Permitir o tráfego de saída usando uma política de firewall de rede global

Permitir o tráfego de saída usando uma política de firewall de rede global

Aprenda a proteger sua rede limitando o tráfego de saída de uma instância de máquina virtual (VM). Este guia de início rápido mostra como configurar uma política de firewall de rede global para permitir o tráfego de saída de uma instância de VM para um endereço IP específico, enquanto bloqueia todo o outro tráfego de saída de instâncias de VM na mesma rede de nuvem privada virtual (VPC).

Neste guia de início rápido, você vai executar as seguintes tarefas:

• Criar uma rede VPC de modo personalizado com uma sub-rede.
• Criar VMs de cliente e servidor.
• Criar uma política de firewall de rede global.
• Adicionar regras de firewall.
• Testar a política de firewall.
• Limpar e excluir os recursos.

Antes de começar

Faça login na sua Google Cloud conta do. Se você começou a usar o Google Cloudagora, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Ative a API Compute Engine no projeto.

Funções exigidas

Para criar redes VPC de modo personalizado, instâncias de VM e políticas de firewall de rede global ou para visualizar os registros, peça ao administrador para conceder a você as funções necessárias do Identity and Access Management (IAM) no seu projeto:

• Papel Administrador de rede do Compute (roles/compute.networkAdmin)
• Papel Admin da instância do Compute (v1) (roles/compute.instanceAdmin.v1)
• Papel Administrador de segurança do Compute (roles/compute.securityAdmin)

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível receber as permissões necessárias com papéis personalizados ou outros papéis predefinidos.

Criar uma rede VPC de modo personalizado com uma sub-rede

Nesta seção, você vai criar uma rede VPC de modo personalizado e uma sub-rede IPv4 para hospedar suas VMs.

1. No Google Cloud console do, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique em Criar rede VPC.

3. Em Nome, insira vpc-fw-rules.

4. Em Descrição, insira VPC network for the firewall rules quickstart.

5. Em Modo de criação da sub-rede, selecione Personalizado.

6. Na seção Nova sub-rede, especifique o seguinte:

   • Nome: subnet-fw-rules
   • Região: us-central1
   • Intervalo IPv4: 10.0.0.0/24
   • Acesso privado do Google: ativado

   Definir o Acesso privado do Google como ativado permite que as VMs nessa sub-rede acessem Google Cloud serviços sem usar um endereço IP externo.

7. Clique em Concluído e em Criar.

Por padrão, a rede VPC inclui as seguintes regras IPv4 implícitas:

• Uma regra de saída de permissão com destino 0.0.0.0/0 e a menor prioridade possível (65535) que permite que qualquer instância envie tráfego para qualquer destino, exceto o tráfego bloqueado por Google Cloud.
• Uma entrada de negação com origem 0.0.0.0/0 e a menor prioridade possível (65535) que protege todas as instâncias bloqueando a entrada de conexões.

Para mais informações sobre a regra ou ação implícita para um tráfego de entrada ou saída, consulte Processo de avaliação de regras de firewall.

Criar VMs de cliente e servidor

Nesta seção, você vai criar duas VMs do Linux sem endereços IP externo na sub-rede da rede VPC criada anteriormente.

1. No Google Cloud console do, acesse a página Criar uma instância.

   Acesse "Criar uma instância"

2. Em Nome, insira vm-fw-rules-server.

3. Em Região, selecione us-central1 (Iowa).

4. No menu Rede, em Interfaces de rede, selecione:

   • Rede: vpc-fw-rules
   • Sub-rede: subnet-fw-rules IPv4 (10.0.0.0/24)
   • Endereço IPv4 externo: temporário

5. Clique em Concluído e em Criar.

6. Anote o endereço IP interno da VM depois que ela for criada.

7. Repita essas etapas para criar uma segunda VM chamada vm-fw-rules-client usando as mesmas configurações de rede, mas defina Endereço IPv4 externo como Nenhum.

Para instalar e executar um servidor da Web nginx em vm-fw-rules-server, siga estas etapas:

1. No Google Cloud console do, acesse a página Instâncias de VM.

   Acessar instâncias de VM

2. Clique em SSH para vm-fw-rules-server.

3. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde a conexão ser estabelecida.

4. Para instalar e executar o servidor da Web nginx, execute o comando sudo apt update && sudo apt install nginx.

Criar uma política de firewall de rede global

Nesta seção, você vai criar uma política de firewall de rede global e associá-la à rede VPC criada anteriormente.

1. No Google Cloud console, acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. Clique em Criar política de firewall.

3. Em Nome da política, insira fw-policy.

4. Em Escopo da implantação, selecione Global.

5. Clique em Continuar para pular a seção de regras. Você vai adicionar regras de firewall nas próximas seções deste guia de início rápido.

6. Na seção Associar política a redes, clique em Associar.

7. Marque a caixa de seleção vpc-fw-rules e clique em Associar para associar a rede VPC à política.

8. Clique em Continuar e selecione Criar.

Adicionar regras de firewall

Nesta seção, você vai adicionar regras de firewall à política de firewall de rede global criada anteriormente.

1. No Google Cloud console, acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. Clique no nome da sua política de firewall. Na guia Regras de firewall da sua política, clique em Criar regra de firewall.

3. Adicione uma regra de entrada para permitir o tráfego TCP na porta 22. Essa regra permite o acesso do Identity-Aware Proxy (IAP) às instâncias de VM na rede VPC. O serviço IAP usa uma camada de autorização central para ajudar você a acessar as VMs de cliente e servidor. Para mais informações, consulte Visão geral do Identity-Aware Proxy.

   • Em Prioridade, digite 100.
   • Em Tipo de destino, selecione Instâncias.
   • Em Destino, selecione Aplicar a todos.
   • Em Direção de tráfego, selecione Entrada.
   • Em Ação se houver correspondência, selecione Permitir.

   • Em Registros, selecione Ativado.

     Observação:ativar os registros pode gerar um grande número de registros, o que pode resultar em custos mais altos.

   • Em Contexto da rede de origem, selecione Todos os contextos de rede.

   • Na seção Origem, em Tipo de IP, selecione IPv4. Em Intervalos de IP, insira 35.235.240.0/20.

   • Em Protocolos e portas, selecione Protocolos e portas especificados, e, em seguida, TCP. Em Portas, insira 22.

   • Em Restrição, selecione Ativada.

4. Clique em Criar.

5. Adicione uma regra de entrada para permitir o tráfego de entrada na VM do servidor da VM do cliente:

   • Em Prioridade, digite 200.
   • Em Tipo de destino, selecione Instâncias.
   • Em Destino, selecione Aplicar a todos.
   • Em Direção de tráfego, selecione Entrada.
   • Em Ação se houver correspondência, selecione Permitir.

   • Em Registros, selecione Ativado.

     Observação:ativar os registros pode gerar um grande número de registros, o que pode resultar em custos mais altos.

   • Em Contexto da rede de origem, selecione Contexto de rede específico e, em seguida, Intra VPC.

   • Na seção Origem, em Tipo de IP, selecione IPv4. Em Intervalos de IP, especifique o endereço IP interno da VM do cliente. Por exemplo, 10.0.0.2/32.

   • Na seção Destino, em Tipo de IP, selecione IPv4. Em Intervalos de IP, especifique o endereço IP interno da VM do servidor. Por exemplo, 10.0.0.1/32.

   • Em Protocolos e portas, selecione Protocolos e portas especificados, e, em seguida, TCP. Em Portas, insira 80.

   • Em Restrição, selecione Ativada.

6. Clique em Criar.

7. Para melhorar a segurança, você pode limitar todo o tráfego de saída e criar uma regra de saída definida de forma restrita para permitir apenas o tráfego identificado.

   1. Adicione uma regra de saída para delegar o tráfego de saída da VM do cliente (em direção à VM do servidor) à próxima regra na ordem de avaliação da regra de firewall, que é a ação IPv4 implícita que permite todo o tráfego de saída.
      • Em Prioridade, digite 300.
      • Em Tipo de destino, selecione Instâncias.
      • Em Destino, selecione Aplicar a todos.
      • Em Direção do tráfego, selecione Saída.
      • Em Ação se houver correspondência, selecione Ir para próximo.
      • Em Contexto da rede de destino, selecione Contexto de rede específico e, em seguida, Não na Internet.
      • Na seção Destino, em Tipo de IP, selecione IPv4. Em Intervalos de IP, especifique o endereço IP interno da VM do servidor. Por exemplo, 10.0.0.1/32.
      • Na seção Origem, em Tipo de IP, selecione IPv4. Em Intervalos de IP, especifique o endereço IP interno da VM do cliente. Por exemplo, 10.0.0.2/32.
      • Em Protocolos e portas, selecione Protocolos e portas especificados, e, em seguida, TCP. Em Portas, insira 80.
      • Em Restrição, selecione Ativada.
   2. Clique em Criar.

   3. Adicione uma regra de saída para negar o tráfego de saída de todas as VMs:

      • Em Prioridade, digite 400.
      • Em Tipo de destino, selecione Instâncias.
      • Em Destino, selecione Aplicar a todos.
      • Em Direção do tráfego, selecione Saída.
      • Em Ação se houver correspondência, selecione Negar.

      • Em Registros, selecione Ativado.

        Observação:ativar os registros pode gerar um grande número de registros, o que pode resultar em custos mais altos.

      • Em Contexto da rede de destino, selecione Todos os contextos de rede.

      • Na seção Destino, em Tipo de IP, selecione IPv4. Em Intervalos de IP, insira 0.0.0.0/0.

      • Em Protocolos e portas, selecione Permitir tudo.

      • Em Restrição, selecione Ativada.

   4. Clique em Criar.

Testar a política de firewall

Nesta seção, você vai testar a política de firewall de rede global.

Para verificar se vm-fw-rules-client pode enviar tráfego para vm-fw-rules-server, siga estas etapas:

1. No Google Cloud console do, acesse a página Instâncias de VM.

   Acessar instâncias de VM

2. Clique em SSH para vm-fw-rules-client.

3. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde a conexão ser estabelecida.

4. Para verificar se a conexão foi bem-sucedida, execute o seguinte comando:

   curl <IP_vm-fw-rules-server> -m 2

   Substitua IP_vm-fw-rules-server pelo endereço IP interno da vm-fw-rules-server VM.

Para verificar se o tráfego de saída de qualquer VM na rede VPC está bloqueado, siga estas etapas:

1. No Google Cloud console do, acesse a página Instâncias de VM.

   Acessar instâncias de VM

2. Clique em SSH para vm-fw-rules-server.

3. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde a conexão ser estabelecida.

4. Para verificar se a conexão expirou, execute o seguinte comando:

   curl <IP_vm-fw-rules-client> -m 2

   Substitua IP_vm-fw-rules-client pelo endereço IP interno da vm-fw-rules-client VM.

Limpar

Para evitar cobranças na sua Google Cloud conta do pelos recursos usados neste guia de início rápido, exclua o projeto que contém os recursos ou mantenha o projeto e exclua os recursos individuais.

Nesta seção, você vai excluir os recursos criados neste guia de início rápido.

Excluir a política de firewall

1. No Google Cloud console, acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. Na seção Políticas de firewall de rede, selecione o nome fw-policy.

3. Clique na guia Associações e remova a associação com vpc-fw-rules.

4. Ao lado do título fw-policy, clique em Excluir para excluir a política de firewall.

Excluir as VMs

1. No Google Cloud console do, acesse a página Instâncias de VM.

   Acessar instâncias de VM

2. Marque as caixas de seleção das VMs vm-fw-rules-client e vm-fw-rules-server.

3. Clique em Excluir.

Excluir a rede VPC e as sub-redes dela

1. No Google Cloud console do, acesse a página Redes VPC.

   Acessar redes VPC

2. Na coluna Nome, clique em vpc-fw-rules.

3. Clique em Excluir rede VPC. Ao excluir uma VPC, as sub-redes dela também são excluídas.

A seguir

• Criar uma rede VPC de modo personalizado com sub-redes somente IPv4
• Criar e iniciar uma instância do Compute Engine
• Políticas e regras de firewall
• Componentes da regra de política de firewall
• Ordem de avaliação de políticas e regras de firewall