Risolvere i problemi relativi all'ispezione a livello di applicazione

Questa pagina descrive come risolvere i problemi comuni che potresti riscontrare durante la configurazione dell'ispezione a livello di applicazione (livello 7) nella tua rete. Questi problemi potrebbero essere correlati a profili di sicurezza, gruppi di profili di sicurezza, endpoint firewall o criteri firewall.

Procedure generiche di risoluzione dei problemi

Per risolvere i problemi relativi agli errori di configurazione comuni correlati all'ispezione del livello 7 nella tua rete, completa le attività menzionate nelle sezioni seguenti.

Abilita il logging delle regole dei criteri firewall

Per abilitare la registrazione per le regole firewall di ispezione di livello 7 nelle tue norme firewall:

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Fai clic sul nome della policy firewall che contiene regole firewall di ispezione di livello 7.

  3. Nella colonna Priorità, fai clic sulla priorità della regola della policy del firewall per cui vuoi attivare i log.

  4. Fai clic su Modifica.

  5. Per Log, seleziona On.

  6. Fai clic su Salva.

Ripeti i passaggi precedenti per tutte le policy firewall di rete e le policy firewall gerarchiche che contengono regole firewall di ispezione di livello 7.

Verifica la configurazione delle regole della policy del firewall

  1. Assicurati che le policy firewall con le regole firewall di ispezione di livello 7 siano associate alla rete Virtual Private Cloud (VPC) in cui si trovano i carichi di lavoro delle macchine virtuali (VM). Per saperne di più, consulta Associare una policy alla rete.
  2. Verifica che gli endpoint firewall siano associati alla rete VPC in cui risiedono i carichi di lavoro delle VM.
  3. Controlla l'ordine di applicazione delle regole per assicurarti che le regole applicate al traffico siano nella sequenza corretta. Per saperne di più, consulta Ordine di valutazione di policy e regole.
  4. Controlla le regole firewall effettive a livello di rete e istanza VM. Assicurati che le regole delle policy del firewall per le regole firewall di ispezione di livello 7 vengano applicate al traffico di rete.

Tutte le connessioni sono consentite o negate, ma non intercettate

Questo scenario si verifica quando hai configurato tutti i componenti per le regole firewall di ispezione del livello 7, ma il traffico non viene intercettato e ispezionato per rilevare eventuali minacce o attività dannose.

Per risolvere il problema, segui questi passaggi:

  1. Verifica che l'endpoint firewall e i carichi di lavoro VM da ispezionare si trovino nella stessa zona.
  2. Verifica che la registrazione sia abilitata per la policy del firewall. Per saperne di più, consulta la sezione Attivare la registrazione delle regole dei criteri firewall di questo documento.

  3. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  4. Fai clic sulla policy del firewall che contiene la regola per l'ispezione di livello 7.

  5. Nella colonna Numero di hit, visualizza il numero di connessioni uniche utilizzate per la regola firewall.

  6. Se il conteggio degli hit è zero, la regola non viene applicata al traffico. Per verificare se la configurazione è corretta, consulta la sezione Procedura generica per la risoluzione dei problemi di questo documento.

  7. Se il conteggio dei risultati non è zero, fai clic sul conteggio per andare alla pagina Esplora log e segui questi passaggi:

    1. Espandi i singoli log per visualizzare i dettagli di connection, disposition e remote location.
    2. Se disposition non è impostato su intercepted e fallback_action = ALLOW, consulta la sezione Passaggi generici per la risoluzione dei problemi di questo documento per verificare se la configurazione è corretta.

La regola della policy del firewall in entrata non intercetta il traffico in entrata

Questo scenario si verifica quando le regole firewall di ispezione di livello 7 non vengono applicate al traffico in entrata. Si verifica quando il traffico in entrata corrisponde alle altre regole firewall prima di raggiungere le regole delle policy del firewall di ispezione di livello 7.

Per risolvere il problema, segui questi passaggi:

  1. Verifica che il logging sia abilitato per la regola del criterio del firewall con l'ispezione di livello 7. Per saperne di più, consulta la sezione Attivare la registrazione delle regole dei criteri firewall di questo documento.
  2. Assicurati che la policy del firewall con la regola firewall di ispezione di livello 7 sia associata alla rete VPC in cui si trovano i carichi di lavoro delle VM. Per saperne di più, consulta Associare una policy alla rete.
  3. Verifica che gli endpoint firewall siano associati alla rete VPC in cui risiedono i carichi di lavoro delle VM.
  4. Per verificare che la regola firewall di ispezione di livello 7 sia applicata, esegui i test di connettività in base all'origine e alla destinazione che hai definito nella regola. Per scoprire come eseguire Connectivity Tests, vedi Crea ed esegui Connectivity Tests.
  5. Controlla la sequenza in cui le regole vengono applicate al traffico in entrata. Per modificare questa sequenza, consulta Modificare l'ordine di valutazione di norme e regole.

Non viene rilevata una minaccia su alcune o tutte le connessioni

Questo scenario può verificarsi quando il traffico è criptato o quando la norma di prevenzione delle minacce non è impostata per rilevare la minaccia.

Se il traffico è criptato, assicurati di aver attivato l'ispezione TLS (Transport Layer Security) sulla tua rete. Per scoprire di più su come abilitare l'ispezione TLS, consulta Configurare l'ispezione TLS.

Se l'ispezione TLS è abilitata, distingui tra i messaggi visualizzati dal client e i messaggi di errore quando Cloud Next Generation Firewall blocca una minaccia. Per ulteriori informazioni, vedi Messaggi di errore.

Assicurati che la norma di prevenzione delle minacce sia impostata per rilevare questa minaccia:

  1. Esamina il tuo profilo di sicurezza per la prevenzione delle minacce per verificare che le azioni di override per questa minaccia siano impostate come previsto.
  2. Aggiungi azioni di override in un profilo di sicurezza di prevenzione delle minacce per assicurarti che la minaccia venga acquisita.

Regole firewall del servizio di rilevamento e prevenzione delle intrusioni configurate in modo errato

Questo scenario si verifica quando non esiste un endpoint firewall valido o l'endpoint non è associato alla rete VPC in cui si trovano i carichi di lavoro delle VM. Come azione di fallback predefinita, Cloud NGFW consente il traffico e aggiunge apply_security_profile_fallback_action = ALLOW ai log firewall. Per visualizzare i log firewall, vedi Visualizza i log.

Per risolvere il problema, segui questi passaggi:

  1. Per abilitare la registrazione per le regole dei criteri firewall di ispezione di livello 7 nella tua rete, consulta la sezione Abilitare la registrazione delle regole dei criteri firewall di questo documento.

  2. Crea le metriche basate su log, gli avvisi basati su log o entrambi utilizzando i seguenti filtri.

      jsonPayload.rule_details.action="APPLY_SECURITY_PROFILE_GROUP"
  jsonPayload.rule_details.apply_security_profile_fallback_action="ALLOW"

Il filtro genera i dettagli dell'incidente, che ti aiutano a comprendere la condizione di corrispondenza dei log, il limite di frequenza delle notifiche, la durata della chiusura automatica dell'incidente, le etichette dei log e la gravità dei log con il riepilogo.

Il servizio di filtraggio degli URL non consente o nega il traffico come previsto

Potresti riscontrare questo scenario se configuri tutti i componenti per l'ispezione del livello 7 e il filtro URL, ma il traffico verso un URL non è consentito o negato come previsto.

Per risolvere il problema, segui questi passaggi:

  1. Segui le istruzioni nella sezione Tutte le connessioni sono consentite o negate, ma non intercettate di questo documento per determinare se la regola firewall per l'ispezione di livello 7 viene applicata al traffico e se il traffico viene intercettato correttamente.

    Se la regola non viene applicata o il traffico non viene intercettato, rivedi la sezione Tutte le connessioni sono consentite o negate, ma non intercettate.

  2. Se la regola viene applicata e il traffico viene intercettato, visualizza i log di filtro URL andando a Esplora log e inserendo la seguente query nel riquadro Query. Sostituisci PROJECT_ID con l'ID del tuo progetto.

      resource.type="networksecurity.googleapis.com/FirewallEndpoint" logName="projects/PROJECT_ID/logs/networksecurity.googleapis.com%2Ffirewall_url_filter"

  3. Espandi la voce di log e determina il valore del campo ruleIndex. Questo campo indica la priorità del filtro URL rispetto al quale l'endpoint firewall ha rilevato una corrispondenza.

  4. Nella console Google Cloud , vai alla pagina Profili di sicurezza.

    Vai a Profili di sicurezza

  5. Nella scheda Profili di sicurezza, fai clic sul profilo di sicurezza associato alla regola firewall per visualizzare i dettagli del profilo.

  6. Verifica se l'URL consentito o negato è elencato in base alla priorità che hai ottenuto in precedenza, il che ti aiuta a determinare se l'endpoint firewall ha rilevato una corrispondenza con un filtro URL diverso con una priorità più alta. Pertanto, il tuo profilo di sicurezza potrebbe contenere più filtri URL che includono lo stesso URL.

La metrica di integrità di WildFire indica un problema di infrastruttura

Se il tuo traffico corrisponde alle regole per l'analisi WildFire, ma i file non vengono ispezionati o registrati, la causa potrebbe essere un problema di infrastruttura. Puoi verificarlo controllando la metrica di integrità WildFire.

Una metrica di integrità di WildFire non integra indica un problema di infrastruttura sottostante che impedisce il funzionamento del servizio WildFire.

Per risolvere il problema, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina  Esplora metriche:

    Vai a Esplora metriche

    Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

  2. Nell'elenco del selettore dei progetti, seleziona il progetto.

  3. Nella barra degli strumenti del riquadro della query, segui questi passaggi:

    1. Nel menu Metrica, fai clic su Seleziona una metrica. Utilizza la barra di ricerca e i filtri nel menu Seleziona una metrica per trovare i tipi di metriche disponibili.
    2. Nella barra di ricerca, inserisci Endpoint firewall.
    3. Fai clic su Endpoint firewall > Firewall_endpoint > Stato di WildFire.
    4. Fai clic su Applica.

  4. Nella sezione Risultati, fai clic sulla scheda Tabella. Puoi visualizzare la metrica di integrità WildFire.

Messaggi di errore

Questa sezione descrive i messaggi di errore comuni che vengono visualizzati quando l'attendibilità TLS non è corretta o Cloud NGFW blocca una minaccia. Per scoprire come configurare l'ispezione TLS, vedi Configura l'ispezione TLS.

Regola della policy del firewall bloccata

Durante una sessione SSH, hai ricevuto un messaggio di errore simile al seguente da un client.

      curl: (56) OpenSSL SSL_read: Connection reset by peer, errno 104

Per risolvere questo errore, visualizza il log e convalidalo. Per saperne di più, consulta Utilizza il logging delle regole firewall VPC.

Attendibilità configurata in modo errato

Durante una sessione SSH, hai ricevuto un messaggio di errore simile al seguente da un client.

      curl: (35) OpenSSL SSL_connect: Connection reset by peer in connection

Questo errore indica un problema di attendibilità configurato in modo errato. Questo problema è causato da una configurazione errata o dall'assenza di un'autorità di certificazione (CA). Per risolvere questo errore, attiva Certificate Authority Service.

Le policy degli endpoint vengono ignorate

Vengono valutate solo le regole delle policy del firewall e il traffico non viene sottoposto a mirroring a Cloud Intrusion Detection System per l'ispezione durante l'utilizzo delle policy di ispezione L7 di Cloud Next Generation Firewall.

Per risolvere il problema, devi assicurarti che le policy di ispezione L7 di Cloud NGFW (regole con l'azione apply_security_profile_group) non si applichino ai pacchetti che devi ispezionare con Cloud IDS.

Passaggi successivi