai clic sulla rete per cui vuoi visualizzare le regole dei criteri firewall.
Fai clic su Firewall.
Espandi ogni policy del firewall per visualizzare le regole che si applicano a questa rete.
gcloud
gcloud compute networks get-effective-firewalls NETWORK_NAME
Sostituisci NETWORK_NAME con la rete per cui vuoi visualizzare le regole effettive.
Puoi anche visualizzare le regole firewall effettive per una rete dalla pagina Firewall.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Le policy firewall sono elencate nella sezione Policy firewall ereditate da questo progetto.
Fai clic su ogni policy del firewall per visualizzare le regole che si applicano a questa rete.
Recupera le regole firewall effettive per un'interfaccia VM
Puoi visualizzare tutte le regole firewall, provenienti da tutti i criteri firewall applicabili e dalle regole firewall VPC, che si applicano a un'interfaccia di rete di una VM Compute Engine.
Console
Nella console Google Cloud , vai alla pagina Istanze VM.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la VM.
Fai clic sulla VM.
In Interfacce di rete, fai clic sull'interfaccia.
Le regole firewall effettive vengono visualizzate nella scheda Firewall disponibile nella sezione Analisi della configurazione di rete.
gcloud
gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
[--network-interface INTERFACE] \
[--zone ZONE]
Sostituisci quanto segue:
INSTANCE_NAME: la VM per cui vuoi visualizzare le regole effettive; se non viene specificata alcuna interfaccia, il comando restituisce le regole per l'interfaccia principale (nic0).INTERFACE: l'interfaccia VM per cui vuoi visualizzare le regole effettive; il valore predefinito ènic0.ZONE: la zona della VM; questa riga è facoltativa se la zona scelta è già impostata come predefinita.
Risoluzione dei problemi
Questa sezione contiene spiegazioni dei messaggi di errore che potresti riscontrare durante la creazione di policy firewall gerarchiche.
FirewallPolicy may not specify a name. One will be provided.Non puoi specificare un nome per la policy. I "nomi" delle policy del firewall gerarchiche sono ID numerici generati da Google Cloud al momento della creazione della policy. Tuttavia, puoi specificare un nome breve più semplice da ricordare che funge da alias in molti contesti.
FirewallPolicy may not specify associations on creation.Le associazioni possono essere create solo dopo la creazione dei criteri firewall gerarchici.
Can't move firewall policy to a different organization.Gli spostamenti dei criteri del firewall gerarchici devono rimanere all'interno della stessa organizzazione.
The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.Se una risorsa è già collegata a una policy del firewall gerarchica, l'operazione di collegamento non riesce a meno che l'opzione di sostituzione delle associazioni esistenti non sia impostata su true.
Can't have rules with the same priorities.Le priorità delle regole devono essere univoche all'interno di un criterio firewall gerarchico.
Direction must be specified for a firewall policy rule.Quando crei regole della policy del firewall gerarchico inviando richieste REST direttamente, devi specificare la direzione della regola. Quando utilizzi Google Cloud CLI e non viene specificata alcuna direzione, il valore predefinito è
INGRESS.Can't specify enable_logging on a goto_next rule.Il logging del firewall non è consentito per le regole con l'azione goto_next perché le azioni goto_next vengono utilizzate per rappresentare l'ordine di valutazione di diverse policy del firewall e non sono azioni terminali, ad esempio ALLOW o DENY.
Must specify at least one destination on Firewall policy rule.Il flag
layer4Configsnella regola del criterio firewall deve specificare almeno un protocollo o un protocollo e una porta di destinazione.Per saperne di più sulla risoluzione dei problemi relativi alle regole dei criteri firewall, consulta Risoluzione dei problemi relativi alle regole firewall VPC.