‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

יצירה של מדיניות וכללים גלובליים לחומת אש בין רשתות

כדי לשלוט בתנועה ברשת ולשפר את האבטחה ברשת הגלובלית, השתמשו במדיניות חומת אש ובכללים של הרשת הגלובלית. כללי מדיניות גלובליים של חומת אש ברשת מרכזים את הניהול של תעבורת הנתונים הנכנסת והיוצאת בכמה רשתות של ענן וירטואלי פרטי (VPC). מגדירים מדיניות פעם אחת ומצרפים אותה לרשת אחת או יותר או לתת-רשתות, כדי להבטיח מצב אבטחה עקבי וניהול פשוט.

בדף הזה מוסבר איך מגדירים כללי מדיניות גלובליים של חומת אש ברשת, על ידי הגדרת כללים שמציינים פעולות לסוגים שונים של תנועה. תלמדו איך לאשר או לדחות חיבורים על סמך מקור, יעד, פרוטוקול ויציאה. לפני שאתם קוראים את הדף הזה, חשוב שתכירו את המושגים שמתוארים בסקירה הכללית על מדיניות חומת אש גלובלית של רשת VPC.

יצירת מדיניות חומת אש בין רשתות גלובליות

כשיוצרים מדיניות גלובלית של חומת אש לרשת באמצעות מסוף Google Cloud , אפשר לשייך את המדיניות לרשת VPC במהלך היצירה. אם אתם יוצרים את המדיניות באמצעות Google Cloud CLI, אתם צריכים לשייך את המדיניות לרשת אחרי שאתם יוצרים אותה.

רשת ה-VPC שמשויכת למדיניות חומת האש של הרשת הגלובלית צריכה להיות באותו פרויקט שבו נמצאת מדיניות חומת האש של הרשת הגלובלית.

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

הרשאות

compute.firewallPolicies.create

תפקידים

אדמין אבטחה של Compute‏ (roles/compute.securityAdmin) בפרויקט שבו רוצים ליצור את המדיניות

המסוף

במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

כניסה לדף Firewall policies
ברשימת הפרויקטים, בוחרים את הפרויקט בארגון.
לוחצים על יצירת מדיניות חומת אש.
בשדה Policy name, כותבים את השם של המדיניות.
בשדה Policy type, בוחרים באפשרות VPC policy.

הערה: אפשר להשתמש ב-RDMA RoCE רק במדיניות של חומת אש אזורית ברשת. כשבוחרים בסוג המדיניות RoCE, היקף הפריסה מוגדר באופן אוטומטי לאזורי ואי אפשר לשנות אותו.
בשדה Deployment scope, בוחרים באפשרות Global.
כדי ליצור כללים למדיניות, לוחצים על המשך.
בקטע Add rules, לוחצים על Create firewall rule. למידע נוסף על יצירת כללים של חומת האש:
- יצירת כלל לתעבורת נתונים נכנסת (ingress) ליעדים של מכונות וירטואליות
- יצירת כלל לתעבורת נתונים יוצאת (egress) למכונות וירטואליות (VM)
כדי ליצור כללי רפליקציה של חבילות נתונים למדיניות, לוחצים על המשך.
בקטע הוספת כללי שיקוף, לוחצים על יצירת כלל שיקוף.

מידע נוסף זמין במאמר יצירת מדיניות חומת אש עם כלל שיקוף.
אם רוצים לשייך את המדיניות לרשת, לוחצים על Continue.
בקטע Associate policy with networks, לוחצים על Associate.

מידע נוסף זמין במאמר שיוך מדיניות לרשת.
לוחצים על יצירה.

gcloud

gcloud compute network-firewall-policies create NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --global

מחליפים את מה שכתוב בשדות הבאים:

‫NETWORK_FIREWALL_POLICY_NAME: שם למדיניות
‫DESCRIPTION: תיאור המדיניות
‫POLICY_TYPE: סוג המדיניות של חומת האש ברשת. מידע נוסף זמין בקטע מפרטים.

שיוך מדיניות לרשת

כשמשייכים מדיניות חומת אש לרשת VPC, כל הכללים במדיניות חומת האש, חוץ מהכללים המושבתים, חלים על רשת ה-VPC.

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

הרשאות

compute.firewallPolicies.use
compute.networks.setFirewallPolicy

תפקידים

אדמין רשת של Compute‏ (roles/compute.networkAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש או
אדמין אבטחה של Compute‏ (roles/compute.securityAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש

המסוף

במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

כניסה לדף Firewall policies
בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שמכיל את המדיניות.
לוחצים על הפוליסה.
לוחצים על הכרטיסייה שיוכים.
לוחצים על הוספת שיוך.
בוחרים את הרשתות בפרויקט.
לוחצים על שיוך.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

מחליפים את מה שכתוב בשדות הבאים:

‫POLICY_NAME: השם המקוצר או השם שנוצר על ידי המערכת של המדיניות.
‫NETWORK_NAME: שם הרשת.
‫ASSOCIATION_NAME: שם אופציונלי לשיוך. אם לא מציינים שם, הוא מוגדר כ-network-NETWORK_NAME.

הוספת כלל למדיניות חומת אש

בקטע הזה מוסבר איך להוסיף כללים למדיניות גלובלית של חומת אש ברשת.

יצירת כלל תעבורת נתונים נכנסת (ingress) ליעדים של מכונות וירטואליות

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

הרשאות

compute.firewallPolicies.update

תפקידים

אדמין אבטחה של Compute‏ (roles/compute.securityAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש

בקטע הזה מוסבר איך ליצור כלל תעבורת נתונים נכנסת שחל על ממשקי רשת של מכונות Compute Engine.

המסוף

במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

כניסה לדף Firewall policies
ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות גלובלית של חומת אש לרשת.
בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור כלל.
בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:
1. עדיפות: סדר ההערכה המספרי של הכלל.
  
  הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
2. תיאור: מוסיפים תיאור (אופציונלי).
3. Target type: בוחרים באפשרות Instances.
  
  כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.
4. יעד: בוחרים אחת מהאפשרויות הבאות:
  - החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
  - חשבונות שירות: מצמצמים את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שמשתמשות בחשבון השירות שציינתם:
    - בקטע Service account scope, בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט שבו נמצאת מדיניות חומת האש הגלובלית של הרשת.
    - בקטע Service account scope, בוחרים באפשרות In another project > Target service account. כדי לציין חשבון שירות בפרויקט שירות של VPC משותף.
  - תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.
5. Direction of traffic: בוחרים באפשרות Ingress.
6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:
  - אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
  - דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
  - ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.
  - ‫Apply security profile group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט, בהתאם ל-Purpose שנבחר.
    - כדי לשלוח חבילות לנקודת קצה של חומת אש ב-Cloud NGFW, בוחרים באפשרות Cloud NGFW Enterprise ואז בוחרים קבוצת פרופילי אבטחה. כדי להפעיל בדיקת TLS של חבילות הנתונים, בוחרים באפשרות הפעלת בדיקת TLS.
    - כדי לשלוח חבילות לקבוצת נקודות קצה ליירוט של Network Security Integration לשילוב בתוך התדר, בוחרים באפשרות NSI In-Band ואז בוחרים קבוצת פרופילי אבטחה.
7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.
8. ‫Source network context: מציינים הקשר רשת:
  - כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות All network contexts.
  - כדי לסנן תנועה נכנסת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
    - ‫Internet: תנועה נכנסת חייבת להתאים להקשר הרשת של האינטרנט לחבילות נכנסות.
    - לא אינטרנט: תנועה נכנסת חייבת להתאים להקשר של רשת לא אינטרנטית לחבילות נכנסות.
    - בתוך VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשת בתוך VPC.
    - רשתות VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשתות VPC. צריך לבחור לפחות רשת VPC אחת:
      - Select current project: מאפשרת להוסיף רשת VPC אחת או יותר מהפרויקט שמכיל את מדיניות חומת האש.
      - Manually enter network: מאפשר להזין ידנית פרויקט ורשת VPC.
      - ‫Select project: בחירת פרויקט שממנו אפשר לבחור רשת VPC.
9. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של המקור ביחד, וההקשר של רשת המקור שתבחרו מגביל את הפרמטרים של המקור שבהם תוכלו להשתמש. למידע נוסף, קראו את המאמרים מקורות לכללי תעבורת נתונים נכנסת ושילובים של מקורות לכללי תעבורת נתונים נכנסת.
  - כדי לסנן תנועה נכנסת לפי טווחי IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל מקור IPv4.
  - כדי לסנן תנועה נכנסת לפי טווחי IPv6 של מקורות, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל מקור IPv6.
  - כדי לסנן תנועה נכנסת לפי ערכי תגים מאובטחים של מקור, בוחרים באפשרות Select scope for tags בקטע Secure tags. אחר כך, מספקים את המפתחות והערכים של התגים. כדי להוסיף עוד ערכי תגים, לוחצים על Add tag.
  - כדי לסנן תנועה נכנסת לפי FQDN של מקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
  - כדי לסנן תנועה נכנסת לפי המיקום הגיאוגרפי של המקור, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
  - כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. מידע נוסף זמין במאמר קבוצות של כתובות למדיניות של חומת אש.
  - כדי לסנן תעבורת נתונים נכנסת לפי רשימות מקור של מודיעין איומי סייבר של Google, בוחרים רשימה אחת או יותר של Google Threat Intelligence מהשדה Google Cloud Threat Intelligence. מידע נוסף זמין במאמר שימוש ב-Google Threat Intelligence לכללי מדיניות של חומת אש.
10. יעד: מציינים פרמטרים אופציונליים של היעד. מידע נוסף זמין במאמר יעדים לכללי תעבורת נתונים נכנסת.
  - כדי לדלג על סינון התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות None.
  - כדי לסנן את התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של המקור.
11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.
12. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:
  - מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
  - מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.
לוחצים על יצירה.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
‫POLICY_NAME: השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור את הכלל.
‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש הגלובלית של הרשת.
‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
‫ACTION: מציינים אחת מהפעולות הבאות:
- ‫allow: מאפשר חיבורים שתואמים לכלל.
- ‫deny: דחיית חיבורים שתואמים לכלל.
- ‫goto_next: ממשיך את תהליך ההערכה של כלל חומת האש.
- ‫apply_security_profile_group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט.
  - כשהפעולה היא apply_security_profile_group, צריך לכלול את --security-profile-group SECURITY_PROFILE_GROUP, כאשר SECURITY_PROFILE_GROUP הוא השם של קבוצת פרופילי אבטחה.
  - פרופיל האבטחה של קבוצת פרופילי האבטחה יכול להפנות לנקודת קצה של חומת אש ב-Cloud NGFW או לקבוצה של נקודות קצה ליירוט ב-Network Security Integration, לצורך שילוב בתוך הפס.
  - אם פרופיל האבטחה של קבוצת פרופילי האבטחה מפנה לנקודת קצה של חומת אש של Cloud NGFW, צריך לכלול את --tls-inspect או את --no-tls-inspect כדי להפעיל או להשבית את בדיקת ה-TLS.
הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
מציינים יעד:
- אם לא תציינו את הדגלים --target-secure-tags ו---target-service-accounts, Cloud NGFW ישתמש ביעדי המכונות הרחבים ביותר.
- ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
- ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:
- שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
- שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
- שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).
למידע נוסף, ראו פרוטוקולים ויציאות.

מציינים מקור לכלל התעבורה הנכנסת. שילובים של מקורות לכללי תעבורת נתונים נכנסת:
- ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשת מקור שמשמשים בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקורות. הערכים התקינים כשהשדה --target-type=INSTANCES מוגדר הם: INTERNET,‏ NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר הקשרים של רשתות.
- ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שמצוינות לפי מזהי כתובות ה-URL שלהן. ציינו את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
- ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
- ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל רק כתובות IPv4 או רק כתובות IPv6, ולא שילוב של שתיהן.
- ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
- ‫SRC_SECURE_TAGS: רשימה מופרדת בפסיקים של תגים. אי אפשר להשתמש בדגל --src-secure-tags אם הערך של --src-network-context הוא INTERNET.
- ‫SRC_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי. אי אפשר להשתמש בדגל --src-region-codes אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
- ‫SRC_THREAT_LIST_NAMES: רשימה מופרדת בפסיקים של שמות הרשימות ב-Google Threat Intelligence. מידע נוסף מופיע במאמר שימוש ב-Google Threat Intelligence לכללים של מדיניות חומת האש. אי אפשר להשתמש בדגל --src-threat-intelligence אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
אפשר גם לציין יעד לכלל התעבורה הנכנסת:
- ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

יצירת כלל תעבורת נתונים נכנסת ליעדים של מאזן עומסים פנימי

כדי להגביל את הגישה לכלל העברה אחד או יותר של מאזן עומסים פנימי של אפליקציות (ALB) או של מאזן עומסי רשת פנימי לשרת proxy, צריך ליצור לפחות שני כללי תעבורת נתונים נכנסת שמשתמשים במאזני עומסים פנימיים כיעדים. מכיוון שהפעולה המשתמעת ליעדים של מאזן עומסים פנימי של אפליקציות ומאזן עומסי רשת פנימי לשרת proxy היא לאפשר תנועה נכנסת, צריך ליצור את הכללים הבאים כדי להגביל את הגישה:

כלל חומת אש לחסימת תעבורת נתונים נכנסת בעדיפות נמוכה יותר, עם הדגל --src-ip-ranges=0.0.0.0/0.
כלל חומת אש מסוג allow-ingress בעדיפות גבוהה יותר, עם הפרמטרים של המקור שציינתם.

כשיוצרים כלל מדיניות חומת אש לתעבורת נתונים נכנסת (Ingress) שמטרגט מאזני עומסים פנימיים (--target-type=INTERNAL_MANAGED_LB), חלות המגבלות הבאות:

צריך להשמיט את פרמטר היעד של הכלל, כי כלל ההעברה של מאזן העומסים מגדיר את כתובת ה-IP של היעד.
בהגדרות של שכבה 4 של הכלל, צריך לציין רק את פרוטוקול TCP (tcp או מספר פרוטוקול ה-IP של IANA‏ 6). צריך להשמיט את יציאות היעד כי כלל ההעברה של מאזן העומסים מגדיר את יציאת היעד.

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

הרשאות

compute.regionFirewallPolicies.update

תפקידים

אדמין אבטחה של Compute‏ (roles/compute.securityAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש

בקטע הזה מוסבר איך ליצור כלל תעבורת נתונים נכנסת למאזני עומסים פנימיים של אפליקציות ולמאזני עומסי רשת פנימיים של שרתי proxy.

המסוף

במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

כניסה לדף Firewall policies
ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות גלובלית של חומת אש ברשת.
בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור כלל.
בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:
1. עדיפות: סדר ההערכה המספרי של הכלל.
  
  הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
2. תיאור: מוסיפים תיאור (אופציונלי).
3. ‫Target type: בוחרים באפשרות Internal load balancers.
  
  כשבוחרים באפשרות הזו, Cloud NGFW משתמש במאזני עומסים פנימיים של אפליקציות (ALB) ובמאזני עומסי רשת פנימיים של שרתי proxy בתור היעד.
4. יעד: בוחרים אחת מהאפשרויות הבאות:
  - החלה על הכול: Cloud NGFW משתמש ביעדים הרחבים ביותר של מאזן העומסים.
  - ‫Forwarding rule: כדי לבחור את כלל ההעברה, מבצעים את הפעולות הבאות:
    1. לוחצים על Select project ובוחרים פרויקט.
    2. בקטע Load balancer type, בוחרים את סוג מאזן העומסים.
    3. בשדה Load balancer, בוחרים את מאזן העומסים.
    4. בשדה Forwarding rule, בוחרים את כלל ההעברה.
5. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:
  - אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
  - דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
  - ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.
6. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.
7. ‫Source network context: מציינים הקשר רשת:
  - כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות All network contexts.
  - כדי לסנן תנועה נכנסת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
  - בתוך VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשת בתוך VPC.
  - רשתות VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשתות VPC. צריך לבחור לפחות רשת VPC אחת:
    - Select current project: מאפשרת להוסיף רשת VPC אחת או יותר מהפרויקט שמכיל את מדיניות חומת האש.
    - Manually enter network: מאפשר להזין ידנית פרויקט ורשת VPC.
    - ‫Select project: בחירת פרויקט שממנו אפשר לבחור רשת VPC.
8. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של המקור ביחד, וההקשר של רשת המקור שבחרתם מגביל את הפרמטרים של המקור שבהם אתם יכולים להשתמש. למידע נוסף, קראו את המאמרים מקורות לכללי תעבורת נתונים נכנסת ושילובים של מקורות לכללי תעבורת נתונים נכנסת.
  - כדי לסנן תנועה נכנסת לפי טווחי IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל מקור IPv4.
  - כדי לסנן תנועה נכנסת לפי טווחי IPv6 של מקורות, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל מקור IPv6.
  - כדי לסנן תנועה נכנסת לפי FQDN של מקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
  - כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. מידע נוסף זמין במאמר קבוצות של כתובות למדיניות של חומת אש.
9. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:
  - מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
  - מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.
לוחצים על יצירה.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

מחליפים את מה שכתוב בשדות הבאים:

‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
‫POLICY_NAME: השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור את הכלל.
‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש הגלובלית של הרשת.
‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
‫ACTION: מציינים אחת מהפעולות הבאות:
- ‫allow: מאפשר חיבורים שתואמים לכלל.
- ‫deny: דחיית חיבורים שתואמים לכלל.
- ‫goto_next: ממשיך את תהליך ההערכה של כלל חומת האש.
הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
מציינים יעד:
- אם לא משתמשים בדגל --target-forwarding-rules, ‏Cloud NGFW משתמש ביעדים הרחבים ביותר של מאזן העומסים.
- ‫TARGET_FORWARDING_RULES: כלל העברה יחיד למאזן עומסים פנימי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy, שצוין בפורמט של כללי העברה לטירגוט. הפרמטר הזה מצמצם את היעדים הרחבים ביותר של מאזן העומסים למאזן עומסים פנימי ספציפי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy.

‫LAYER_4_CONFIGS: מציינים את tcp או את מספר הפרוטוקול של IANA‏ 6. כללי חומת אש שמטרגטים מאזני עומסים פנימיים (INTERNAL_MANAGED_LB) תומכים רק בפרוטוקול TCP. אל תציינו יציאות יעד או טווחי יציאות. הסינון חל על כל התנועה שמופנית לכלל ההעברה של מאזן העומסים.

מציינים מקור לכלל התעבורה הנכנסת. שילובים של מקורות לכללי תעבורת נתונים נכנסת:
- ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשת מקור שמשמשים בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקורות. הערכים התקינים כשהשדה --target-type=INTERNAL_MANAGED_LB מוגדר הם VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר הקשרים של רשתות.
- ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שמצוינות לפי מזהי כתובות ה-URL שלהן. ציינו את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
- ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
- ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל רק כתובות IPv4 או רק כתובות IPv6, ולא שילוב של שתיהן.
- ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.

יצירת כלל תעבורת נתונים נכנסת (ingress) כדי להחיל קבוצת פרופילי אבטחה על מאזן עומסים

כדי להחיל שירותי בדיקה של שכבת האפליקציה על תנועה של מאזן עומסים, אפשר ליצור כלל עם הפעולה apply_security_profile_group. הכלל הזה חייב לטרגט כלל העברה ספציפי ששייך למאזן עומסים פנימי של אפליקציות (ALB) בכמה אזורים.

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן:

הרשאות

compute.firewallPolicies.update

תפקידים

אדמין אבטחה ב-Compute‏ (roles/compute.securityAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש.

gcloud

כדי ליצור כלל פיירוול שמחיל בדיקה של שכבת האפליקציה על מאזן עומסים פנימי ספציפי של אפליקציות חוצות-אזורים, משתמשים בפקודה gcloud compute network-firewall-policies rules create:

gcloud compute network-firewall-policies rules create PRIORITY \
   --action=apply_security_profile_group \
   --security-profile-group=SECURITY_PROFILE_GROUP_NAME \
   --firewall-policy=NETWORK_FIREWALL_POLICY_NAME \
   --global-firewall-policy \
   --direction=INGRESS \
   --target-type=INTERNAL_MANAGED_LB \
   --target-forwarding-rules=CROSS_REGION_ALB_FORWARDING_RULE

מחליפים את מה שכתוב בשדות הבאים:

‫PRIORITY: העדיפות הייחודית של הכלל.
‫SECURITY_PROFILE_GROUP_NAME: ה-URI המלא או החלקי של המשאב של קבוצת פרופילי האבטחה.
‫NETWORK_FIREWALL_POLICY_NAME: השם של מדיניות חומת האש הגלובלית של הרשת.
‫CROSS_REGION_ALB_FORWARDING_RULE: שם המשאב היחסי של כלל ההעברה בפורמט projects/ PROJECT_ID/global/forwardingRules/ FORWARDING_RULE_NAME`.

יצירת כלל לתעבורת נתונים יוצאת (egress) ליעדים של מכונות וירטואליות

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו, אתם צריכים את ההרשאות או אחד מתפקידי ה-IAM שמצוינים כאן.

הרשאות

compute.firewallPolicies.update

תפקידים

אדמין אבטחה של Compute‏ (roles/compute.securityAdmin) במדיניות חומת האש או בפרויקט שמכיל את מדיניות חומת האש

כך יוצרים כלל תעבורת נתונים יוצאת: כללי תעבורת נתונים יוצאת חלים רק על יעדים שהם ממשקי רשת של מכונות Compute Engine.

המסוף

במסוף Google Cloud , עוברים לדף מדיניות חומת אש.

כניסה לדף Firewall policies
ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות גלובלית של חומת אש ברשת.
בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור כלל.
בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:
1. עדיפות: סדר ההערכה המספרי של הכלל.
  
  הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
2. תיאור: מוסיפים תיאור (אופציונלי).
3. Target type: בוחרים באפשרות Instances.
  
  כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.
4. יעד: בוחרים אחת מהאפשרויות הבאות:
  - החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
  - חשבונות שירות: מצמצמים את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שמשתמשות בחשבון השירות שציינתם:
    - בקטע Service account scope, בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט שבו נמצאת מדיניות חומת האש ברשת הגלובלית.
    - בקטע Service account scope, בוחרים באפשרות In another project > Target service account. כדי לציין חשבון שירות בפרויקט שירות של VPC משותף.
  - תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.
5. Direction of traffic: בוחרים באפשרות Egress.
6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:
  - אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
  - דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
  - ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.
  - ‫Apply security profile group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט, בהתאם ל-Purpose שנבחר.
    - כדי לשלוח חבילות לנקודת קצה של חומת אש ב-Cloud NGFW, בוחרים באפשרות Cloud NGFW Enterprise ואז בוחרים קבוצת פרופילי אבטחה. כדי להפעיל בדיקת TLS של חבילות הנתונים, בוחרים באפשרות הפעלת בדיקת TLS.
    - כדי לשלוח חבילות לקבוצת נקודות קצה ליירוט של Network Security Integration לשילוב בתוך התדר, בוחרים באפשרות NSI In-Band ואז בוחרים קבוצת פרופילי אבטחה.
7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.
8. הקשר של רשת היעד: מציינים הקשר של רשת:
  - כדי לדלג על סינון תנועה יוצאת לפי הקשר רשת, בוחרים באפשרות All network contexts.
  - כדי לסנן תנועה יוצאת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
    - ‫Internet: תנועת הנתונים היוצאת צריכה להתאים להקשר הרשת של האינטרנט לחבילות נתונים יוצאות.
    - לא באינטרנט: תנועה יוצאת חייבת להתאים להקשר של רשת לא באינטרנט לחבילות יוצאות.
9. מסנני יעדים: מציינים פרמטרים נוספים של יעדים. אי אפשר להשתמש בחלק מהפרמטרים של היעד ביחד, והבחירה שלכם בהקשר של רשת היעד מגבילה את מסנני היעד שבהם אתם יכולים להשתמש. למידע נוסף, קראו את המאמרים יעדים לכללי תעבורת נתונים יוצאת ושילובים של יעדים לכללי תעבורת נתונים יוצאת.
  - כדי לסנן תנועה יוצאת לפי טווחי IPv4 של היעד, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל יעד IPv4.
  - כדי לסנן תנועה יוצאת לפי טווחי IPv6 של היעד, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל יעד IPv6.
  - כדי לסנן תנועה יוצאת לפי FQDN של היעד, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
  - כדי לסנן תנועה יוצאת לפי מיקום גיאוגרפי של היעד, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
  - כדי לסנן תנועה יוצאת לפי קבוצת כתובות יעד, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. למידע נוסף, קראו את המאמר קבוצות של כתובות לכללי מדיניות של חומת אש.
  - כדי לסנן תנועה יוצאת לפי רשימות של יעדים ב-Google Threat Intelligence, בוחרים רשימה אחת או יותר של Google Threat Intelligence בשדה Google Cloud Threat Intelligence. מידע נוסף זמין במאמר שימוש ב-Google Threat Intelligence לכללי מדיניות של חומת אש.
10. מקור: מציינים פרמטרים אופציונליים של מקור. מידע נוסף זמין במאמר מקורות לכללי תעבורת נתונים יוצאת.
  - כדי לדלג על סינון התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות ללא.
  - כדי לסנן את התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של היעד.
11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.
12. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:
  - מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
  - מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.
לוחצים על יצירה.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
‫POLICY_NAME: השם של מדיניות חומת האש הגלובלית של הרשת שבה רוצים ליצור את הכלל.
‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש הגלובלית של הרשת.
‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
‫ACTION: מציינים אחת מהפעולות הבאות:
- ‫allow: מאפשר חיבורים שתואמים לכלל.
- ‫deny: דחיית חיבורים שתואמים לכלל.
- ‫goto_next: ממשיך את תהליך ההערכה של כלל חומת האש.
- ‫apply_security_profile_group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט.
  - כשהפעולה היא apply_security_profile_group, צריך לכלול את --security-profile-group SECURITY_PROFILE_GROUP, כאשר SECURITY_PROFILE_GROUP הוא השם של קבוצת פרופילי אבטחה.
  - פרופיל האבטחה של קבוצת פרופילי האבטחה יכול להפנות לנקודת קצה של חומת אש של Cloud NGFW או לקבוצה של נקודות קצה ליירוט של Network Security Integration, לצורך שילוב בתוך הפס.
  - אם פרופיל האבטחה של קבוצת פרופילי האבטחה מפנה לנקודת קצה של חומת אש של Cloud NGFW, צריך לכלול את --tls-inspect או את --no-tls-inspect כדי להפעיל או להשבית את בדיקת ה-TLS.
הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
מציינים יעד:
- אם לא תציינו את הדגלים --target-secure-tags ו---target-service-accounts, ‏Cloud NGFW ישתמש ביעדי המכונות הרחבים ביותר.
- ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
- ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:
- שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
- שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
- שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).
למידע נוסף, ראו פרוטוקולים ויציאות.

מציינים יעד לכלל התעבורה היוצאת. מידע נוסף זמין במאמר שילובים של יעדים לכללי תעבורת נתונים יוצאת:
- DEST_NETWORK_CONTEXT: מגדיר הקשרים של רשת היעד שבהם אפשר להשתמש בשילוב עם פרמטר יעד נתמך אחר כדי ליצור שילוב של יעדים. הערכים התקינים הם INTERNET ו-NON_INTERNET. מידע נוסף מופיע במאמר הקשרים של רשתות.
- ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
- ‫DEST_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן.
- ‫DEST_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
- ‫DEST_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
- ‫DEST_THREAT_LIST_NAMES: רשימה מופרדת בפסיקים של שמות הרשימות ב-Google Threat Intelligence. מידע נוסף מופיע במאמר שימוש ב-Google Threat Intelligence לכללי מדיניות חומת אש.
אפשר גם לציין מקור לכלל התעבורה היוצאת:
- ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

יצירה של מדיניות וכללים גלובליים לחומת אש בין רשתות קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

יצירת מדיניות חומת אש בין רשתות גלובליות

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

שיוך מדיניות לרשת

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

הוספת כלל למדיניות חומת אש

יצירת כלל תעבורת נתונים נכנסת (ingress) ליעדים של מכונות וירטואליות

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

יצירת כלל תעבורת נתונים נכנסת ליעדים של מאזן עומסים פנימי

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

יצירת כלל תעבורת נתונים נכנסת (ingress) כדי להחיל קבוצת פרופילי אבטחה על מאזן עומסים

ההרשאות שנדרשות למשימה הזו

gcloud

יצירת כלל לתעבורת נתונים יוצאת (egress) ליעדים של מכונות וירטואליות

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

המאמרים הבאים

יצירה של מדיניות וכללים גלובליים לחומת אש בין רשתות

ההרשאות שנדרשות למשימה הזו

ההרשאות שנדרשות למשימה הזו

ההרשאות שנדרשות למשימה הזו

ההרשאות שנדרשות למשימה הזו

ההרשאות שנדרשות למשימה הזו

ההרשאות שנדרשות למשימה הזו