Membuat kebijakan dan aturan firewall jaringan global

Untuk mengontrol traffic jaringan dan meningkatkan keamanan di seluruh jaringan global Anda, gunakan kebijakan dan aturan firewall jaringan global. Kebijakan firewall jaringan global memusatkan pengelolaan traffic masuk dan keluar di beberapa jaringan Virtual Private Cloud (VPC). Anda menentukan kebijakan satu kali dan melampirkannya ke satu atau beberapa jaringan atau subnet, sehingga memastikan postur keamanan yang konsisten dan administrasi yang disederhanakan.

Halaman ini menjelaskan cara mengonfigurasi kebijakan firewall jaringan global dengan menentukan aturan yang menentukan tindakan untuk berbagai jenis traffic. Anda akan mempelajari cara mengizinkan atau menolak koneksi berdasarkan sumber, tujuan, protokol, dan port. Sebelum membaca halaman ini, pastikan Anda memahami konsep yang dijelaskan dalam Ringkasan kebijakan firewall jaringan global.

Membuat kebijakan firewall jaringan global

Saat membuat kebijakan firewall jaringan global menggunakan konsol Google Cloud , Anda dapat mengaitkan kebijakan tersebut dengan jaringan VPC selama pembuatan. Jika Anda membuat kebijakan menggunakan Google Cloud CLI, Anda harus mengaitkan kebijakan dengan jaringan setelah membuat kebijakan.

Jaringan VPC yang terkait dengan kebijakan firewall jaringan global harus berada dalam project yang sama dengan kebijakan firewall jaringan global.

Konsol

  1. Di konsol Google Cloud , buka halaman kebijakan firewall.

    Buka Kebijakan firewall

  2. Dalam daftar pemilih project, pilih project Anda dalam organisasi Anda.

  3. Klik Create firewall policy.

  4. Di kolom Policy name, masukkan nama untuk kebijakan.

  5. Untuk Policy type, pilih VPC policy.

  6. Untuk Deployment scope, pilih Global.

  7. Untuk membuat aturan bagi kebijakan Anda, klik Lanjutkan.

  8. Di bagian Add rules, klik Create firewall rule. Untuk mengetahui informasi selengkapnya tentang cara membuat aturan firewall, lihat referensi berikut:

  9. Untuk membuat aturan duplikasi paket untuk kebijakan Anda, klik Continue.

  10. Di bagian Add mirroring rules, klik Create mirroring rule.

    Untuk mengetahui informasi selengkapnya, lihat Membuat kebijakan firewall dengan aturan duplikasi.

  11. Jika Anda ingin mengaitkan kebijakan dengan jaringan, klik Continue.

  12. Di bagian Associate policy with networks, klik Associate.

    Untuk mengetahui informasi selengkapnya, lihat Mengaitkan kebijakan dengan jaringan.

  13. Klik Create.

gcloud 

gcloud compute network-firewall-policies create NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --global

Ganti kode berikut:

  • NETWORK_FIREWALL_POLICY_NAME: nama kebijakan
  • DESCRIPTION: deskripsi kebijakan
  • POLICY_TYPE: jenis kebijakan firewall jaringan. Untuk mengetahui informasi selengkapnya, lihat Spesifikasi.

Mengaitkan kebijakan dengan jaringan

Saat Anda mengaitkan kebijakan firewall dengan jaringan VPC, semua aturan dalam kebijakan firewall, kecuali aturan yang dinonaktifkan, akan berlaku untuk jaringan VPC.

Konsol

  1. Di konsol Google Cloud , buka halaman kebijakan firewall.

    Buka Kebijakan firewall

  2. Di menu pemilih project, pilih project yang berisi kebijakan Anda.

  3. Klik kebijakan Anda.

  4. Klik tab Pengaitan.

  5. Klik Tambahkan pengaitan.

  6. Pilih jaringan dalam project.

  7. Klik Kaitkan.

gcloud 

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

Ganti kode berikut:

  • POLICY_NAME: nama pendek atau nama kebijakan yang dibuat sistem.
  • NETWORK_NAME: nama jaringan Anda.
  • ASSOCIATION_NAME: nama opsional untuk pengaitan; jika tidak ditentukan, nama akan ditetapkan ke network-NETWORK_NAME.

Menambahkan aturan kebijakan firewall

Bagian ini menjelaskan cara menambahkan aturan dalam kebijakan firewall jaringan global.

Membuat aturan ingress untuk target VM

Bagian ini menjelaskan cara membuat aturan ingress yang berlaku untuk antarmuka jaringan instance Compute Engine.

Konsol

  1. Di konsol Google Cloud , buka halaman kebijakan firewall.

    Buka Kebijakan firewall

  2. Dalam daftar pemilih project, pilih project yang berisi kebijakan firewall jaringan global.

  3. Di bagian Network firewall policies, klik nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.

  4. Di bagian Firewall rules, klik Create firewall rule dan tentukan parameter konfigurasi berikut:

    1. Priority: urutan evaluasi numerik aturan.

      Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.

    2. Deskripsi: berikan deskripsi opsional.

    3. Target type: pilih Instances.

      Saat Anda memilih opsi ini, Cloud NGFW akan menggunakan instance VM sebagai target.

    4. Target: pilih salah satu opsi berikut:

      • Terapkan ke semua: Cloud NGFW menggunakan target instance terluas.
      • Akun layanan: mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan akun layanan yang Anda tentukan:

        • Di bagian Service account scope, pilih In this project > Target service account. Hal ini untuk menentukan akun layanan dalam project yang sama dengan kebijakan firewall jaringan global.
        • Di bagian Service account scope, pilih In another project > Target service account. Hal ini untuk menentukan akun layanan dalam project layanan VPC Bersama.
      • Tag aman: mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman yang Anda tentukan. Klik Select scope for tags, lalu pilih organisasi atau project yang berisi nilai tag yang akan dicocokkan. Untuk menambahkan lebih banyak nilai tag, klik Tambahkan tag.

    5. Direction of traffic: pilih Ingress.

    6. Action on match: pilih salah satu opsi berikut:

      • Allow: untuk mengizinkan koneksi yang cocok dengan parameter aturan.
      • Deny: untuk memblokir koneksi yang cocok dengan parameter aturan.
      • Go to next: untuk melanjutkan proses evaluasi aturan firewall.
      • Apply security profile group: mengirim paket ke endpoint firewall atau grup endpoint intersepsi berdasarkan Purpose yang Anda pilih.
        • Untuk mengirim paket ke endpoint firewall Cloud NGFW, pilih Cloud NGFW Enterprise, lalu pilih Security profile group. Untuk mengaktifkan pemeriksaan TLS paket, pilih Enable TLS inspection.
        • Untuk mengirim paket ke grup endpoint intersepsi Network Security Integration untuk integrasi in-band, pilih NSI In-Band, lalu pilih Security profile group.

    7. Logs: pilih On untuk mengaktifkan logging aturan firewall atau Off untuk menonaktifkan logging aturan firewall untuk aturan ini.

    8. Konteks jaringan sumber: tentukan konteks jaringan:

      • Untuk melewati pemfilteran traffic masuk berdasarkan konteks jaringan, pilih All network contexts.
      • Untuk memfilter traffic masuk ke konteks jaringan tertentu, pilih Specific network context, lalu pilih konteks jaringan:

    9. Filter sumber: tentukan parameter sumber tambahan. Beberapa parameter sumber tidak dapat digunakan bersama, dan pilihan konteks jaringan sumber Anda membatasi parameter sumber yang dapat Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan ingress dan Kombinasi sumber aturan ingress.

      • Untuk memfilter traffic masuk berdasarkan rentang IPv4 sumber, pilih IPv4, lalu masukkan blok CIDR di kolom IP ranges. Gunakan 0.0.0.0/0 untuk sumber IPv4 apa pun.
      • Untuk memfilter traffic masuk berdasarkan rentang IPv6 sumber, pilih IPv6, lalu masukkan blok CIDR ke kolom IPv6 ranges. Gunakan ::/0 untuk sumber IPv6 apa pun.
      • Untuk memfilter traffic masuk berdasarkan nilai tag aman sumber, pilih Select scope for tags di bagian Secure tags. Kemudian, berikan kunci tag dan nilai tag. Untuk menambahkan nilai tag lainnya, klik Add tag.
      • Untuk memfilter traffic masuk berdasarkan FQDN sumber, masukkan FQDN di kolom FQDNs. Untuk mengetahui informasi selengkapnya, lihat objek FQDN.
      • Untuk memfilter traffic masuk berdasarkan geolokasi sumber, pilih satu atau beberapa lokasi dari kolom Geolokasi. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
      • Untuk memfilter traffic masuk menurut grup alamat sumber, pilih satu atau beberapa grup alamat dari kolom Address groups. Untuk mengetahui informasi selengkapnya, lihat Grup alamat untuk kebijakan firewall.
      • Untuk memfilter traffic masuk berdasarkan daftar Google Threat Intelligence sumber, pilih satu atau beberapa daftar Google Threat Intelligence dari kolom Google Cloud Threat Intelligence. Untuk mengetahui informasi selengkapnya, lihat Google Threat Intelligence untuk aturan kebijakan firewall.

    10. Destination: menentukan parameter tujuan opsional. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan ingress.

      • Untuk melewati pemfilteran traffic masuk berdasarkan alamat IP tujuan, pilih None.
      • Untuk memfilter traffic masuk berdasarkan alamat IP tujuan, pilih IPv4 atau IPv6, lalu masukkan satu atau beberapa CIDR menggunakan format yang sama dengan yang digunakan untuk rentang IPv4 sumber atau rentang IPv6 sumber.

    11. Protocols and ports: tentukan protokol dan port tujuan untuk traffic agar cocok dengan aturan. Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

    12. Enforcement: tentukan apakah aturan firewall diterapkan atau tidak:

      • Enabled: membuat aturan dan mulai menerapkan aturan pada koneksi baru.
      • Disabled: membuat aturan, tetapi tidak menerapkan aturan pada koneksi baru.

  5. Klik Create.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Ganti kode berikut:

  • PRIORITY: urutan evaluasi numerik aturan dalam kebijakan. Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar perbedaan satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.
  • POLICY_NAME: nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.
  • PROJECT_ID: project ID yang berisi kebijakan firewall jaringan global.
  • DESCRIPTION: deskripsi opsional untuk aturan baru.
  • ACTION: menentukan salah satu tindakan berikut:

    • allow: mengizinkan koneksi yang cocok dengan aturan.
    • deny: menolak koneksi yang cocok dengan aturan.
    • goto_next: melanjutkan proses evaluasi aturan firewall.
    • apply_security_profile_group: mengirimkan paket ke endpoint firewall atau grup endpoint intersepsi.
      • Jika tindakannya adalah apply_security_profile_group, Anda harus menyertakan --security-profile-group SECURITY_PROFILE_GROUP, dengan SECURITY_PROFILE_GROUP adalah nama grup profil keamanan.
      • Profil keamanan grup profil keamanan dapat merujuk ke endpoint firewall Cloud NGFW atau grup endpoint intersepsi Network Security Integration untuk integrasi in-band.
      • Jika profil keamanan grup profil keamanan merujuk ke endpoint firewall Cloud NGFW, sertakan --tls-inspect atau --no-tls-inspect untuk mengaktifkan atau menonaktifkan pemeriksaan TLS.
  • Flag --enable-logging dan --no-enable-logging mengaktifkan atau menonaktifkan logging aturan firewall VPC.
  • Flag --disabled dan --no-disabled mengontrol apakah aturan dinonaktifkan (tidak diterapkan) atau diaktifkan (diterapkan).
  • Tentukan target:

    • Jika Anda menghapus flag --target-secure-tags dan --target-service-accounts, Cloud NGFW akan menggunakan target instance terluas.
    • TARGET_SECURE_TAGS: daftar nilai tag aman yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman.
    • TARGET_SERVICE_ACCOUNTS: daftar akun layanan yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan salah satu akun layanan.

  • LAYER_4_CONFIGS: daftar konfigurasi Lapisan 4 yang dipisahkan koma. Setiap konfigurasi Lapisan 4 dapat berupa salah satu dari berikut ini:

    • Nama protokol IP (tcp) atau nomor protokol IP IANA (6) tanpa port tujuan apa pun.
    • Nama protokol IP dan port tujuan yang dipisahkan dengan titik dua (tcp:80).
    • Nama protokol IP dan rentang port tujuan yang dipisahkan oleh titik dua menggunakan tanda hubung untuk memisahkan port tujuan awal dan akhir (tcp:5000-6000).

    Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

  • Tentukan sumber untuk aturan ingress. Untuk mengetahui informasi selengkapnya, lihat Kombinasi sumber aturan ingress:

    • SRC_NETWORK_CONTEXT: menentukan konteks jaringan sumber yang akan digunakan bersama dengan parameter sumber lain yang didukung untuk menghasilkan kombinasi sumber. Nilai yang valid saat --target-type=INSTANCES adalah: INTERNET, NON_INTERNET, VPC_NETWORKS, atau INTRA_VPC. Untuk mengetahui informasi selengkapnya, lihat Konteks jaringan.
    • SRC_VPC_NETWORKS: daftar jaringan VPC yang dipisahkan koma yang ditentukan oleh ID URL-nya. Tentukan flag ini hanya jika --src-network-context adalah VPC_NETWORKS.
    • SRC_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.
    • SRC_ADDRESS_GROUPS: daftar grup alamat yang dipisahkan koma yang ditentukan oleh ID URL unik. Grup alamat dalam daftar harus berisi semua alamat IPv4 atau semua alamat IPv6, bukan kombinasi keduanya.
    • SRC_DOMAIN_NAMES: daftar objek FQDN yang dipisahkan koma yang ditentukan dalam format nama domain.
    • SRC_SECURE_TAGS: daftar Tag yang dipisahkan koma. Anda tidak dapat menggunakan flag --src-secure-tags jika --src-network-context adalah INTERNET.
    • SRC_COUNTRY_CODES: daftar kode negara dua huruf yang dipisahkan koma. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi. Anda tidak dapat menggunakan flag --src-region-codes jika --src-network-context adalah NON_INTERNET, VPC_NETWORKS, atau INTRA_VPC.
    • SRC_THREAT_LIST_NAMES: daftar nama yang dipisahkan koma dari daftar Google Threat Intelligence. Untuk mengetahui informasi selengkapnya, lihat Google Threat Intelligence untuk aturan kebijakan firewall. Anda tidak dapat menggunakan flag --src-threat-intelligence jika --src-network-context adalah NON_INTERNET, VPC_NETWORKS, atau INTRA_VPC.
  • Secara opsional, tentukan tujuan untuk aturan ingress:

    • DEST_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.

Membuat aturan ingress untuk target load balancer internal

Untuk membatasi akses ke satu atau beberapa aturan penerusan Load Balancer Aplikasi internal atau Load Balancer Jaringan proxy internal, buat setidaknya dua aturan ingress yang menggunakan load balancer internal sebagai target. Karena tindakan tersirat untuk target Load Balancer Aplikasi internal dan Load Balancer Jaringan proxy internal adalah mengizinkan traffic masuk, Anda harus membuat aturan berikut untuk membatasi akses:

  • Aturan firewall tolak-ingress berprioritas lebih rendah dengan flag --src-ip-ranges=0.0.0.0/0.
  • Aturan firewall izin-traffic masuk dengan prioritas lebih tinggi dengan parameter sumber yang Anda tentukan.

Saat Anda membuat aturan kebijakan firewall ingress yang menargetkan load balancer internal (--target-type=INTERNAL_MANAGED_LB), batasan berikut berlaku:

  • Anda harus menghilangkan parameter tujuan aturan karena aturan penerusan load balancer menentukan alamat IP tujuan.

  • Dalam konfigurasi Lapisan 4 aturan, Anda hanya boleh menentukan protokol TCP (tcp atau nomor protokol IP IANA 6). Anda harus menghilangkan port tujuan karena aturan penerusan load balancer menentukan port tujuan.

Bagian ini menjelaskan cara membuat aturan ingress untuk Load Balancer Aplikasi internal dan target Load Balancer Jaringan proxy internal.

Konsol

  1. Di konsol Google Cloud , buka halaman kebijakan firewall.

    Buka Kebijakan firewall

  2. Dalam daftar pemilih project, pilih project yang berisi kebijakan firewall jaringan global.

  3. Di bagian Network firewall policies, klik nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.

  4. Di bagian Firewall rules, klik Create firewall rule dan tentukan parameter konfigurasi berikut:

    1. Priority: urutan evaluasi numerik aturan.

      Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.

    2. Deskripsi: berikan deskripsi opsional.

    3. Target type: pilih Internal load balancers.

      Saat Anda memilih opsi ini, Cloud NGFW menggunakan Load Balancer Aplikasi internal dan Load Balancer Jaringan proxy internal sebagai target.

    4. Target: pilih salah satu opsi berikut:

      • Terapkan ke semua: Cloud NGFW menggunakan target load balancer terluas.
      • Forwarding rule: Untuk memilih aturan penerusan, lakukan hal berikut:
        1. Klik Select project, lalu pilih project.
        2. Untuk Load balancer type, pilih jenis load balancer.
        3. Untuk Load balancer, pilih load balancer.
        4. Untuk Forwarding rule, pilih aturan penerusan.

    5. Action on match: pilih salah satu opsi berikut:

      • Allow: untuk mengizinkan koneksi yang cocok dengan parameter aturan.
      • Deny: untuk memblokir koneksi yang cocok dengan parameter aturan.
      • Go to next: untuk melanjutkan proses evaluasi aturan firewall.

    6. Logs: pilih On untuk mengaktifkan logging aturan firewall atau Off untuk menonaktifkan logging aturan firewall untuk aturan ini.

    7. Konteks jaringan sumber: tentukan konteks jaringan:

      • Untuk melewati pemfilteran traffic masuk berdasarkan konteks jaringan, pilih All network contexts.
      • Untuk memfilter traffic masuk ke konteks jaringan tertentu, pilih Specific network context, lalu pilih konteks jaringan:
      • Intra VPC: traffic masuk harus cocok dengan Kriteria untuk konteks jaringan intra-VPC.
      • Jaringan VPC: traffic masuk harus cocok dengan Kriteria untuk konteks jaringan VPC. Anda harus memilih setidaknya satu jaringan VPC:
        • Select current project: memungkinkan Anda menambahkan satu atau beberapa jaringan VPC dari project yang berisi kebijakan firewall.
        • Manually enter network: memungkinkan Anda memasukkan project dan jaringan VPC secara manual.
        • Select project: memungkinkan Anda memilih project tempat Anda dapat memilih jaringan VPC.

    8. Filter sumber: tentukan parameter sumber tambahan. Beberapa parameter sumber tidak dapat digunakan bersama, dan pilihan konteks jaringan sumber Anda membatasi parameter sumber yang dapat Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan ingress dan Kombinasi sumber aturan ingress.

      • Untuk memfilter traffic masuk berdasarkan rentang IPv4 sumber, pilih IPv4, lalu masukkan blok CIDR di kolom IP ranges. Gunakan 0.0.0.0/0 untuk sumber IPv4 apa pun.
      • Untuk memfilter traffic masuk berdasarkan rentang IPv6 sumber, pilih IPv6, lalu masukkan blok CIDR ke kolom IPv6 ranges. Gunakan ::/0 untuk sumber IPv6 apa pun.
      • Untuk memfilter traffic masuk berdasarkan FQDN sumber, masukkan FQDN di kolom FQDNs. Untuk mengetahui informasi selengkapnya, lihat objek FQDN.
      • Untuk memfilter traffic masuk menurut grup alamat sumber, pilih satu atau beberapa grup alamat dari kolom Address groups. Untuk mengetahui informasi selengkapnya, lihat Grup alamat untuk kebijakan firewall.

    9. Enforcement: tentukan apakah aturan firewall diterapkan atau tidak:

      • Enabled: membuat aturan dan mulai menerapkan aturan pada koneksi baru.
      • Disabled: membuat aturan, tetapi tidak menerapkan aturan pada koneksi baru.

  5. Klik Create.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

Ganti kode berikut:

  • PRIORITY: urutan evaluasi numerik aturan dalam kebijakan. Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar perbedaan satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.
  • POLICY_NAME: nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.
  • PROJECT_ID: project ID yang berisi kebijakan firewall jaringan global.
  • DESCRIPTION: deskripsi opsional untuk aturan baru.
  • ACTION: menentukan salah satu tindakan berikut:

    • allow: mengizinkan koneksi yang cocok dengan aturan.
    • deny: menolak koneksi yang cocok dengan aturan.
    • goto_next: melanjutkan proses evaluasi aturan firewall.
  • Flag --enable-logging dan --no-enable-logging mengaktifkan atau menonaktifkan logging aturan firewall VPC.
  • Flag --disabled dan --no-disabled mengontrol apakah aturan dinonaktifkan (tidak diterapkan) atau diaktifkan (diterapkan).
  • Tentukan target:

    • Jika Anda menghapus flag --target-forwarding-rules, Cloud NGFW akan menggunakan target load balancer terluas.
    • TARGET_FORWARDING_RULES: satu aturan penerusan untuk Load Balancer Aplikasi internal atau Load Balancer Jaringan proxy internal yang ditentukan dalam format aturan penerusan target. Parameter ini mempersempit target load balancer yang paling luas ke Load Balancer Aplikasi internal atau Load Balancer Jaringan proxy internal tertentu.
  • LAYER_4_CONFIGS: tentukan tcp atau nomor protokol IANA 6. Aturan firewall yang menargetkan load balancer internal (INTERNAL_MANAGED_LB) hanya mendukung protokol TCP. Jangan tentukan port tujuan atau rentang port. Pemfilteran berlaku untuk semua traffic yang diarahkan ke aturan penerusan load balancer.
  • Tentukan sumber untuk aturan ingress. Untuk mengetahui informasi selengkapnya, lihat Kombinasi sumber aturan ingress:

    • SRC_NETWORK_CONTEXT: menentukan konteks jaringan sumber yang akan digunakan bersama dengan parameter sumber lain yang didukung untuk menghasilkan kombinasi sumber. Nilai yang valid saat --target-type=INTERNAL_MANAGED_LB adalah VPC_NETWORKS atau INTRA_VPC. Untuk mengetahui informasi selengkapnya, lihat Konteks jaringan.
    • SRC_VPC_NETWORKS: daftar jaringan VPC yang dipisahkan koma yang ditentukan oleh ID URL-nya. Tentukan flag ini hanya jika --src-network-context adalah VPC_NETWORKS.
    • SRC_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.
    • SRC_ADDRESS_GROUPS: daftar grup alamat yang dipisahkan koma yang ditentukan oleh ID URL unik. Grup alamat dalam daftar harus berisi semua alamat IPv4 atau semua alamat IPv6, bukan kombinasi keduanya.
    • SRC_DOMAIN_NAMES: daftar objek FQDN yang dipisahkan koma yang ditentukan dalam format nama domain.

Membuat aturan ingress untuk menerapkan grup profil keamanan ke load balancer

Untuk menerapkan layanan pemeriksaan lapisan aplikasi ke traffic load balancer, Anda dapat membuat aturan dengan tindakan apply_security_profile_group. Aturan ini harus menargetkan aturan penerusan tertentu yang termasuk dalam Load Balancer Aplikasi internal lintas region.

gcloud

Untuk membuat aturan firewall yang menerapkan pemeriksaan lapisan aplikasi ke Load Balancer Aplikasi internal lintas region tertentu, gunakan perintah gcloud compute network-firewall-policies rules create:

gcloud compute network-firewall-policies rules create PRIORITY \
   --action=apply_security_profile_group \
   --security-profile-group=SECURITY_PROFILE_GROUP_NAME \
   --firewall-policy=NETWORK_FIREWALL_POLICY_NAME \
   --global-firewall-policy \
   --direction=INGRESS \
   --target-type=INTERNAL_MANAGED_LB \
   --target-forwarding-rules=CROSS_REGION_ALB_FORWARDING_RULE

Ganti kode berikut:

  • PRIORITY: prioritas unik aturan.
  • SECURITY_PROFILE_GROUP_NAME: URI lengkap atau parsial resource grup profil keamanan.
  • NETWORK_FIREWALL_POLICY_NAME: nama kebijakan firewall jaringan global.
  • CROSS_REGION_ALB_FORWARDING_RULE: nama resource relatif aturan penerusan dalam format projects/ PROJECT_ID/global/forwardingRules/ FORWARDING_RULE_NAME`.

Membuat aturan egress untuk target VM

Petunjuk berikut menunjukkan cara membuat aturan egress. Aturan egress hanya berlaku untuk target yang merupakan antarmuka jaringan instance Compute Engine.

Konsol

  1. Di konsol Google Cloud , buka halaman kebijakan firewall.

    Buka Kebijakan firewall

  2. Dalam daftar pemilih project, pilih project yang berisi kebijakan firewall jaringan global.

  3. Di bagian Network firewall policies, klik nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.

  4. Di bagian Firewall rules, klik Create firewall rule dan tentukan parameter konfigurasi berikut:

    1. Priority: urutan evaluasi numerik aturan.

      Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.

    2. Deskripsi: berikan deskripsi opsional.

    3. Target type: pilih Instances.

      Saat Anda memilih opsi ini, Cloud NGFW akan menggunakan instance VM sebagai target.

    4. Target: pilih salah satu opsi berikut:

      • Terapkan ke semua: Cloud NGFW menggunakan target instance terluas.
      • Akun layanan: mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan akun layanan yang Anda tentukan:

        • Di bagian Service account scope, pilih In this project > Target service account. Hal ini untuk menentukan akun layanan dalam project yang sama dengan kebijakan firewall jaringan global.
        • Di bagian Service account scope, pilih In another project > Target service account. Hal ini untuk menentukan akun layanan dalam project layanan VPC Bersama.
      • Tag aman: mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman yang Anda tentukan. Klik Select scope for tags, lalu pilih organisasi atau project yang berisi nilai tag yang akan dicocokkan. Untuk menambahkan lebih banyak nilai tag, klik Tambahkan tag.

    5. Direction of traffic: pilih Egress.

    6. Action on match: pilih salah satu opsi berikut:

      • Allow: untuk mengizinkan koneksi yang cocok dengan parameter aturan.
      • Deny: untuk memblokir koneksi yang cocok dengan parameter aturan.
      • Go to next: untuk melanjutkan proses evaluasi aturan firewall.
      • Apply security profile group: mengirim paket ke endpoint firewall atau grup endpoint intersepsi berdasarkan Purpose yang Anda pilih.
        • Untuk mengirim paket ke endpoint firewall Cloud NGFW, pilih Cloud NGFW Enterprise, lalu pilih Security profile group. Untuk mengaktifkan pemeriksaan TLS paket, pilih Enable TLS inspection.
        • Untuk mengirim paket ke grup endpoint intersepsi Network Security Integration untuk integrasi in-band, pilih NSI In-Band, lalu pilih Security profile group.

    7. Logs: pilih On untuk mengaktifkan logging aturan firewall atau Off untuk menonaktifkan logging aturan firewall untuk aturan ini.

    8. Destination network context: tentukan konteks jaringan:

    9. Filter tujuan: menentukan parameter tujuan tambahan. Beberapa parameter tujuan tidak dapat digunakan bersama, dan pilihan konteks jaringan tujuan Anda membatasi filter tujuan yang dapat Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan egress dan Kombinasi tujuan aturan egress.

      • Untuk memfilter traffic keluar berdasarkan rentang IPv4 tujuan, pilih IPv4, lalu masukkan blok CIDR di kolom IP ranges. Gunakan 0.0.0.0/0 untuk tujuan IPv4 apa pun.
      • Untuk memfilter traffic keluar berdasarkan rentang IPv6 tujuan, pilih IPv6, lalu masukkan blok CIDR ke kolom IPv6 ranges. Gunakan ::/0 untuk tujuan IPv6 apa pun.
      • Untuk memfilter traffic keluar berdasarkan FQDN tujuan, masukkan FQDN di kolom FQDNs. Untuk mengetahui informasi selengkapnya, lihat objek FQDN.
      • Untuk memfilter traffic keluar berdasarkan geolokasi tujuan, pilih satu atau beberapa lokasi dari kolom Geolocations. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
      • Untuk memfilter traffic keluar berdasarkan grup alamat tujuan, pilih satu atau beberapa grup alamat dari kolom Address groups. Untuk mengetahui informasi selengkapnya, lihat Grup alamat untuk kebijakan firewall.
      • Untuk memfilter traffic keluar berdasarkan daftar Google Threat Intelligence tujuan, pilih satu atau beberapa daftar Google Threat Intelligence dari kolom Google Cloud Threat Intelligence. Untuk mengetahui informasi selengkapnya, lihat Google Threat Intelligence untuk aturan kebijakan firewall.

    10. Source: menentukan parameter sumber opsional. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan egress.

      • Untuk melewati pemfilteran traffic keluar berdasarkan alamat IP sumber, pilih None.
      • Untuk memfilter traffic keluar berdasarkan alamat IP sumber, pilih IPv4 atau IPv6, lalu masukkan satu atau beberapa CIDR menggunakan format yang sama dengan yang digunakan untuk rentang IPv4 tujuan atau rentang IPv6 tujuan.

    11. Protocols and ports: tentukan protokol dan port tujuan untuk traffic agar cocok dengan aturan. Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

    12. Enforcement: tentukan apakah aturan firewall diterapkan atau tidak:

      • Enabled: membuat aturan dan mulai menerapkan aturan pada koneksi baru.
      • Disabled: membuat aturan, tetapi tidak menerapkan aturan pada koneksi baru.

  5. Klik Create.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Ganti kode berikut:

  • PRIORITY: urutan evaluasi numerik aturan dalam kebijakan. Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar perbedaan satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.
  • POLICY_NAME: nama kebijakan firewall jaringan global tempat Anda ingin membuat aturan.
  • PROJECT_ID: project ID yang berisi kebijakan firewall jaringan global.
  • DESCRIPTION: deskripsi opsional untuk aturan baru.
  • ACTION: menentukan salah satu tindakan berikut:

    • allow: mengizinkan koneksi yang cocok dengan aturan.
    • deny: menolak koneksi yang cocok dengan aturan.
    • goto_next: melanjutkan proses evaluasi aturan firewall.
    • apply_security_profile_group: mengirimkan paket ke endpoint firewall atau grup endpoint intersepsi.
      • Jika tindakannya adalah apply_security_profile_group, Anda harus menyertakan --security-profile-group SECURITY_PROFILE_GROUP, dengan SECURITY_PROFILE_GROUP adalah nama grup profil keamanan.
      • Profil keamanan grup profil keamanan dapat merujuk ke endpoint firewall Cloud NGFW atau grup endpoint intersepsi Network Security Integration untuk integrasi in-band.
      • Jika profil keamanan grup profil keamanan merujuk ke endpoint firewall Cloud NGFW, sertakan --tls-inspect atau --no-tls-inspect untuk mengaktifkan atau menonaktifkan pemeriksaan TLS.
  • Flag --enable-logging dan --no-enable-logging mengaktifkan atau menonaktifkan logging aturan firewall VPC.
  • Flag --disabled dan --no-disabled mengontrol apakah aturan dinonaktifkan (tidak diterapkan) atau diaktifkan (diterapkan).
  • Tentukan target:

    • Jika Anda menghapus flag --target-secure-tags dan --target-service-accounts, Cloud NGFW akan menggunakan target instance terluas.
    • TARGET_SECURE_TAGS: daftar nilai tag aman yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman.
    • TARGET_SERVICE_ACCOUNTS: daftar akun layanan yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan salah satu akun layanan.

  • LAYER_4_CONFIGS: daftar konfigurasi Lapisan 4 yang dipisahkan koma. Setiap konfigurasi Lapisan 4 dapat berupa salah satu dari berikut ini:

    • Nama protokol IP (tcp) atau nomor protokol IP IANA (6) tanpa port tujuan apa pun.
    • Nama protokol IP dan port tujuan yang dipisahkan dengan titik dua (tcp:80).
    • Nama protokol IP dan rentang port tujuan yang dipisahkan oleh titik dua menggunakan tanda hubung untuk memisahkan port tujuan awal dan akhir (tcp:5000-6000).

    Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

  • Tentukan tujuan untuk aturan egress. Untuk mengetahui informasi selengkapnya, lihat Kombinasi tujuan aturan egress:

    • DEST_NETWORK_CONTEXT: menentukan konteks jaringan tujuan yang akan digunakan bersama dengan parameter tujuan lain yang didukung untuk menghasilkan kombinasi tujuan. Nilai yang valid adalah INTERNET dan NON_INTERNET. Untuk mengetahui informasi selengkapnya, lihat Konteks jaringan.
    • DEST_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.
    • DEST_ADDRESS_GROUPS: daftar grup alamat yang dipisahkan koma yang ditentukan oleh ID URL unik.
    • DEST_DOMAIN_NAMES: daftar objek FQDN yang dipisahkan koma yang ditentukan dalam format nama domain.
    • DEST_COUNTRY_CODES: daftar kode negara dua huruf yang dipisahkan koma. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
    • DEST_THREAT_LIST_NAMES: daftar nama yang dipisahkan koma dari daftar Google Threat Intelligence. Untuk mengetahui informasi selengkapnya, lihat Google Threat Intelligence untuk aturan kebijakan firewall.
  • Atau, tentukan sumber untuk aturan egress:

    • SRC_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.

Langkah berikutnya