Fehlerbehebung bei der Prüfung auf Anwendungsebene

Auf dieser Seite wird beschrieben, wie Sie häufige Probleme beim Einrichten der Prüfung auf Anwendungsebene (Ebene 7) in Ihrem Netzwerk beheben können. Diese Probleme können mit Sicherheitsprofilen, Sicherheitsprofilgruppen, Firewall-Endpunkten oder Firewallrichtlinien verbunden sein.

Allgemeine Schritte zur Fehlerbehebung

Führen Sie die in den folgenden Abschnitten erwähnten Aufgaben aus, um häufige Konfigurationsfehler im Zusammenhang mit der Layer 7-Prüfung in Ihrem Netzwerk zu beheben.

Logging von Firewallrichtlinienregeln aktivieren

So aktivieren Sie das Logging für die Firewallregeln der Layer 7-Prüfung in Ihren Firewallrichtlinien:

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Klicken Sie auf den Namen einer Firewallrichtlinie, die Firewallregeln für die Layer-7-Inspektion enthält.

  3. Klicken Sie in der Spalte Priorität auf die Priorität der Firewallrichtlinienregel, für die Sie das Logging aktivieren möchten.

  4. Klicken Sie auf Bearbeiten.

  5. Wählen Sie für Logs Ein aus.

  6. Klicken Sie auf Speichern.

Wiederholen Sie die vorherigen Schritte für alle Netzwerkfirewall-Richtlinien und hierarchischen Firewall-Richtlinien, die Firewallregeln für die Layer-7-Prüfung enthalten.

Konfiguration der Firewallrichtlinienregeln prüfen

  1. Achten Sie darauf, dass die Firewall-Richtlinien mit den Layer 7-Firewallregeln dem VPC-Netzwerk (Virtual Private Cloud) zugeordnet sind, in dem sich Ihre VM-Arbeitslasten befinden. Weitere Informationen finden Sie unter Richtlinie mit dem Netzwerk verknüpfen.
  2. Prüfen Sie, ob die Firewall-Endpunkte dem VPC-Netzwerk zugeordnet sind, in dem sich Ihre VM-Arbeitslasten befinden.
  3. Prüfen Sie die Reihenfolge der Regeldurchsetzung, um sicherzustellen, dass die auf den Traffic angewendeten Regeln in der richtigen Reihenfolge sind. Weitere Informationen finden Sie unter Reihenfolge der Richtlinien- und Regelauswertung.
  4. Prüfen Sie die effektiven Firewallregeln auf Netzwerk- und VM-Instanzebene. Achten Sie darauf, dass die Firewallrichtlinienregeln für die Firewallregeln der Layer 7-Prüfung für den Netzwerk-Traffic angewendet werden.

Alle Verbindungen werden zugelassen oder abgelehnt, aber nicht abgefangen

Dieses Szenario tritt auf, wenn Sie alle Komponenten für die Firewallregeln für die Layer-7-Prüfung konfiguriert haben, der Traffic jedoch nicht abgefangen und auf Bedrohungen oder schädliche Aktivitäten untersucht wird.

Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Prüfen Sie, ob sich der Firewall-Endpunkt und die zu prüfenden VM-Arbeitslasten in derselben Zone befinden.
  2. Prüfen Sie, ob das Logging für die Firewallrichtlinienregel aktiviert ist. Weitere Informationen finden Sie im Abschnitt Logging von Firewallrichtlinienregeln aktivieren in diesem Dokument.

  3. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  4. Klicken Sie auf die Firewallrichtlinie, die die Regel für die Layer 7-Prüfung enthält.

  5. In der Spalte Trefferzahl sehen Sie die Anzahl der einmaligen Verbindungen, die für die Firewallregel verwendet wurden.

  6. Wenn die Trefferzahl null ist, wird die Regel nicht auf den Traffic angewendet. Informationen zum Prüfen, ob die Einrichtung korrekt ist, finden Sie im Abschnitt Allgemeine Schritte zur Fehlerbehebung in diesem Dokument.

  7. Wenn die Trefferzahl nicht null ist, klicken Sie auf die Anzahl, um die Seite Log Explorer aufzurufen. Führen Sie dann die folgenden Schritte aus:

    1. Maximieren Sie einzelne Protokolle, um Details zu connection, disposition und remote location aufzurufen.
    2. Wenn die disposition nicht auf intercepted und fallback_action = ALLOW festgelegt ist, lesen Sie den Abschnitt Allgemeine Schritte zur Fehlerbehebung in diesem Dokument, um zu prüfen, ob die Einrichtung korrekt ist.

Firewallrichtlinienregeln für eingehenden Traffic fangen eingehenden Traffic nicht ab

Dieses Szenario tritt auf, wenn die Firewallregeln der Layer-7-Prüfung nicht auf den eingehenden Traffic angewendet werden. Dies tritt zu, wenn der eingehende Traffic den anderen Firewallregeln entspricht, bevor er die Firewallrichtlinienregeln der Layer-7-Prüfung erreicht.

Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Prüfen Sie, ob das Logging für die Firewallrichtlinienregel der Layer-7-Prüfung aktiviert ist. Weitere Informationen finden Sie im Abschnitt Logging von Firewallrichtlinienregeln aktivieren in diesem Dokument.
  2. Achten Sie darauf, dass die Firewallrichtlinie mit der Layer-7-Firewallregel der Prüfung dem VPC-Netzwerk zugeordnet ist, in dem sich Ihre VM-Arbeitslasten befinden. Weitere Informationen finden Sie unter Richtlinie mit dem Netzwerk verknüpfen.
  3. Prüfen Sie, ob die Firewall-Endpunkte dem VPC-Netzwerk zugeordnet sind, in dem sich Ihre VM-Arbeitslasten befinden.
  4. Um zu prüfen, ob die Firewallregel für die Layer-7-Prüfung angewendet wird, führen Sie Konnektivitätstests anhand der in der Regel definierten Quelle und des Ziels aus. Informationen zum Ausführen von Konnektivitätstests finden Sie unter Konnektivitätstests erstellen und ausführen.
  5. Prüfen Sie die Reihenfolge, in der die Regeln auf den eingehenden Traffic angewendet werden. Informationen zum Ändern dieser Reihenfolge finden Sie unter Reihenfolge der Richtlinien- und Regelauswertung ändern.

Bei einigen oder allen Verbindungen wird keine Bedrohung erkannt

Dieses Szenario kann auftreten, wenn Ihr Traffic verschlüsselt ist oder die Richtlinie zur Bedrohungsvermeidung nicht so konfiguriert ist, dass die Bedrohung erkannt wird.

Wenn Ihr Traffic verschlüsselt ist, muss die TLS-Prüfung (Transport Layer Security) für Ihr Netzwerk aktiviert sein. Weitere Informationen zum Aktivieren der TLS-Prüfung finden Sie unter TLS-Prüfung einrichten.

Wenn die TLS-Prüfung aktiviert ist, wird zwischen vom Client angezeigten Meldungen und Fehlermeldungen unterschieden, wenn Cloud Next Generation Firewall eine Bedrohung blockiert. Weitere Informationen finden Sie unter Fehlermeldungen.

Achten Sie darauf, dass die Richtlinie zur Bedrohungsvermeidung so konfiguriert ist, dass diese Bedrohung erkannt wird:

  1. Prüfen Sie Ihr Sicherheitsprofil zur Bedrohungsvermeidung , um festzustellen, ob die Überschreibungsaktionen für diese Bedrohung wie erwartet konfiguriert sind.
  2. Fügen Sie in einem Sicherheitsprofil zur Bedrohungsvermeidung Überschreibungsaktionen hinzu damit die Bedrohung sicher erfasst wird.

Falsch konfigurierte Firewallregeln des Diensts zur Einbruchserkennung und ‑vermeidung

Dieses Szenario tritt auf, wenn kein gültiger Firewall-Endpunkt vorhanden ist oder der Endpunkt nicht dem VPC-Netzwerk zugeordnet ist, in dem sich Ihre VM-Arbeitslasten befinden. Als Standard-Fallbackaktion lässt Cloud NGFW den Traffic zu und fügt den Firewall-Logs apply_security_profile_fallback_action = ALLOW hinzu. Informationen zum Anzeigen von Firewall-Logs finden Sie unter Logs ansehen.

Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Informationen zum Aktivieren des Loggings für die Firewallrichtlinienregeln der Layer 7-Prüfung in Ihrem Netzwerk finden Sie im Abschnitt Logging von Firewallrichtlinienregeln aktivieren in diesem Dokument.

  2. Erstellen Sie die logbasierten Messwerte, logbasierten Benachrichtigungen oder beides mit den folgenden Filtern.

      jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
  jsonPayload.rule_details.apply_security_profile_fallback_action="ALLOW"

Der Filter generiert Vorfalldetails, die dabei helfen, Log-Übereinstimmungsbedingungen, das Limit der Benachrichtigungsrate, die Dauer für das automatische Schließen von Vorfällen, Loglabels und den Logschweregrad über die Zusammenfassung zu verstehen.

Der URL-Filterdienst lässt Traffic nicht wie erwartet zu oder lehnt ihn nicht wie erwartet ab

Dieses Szenario kann auftreten, wenn Sie alle Komponenten für die Layer 7-Prüfung und die URL-Filterung konfigurieren, Traffic zu einer URL jedoch nicht wie erwartet zugelassen oder abgelehnt wird.

Führen Sie die folgenden Schritte aus, um das Problem zu beheben:

  1. Folgen Sie der Anleitung im Abschnitt Alle Verbindungen werden zugelassen oder abgelehnt, aber nicht abgefangen in diesem Dokument, um zu ermitteln, ob die Firewallregel für die Layer 7-Prüfung auf den Traffic angewendet wird und ob der Traffic erfolgreich abgefangen wird.

    Wenn die Regel nicht angewendet wird oder der Traffic nicht abgefangen wird, lesen Sie den Abschnitt Alle Verbindungen werden zugelassen oder abgelehnt, aber nicht abgefangen noch einmal.

  2. Wenn die Regel angewendet wird und der Traffic abgefangen wird, rufen Sie die URL-Filterlogs auf. Öffnen Sie dazu den Log-Explorer und geben Sie die folgende Abfrage im Bereich Abfrage ein. Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts.

      resource.type="networksecurity.googleapis.com/FirewallEndpoint" logName="projects/PROJECT_ID/logs/networksecurity.googleapis.com%2Ffirewall_url_filter"

  3. Maximieren Sie den Logeintrag und ermitteln Sie den Wert des Felds ruleIndex. Dieses Feld gibt die Priorität des URL-Filters an, mit dem der Firewall-Endpunkt eine Übereinstimmung gefunden hat.

  4. Rufen Sie in der Google Cloud Console die Seite Sicherheitsprofile auf.

    Zu „Sicherheitsprofile“

  5. Klicken Sie auf dem Tab Sicherheitsprofile auf das Sicherheitsprofil, das mit der Firewallregel verknüpft ist, um die Profildetails aufzurufen.

  6. Prüfen Sie, ob die zugelassene oder abgelehnte URL mit der zuvor ermittelten Priorität aufgeführt ist. So können Sie feststellen, ob der Firewall-Endpunkt eine Übereinstimmung mit einem anderen URL-Filter mit höherer Priorität gefunden hat. Daher kann Ihr Sicherheitsprofil mehrere URL-Filter enthalten, die dieselbe URL enthalten.

Fehlermeldungen

In diesem Abschnitt werden die häufigsten Fehlermeldungen beschrieben, die angezeigt werden, wenn die TLS-Vertrauensstellung nicht korrekt ist oder Cloud NGFW eine Bedrohung blockiert. Informationen zum Einrichten der TLS-Prüfung finden Sie unter TLS-Prüfung einrichten.

Firewallrichtlinienregel ist blockiert

Sie haben während einer SSH-Sitzung von einem Client eine Fehlermeldung erhalten, die so ähnlich wie die folgende aussieht.

      curl: (56) OpenSSL SSL_read: Connection reset by peer, errno 104

Rufen Sie das Log auf und prüfen Sie es, um diesen Fehler zu beheben. Weitere Informationen finden Sie unter Logging von VPC-Firewallregeln verwenden.

Falsch konfigurierte Vertrauensstellung

Sie haben während einer SSH-Sitzung von einem Client eine Fehlermeldung erhalten, die so ähnlich wie die folgende aussieht.

      curl: (35) OpenSSL SSL_connect: Connection reset by peer in connection

Dieser Fehler weist auf ein Problem mit der falsch konfigurierten Vertrauensstellung hin. Dieses Problem wird entweder durch eine falsche Konfiguration oder das Fehlen einer Zertifizierungsstelle verursacht. Aktivieren Sie den Certificate Authority Service, um diesen Fehler zu beheben.

Endpunktrichtlinien werden ignoriert

Wenn Sie Prüfungsrichtlinien für L7-Cloud-Firewalls der nächsten Generation verwenden, werden nur Firewallrichtlinienregeln ausgewertet und der Traffic wird nicht zur Prüfung an Cloud Intrusion Detection System gespiegelt.

Um dieses Problem zu beheben, müssen Sie dafür sorgen, dass Ihre Prüfungsrichtlinien für L7-Cloud-Firewalls der nächsten Generation (Regeln mit der Aktion apply_security_profile_group) nicht auf Pakete angewendet werden, die Sie mit Cloud IDS prüfen müssen.

Nächste Schritte