ネットワークで侵入検知および防止サービスを設定する

侵入検知および防止サービスは、 Google Cloud ワークロード トラフィックに悪意のあるアクティビティがないかモニタリングし、プリエンプティブにアクションを実行して防止します。ネットワークでこのサービスを有効にするには、複数の Cloud Next Generation Firewall コンポーネントを設定する必要があります。このチュートリアルでは、ネットワークで侵入検知および防止サービスを構成するエンドツーエンドのワークフローについて説明します。

目標

このチュートリアルでは、次のタスクを行う方法を説明します。

  • 2 つのサブネットを持つ Virtual Private Cloud（VPC）ネットワークを作成します。
  • VPC ネットワークの最初のサブネットにサーバー仮想マシン（VM）インスタンスを作成し、VM に Apache サーバーをインストールします。
  • VPC ネットワークの 2 番目のサブネットにクライアント VM インスタンスを作成します。
  • セキュリティ プロファイルとセキュリティ プロファイル グループを作成します。
  • ファイアウォール エンドポイントを作成し、VPC ネットワークに関連付けます。
  • 次のファイアウォール ルールを使用して、グローバル ネットワーク ファイアウォール ポリシーを追加します。
    • VPC ネットワーク内の VM インスタンスへの Identity-Aware Proxy（IAP）アクセスを有効にするファイアウォール ルール。
    • レイヤ 7 検査のすべての上り（内向き）トラフィックを転送するファイアウォール ルール。
  • サーバー VM インスタンスへの悪意のあるトラフィックがブロックされているかどうかを確認します。
  • リソースをクリーンアップします。

次の図は、このチュートリアルのデプロイ設定の概要を示しています。VPC vpc-ips のファイアウォール ポリシー fw-policy-ips は、上り（内向き）トラフィックをゾーン asia-southeast1-a のファイアウォール エンドポイントにリダイレクトします。ファイアウォール エンドポイント endpoint-ips は、トラフィックを検査して脅威を探します。脅威が検出されると、セキュリティ プロファイル sec-profile-ips で指定された指示に従って、予防的なアクションが適用されます。

カスタム VPC ネットワークの侵入防止および検知サービス。脅威を特定して防止します。
カスタム VPC ネットワークの侵入検知と防止サービス（クリックして拡大）

費用

ファイアウォール エンドポイントの作成には費用がかかります。料金の詳細については、Cloud Next Generation Firewall の料金をご覧ください。

始める前に

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. プロジェクトで Compute Engine API を有効にします。
  7. プロジェクトで Network Security API を有効にします。
  8. プロジェクトで Identity-Aware Proxy API を有効にします。
  9. 組織に Compute ネットワーク管理者（roles/compute.networkAdmin）の IAM ロールが付与されている必要があります。
  10. コマンドラインから作業する場合は、Google Cloud CLI をインストールします。ツールのコンセプトとインストールについては、gcloud CLI の概要をご覧ください。

    注: gcloud CLI を初めて実行する場合は、まず gcloud init を実行して、gcloud CLI ディレクトリを初期化します。

サブネットを持つカスタム VPC ネットワークを作成する

このセクションでは、2 つの IPv4 サブネットを持つカスタムモードの VPC ネットワークを作成します。

コンソール

  1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

    [VPC ネットワーク] に移動

  2. [VPC ネットワークを作成] をクリックします。

  3. [名前] に「vpc-ips」と入力します。

  4. [説明] に「VPC network to set up intrusion detection and prevention service」と入力します。

  5. [サブネット作成モード] で [カスタム] を選択します。

  6. [新しいサブネット] セクションで、サブネットに次の構成パラメータを指定します。

    • 名前: subnet-ips-server
    • リージョン: asia-southeast1
    • IPv4 範囲: 10.0.0.0/24

  7. [完了] をクリックします。

  8. [サブネットを追加] をクリックし、次の構成パラメータを指定します。

    • 名前: subnet-ips-client
    • リージョン: us-central1
    • IPv4 範囲: 192.168.10.0/24

  9. [完了] をクリックします。

  10. [作成] をクリックします。

gcloud

  1. VPC ネットワークを作成するには、次のコマンドを実行します。

    gcloud compute networks create vpc-ips \
  --subnet-mode custom \
  --description "VPC network to set up intrusion detection and prevention service."

  2. [Cloud Shell の承認] ダイアログで、[承認] をクリックします。

  3. サブネットを作成するには、次のコマンドを実行します。

    gcloud compute networks subnets create subnet-ips-server \
  --network vpc-ips \
  --region asia-southeast1 \
  --range 10.0.0.0/24

  4. 別のサブネットを作成するには、次のコマンドを実行します。

    gcloud compute networks subnets create subnet-ips-client \
  --network vpc-ips \
  --region us-central1 \
  --range 192.168.10.0/24

Cloud Router と Cloud NAT ゲートウェイを作成する

次のセクションでパブリック IPv4 アドレスのないクライアントとサーバーの Linux VM インスタンスを作成する前に、Cloud Router と Cloud NAT ゲートウェイを作成する必要があります。これにより、これらの VM が公共のインターネットにアクセスできるようになります。

コンソール

  1. Google Cloud コンソールで、[Cloud NAT] ページに移動します。

    [Cloud NAT] に移動

  2. [開始] または [Cloud NAT ゲートウェイを作成] をクリックします。

  3. [ゲートウェイ名] に「gateway-ips」と入力します。

  4. [NAT タイプ] で、[パブリック] を選択します。

  5. [Cloud Router の選択] セクションで、次の構成パラメータを指定します。

    • ネットワーク: vpc-ips
    • リージョン: asia-southeast1
    • Cloud Router: [新しいルーターを作成] を選択します。
      1. [名前] に「router-ips」と入力します。
      2. [作成] をクリックします。

  6. [作成] をクリックします。

gcloud

  1. Cloud Router を作成するには、次のコマンドを実行します。

    gcloud compute routers create router-ips \
  --network=vpc-ips \
  --region=asia-southeast1

  2. Cloud NAT ゲートウェイを作成するには、次のコマンドを実行します。

    gcloud compute routers nats create gateway-ips \
  --router=router-ips \
  --region=asia-southeast1 \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges

VM インスタンスを作成する

このセクションでは、サーバー VM インスタンスとクライアント VM インスタンスを作成します。

サーバー VM インスタンスを作成する

このセクションでは、サブネット subnet-ips-server に VM インスタンスを作成し、Apache サーバーをインストールします。

コンソール

  1. Google Cloud コンソールで [インスタンスの作成] ページに移動します。

    [インスタンスの作成] に移動

  2. [マシンの構成] ペインで、次の操作を行います。

    1. [名前] に「vm-server-ips」と入力します。
    2. [リージョン] で、asia-southeast1 (Singapore) を選択します。
    3. [ゾーン] で、[asia-southeast1-a] を選択します。

  3. ナビゲーション メニューで [OS とストレージ] をクリックします。

    [オペレーティング システムとストレージ] セクションで、[イメージ] が [Debian GNU/Linux 12（bookworm）] であることを確認します。そうでない場合は、[変更] をクリックし、[オペレーティング システム] フィールドを [Debian] に、[バージョン] フィールドを [Debian GNU/Linux 12（bookworm）] に設定します。

  4. ナビゲーション メニューで、[ネットワーキング] をクリックします。

    1. [ネットワーク インターフェース] セクションで、default をクリックし、次の構成パラメータを指定します。
      • ネットワーク: vpc-ips
      • サブネットワーク: subnet-ips-server IPv4 (10.0.0.0/24)
      • 外部 IPv4 アドレス: なし
    2. [完了] をクリックします。

  5. ナビゲーション メニューで [詳細設定] をクリックし、[起動スクリプト] フィールドに次のスクリプトを入力します。

      #! /bin/bash
  apt update
  apt -y install apache2
  cat <<EOF > /var/www/html/index.html
  <html><body><p>Hello world.</p></body></html>
  EOF

  6. [作成] をクリックします。

  7. 作成したサーバー VM の外部 IP アドレスをメモします。

gcloud

サーバー VM を作成するには、次のコマンドを実行します。

gcloud compute instances create vm-server-ips \
    --network vpc-ips \
    --zone asia-southeast1-a \
    --subnet subnet-ips-server \
    --stack-type IPV4_ONLY \
    --image-project debian-cloud \
    --image-family debian-11 \
    --metadata=startup-script='#! /bin/bash
     apt update
     apt -y install apache2
     cat <<EOF > /var/www/html/index.html
     <html><body><p>Hello World.</p></body></html>
     EOF'

返されたステータスで VM の外部 IP アドレスをメモします。

クライアント VM インスタンスを作成する

このセクションでは、subnet-ips-client サブネットに VM インスタンスを作成します。

コンソール

  1. Google Cloud コンソールで [インスタンスの作成] ページに移動します。

    [インスタンスの作成] に移動

  2. [マシンの構成] ペインで、次の操作を行います。

    1. [名前] に「vm-client-ips」と入力します。
    2. [リージョン] で、us-central1 (Iowa) を選択します。
    3. [ゾーン] で、[us-central1-a] を選択します。

  3. ナビゲーション メニューで、[ネットワーキング] をクリックします。

    1. [ネットワーク インターフェース] セクションで、default をクリックし、次の構成パラメータを指定します。
      • ネットワーク: vpc-ips
      • サブネットワーク: subnet-ips-client IPv4 (192.168.10.0/24)
    2. [完了] をクリックします。

  4. [作成] をクリックします。

gcloud

次のコマンドを実行してクライアント VM を作成します。

gcloud compute instances create vm-client-ips \
    --network vpc-ips \
    --zone us-central1-a \
    --subnet subnet-ips-client \
    --stack-type IPV4_ONLY

セキュリティ プロファイルを作成する

このセクションでは、組織で threat-prevention タイプのセキュリティ プロファイルを作成します。セキュリティ プロファイルの作成に必要な権限については、脅威防止セキュリティ プロファイルを作成するをご覧ください。

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. プロジェクト セレクタのメニューで、組織を選択します。

  3. [セキュリティ プロファイル] タブを選択します。

  4. [プロファイルの作成] をクリックします。

  5. [名前] に「sec-profile-ips」と入力します。

  6. [説明] に「Security profile to set up intrusion detection and prevention service」と入力します。

  7. [続行] をクリックします。

  8. [作成] をクリックします。

gcloud

セキュリティ プロファイルを作成するには、次のコマンドを実行します。

gcloud network-security security-profiles \
    threat-prevention \
    create sec-profile-ips \
    --organization ORGANIZATION_ID \
    --location global \
    --project PROJECT_ID \
    --description "Security profile to set up intrusion detection and prevention service."

次のように置き換えます。

  • ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。
  • PROJECT_ID: セキュリティ プロファイルの割り当てとアクセス制限に使用するプロジェクト ID。

セキュリティ プロファイル グループを作成する

このセクションでは、前のセクションで作成したセキュリティ プロファイルを含めるセキュリティ プロファイル グループを作成します。セキュリティ プロファイル グループの作成に必要な権限については、このタスクに必要な権限をご覧ください。

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. プロジェクト セレクタのメニューで、組織を選択します。

  3. [セキュリティ プロファイル グループ] タブを選択します。

  4. [プロファイル グループを作成] をクリックします。

  5. [名前] に「sec-profile-group-ips」と入力します。

  6. [説明] に「Security profile group to set up intrusion detection and prevention service」と入力します。

  7. [脅威防止プロファイル] リストで、sec-profile-ips を選択します。

  8. [作成] をクリックします。

gcloud

セキュリティ プロファイル グループを作成するには、次のコマンドを実行します。

gcloud network-security security-profile-groups \
    create sec-profile-group-ips \
    --organization ORGANIZATION_ID \
    --location global \
    --project PROJECT_ID \
    --threat-prevention-profile  \
    organizations/ORGANIZATION_ID/locations/global/securityProfiles/sec-profile-ips \
    --description "Security profile group to set up intrusion detection and prevention service."

次のように置き換えます。

  • ORGANIZATION_ID: セキュリティ プロファイル グループが作成される組織。
  • PROJECT_ID: セキュリティ プロファイル グループの割り当てとアクセス制限に使用するプロジェクト ID。

ファイアウォール エンドポイントを作成する

このセクションでは、特定のゾーンにファイアウォール エンドポイントを作成します。ファイアウォール エンドポイントの作成に必要な権限については、このタスクに必要な権限をご覧ください。

注: ファイアウォール エンドポイントを作成すると、ファイアウォール エンドポイントの状態は Creating に設定されます。ファイアウォール エンドポイントの準備が完了すると、状態は Active に変わります。

コンソール

  1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

    [ファイアウォール エンドポイント] に移動

  2. プロジェクト セレクタのメニューで、組織を選択します。

  3. [作成] をクリックします。

  4. [リージョン] リストで [asia-southeast1 (Singapore)] を選択します。

  5. [ゾーン] リストで asia-southeast1-a を選択します。

  6. [名前] に「endpoint-ips」と入力します。

  7. [作成] をクリックします。

gcloud

ファイアウォール エンドポイントを作成するには、次のコマンドを実行します。

gcloud network-security firewall-endpoints \
    create endpoint-ips \
    --organization ORGANIZATION_ID \
    --zone asia-southeast1-a \
    --billing-project PROJECT_ID

次のように置き換えます。

  • ORGANIZATION_ID: ファイアウォール エンドポイントが作成される組織 ID。
  • PROJECT_ID: ファイアウォール エンドポイントの課金に使用するプロジェクト ID。

ファイアウォール エンドポイントの関連付けを作成する

このセクションでは、ファイアウォール エンドポイントを前の手順で作成した VPC ネットワークに関連付けます。

コンソール

  1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

    [VPC ネットワーク] に移動

  2. vpc-ips ネットワークをクリックして、[VPC ネットワークの詳細] ページを表示します。

  3. [ファイアウォール エンドポイント] タブを選択します。

  4. [エンドポイントの関連付けを追加] をクリックします。

  5. [リージョン] リストで [asia-southeast1] を選択します。

  6. [ゾーン] リストで asia-southeast1-a を選択します。

  7. [ファイアウォール エンドポイント] リストで、endpoint-ips を選択します。

  8. [作成] をクリックします。

gcloud

ファイアウォール エンドポイントの関連付けを作成するには、次のコマンドを実行します。

gcloud network-security firewall-endpoint-associations \
    create endpoint-association-ips \
    --endpoint  organizations/ORGANIZATION_ID/locations/asia-southeast1-a/firewallEndpoints/endpoint-ips \
    --network vpc-ips \
    --zone asia-southeast1-a \
    --project PROJECT_ID

次のように置き換えます。

  • ORGANIZATION_ID: ファイアウォール エンドポイントが作成される組織 ID。
  • PROJECT_ID: 関連付けが作成されるプロジェクト ID。

グローバル ネットワーク ファイアウォール ポリシーを作成する

このセクションでは、次の 2 つのファイアウォール ルールを含むグローバル ネットワーク ファイアウォール ポリシーを作成します。

  1. 優先度 100 の上り（内向き）ファイアウォール ルール。ポート 3389 と 22 への TCP トラフィックを許可します。このルールにより、VPC ネットワーク内の VM インスタンスへの IAP アクセスが可能になります。
  2. 特定のゾーンにあるサーバー VM への受信トラフィックでレイヤ 7 検査を実行する、優先度 200 の上り（内向き）ファイアウォール ルール。

コンソール

  1. Google Cloud コンソールで、[ファイアウォール ポリシー] ページに移動します。

    [ファイアウォール ポリシー] に移動

  2. プロジェクト セレクタのリストで、組織内のプロジェクトを選択します。

  3. [ファイアウォール ポリシーを作成] をクリックします。

  4. [名前] に「fw-policy-ips」と入力します。

  5. [デプロイのスコープ] で [グローバル] を選択します。

  6. [続行]、[ルールを追加] の順にクリックします。

  7. [優先度] に「100」と入力します。

  8. [ログ] で [オン] を選択します。

  9. [トラフィックの方向] で [上り（内向き）] をオンにします。

  10. [一致したときのアクション] で [許可] をオンにします。

  11. [送信元] フィルタで [IPv4] を選択し、[IP 範囲] フィールドに「35.235.240.0/20」と入力します。

  12. [プロトコルとポート] セクションで、[指定したプロトコルとポート] を選択します。

  13. [TCP] を選択し、[ポート] に「22,3389」と入力します。

  14. [作成] をクリックします。

  15. [ルールの追加] をクリックします。

  16. [優先度] に「200」と入力します。

  17. [ログ] で [オン] を選択します。

  18. [トラフィックの方向] で [上り（内向き）] をオンにします。

  19. [一致したときのアクション] で、[セキュリティ プロファイル グループを適用する] を選択します。

  20. [セキュリティ プロファイル グループ] リストで、sec-profile-group-ips を選択します。

  21. [宛先] フィルタで [IPv4] を選択し、[IP 範囲] フィールドに、サーバー VM インスタンスの作成で作成したサーバー VM の外部 IP アドレスを入力します。

  22. [作成] をクリックします。

  23. [続行] をクリックします。

  24. [ポリシーと VPC ネットワークの関連付け] をクリックします。

  25. vpc-ips ネットワークを選択します

  26. [関連付け] をクリックします。

  27. [作成] をクリックします。

gcloud

  1. グローバル ネットワーク ファイアウォール ポリシーを作成するには、次のコマンドを実行します。

    gcloud compute network-firewall-policies \
  create fw-policy-ips \
  --global \
  --project PROJECT_ID

    次のように置き換えます。

    • PROJECT_ID: グローバル ネットワーク ファイアウォール ポリシーが作成されるプロジェクト ID。

  2. IAP アクセスを有効にするファイアウォール ルールを追加するには、次のコマンドを実行します。

    gcloud compute network-firewall-policies rules create 100 \
  --firewall-policy fw-policy-ips \
  --direction INGRESS \
  --action ALLOW \
  --src-ip-ranges 35.235.240.0/20 \
  --layer4-configs tcp:22, tcp:3389 \
  --global-firewall-policy \
  --enable-logging

  3. 脅威の防止と検出でレイヤ 7 検査を有効にするファイアウォール ルールを追加するには、次のコマンドを実行します。

    gcloud compute network-firewall-policies rules create 200 \
  --direction INGRESS \
  --firewall-policy fw-policy-ips \
  --action apply_security_profile_group \
  --dest-ip-ranges SERVER_VM_IP \
  --layer4-configs tcp:0-65535 \
  --global-firewall-policy \
  --security-profile-group \
  //networksecurity.googleapis.com/organizations/ORGANIZATION_ID \
  /locations/global/securityProfileGroups/sec-profile-group-ips \
  --enable-logging

    次のように置き換えます。

  4. ファイアウォール ポリシーを VPC ネットワークに関連付けるには、次のコマンドを実行します。

    gcloud compute network-firewall-policies associations create \
 --firewall-policy fw-policy-ips \
 --network vpc-ips \
 --name fw-pol-association-ips \
 --global-firewall-policy \
 --project PROJECT_ID

    次のように置き換えます。

    • PROJECT_ID: VPC の関連付けが作成されるプロジェクト ID。

セットアップをテストする

このセクションでは、エンドポイントによってインターセプトされるトラフィックを生成し、グローバル ネットワーク ファイアウォール ポリシーを適用してレイヤ 7 検査を行うことで、設定をテストします。

コンソール

  1. Google Cloud コンソールで、[VM インスタンス] ページに移動します。

    [VM インスタンス] に移動

  2. vm-server-ips VM の [外部 IP] 列から、VM の外部 IP アドレスをコピーします。

  3. vm-client-ips VM の [接続] 列で [SSH] をクリックします。

  4. [ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。

  5. 脅威ではないリクエストがブロックされていないかどうか確認するには、次のコマンドを実行します。

    curl EXTERNAL_IP -m 2

    EXTERNAL_IP は、vm-server-ips VM の外部 IP に置き換えます。

    想定されるレスポンス メッセージは次のとおりです。

    <!doctype html><html><body><h1>Hello World!</h1></body></html>

  6. 悪意のあるリクエストがブロックされていることを確認するには、次のコマンドを実行します。このコマンドは、パスワード ファイルへのアクセス リクエストを送信しますが、この処理は禁止されています。

    curl -m 2 EXTERNAL_IP:80/cgi-bin/../../../../bin/cat%20/etc/passwd/

    EXTERNAL_IP は、vm-server-ips VM の外部 IP に置き換えます。

    ファイアウォール エンドポイントがリクエスト内で脅威を検出し、パケットをブロックするため、Connection timed out メッセージが返されます。

  7. [ブラウザでの SSH] ダイアログを閉じます。

gcloud

  1. vm-client-ips VM に接続するには、次のコマンドを実行します。

    gcloud compute ssh vm-client-ips \
   --zone=us-central1-a \
   --tunnel-through-iap

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

  2. 脅威ではないリクエストがブロックされていないかどうか確認するには、次のコマンドを実行します。

    curl EXTERNAL_IP -m 2

    EXTERNAL_IP は、vm-server-ips VM の外部 IP に置き換えます。

    想定されるレスポンス メッセージは次のとおりです。

    <!doctype html><html><body><h1>Hello World!</h1></body></html>

  3. 悪意のあるリクエストがブロックされていることを確認するには、次のコマンドを実行します。

    curl -m 2 EXTERNAL_IP:80/cgi-bin/../../../../bin/cat%20/etc/passwd/

    EXTERNAL_IP は、vm-server-ips VM の外部 IP に置き換えます。

    ファイアウォール エンドポイントがリクエスト内で脅威を検出し、パケットをブロックするため、Connection timed out メッセージが返されます。

  4. [ブラウザでの SSH] を閉じるには、「exit」と入力します。

脅威ログを表示する

  1. Google Cloud コンソールで、[脅威] ページに移動します。

    脅威管理ダッシュボードに移動

  2. 必要に応じて、 Google Cloud プロジェクトを選択します。

  3. [脅威] セクションには、vpc-ips ネットワークで検出された脅威のログエントリが表示されます。

クリーンアップ

このチュートリアルで使用したリソースについて、 Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

このセクションでは、このチュートリアルで作成したリソースを削除します。

ファイアウォール エンドポイントの関連付けを削除する

コンソール

  1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

    [VPC ネットワーク] に移動

  2. vpc-ips ネットワークをクリックして、[VPC ネットワークの詳細] ページを表示します。

  3. [ファイアウォール エンドポイント] タブを選択します。このタブには、構成済みのファイアウォール エンドポイントの関連付けの一覧が表示されます。

  4. endpoint-ips の横にあるチェックボックスをオンにして、[削除] をクリックします。

  5. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントの関連付けを削除するには、次のコマンドを実行します。

gcloud network-security firewall-endpoint-association \
    delete endpoint-ips \
    --zone asia-southeast1-a

ファイアウォール エンドポイントを削除する

コンソール

  1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

    [ファイアウォール エンドポイント] に移動

  2. [endpoint-ips] を選択して、[削除] をクリックします。

  3. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントを削除するには、次のコマンドを実行します。

gcloud network-security firewall-endpoints delete endpoint-ips \
    --organization ORGANIZATION_ID \
    --zone asia-southeast1-a

次のように置き換えます。

  • ORGANIZATION_ID: エンドポイントが有効になっている組織。

グローバル ネットワーク ファイアウォール エンドポイント ポリシーを削除する

コンソール

  1. Google Cloud コンソールで、[ファイアウォール ポリシー] ページに移動します。

    [ファイアウォール ポリシー] に移動

  2. プロジェクト セレクタ メニューで、ポリシーを含むプロジェクトを選択します。

  3. fw-policy-ips をクリックします。

  4. [関連付け] タブをクリックします。

  5. すべての関連付けを選択します。

  6. [関連付けを削除] をクリックします。

  7. すべての関連付けを削除したら、[削除] をクリックします。

gcloud

  1. ファイアウォール ポリシーと VPC ネットワークの関連付けを解除するには、次のコマンドを実行します。

    gcloud compute network-firewall-policies associations delete \
  --name fw-pol-association-ips \
  --firewall-policy fw-policy-ips \
  --global-firewall-policy

  2. ファイアウォール ポリシーを削除します。

    gcloud compute network-firewall-policies delete fw-policy-ips --global

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

セキュリティ プロファイル グループを削除する

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. [セキュリティ プロファイル グループ] タブを選択します。

  3. [sec-profile-group-ips] を選択して、[削除] をクリックします。

  4. もう一度 [削除] をクリックして確定します。

gcloud

セキュリティ プロファイル グループを削除するには、次のコマンドを実行します。

gcloud network-security security-profile-groups \
    delete sec-profile-group-ips \
    --organization ORGANIZATION_ID \
    --location global

次のように置き換えます。

  • ORGANIZATION_ID: セキュリティ プロファイル グループが作成されている組織。

セキュリティ プロファイルを削除する

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. [セキュリティ プロファイル] タブを選択します。このタブには、構成済みのセキュリティ プロファイルのリストが表示されます。

  3. [sec-profile-ips] を選択して、[削除] をクリックします。

  4. もう一度 [削除] をクリックして確定します。

gcloud

セキュリティ プロファイルを削除するには、次のコマンドを実行します。

gcloud network-security security-profiles threat-prevention \
    delete sec-profile-ips \
    --organization ORGANIZATION_ID \
    --location global

次のように置き換えます。

  • ORGANIZATION_ID: セキュリティ プロファイルが作成される組織。

VM を削除する

コンソール

  1. Google Cloud コンソールで、[VM インスタンス] ページに移動します。

    [VM インスタンス] に移動

  2. vm-client-ips と vm-server-ips の両方の VM のチェックボックスをオンにします。

  3. [削除] をクリックします。

  4. [2 個のインスタンスを削除しますか？] ダイアログで、[削除] をクリックします。

gcloud

  1. vm-client-ips VM を削除するには、次のコマンドを実行します。

    gcloud compute instances delete vm-client-ips \
  --zone us-central1-a

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

  2. vm-server-ips VM を削除するには、次のコマンドを実行します。

    gcloud compute instances delete vm-server-ips \
  --zone asia-southeast1-a

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

VPC ネットワークとそのサブネットを削除する

コンソール

  1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

    [VM インスタンス] に移動

  2. [名前] 列で [vpc-ips] をクリックします。

  3. [VPC ネットワークの削除] をクリックします。

  4. [ネットワークの削除] ダイアログで [削除] をクリックします。

VPC を削除すると、そのサブネットも削除されます。

gcloud

  1. vpc-ips VPC ネットワークの subnet-ips-client サブネットを削除するには、次のコマンドを実行します。

    gcloud compute networks subnets delete subnet-ips-client \
    --region us-central1

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

  2. vpc-ips VPC ネットワークの subnet-ips-server サブネットを削除するには、次のコマンドを実行します。

    gcloud compute networks subnets delete subnet-ips-server \
    --region=asia-southeast1

    プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

  3. 次のコマンドを実行して、vpc-ips VPC ネットワークを削除します。

    gcloud compute networks delete vpc-ips

次のステップ