Gestire le policy firewall di rete regionali

Per controllare il traffico di rete all'interno di regioni specifiche, utilizza le policy firewall di rete regionali e le relative regole. Questa pagina fornisce istruzioni per clonare, elencare, descrivere, visualizzare, aggiornare ed eliminare le regole e le associazioni dei criteri firewall di rete regionali.

Prima di leggere questa pagina, assicurati di conoscere i concetti descritti nelle policy del firewall di rete regionali.

Attività relative alle policy del firewall

Questa sezione descrive come gestire i criteri firewall di rete regionali.

Descrivi una policy del firewall di rete a livello di regione

Puoi visualizzare i dettagli di una policy del firewall di rete regionale, incluse le regole della policy e gli attributi delle regole associati. Tutti questi attributi delle regole vengono conteggiati come parte della quota degli attributi delle regole. Per ulteriori informazioni, consulta "Attributi delle regole per policy del firewall di rete regionale" nella tabella Per policy del firewall. Inoltre, puoi visualizzare le priorità delle associazioni di reti VPC esistenti.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete a livello di regione.

3. Fai clic sulla policy.

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --region=REGION_NAME

Aggiorna la descrizione di una policy del firewall di rete a livello di regione

L'unico campo dei criteri che può essere aggiornato è Descrizione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete a livello di regione.

3. Fai clic sulla policy.

4. Fai clic su Modifica.

5. Nel campo Descrizione, modifica la descrizione.

6. Fai clic su Salva.

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Elenca i criteri firewall di rete regionali

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.list

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

   La sezione Policy firewall di rete mostra le policy disponibili nel tuo progetto.

gcloud

gcloud compute network-firewall-policies list \
    --regions=LIST_OF_REGIONS

Sostituisci LIST_OF_REGIONS con un elenco separato da virgole di regioni per cui vuoi elencare i criteri.

Elimina l'associazione di rete

Per interrompere l'applicazione di una policy del firewall su una rete, elimina l'associazione.

Tuttavia, se intendi sostituire un criterio firewall con un altro, non devi prima eliminare l'associazione esistente. L'eliminazione di questa associazione lascia un periodo di tempo in cui nessuna policy viene applicata. Sostituisci invece la policy esistente quando associ una nuova policy.

Per eliminare un'associazione tra una policy del firewall di rete regionale e una regione di una rete VPC, segui i passaggi descritti in questa sezione. Le regole nella policy del firewall di rete regionale non si applicano alle nuove connessioni dopo l'eliminazione dell'associazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.use

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto contenente la rete

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il tuo progetto o la cartella che contiene la policy.

3. Fai clic sulla policy.

4. Fai clic sulla scheda Associazioni.

5. Seleziona l'associazione che vuoi eliminare.

6. Fai clic su Rimuovi associazione.

gcloud

gcloud compute network-firewall-policies associations delete \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION

Elimina un criterio firewall di rete a livello di regione

Prima di poter eliminare una policy del firewall di rete regionale, devi eliminare tutte le relative associazioni.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.delete

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy che vuoi eliminare.

4. Fai clic sulla scheda Associazioni.

5. Seleziona tutte le associazioni.

6. Fai clic su Rimuovi associazione.

7. Dopo aver rimosso tutte le associazioni, fai clic su Elimina.

gcloud

Utilizza il seguente comando per eliminare la policy:

gcloud compute network-firewall-policies delete POLICY_NAME \
    --region=REGION_NAME

Sostituisci quanto segue:

• POLICY_NAME: il nome della policy del firewall di rete regionale.
• REGION_NAME: la regione della policy del firewall di rete regionale.

Attività delle regole dei criteri del firewall

Questa sezione descrive come gestire le regole dei criteri firewall di rete a livello di regione.

Clonare le regole da una policy a un'altra

La clonazione copia le regole da una policy di origine a una policy di destinazione, sostituendo tutte le regole esistenti nella policy di destinazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.cloneRules

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla norma da cui vuoi copiare le regole.

4. Fai clic su Clona nella parte superiore dello schermo.

5. Fornisci il nome di una norma di destinazione.

6. Se vuoi associare immediatamente la nuova norma, fai clic su Continua > Associa.

7. Nella pagina Associa policy a reti VPC, seleziona le reti e fai clic su Associa.

8. Fai clic su Continua.

9. Fai clic su Clona.

gcloud

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --region=TARGET_POLICY_REGION \
    --source-firewall-policy=SOURCE_POLICY

Sostituisci quanto segue:

• TARGET_POLICY: il nome della policy di destinazione.
• TARGET_POLICY_REGION: la regione della policy di destinazione.
• SOURCE_POLICY: l'URL della policy di origine.

Descrivere una regola

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.get

Ruoli

• Compute Network Admin (roles/compute.networkAdmin) sul criterio firewall o sul progetto contenente la policy del firewall o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy.

4. Fai clic sulla priorità della regola.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy=POLICY_NAME \
    --firewall-policy-region=POLICY_REGION

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.
• POLICY_REGION: la regione della policy che contiene la regola.

Aggiornare una regola

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.get
• compute.regionFirewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy del firewall di rete a livello di regione.

3. Fai clic sul nome del criterio firewall di rete regionale che contiene la regola da aggiornare.

4. Fai clic sulla priorità della regola.

5. Fai clic su Modifica.

6. Modifica i campi della regola firewall che vuoi cambiare. Per le descrizioni di ogni campo, consulta uno dei seguenti articoli:

   • Crea una regola in entrata per le VM di destinazione
   • Crea una regola di ingresso per i target del bilanciatore del carico delle applicazioni interno e del bilanciatore del carico di rete proxy interno
   • Crea una regola in uscita per le VM di destinazione

7. Fai clic su Salva.

gcloud

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    [...other flags that you want to modify...]

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.
• POLICY_REGION: la regione della policy che contiene la regola.

Fornisci i flag che vuoi modificare. Per le descrizioni dei flag, consulta uno dei seguenti articoli:

• Crea una regola in entrata per le VM di destinazione
• Crea una regola di ingresso per i target del bilanciatore del carico delle applicazioni interno e del bilanciatore del carico di rete proxy interno
• Crea una regola in uscita per le VM di destinazione

Eliminare una regola

L'eliminazione di una regola da un criterio fa sì che la regola non venga più applicata alle nuove connessioni da o verso la destinazione della regola.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.regionFirewallPolicies.update

Ruoli

• Compute Security Admin (roles/compute.securityAdmin) sul progetto o policy del firewall che contiene la policy del firewall

Console

1. Nella console Google Cloud , vai alla pagina Policy del firewall.

   Vai a Criteri firewall

2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.

3. Fai clic sulla policy.

4. Seleziona la regola che vuoi eliminare.

5. Fai clic su Elimina.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy=POLICY_NAME \
    --firewall-policy-region=POLICY_REGION

Sostituisci quanto segue:

• PRIORITY: il numero di priorità che identifica in modo univoco la regola.
• POLICY_NAME: il nome della policy che contiene la regola.
• POLICY_REGION: la regione della policy che contiene la regola.

Recupera le regole firewall effettive per una regione di una rete

Puoi visualizzare tutte le regole dei criteri firewall gerarchici, le regole firewall VPC, le regole dei criteri firewall di rete globali e le regole dei criteri firewall di rete regionali che si applicano a una regione specifica di una rete VPC.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM.

Autorizzazioni

• compute.networks.getEffectiveFirewalls
• compute.networks.getRegionEffectiveFirewalls

Ruoli

• Utente di rete Compute (roles/compute.networkUser) sul progetto contenente la rete o
• Compute Network Viewer (roles/compute.networkViewer) sul progetto contenente la rete o
• Compute Security Admin (roles/compute.securityAdmin) sul progetto contenente la rete o
• Compute Viewer (roles/compute.viewer) sul progetto contenente la rete

gcloud

gcloud compute network-firewall-policies get-effective-firewalls \
    --region=REGION_NAME \
    --network=NETWORK_NAME

Sostituisci quanto segue:

• REGION_NAME: la regione per la quale vuoi visualizzare le regole effettive.
• NETWORK_NAME: la rete per cui vuoi visualizzare le regole effettive.

Passaggi successivi

• Policy firewall di rete regionali
• Policy firewall gerarchiche
• Crea regole e policy del firewall di rete globali