Netzwerktypen

In den folgenden Abschnitten wird beschrieben, wie Cloud Next Generation Firewall Traffic anhand von Netzwerktypen klassifiziert. Weitere Informationen zu Netzwerktypen finden Sie unter Netzwerktypen.

Kriterien für den Internetnetzwerktyp

In diesem Abschnitt werden die Kriterien beschrieben, anhand derer Cloud Next Generation Firewall ermittelt, ob ein Paket zum Netzwerktyp „Internet“ gehört.

Typ des Internetnetzwerks für eingehende Pakete

Eingehende Pakete, die von einem Google Maglev an eine Netzwerkschnittstelle einer VM weitergeleitet werden, gehören zum Netzwerktyp „Internet“. Pakete werden von einem Maglev an eine VM-Netzwerkschnittstelle weitergeleitet, wenn das Paketziel mit einem der folgenden Elemente übereinstimmt:

  • Eine regionale externe IPv4-Adresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines externen Passthrough-Network Load Balancers oder einer Weiterleitungsregel für die externe Protokollweiterleitung.
  • Eine regionale externe IPv6-Adresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines externen Passthrough-Network Load Balancers oder einer Weiterleitungsregel für die externe Protokollweiterleitung und das Paket nicht über eine lokale Subnetzroute oder eine Subnetzroute weitergeleitet wurde, die über VPC Network Peering oder von einem VPC-Spoke in einem Network Connectivity Center-Hub importiert wurde.

Weitere Informationen zu Paketen, die von Maglev an Backend-VMs für einen externen Passthrough-Network Load Balancer oder die externe Protokollweiterleitung weitergeleitet werden, finden Sie unter Pfade für externe Passthrough-Network Load Balancer und die externe Protokollweiterleitung.

Typ des Internetnetzwerks für ausgehende Pakete

Die meisten ausgehenden Pakete, die von VM-Netzwerkschnittstellen gesendet und über eine statische Route weitergeleitet werden, deren nächster Hop das Standard-Internetgateway ist, gehören zum Netzwerktyp „Internet“. Wenn die Ziel-IP-Adressen dieser Egress-Pakete jedoch für globale Google APIs und ‑Dienste bestimmt sind, gehören diese Pakete zum Netzwerktyp „Nicht-Internet“. Weitere Informationen zur Verbindung mit globalen Google-APIs und ‑Diensten finden Sie unter Netzwerktyp ohne Internetverbindung.

Wenn die Pakete über eine statische Route weitergeleitet werden, deren nächster Hop das Standard-Internetgateway ist, gehören alle Pakete, die von den VM-Netzwerkschnittstellen an die folgenden Ziele gesendet werden, zum Netzwerktyp „Internet“:

  • Ein externes IP-Adressziel außerhalb des Google-Netzwerks.
  • Eine regionale externe IPv4-Zieladresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines regionalen externen Load Balancers oder einer Weiterleitungsregel für die externe Protokollweiterleitung.
  • Eine regionale externe IPv6-Zieladresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines regionalen externen Load Balancers oder einer Weiterleitungsregel für die externe Protokollweiterleitung.
  • Ein globales externes IPv4- und IPv6-Adressziel einer Weiterleitungsregel eines globalen externen Load-Balancers.

Pakete, die von den VM-Netzwerkschnittstellen an Cloud VPN- und Cloud NAT-Gateways gesendet werden, gehören zum Netzwerktyp „Internet“:

  • Pakete für ausgehenden Traffic, die von einer Netzwerkschnittstelle einer VM mit Cloud VPN-Software an die regionale externe IPv4-Adresse eines Cloud VPN-Gateways gesendet werden, gehören zum Netzwerktyp „Internet“.
  • Ausgangspakete, die von einem Cloud VPN-Gateway an ein anderes Cloud VPN-Gateway gesendet werden, gehören zu keinem Netzwerktyp, da Firewallregeln nicht für Cloud VPN-Gateways gelten.
  • Bei Public NAT gehören Antwortpakete, die von einer VM-Netzwerkschnittstelle an die regionale externe IPv4-Adresse eines Cloud NAT-Gateways gesendet werden, zum Netzwerktyp „Internet“.

Wenn VPC-Netzwerke über VPC Network Peering verbunden sind oder VPC-Netzwerke als VPC-Spokes am selben Network Connectivity Center-Hub teilnehmen, können IPv6-Subnetzrouten die Verbindung zu regionalen externen IPv6-Adressenzielen von VM-Netzwerkschnittstellen, regionalen externen Load-Balancer-Weiterleitungsregeln und externen Protokollweiterleitungsregeln ermöglichen. Wenn die Verbindung zu diesen regionalen externen IPv6-Adresszielen über eine Subnetzroute erfolgt, befinden sich die Ziele stattdessen im Netzwerktyp „Nicht-Internet“.

Kriterien für den Netzwerktyp „Nicht-Internet“

In diesem Abschnitt werden die Kriterien beschrieben, anhand derer Cloud NGFW bestimmt, ob ein Paket zum Netzwerktyp „Nicht-Internet“ gehört.

Nicht internetbasierter Netzwerktyp für eingehende Pakete

Pakete für eingehenden Traffic gehören zum Netzwerktyp „Nicht-Internet“, wenn sie auf eine der folgenden Arten an die Netzwerkschnittstelle einer VM-Instanz oder an eine Weiterleitungsregel für einen internen Load Balancer weitergeleitet werden:

  • Die Pakete werden über eine Subnetzroute weitergeleitet und die Paketziele stimmen mit einem der folgenden überein:
    • Eine regionale interne IPv4- oder IPv6-Zieladresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines internen Load Balancers oder einer Weiterleitungsregel für die interne Protokollweiterleitung.
    • Eine regionale externe IPv6-Zieladresse einer VM-Netzwerkschnittstelle, einer Weiterleitungsregel eines regionalen externen Load Balancers oder einer Weiterleitungsregel für die externe Protokollweiterleitung.
  • Die Pakete werden über eine statische Route an eine VM-Instanz oder einen internen Passthrough-Network-Load-Balancer als nächsten Hop weitergeleitet.
  • Die Pakete werden über eine richtlinienbasierte Route an einen internen Passthrough Network Load Balancer als nächsten Hop weitergeleitet.
  • Die Pakete werden über einen der folgenden speziellen Routingpfade weitergeleitet:

Eingehende Antwortpakete von globalen Google-APIs und ‑Diensten gehören ebenfalls zum Netzwerktyp „Nicht-Internet“. Antwortpakete von globalen Google APIs und ‑Diensten können aus einer der folgenden Quellen stammen:

Nicht internetbasierter Netzwerktyp für ausgehende Pakete

Pakete für ausgehenden Traffic, die von VM-Netzwerkschnittstellen gesendet werden, gehören zum Netzwerktyp „Nicht-Internet“, wenn die Pakete auf eine der folgenden Arten weitergeleitet werden:

Kriterien für den VPC-Netzwerktyp

In diesem Abschnitt werden die Kriterien beschrieben, anhand derer Cloud NGFW bestimmt, ob ein Paket zum Typ „VPC-Netzwerke“ gehört.

Ein Paket entspricht einer Regel für eingehenden Traffic, die den VPC-Netzwerktyp in der Quellkombination verwendet, wenn alle folgenden Bedingungen erfüllt sind:

  • Das Paket entspricht mindestens einem der anderen Quellparameter.

  • Das Paket wird von einer Ressource in einem der Quell-VPC-Netzwerke gesendet.

  • Das Quell-VPC-Netzwerk und das VPC-Netzwerk, für das die Firewallrichtlinie mit der Ingress-Regel gilt, sind dasselbe VPC-Netzwerk oder sind entweder über VPC-Netzwerk-Peering oder als VPC-Spokes in einem Network Connectivity Center-Hub verbunden.

Die folgenden Ressourcen befinden sich in einem VPC-Netzwerk:

  • VM-Netzwerkschnittstellen
  • Cloud VPN-Tunnel
  • Cloud Interconnect-VLAN-Anhänge
  • Router-Appliances
  • Envoy-Proxys in einem Nur-Proxy-Subnetz
  • Private Service Connect-Endpunkte
  • Connectors für serverlosen VPC-Zugriff

Kriterien für den Intra-VPC-Netzwerktyp

In diesem Abschnitt werden die Kriterien beschrieben, anhand derer Cloud NGFW ermittelt, ob ein Paket zum VPC-internen Netzwerktyp gehört.

Ein Paket entspricht einer Regel für eingehenden Traffic, die in ihrer Quellkombination den Typ „intra-VPC“ verwendet, wenn alle folgenden Bedingungen erfüllt sind:

  • Das Paket entspricht mindestens einem der anderen Quellparameter.

  • Das Paket wird von einer Ressource im VPC-Netzwerk gesendet, auf das die Firewallrichtlinie mit der Regel für eingehenden Traffic angewendet wird.

Die folgenden Ressourcen befinden sich in einem VPC-Netzwerk:

  • VM-Netzwerkschnittstellen
  • Cloud VPN-Tunnel
  • Cloud Interconnect-VLAN-Anhänge
  • Router-Appliances
  • Envoy-Proxys in einem Nur-Proxy-Subnetz
  • Private Service Connect-Endpunkte
  • Connectors für serverlosen VPC-Zugriff