設定全域網路防火牆政策，拒絕連往特定地理位置的輸出連線

本教學課程說明如何建立及設定全域網路防火牆政策，封鎖傳出至網路中特定地理位置的輸出流量。 本教學課程會逐步說明如何建立具有兩個子網路的虛擬私有雲 (VPC) 網路、設定具有地理位置防火牆規則的防火牆政策，然後測試防火牆規則。

目標

本教學課程將說明如何完成下列工作：

• 建立自訂虛擬私有雲網路，並在不同區域中建立兩個子網路。
• 在下列各區域建立虛擬機器 (VM) 執行個體：美國和新加坡。
• 建立 Cloud Router 和 Cloud NAT 閘道，允許美國 VM 存取公開網際網路。
• 建立全域網路防火牆政策，並新增防火牆規則，啟用 Identity-Aware Proxy (IAP)。
• 在新加坡 VM 上安裝 Apache 伺服器。
• 新增防火牆規則，封鎖傳送至特定地理位置的流量。
• 測試地理位置防火牆規則。

下圖顯示自訂虛擬私有雲網路中 us-central1 和 asia-southeast1 區域內 VM 之間的流量。全域網路防火牆政策會封鎖傳送至特定地理位置的輸出流量。us-central1 區域中的 VM 會使用 Cloud Router 和 Cloud NAT 存取網際網路，不使用外部 IP 位址。us-central1 區域中的 VM 會使用 asia-southeast1 區域中 VM 的外部 IP 位址，測試防火牆規則。

全域網路防火牆政策，可封鎖從子網路傳出至特定地理位置的流量 (按一下可放大)。

事前準備

登入 Google Cloud 帳戶。如果您未曾使用過 Google Cloud，歡迎 建立帳戶，親自體驗實際使用我們產品的成效。新客戶還能獲得價值 $300 美元的免費抵免額，用於執行、測試及部署工作負載。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

• 確認您具備 Compute 網路管理員角色 (roles/compute.networkAdmin)。

• 啟用 Compute Engine 和 Identity-Aware Proxy (IAP) API (如果尚未啟用)。

  啟用 API 所需的角色

  您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

  啟用 API

• 如果偏好使用指令列，請安裝 Google Cloud CLI。如需瞭解此工具的概念與安裝資訊，請參閱「gcloud CLI 總覽」。

  注意：如果您先前未執行 Google Cloud CLI，請執行 gcloud init 指令，初始化 gcloud CLI 目錄。

建立含有子網路的自訂虛擬私有雲網路

建立具有兩個 IPv4 子網路的自訂模式虛擬私有雲網路。

控制台

1. 前往 Google Cloud 控制台的「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 按一下「建立虛擬私有雲網路」。

3. 在「Name」(名稱) 中輸入 vpc-geo-location。

4. 在「子網路建立模式」部分，選取「自訂」。

5. 在「New subnet」(新的子網路) 部分，指定子網路的下列設定參數：

   • Name (名稱)：subnet-1-us
   • Region (區域)：us-central1
   • IPv4 範圍：10.0.0.0/24

6. 按一下「完成」。

7. 按一下「Add subnet」(新增子網路)，然後指定下列設定參數：

   • Name (名稱)：subnet-2-sg
   • Region (區域)：asia-southeast1
   • IPv4 範圍：192.168.200.0/24

8. 按一下「完成」。

9. 點選「建立」。

gcloud

1. 按一下「啟用 Cloud Shell」，開啟終端機。

2. 如要建立虛擬私有雲網路，請執行下列指令：

   gcloud compute networks create vpc-geo-location \
     --subnet-mode=custom
   

3. 在「Authorize cloud shell」對話方塊中，按一下「Authorize」。

4. 如要建立子網路，請執行下列指令：

   gcloud compute networks subnets create subnet-1-us \
     --network=vpc-geo-location \
     --region=us-central1 \
     --range=10.0.0.0/24
   

5. 如要建立其他子網路，請執行下列指令：

   gcloud compute networks subnets create subnet-2-sg \
     --network=vpc-geo-location \
     --region=asia-southeast1 \
     --range=192.168.200.0/24
   

建立 VM

在本節中，您將在上一節設定的子網路中建立兩個 VM。

在 us-central1 區域建立 VM

在 us-central1 區域建立 VM，不指派外部 IP 位址。

控制台

如要在 us-central1 區域建立 VM，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Create an instance」(建立執行個體) 頁面。

   前往「Create an instance」(建立執行個體)

2. 在「機器設定」窗格中，執行下列操作：

   1. 在「Name」(名稱) 中輸入 instance-1-us。
   2. 在「Region」(區域) 中選取 us-central1 (Iowa)。

3. 點選導覽選單中的「Networking」(網路)。

   1. 在「Network interfaces」(網路介面) 部分，按一下 default 並指定下列設定參數：
      • 網路：vpc-geo-location
      • 子網路：subnet-1-us IPv4 (10.0.0.0/24)
      • 外部 IPv4 位址：無
   2. 按一下「完成」。

4. 點選「建立」。

gcloud

如要在 us-central1 區域建立 VM，請執行下列指令：

gcloud compute instances create instance-1-us \
     --network=vpc-geo-location \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-1-us

在 asia-southeast1 區域建立 VM

控制台

如要在 asia-southeast1 區域建立 VM，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Create an instance」(建立執行個體) 頁面。

   前往「Create an instance」(建立執行個體)

2. 在「機器設定」窗格中，執行下列操作：

   1. 在「Name」(名稱) 中輸入 instance-2-sg。
   2. 「區域」請選取「asia-southeast1 (Singapore)」。

3. 點選導覽選單中的「Networking」(網路)。

   1. 在「Network interfaces」(網路介面) 部分，按一下 default 並指定下列設定參數：
      • 網路：vpc-geo-location
      • 子網路：subnet-2-sg IPv4 (192.168.200.0/24)
      • 外部 IPv4 位址：無
   2. 按一下「完成」。

4. 點選「建立」。

gcloud

如要在 asia-southeast1 區域建立 VM，請執行下列指令：

gcloud compute instances create instance-2-sg \
    --network=vpc-geo-location \
    --zone=asia-southeast1-b \
    --subnet=subnet-2-sg \
    --stack-type=IPV4_ONLY

建立 Cloud Router 和 Cloud NAT 閘道

在上一節中，您建立了兩個 VM：instance-1-us 和 asia-southeast1。如要允許 instance-1-us VM 存取公開網際網路，請建立 Cloud Router 和 Cloud NAT 閘道。

控制台

1. 前往 Google Cloud 控制台的「Cloud NAT」頁面。

   前往 Cloud NAT

2. 點選「開始使用」或「建立 Cloud NAT 閘道」。

3. 在「Gateway name」(閘道名稱) 輸入 nat-gateway。

4. 在「NAT type」(網路位址轉譯類型) 部分，選取「Public」(公開)。

5. 在「Select Cloud Router」(選取 Cloud Router) 部分，指定下列設定參數：

   • 網路：vpc-geo-location
   • 區域：us-central1
   • 「Cloud Router」：建立新的路由器。
     1. 在「Name」(名稱) 中輸入 router-fw-rules。
     2. 點選「建立」。

6. 點選「建立」。

7. 前往 Google Cloud 控制台的「IP addresses」(IP 位址) 頁面。

   前往「IP addresses」(IP 位址) 頁面

8. 按一下「External IP Addresses」(外部 IP 位址) 分頁標籤，然後複製 Cloud NAT (nat-auto-ip) 的 IP 位址。驗證 instance-1-us VM 和 instance-2-sg VM 之間的連線時，會用到這個 IP 位址。

gcloud

1. 執行下列指令，建立 Cloud Router：

   gcloud compute routers create router-fw-rules \
     --network=vpc-geo-location \
     --region=us-central1
   

2. 執行下列指令，建立 Cloud NAT 閘道：

   gcloud compute routers nats create nat-gateway \
     --router=router-fw-rules \
     --region=us-central1 \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

3. 如要查看 Cloud NAT IP 位址，請執行下列指令：

   gcloud compute routers get-nat-ip-info \
     router-fw-rules \
     --region=us-central1
   

   請務必複製 Cloud NAT 的 IP 位址 (natIp)。驗證 instance-1-us VM 和 instance-2-sg VM 之間的連線時，會用到這個 IP 位址。

建立全域網路防火牆政策，啟用 IAP

在本節中，您將建立全域網路防火牆政策，並新增防火牆規則來啟用 IAP。IAP 允許對 VM 執行個體進行管理員權限存取。

防火牆規則包含下列特性。

• 來自 IP 範圍 35.235.240.0/20 的輸入流量。這個範圍包含 IAP 用於 TCP 轉送的所有 IP 位址。

• 連線至您希望透過 IAP TCP 轉送功能存取的所有通訊埠，例如適用於 SSH 的通訊埠 22。

控制台

如要允許 IAP 存取 vpc-geo-location 網路中的所有 VM 執行個體，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 按一下「建立防火牆政策」。

3. 在「Configure policy」(設定政策) 步驟中，「Policy name」(政策名稱) 請輸入 fw-policy。

4. 在「Deployment scope」(部署範圍) 部分，選取「Global」(全域)，然後點選「Continue」(繼續)。

5. 在「新增規則」步驟中，按一下「建立防火牆規則」。

   1. 在「Priority」(優先順序) 中輸入 100。
   2. 在「記錄」部分，選取「啟用」。
   3. 在「Source」(來源) 部分，「IP ranges」(IP 範圍) 請輸入 35.235.240.0/20。
   4. 在「通訊協定和通訊埠」部分，選取「指定的通訊協定和通訊埠」。
   5. 勾選「TCP」核取方塊，並在「通訊埠」部分輸入 22。
   6. 點選「建立」。

6. 按一下「繼續」。

7. 在「Add mirroring rules」(新增鏡像規則) 步驟中，按一下「Continue」(繼續)。

8. 在「將政策與網路建立關聯」步驟中，按一下「建立關聯」。

9. 在「Associate policy with VPC networks」(將政策與虛擬私有雲網路建立關聯) 窗格中，勾選「vpc-geo-location」核取方塊 ，然後按一下「Associate」(建立關聯)。

10. 按一下「繼續」。

11. 點選「建立」。

gcloud

如要允許 IAP 存取 vpc-geo-location 網路中的所有 VM 執行個體，請執行下列指令：

1. 執行下列指令，建立防火牆政策：

   gcloud compute network-firewall-policies create fw-policy \
       --global
   

2. 如要建立防火牆規則，允許流量傳送至所有目的地並啟用記錄，請執行下列指令：

   gcloud compute network-firewall-policies rules create 100 \
       --firewall-policy=fw-policy \
       --direction=INGRESS \
       --action=ALLOW \
       --layer4-configs=tcp:22 \
       --src-ip-ranges=35.235.240.0/20 \
       --global-firewall-policy \
       --enable-logging
   
   

3. 如要將防火牆政策與虛擬私有雲網路建立關聯，請執行下列指令：

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy \
       --network=vpc-geo-location \
       --name=pol-association-fw-rules \
       --global-firewall-policy
   

建立防火牆規則

在本節中，您將建立防火牆規則，允許 instance-2-sg VM 的輸入連線。

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下 fw-policy。

3. 按一下「Create firewall rule」(建立防火牆規則)。

4. 在「Priority」(優先順序) 中輸入 500。

5. 在「記錄」部分，選取「啟用」。

6. 在「Source」(來源) 部分，「IP ranges」(IP 範圍) 請輸入 NAT_IP_ADDRESS。

   將 NAT_IP_ADDRESS 替換為指派給 Cloud NAT 的 IP 位址。詳情請參閱「建立 Cloud Router 和 Cloud NAT 閘道」。

7. 點選「建立」。

gcloud

如要更新防火牆政策，請執行下列指令：

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=NAT_IP_ADDRESS \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

將 NAT_IP_ADDRESS 替換為指派給 Cloud NAT 的 IP 位址。詳情請參閱「建立 Cloud Router 和 Cloud NAT 閘道」。

安裝 Apache 伺服器

在本節中，您將在 instance-2-sg VM 上安裝 Apache 伺服器。

控制台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 在 instance-2-sg VM 的「連線」欄中，點選「SSH」。

3. 在「SSH-in-browser」對話方塊中，按一下「Authorize」(授權)，然後等待連線建立。

4. 如要更新執行個體上的套件清單，請執行下列指令：

   sudo apt-get update
   

   程序完成後，系統會產生下列訊息：

   Reading package lists... Done.

5. 如要安裝 apache2 HTTP Server 套件，請在命令提示字元執行下列指令：

   sudo apt-get install apache2 php7.0
   

   程序進行期間，系統會產生下列訊息：

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   按下 Y 鍵確認，然後按下 Enter 鍵。

6. 執行下列指令，覆寫 Apache 網路伺服器預設網頁：

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

7. 關閉「SSH-in-browser」(透過瀏覽器進行 SSH 連線) 對話方塊。

gcloud

1. 如要使用 SSH 連線至 instance-2-sg VM，請執行下列指令：

   gcloud compute ssh instance-2-sg \
       --zone=asia-southeast1-b \
       --tunnel-through-iap
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

   注意：與 instance-2-sg VM 建立 SSH 連線時，請忽略任何警告訊息。

2. 如要更新執行個體上的套件清單，請執行下列指令：

   sudo apt-get update
   

   程序完成後，系統會產生下列訊息：

   Reading package lists... Done.

3. 如要安裝 apache2 HTTP Server 套件，請在命令提示字元執行下列指令：

   sudo apt-get install apache2 php7.0
   

   程序進行期間，系統會產生下列訊息：

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   按下 Y 鍵確認，然後按下 Enter 鍵。

4. 執行下列指令，覆寫 Apache 網路伺服器預設網頁：

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

5. 如要關閉「SSH-in-browser」(透過瀏覽器進行 SSH 連線)，請輸入 exit。

驗證連線

在 instance-2-sg VM 上安裝 Apache 伺服器後，請使用 instance-2-sg VM 的外部 IP 位址，從 instance-2-sg VM 連線至 instance-1-us VM。

控制台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 從 instance-2-sg VM 的「External IP」(外部 IP) 欄，複製 VM 的外部 IP 位址。

3. 在 instance-1-us VM 的「連線」欄中，點選「SSH」。

4. 在「SSH-in-browser」對話方塊中，按一下「Authorize」(授權)，然後等待連線建立。

5. 如要驗證連線，請執行下列指令：

   curl EXTERNAL_IP -m 2
   

   將 EXTERNAL_IP 替換為 instance-2-sg VM 的 IP 位址。

   預期的回覆訊息如下：

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

6. 關閉「SSH-in-browser」(透過瀏覽器進行 SSH 連線) 對話方塊。

gcloud

1. 如要查看 instance-2-sg VM 的外部 IP 位址，請執行下列指令：

   gcloud compute instances describe instance-2-sg \
       --zone=asia-southeast1-b \
       --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   出現提示時，請按下 Y 確認，然後按下 Enter 鍵。請務必記下 instance-2-sg VM 的外部 IP 位址。

2. 如要透過 SSH 連線至 instance-1-us VM，請執行下列指令：

   gcloud compute ssh instance-1-us \
       --zone=us-central1-a \
       --tunnel-through-iap
   

   注意：與 instance-1-us VM 建立 SSH 連線時，請忽略任何警告訊息。

3. 如要驗證連線，請執行下列指令：

     curl EXTERNAL_IP -m 2
   

   將 EXTERNAL_IP 替換為 instance-2-sg VM 的 IP 位址。

   預期的回覆訊息如下：

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

4. 如要關閉「SSH-in-browser」(透過瀏覽器進行 SSH 連線)，請輸入 exit。

新增防火牆規則，封鎖傳送至特定地理位置的流量

在本節中，您將為虛擬私有雲 vpc-geo-location 新增防火牆規則，封鎖傳送至義大利、波蘭和新加坡的輸出流量。

控制台

如要在「建立全域網路防火牆政策」一節建立的 fw-policy 中新增規則，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下 fw-policy。

3. 按一下「Create firewall rule」(建立防火牆規則)。

4. 在「Priority」(優先順序) 中輸入 200。

5. 在「流量方向」部分，選取「輸出」。

6. 在「相符時執行的動作」部分，選取「拒絕」。

7. 在「記錄」部分，選取「啟用」。

8. 在「Destination」(目的地) 區段的「Geolocations」(地理位置) 清單中，選取「Singapore (SG)」(新加坡 (SG))、「Poland (PL)」(波蘭 (PL)) 和「Italy (IT)」(義大利 (IT))，然後按一下「OK」(確定)。

9. 點選「建立」。

gcloud

如要在「建立全域網路防火牆政策」一節中建立的 fw-policy 新增規則，請執行下列指令：

gcloud compute network-firewall-policies rules create 200 \
    --firewall-policy=fw-policy \
    --direction=EGRESS \
    --action=DENY \
    --dest-region-codes=SG,PL,IT \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

測試地理位置防火牆規則

控制台

新增規則來封鎖傳出至新加坡 (SG)、波蘭 (PL) 和義大利 (IT) 的流量後，請按照下列步驟測試規則：

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 從 instance-2-sg VM 的「External IP」(外部 IP) 欄，複製 VM 的外部 IP 位址。

3. 在 instance-1-us VM 的「連線」欄中，點選「SSH」。

4. 在「SSH-in-browser」對話方塊中，按一下「Authorize」(授權)，然後等待連線建立。

5. 如要確認傳送至 instance-2-sg VM 的輸出流量已遭封鎖，請執行下列指令：

   curl EXTERNAL_IP -m 2
   

   將 EXTERNAL_IP 替換為 instance-2-sg VM 的 IP 位址。

   您會看到 Connection timed out 訊息，是因為您建立了防火牆規則，拒絕從美國 VM 傳送至新加坡 VM 的外部流量。

6. 執行下列指令，確認傳往波蘭的輸出流量已遭封鎖：

     curl  `https://www.gov.pl` -m 2
   

   您會看到 Connection timed out 訊息，因為您建立了防火牆規則，拒絕波蘭網站的外部流量。

   注意：您可以使用任何網站，只要其網域名稱解析為與波蘭 (PL) 地理位置相關聯的 IP 位址即可。

7. 執行下列指令，確認傳往義大利的輸出流量已遭封鎖：

     curl  `https://www.esteri.it/it/` -m 2
   

   您已建立防火牆規則，拒絕傳送至義大利網站的外部流量，因此會看到 Connection timed out 訊息。

   注意：您可以使用任何網站，只要其網域名稱解析為與義大利 (IT) 地理位置相關聯的 IP 位址即可。

8. 關閉「SSH-in-browser」(透過瀏覽器進行 SSH 連線) 對話方塊。

gcloud

新增規則來封鎖傳出至新加坡 (SG)、波蘭 (PL) 和義大利 (IT) 的輸出流量後，請執行下列指令來測試規則：

1. 如要查看 instance-2-sg VM 的外部 IP 位址，請執行下列指令：

   gcloud compute instances describe instance-2-sg \
      --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   出現提示時，請按下 Y 確認，然後按下 Enter。請務必記下 instance-2-sg VM 的外部 IP 位址。

2. 如要透過 SSH 連線至 instance-1-us VM，請執行下列指令：

   gcloud compute ssh instance-1-us \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   注意：與 instance-1-us VM 建立 SSH 連線時，請忽略任何警告訊息。

3. 執行下列指令，確認傳往新加坡的輸出流量已遭到封鎖：

   curl EXTERNAL_IP -m 2
   

   將 EXTERNAL_IP 替換為 instance-2-sg VM 的 IP 位址。

   您會看到 Connection timed out 訊息，是因為您建立了防火牆規則，拒絕從美國 VM 傳送至新加坡 VM 的外部流量。

4. 執行下列指令，確認傳往波蘭的輸出流量已遭封鎖：

   curl https://www.gov.pl -m 2
   

   您會看到 Connection timed out 訊息，因為您已建立防火牆規則，拒絕來自波蘭網站的外部流量。

   注意：您可以使用任何網站，只要其網域名稱解析為與波蘭 (PL) 地理位置相關聯的 IP 位址即可。

5. 執行下列指令，確認傳往義大利的輸出流量已遭封鎖：

   curl  https://www.esteri.it/it/ -m 2
   

   您已建立防火牆規則，拒絕傳送至義大利網站的外部流量，因此會看到 Connection timed out 訊息。

   注意：您可以使用任何網站，只要其網域名稱解析為與義大利 (IT) 地理位置相關聯的 IP 位址即可。

6. 輸入 exit，關閉「SSH-in-browser」對話方塊。

查看記錄

您可以存取記錄，確認防火牆規則是否已套用至輸出流量。如要查看記錄詳細資料，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下 fw-policy 名稱。

3. 按一下「資料欄顯示選項」圖示 。

4. 在「Displayed columns」對話方塊中，選取「Hit count」，然後按一下「OK」。

5. 在「Hit count」(命中次數) 欄中，選取您在建立全域網路防火牆政策期間建立的規則編號。「Logs Explorer」頁面隨即開啟。

6. 如要查看套用至輸出流量的防火牆規則，請展開個別記錄。您可以查看連線、處置和遠端位置詳細資料。

清除所用資源

如要避免系統向您的 Google Cloud 帳戶收取本教學課程所用資源的費用，請刪除含有相關資源的專案，或者保留專案但刪除個別資源。

在本節中，您將刪除在本教學課程中建立的資源。

刪除防火牆政策

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下 fw-policy 名稱。

3. 按一下「關聯項目」分頁標籤。

4. 勾選 vpc-geo-location 的核取方塊，然後按一下「移除關聯」。

5. 在「Remove a firewall policy association」(移除防火牆政策關聯) 對話方塊中，按一下「Remove」(移除)。

6. 按一下 fw-policy 標題旁邊的「刪除」。

7. 在「Delete a firewall policy」(刪除防火牆政策) 對話方塊中，按一下「Delete」(刪除)。

gcloud

1. 移除防火牆政策與虛擬私有雲網路之間的關聯。

   gcloud compute network-firewall-policies associations delete \
     --name=pol-association-fw-rules \
     --firewall-policy=fw-policy \
     --global-firewall-policy
   

   注意：如果您是透過 Google Cloud 控制台設定防火牆政策與虛擬私有雲網路之間的關聯，請勿使用 gcloud CLI 指令移除關聯。如果您不記得如何建立關聯，或是在執行指令時收到 The network firewall policy does not have an association with pol-association-fw-rules. 錯誤，請使用 Google Cloud 控制台移除關聯。

2. 刪除防火牆政策。

   gcloud compute network-firewall-policies delete fw-policy \
       --global
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

刪除 VM

控制台

1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 勾選 instance-1-us 和 instance-2-sg VM 的核取方塊。

3. 點選「刪除」。

4. 在「Delete 2 instances?」(要刪除 2 個執行個體嗎？) 對話方塊中，點選「Delete」(刪除)。

gcloud

1. 如要刪除 instance-1-us VM，請執行下列指令：

   gcloud compute instances delete instance-1-us \
       --zone=us-central1-a
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

2. 如要刪除 instance-2-sg VM，請執行下列指令：

   gcloud compute instances delete instance-2-sg \
       --zone=asia-southeast1-b
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

刪除 Cloud NAT 閘道和 Cloud Router

控制台

1. 前往 Google Cloud 控制台的「Cloud Router」頁面。

   前往 Cloud Router

2. 勾選「router-fw-rules」核取方塊。

3. 點選「刪除」。

4. 在「Delete router-fw-rules」(刪除 router-fw-rules) 對話方塊中，點選「Delete」(刪除)。

刪除 Cloud Router 時，相關聯的 Cloud NAT 閘道也會一併刪除。

gcloud

如要刪除 router-fw-rules Cloud Router，請執行下列指令：

gcloud compute routers delete router-fw-rules \
    --region=us-central1

出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

刪除 Cloud Router 時，相關聯的 Cloud NAT 閘道也會一併刪除。

刪除虛擬私有雲網路及其子網路

控制台

1. 前往 Google Cloud 控制台的「VPC Networks」(虛擬私有雲網路) 頁面。

   前往「VPC networks」(虛擬私有雲網路)

2. 在「Name」(名稱) 欄中，按一下 vpc-geo-location。

3. 按一下「刪除虛擬私有雲網路」。

4. 在「Delete a network」(刪除網路) 對話方塊中，按一下「Delete」(刪除)。

刪除虛擬私有雲時，子網路也會一併刪除。

gcloud

1. 如要刪除 vpc-geo-location 虛擬私有雲網路的子網路 subnet-1-us，請執行下列指令：

   gcloud compute networks subnets delete subnet-1-us \
       --region=us-central1
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

2. 如要刪除 vpc-geo-location 虛擬私有雲網路的子網路 subnet-2-sg，請執行下列指令：

   gcloud compute networks subnets delete subnet-2-sg \
       --region=asia-southeast1
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

3. 如要刪除 vpc-geo-location 虛擬私有雲網路，請執行下列指令：

   gcloud compute networks delete vpc-geo-location
   

   出現提示時，請按下 Y 鍵確認，然後按下 Enter 鍵。

後續步驟

• 如需防火牆政策的概念資訊，請參閱「防火牆政策和規則」。
• 如要瞭解防火牆政策規則的概念，請參閱「防火牆政策規則元件」。
• 如要建立、更新、監控及刪除虛擬私有雲防火牆規則，請參閱「使用虛擬私有雲防火牆規則」。
• 如要瞭解費用，請參閱「Cloud NGFW 定價」。