Criar políticas e regras globais de firewall de rede

Para controlar o tráfego de rede e aumentar a segurança em toda a rede global, use políticas e regras de firewall de rede global. As políticas globais de firewall de rede centralizam o gerenciamento do tráfego de entrada e saída em várias redes de nuvem privada virtual (VPC). Você define uma política uma vez e a anexa a uma ou mais redes ou sub-redes, garantindo uma postura de segurança consistente e uma administração simplificada.

Nesta página, descrevemos como configurar políticas de firewall de rede global definindo regras que especificam ações para vários tipos de tráfego. Você vai aprender a permitir ou negar conexões com base na origem, no destino, no protocolo e na porta. Antes de ler esta página, conheça os conceitos descritos na Visão geral das políticas de firewall de rede global.

Criar uma política de firewall de rede global

Ao criar uma política de firewall de rede global usando o console do Google Cloud , é possível associar a política a uma rede VPC durante a criação. Se você criar a política usando a Google Cloud CLI, será necessário associar a política a uma rede depois de criá-la.

A rede VPC associada à política de firewall de rede global precisa estar no mesmo projeto que a política de firewall de rede global.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione seu projeto na organização.

  3. Clique em Criar política de firewall.

  4. No campo Nome da política, insira um nome para a política.

  5. Em Tipo de política, selecione Política de VPC.

  6. Em Escopo da implantação, selecione Global.

  7. Para criar regras para sua política, clique em Continuar.

  8. Na seção Adicionar regras, clique em Criar regra de firewall. Para mais informações sobre como criar regras de firewall, consulte:

  9. Para criar regras de espelhamento de pacotes para sua política, clique em Continuar.

  10. Na seção Adicionar regras de espelhamento, clique em Criar regra de espelhamento.

    Para mais informações, consulte Criar uma política de firewall com uma regra de espelhamento.

  11. Se quiser associar a política a uma rede, clique em Continuar.

  12. Na seção Associar política a redes, clique em Associar.

    Para mais informações, consulte Associar uma política a uma rede.

  13. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies create NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --global

Substitua:

  • NETWORK_FIREWALL_POLICY_NAME: um nome para a política.
  • DESCRIPTION: uma descrição da política.
  • POLICY_TYPE: tipo de política de firewall de rede. Para mais informações, consulte Especificações.

Associar uma política a uma rede

Quando você associa uma política de firewall a uma rede VPC, todas as regras na política de firewall, exceto as desativadas, se aplicam à rede VPC.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. No menu do seletor de projetos, selecione o projeto que contém a política.

  3. Clique na sua política.

  4. Clique na guia Associações.

  5. Clique em Adicionar associação.

  6. Selecione as redes no projeto.

  7. Clique em Associar.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

Substitua:

  • POLICY_NAME: o nome curto ou o nome gerado pelo sistema da política.
  • NETWORK_NAME: o nome da rede.
  • ASSOCIATION_NAME: um nome opcional para a associação. Se não for especificado, o nome será definido como network-NETWORK_NAME.

Adicionar regra de política de firewall

Nesta seção, descrevemos como adicionar regras em uma política de firewall de rede global.

Criar uma regra de entrada para destinos de VM

Nesta seção, descrevemos como criar uma regra de entrada que se aplica a interfaces de rede de instâncias do Compute Engine.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede global.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede global em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Instâncias.

      Quando você seleciona essa opção, o Cloud NGFW usa instâncias de VM como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de instância mais amplos.
      • Contas de serviço: restringe os destinos de instância mais amplos às interfaces de rede das instâncias de VM que usam a conta de serviço especificada:

        • Na seção Escopo da conta de serviço, selecione Neste projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço no mesmo projeto da política de firewall de rede global.
        • Na seção Escopo da conta de serviço, selecione Em outro projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço em um projeto de serviço de VPC compartilhada.
      • Tags seguras: restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura que você especificar. Clique em Selecionar escopo para tags e selecione a organização ou o projeto que contém os valores de tag correspondentes. Para adicionar mais valores de tag, clique em Adicionar tag.

    5. Direção do tráfego: selecione Entrada.

    6. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.
      • Aplicar grupo de perfis de segurança: envia os pacotes para um endpoint de firewall ou grupo de endpoints de interceptação com base na Finalidade selecionada.
        • Para enviar pacotes a um endpoint de firewall do Cloud NGFW, selecione Cloud NGFW Enterprise e, em seguida, selecione um Grupo de perfis de segurança. Para ativar a inspeção de TLS dos pacotes, selecione Ativar inspeção de TLS.
        • Para enviar pacotes a um grupo de endpoints de interceptação da Integração de Segurança de Rede para integração em banda, selecione NSI em banda e, em seguida, selecione um Grupo de perfis de segurança.

    7. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    8. Contexto da rede de origem: especifique um contexto de rede:

      • Para pular a filtragem do tráfego de entrada por contexto de rede, selecione Todos os contextos de rede.
      • Para filtrar o tráfego de entrada para um contexto de rede específico, selecione Contexto de rede específico e, em seguida, selecione um contexto de rede:

    9. Filtros de origem: especifique outros parâmetros de origem. Alguns parâmetros de origem não podem ser usados juntos, e sua escolha de contexto de rede de origem limita quais parâmetros de origem você pode usar. Para mais informações, consulte Origens das regras de entrada e Combinações de origem das regras de entrada.

      • Para filtrar o tráfego de entrada por intervalos IPv4 de origem, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
      • Para filtrar o tráfego de entrada por intervalos IPv6 de origem, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer origem IPv6.
      • Para filtrar o tráfego de entrada por valores de tag segura de origem, selecione Selecionar escopo para tags na seção Tags seguras. Em seguida, forneça chaves e valores de tag. Para adicionar mais valores de tag, clique em Adicionar tag.
      • Para filtrar o tráfego de entrada por FQDN de origem, insira FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de entrada por geolocalização de origem, selecione um ou mais locais no campo Geolocalizações. Para mais informações, consulte Objetos de geolocalização.
      • Para filtrar o tráfego de entrada por grupo de endereços de origem, selecione um ou mais grupos no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.
      • Para filtrar o tráfego de entrada por listas de origem do Google Threat Intelligence, selecione uma ou mais listas do Google Threat Intelligence no campo Google Cloud Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.

    10. Destino: especifique parâmetros de destino opcionais. Para mais informações, consulte Destinos das regras de entrada.

      • Para pular a filtragem do tráfego de entrada por endereço IP de destino, selecione Nenhum.
      • Para filtrar o tráfego de entrada por endereço IP de destino, selecione IPv4 ou IPv6 e insira um ou mais CIDRs usando o mesmo formato usado para intervalos IPv4 ou IPv6 de origem.

    11. Protocolos e portas: especifique os protocolos e as portas de destino para que o tráfego corresponda à regra. Para mais informações, consulte Protocolos e portas.

    12. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede global em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede global.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

    • apply_security_profile_group: envia os pacotes para um endpoint de firewall ou grupo de endpoints de intercepção.
      • Quando a ação for apply_security_profile_group, inclua --security-profile-group SECURITY_PROFILE_GROUP, em que SECURITY_PROFILE_GROUP é o nome de um grupo de perfis de segurança.
      • O perfil de segurança do grupo de perfis de segurança pode referenciar um endpoint de firewall do Cloud NGFW ou um grupo de endpoints de interceptação da Integração de Segurança de Rede para integração em banda.
      • Se o perfil de segurança do grupo de perfis de segurança fizer referência a um endpoint de firewall do Cloud NGFW, inclua --tls-inspect ou --no-tls-inspect para ativar ou desativar a inspeção de TLS.
  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir as flags --target-secure-tags e --target-service-accounts, o Cloud NGFW vai usar os destinos de instância mais amplos.
    • TARGET_SECURE_TAGS: uma lista separada por vírgulas de valores de tags seguras que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura.
    • TARGET_SERVICE_ACCOUNTS: uma lista separada por vírgulas de contas de serviço que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM que usam uma das contas de serviço.

  • LAYER_4_CONFIGS: uma lista separada por vírgulas de configurações da camada 4. Cada configuração da camada 4 pode ser uma das seguintes:

    • Um nome de protocolo IP (tcp) ou número de protocolo IP da IANA (6) sem qualquer porta de destino.
    • Um nome de protocolo IP e uma porta de destino separados por dois pontos (tcp:80).
    • Um nome de protocolo IP e um intervalo de portas de destino separados por dois-pontos, usando um traço para separar as portas de destino inicial e final (tcp:5000-6000).

    Para mais informações, consulte Protocolos e portas.

  • Especifique uma origem para a regra de entrada. Para mais informações, consulte Combinações de origem de regras de entrada:

    • SRC_NETWORK_CONTEXT: define um contexto de rede de origem a ser usado em conjunto com outro parâmetro de origem compatível para produzir uma combinação de origem. Os valores válidos quando --target-type=INSTANCES são: INTERNET, NON_INTERNET, VPC_NETWORKS ou INTRA_VPC. Para mais informações, consulte Contextos de rede.
    • SRC_VPC_NETWORKS: uma lista separada por vírgulas de redes VPC especificadas pelos identificadores de URL. Especifique essa flag somente quando --src-network-context for VPC_NETWORKS.
    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • SRC_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos. Os grupos de endereços na lista precisam conter todos os endereços IPv4 ou todos os endereços IPv6, não uma combinação de ambos.
    • SRC_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.
    • SRC_SECURE_TAGS: uma lista de tags separadas por vírgulas. Não é possível usar a flag --src-secure-tags se --src-network-context for INTERNET.
    • SRC_COUNTRY_CODES: uma lista separada por vírgulas de códigos de países com duas letras. Para mais informações, consulte Objetos de geolocalização. Não é possível usar a flag --src-region-codes se --src-network-context for NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
    • SRC_THREAT_LIST_NAMES: uma lista separada por vírgulas de nomes de listas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall. Não será possível usar a flag --src-threat-intelligence se --src-network-context for NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
  • Se quiser, especifique um destino para a regra de entrada:

    • DEST_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.

Criar uma regra de entrada para destinos do balanceador de carga interno

Para restringir o acesso a uma ou mais regras de encaminhamento do balanceador de carga de aplicativo interno ou do balanceador de carga de rede de proxy interno, crie pelo menos duas regras de entrada que usem balanceadores de carga internos como destinos. Como a ação implícita para destinos de balanceador de carga de aplicativo interno e de balanceador de carga de rede de proxy interno é permitir o tráfego de entrada, é necessário criar as seguintes regras para restringir o acesso:

  • Uma regra de firewall de entrada de negação de prioridade mais baixa com a flag --src-ip-ranges=0.0.0.0/0.
  • Uma regra de firewall de permissão de entrada de prioridade mais alta com os parâmetros de origem especificados.

Quando você cria uma regra de política de firewall de entrada que segmenta balanceadores de carga internos (--target-type=INTERNAL_MANAGED_LB), as seguintes restrições se aplicam:

  • É necessário omitir o parâmetro de destino da regra, porque a regra de encaminhamento do balanceador de carga define o endereço IP de destino.

  • Nas configurações da camada 4 da regra, especifique apenas o protocolo TCP (tcp ou número de protocolo IP da IANA 6). É preciso omitir as portas de destino porque a regra de encaminhamento do balanceador de carga define a porta de destino.

Nesta seção, descrevemos como criar uma regra de entrada para balanceadores de carga de aplicativo internos e destinos de balanceador de carga de rede de proxy interno.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede global.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede global em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Balanceadores de carga internos.

      Quando você seleciona essa opção, o Cloud NGFW usa balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy interno como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de balanceador de carga mais amplos.
      • Regra de encaminhamento: para selecionar a regra de encaminhamento, faça o seguinte:
        1. Clique em Selecionar projeto e escolha um projeto.
        2. Em Tipo de balanceador de carga, selecione o tipo de balanceador de carga.
        3. Em Balanceador de carga, selecione o balanceador de carga.
        4. Em Regra de encaminhamento, selecione a regra de encaminhamento.

    5. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.

    6. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    7. Contexto da rede de origem: especifique um contexto de rede:

      • Para pular a filtragem do tráfego de entrada por contexto de rede, selecione Todos os contextos de rede.
      • Para filtrar o tráfego de entrada para um contexto de rede específico, selecione Contexto de rede específico e, em seguida, selecione um contexto de rede:
      • Intra VPC: o tráfego de entrada precisa corresponder aos Critérios para o contexto de rede intra VPC.
      • Redes VPC: o tráfego de entrada precisa corresponder aos Critérios para o contexto de redes VPC. Selecione pelo menos uma rede VPC:
        • Selecionar projeto atual: permite adicionar uma ou mais rede VPC do projeto que contém a política de firewall.
        • Inserir rede manualmente: permite inserir manualmente um projeto e uma rede VPC.
        • Selecionar projeto: permite selecionar um projeto para escolher uma rede VPC.

    8. Filtros de origem: especifique outros parâmetros de origem. Alguns parâmetros de origem não podem ser usados juntos, e sua escolha de contexto de rede de origem limita quais parâmetros de origem você pode usar. Para mais informações, consulte Origens das regras de entrada e Combinações de origem das regras de entrada.

      • Para filtrar o tráfego de entrada por intervalos IPv4 de origem, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
      • Para filtrar o tráfego de entrada por intervalos IPv6 de origem, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer origem IPv6.
      • Para filtrar o tráfego de entrada por FQDN de origem, insira FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de entrada por grupo de endereços de origem, selecione um ou mais grupos no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.

    9. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede global em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede global.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir a flag --target-forwarding-rules, o Cloud NGFW vai usar os destinos de balanceador de carga mais amplos.
    • TARGET_FORWARDING_RULES: uma única regra de encaminhamento para um balanceador de carga de aplicativo interno ou um balanceador de carga de rede de proxy interno especificado no formato de regras de encaminhamento de destino. Esse parâmetro restringe os destinos mais amplos do balanceador de carga a um balanceador de carga de aplicativo interno ou de rede de proxy interno específico.
  • LAYER_4_CONFIGS: especifique tcp ou o número do protocolo IANA 6. As regras de firewall que segmentam balanceadores de carga internos (INTERNAL_MANAGED_LB) são compatíveis apenas com o protocolo TCP. Não especifique portas ou intervalos de portas de destino. A filtragem se aplica a todo o tráfego direcionado à regra de encaminhamento do balanceador de carga.
  • Especifique uma origem para a regra de entrada. Para mais informações, consulte Combinações de origem de regras de entrada:

    • SRC_NETWORK_CONTEXT: define um contexto de rede de origem a ser usado em conjunto com outro parâmetro de origem compatível para produzir uma combinação de origem. Os valores válidos quando --target-type=INTERNAL_MANAGED_LB são VPC_NETWORKS ou INTRA_VPC. Para mais informações, consulte Contextos de rede.
    • SRC_VPC_NETWORKS: uma lista separada por vírgulas de redes VPC especificadas pelos identificadores de URL. Especifique essa flag somente quando --src-network-context for VPC_NETWORKS.
    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • SRC_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos. Os grupos de endereços na lista precisam conter todos os endereços IPv4 ou todos os endereços IPv6, não uma combinação de ambos.
    • SRC_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.

Criar uma regra de entrada para aplicar um grupo de perfis de segurança a um balanceador de carga

Para aplicar serviços de inspeção da camada do aplicativo ao tráfego do balanceador de carga, crie uma regra com a ação apply_security_profile_group. Essa regra precisa segmentar uma regra de encaminhamento específica que pertença a um balanceador de carga de aplicativo interno entre regiões.

gcloud

Para criar uma regra de firewall que aplique a inspeção da camada do aplicativo a um balanceador de carga de aplicativo interno entre regiões específico, use o comando gcloud compute network-firewall-policies rules create:

gcloud compute network-firewall-policies rules create PRIORITY \
   --action=apply_security_profile_group \
   --security-profile-group=SECURITY_PROFILE_GROUP_NAME \
   --firewall-policy=NETWORK_FIREWALL_POLICY_NAME \
   --global-firewall-policy \
   --direction=INGRESS \
   --target-type=INTERNAL_MANAGED_LB \
   --target-forwarding-rules=CROSS_REGION_ALB_FORWARDING_RULE

Substitua:

  • PRIORITY: a prioridade exclusiva da regra.
  • SECURITY_PROFILE_GROUP_NAME: o URI completo ou parcial do recurso do grupo de perfis de segurança.
  • NETWORK_FIREWALL_POLICY_NAME: o nome da política de firewall de rede global.
  • CROSS_REGION_ALB_FORWARDING_RULE: o nome do recurso relativo da regra de encaminhamento no formato projects/ PROJECT_ID/global/forwardingRules/ FORWARDING_RULE_NAME`.

Criar uma regra de saída para destinos de VM

As instruções a seguir mostram como criar uma regra de saída. As regras de saída só se aplicam a destinos que são interfaces de rede de instâncias do Compute Engine.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede global.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede global em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Instâncias.

      Quando você seleciona essa opção, o Cloud NGFW usa instâncias de VM como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de instância mais amplos.
      • Contas de serviço: restringe os destinos de instância mais amplos às interfaces de rede das instâncias de VM que usam a conta de serviço especificada:

        • Na seção Escopo da conta de serviço, selecione Neste projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço no mesmo projeto da política de firewall de rede global.
        • Na seção Escopo da conta de serviço, selecione Em outro projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço em um projeto de serviço de VPC compartilhada.
      • Tags seguras: restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura que você especificar. Clique em Selecionar escopo para tags e selecione a organização ou o projeto que contém os valores de tag correspondentes. Para adicionar mais valores de tag, clique em Adicionar tag.

    5. Direção do tráfego: selecione Saída.

    6. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.
      • Aplicar grupo de perfis de segurança: envia os pacotes para um endpoint de firewall ou grupo de endpoints de interceptação com base na Finalidade selecionada.
        • Para enviar pacotes a um endpoint de firewall do Cloud NGFW, selecione Cloud NGFW Enterprise e, em seguida, selecione um Grupo de perfis de segurança. Para ativar a inspeção de TLS dos pacotes, selecione Ativar inspeção de TLS.
        • Para enviar pacotes a um grupo de endpoints de interceptação da Integração de Segurança de Rede para integração em banda, selecione NSI em banda e, em seguida, selecione um Grupo de perfis de segurança.

    7. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    8. Contexto da rede de destino: especifique um contexto de rede:

    9. Filtros de destino: especifique outros parâmetros de destino. Alguns parâmetros de destino não podem ser usados juntos, e sua escolha de contexto de rede de destino limita os filtros de destino que podem ser usados. Para mais informações, consulte Destinos para regras de saída e Combinações de destino de regras de saída.

      • Para filtrar o tráfego de saída por intervalos IPv4 de destino, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer destino IPv4.
      • Para filtrar o tráfego de saída por intervalos IPv6 de destino, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer destino IPv6.
      • Para filtrar o tráfego de saída por FQDN de destino, insira os FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de saída por geolocalização de destino, selecione um ou mais locais no campo Geolocalizações. Para mais informações, consulte Objetos de geolocalização.
      • Para filtrar o tráfego de saída por grupo de endereços de destino, selecione um ou mais grupos de endereços no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.
      • Para filtrar o tráfego de saída por listas de destino do Google Threat Intelligence, selecione uma ou mais listas do Google Threat Intelligence no campo Google Cloud Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.

    10. Origem: especifique parâmetros de origem opcionais. Para mais informações, consulte Origens das regras de saída.

      • Para pular a filtragem do tráfego de saída por endereço IP de origem, selecione Nenhum.
      • Para filtrar o tráfego de saída por endereço IP de origem, selecione IPv4 ou IPv6 e insira um ou mais CIDRs usando o mesmo formato usado para intervalos IPv4 ou IPv6 de destino.

    11. Protocolos e portas: especifique os protocolos e as portas de destino para que o tráfego corresponda à regra. Para mais informações, consulte Protocolos e portas.

    12. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede global em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede global.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

    • apply_security_profile_group: envia os pacotes para um endpoint de firewall ou grupo de endpoints de interceptação.
      • Quando a ação for apply_security_profile_group, inclua --security-profile-group SECURITY_PROFILE_GROUP, em que SECURITY_PROFILE_GROUP é o nome de um grupo de perfis de segurança.
      • O perfil de segurança do grupo de perfis de segurança pode referenciar um endpoint de firewall do Cloud NGFW ou um grupo de endpoints de interceptação da Integração de Segurança de Rede para integração em banda.
      • Se o perfil de segurança do grupo de perfis de segurança fizer referência a um endpoint de firewall do Cloud NGFW, inclua --tls-inspect ou --no-tls-inspect para ativar ou desativar a inspeção de TLS.
  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir as flags --target-secure-tags e --target-service-accounts, o Cloud NGFW vai usar os destinos de instância mais amplos.
    • TARGET_SECURE_TAGS: uma lista separada por vírgulas de valores de tags seguras que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura.
    • TARGET_SERVICE_ACCOUNTS: uma lista separada por vírgulas de contas de serviço que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM que usam uma das contas de serviço.

  • LAYER_4_CONFIGS: uma lista separada por vírgulas de configurações da camada 4. Cada configuração da camada 4 pode ser uma das seguintes:

    • Um nome de protocolo IP (tcp) ou número de protocolo IP da IANA (6) sem qualquer porta de destino.
    • Um nome de protocolo IP e uma porta de destino separados por dois pontos (tcp:80).
    • Um nome de protocolo IP e um intervalo de portas de destino separados por dois-pontos, usando um traço para separar as portas de destino inicial e final (tcp:5000-6000).

    Para mais informações, consulte Protocolos e portas.

  • Especifique um destino para a regra de saída. Para mais informações, consulte Combinações de destino de regras de saída:

    • DEST_NETWORK_CONTEXT: define um contexto de rede de destino a ser usado em conjunto com outro parâmetro de destino compatível para produzir uma combinação de destino. Os valores válidos são INTERNET e NON_INTERNET. Para mais informações, consulte Contextos de rede.
    • DEST_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • DEST_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos.
    • DEST_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.
    • DEST_COUNTRY_CODES: uma lista separada por vírgulas de códigos de países com duas letras. Para mais informações, consulte Objetos de geolocalização.
    • DEST_THREAT_LIST_NAMES: uma lista separada por vírgulas de nomes de listas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.
  • Se quiser, especifique uma origem para a regra de saída:

    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.

A seguir