Utilizzo di criteri e regole firewall di rete regionali

Questa pagina presuppone che tu abbia familiarità con i concetti descritti nella Panoramica delle policy firewall di rete regionali.

Attività relative alle policy del firewall

Questa sezione descrive come creare, associare e gestire le policy del firewall di rete regionali.

Crea una policy firewall di rete regionale

Quando crei una policy firewall di rete regionale utilizzando la console Google Cloud , puoi associare la policy a una regione e a una rete Virtual Private Cloud (VPC) durante la creazione. Se crei la policy utilizzando Google Cloud CLI, devi associarla a una regione e a una rete dopo averla creata.

La rete VPC a cui è associata la policy firewall di rete a livello di regione deve trovarsi nello stesso progetto della policy firewall di rete a livello di regione.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto all'interno della tua organizzazione.

  3. Fai clic su Crea criterio firewall.

  4. Nel campo Nome policy, inserisci un nome per la policy.

  5. In Ambito di deployment, seleziona A livello di regione. Seleziona la regione in cui vuoi creare questa policy di firewall.

  6. Per creare regole per la tua policy, fai clic su Continua.

  7. Nella sezione Aggiungi regole, fai clic su Crea regola firewall.

    Per saperne di più, vedi Creare una regola.

  8. Se vuoi associare il criterio a una rete, fai clic su Continua.

  9. Nella sezione Associa policy alle reti, fai clic su Associa.

    Per saperne di più, consulta Associare una policy a una rete.

  10. Fai clic su Crea.

gcloud 

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Sostituisci quanto segue:

  • NETWORK_FIREWALL_POLICY_NAME: un nome per la policy
  • DESCRIPTION: una descrizione della policy
  • REGION_NAME: la regione della policy

Associa un criterio a una rete

Puoi associare una policy firewall di rete regionale a una regione di una rete VPC e applicare le regole della policy a quella regione di rete.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la tua policy.

  3. Fai clic sulla policy.

  4. Fai clic sulla scheda Associazioni.

  5. Fai clic su Aggiungi associazione.

  6. Seleziona le reti all'interno del progetto.

  7. Fai clic su Associa.

gcloud 

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME \
    --firewall-policy-region=REGION_NAME

Sostituisci quanto segue:

  • POLICY_NAME: il nome breve o il nome generato dal sistema della policy.
  • NETWORK_NAME: il nome della rete associata.
  • ASSOCIATION_NAME: un nome facoltativo per l'associazione. Se non specificato, il nome è impostato su network-NETWORK_NAME.
  • REGION_NAME: la regione della policy.

Eliminare un'associazione

Per interrompere l'applicazione di un criterio firewall su una rete, elimina l'associazione.

Tuttavia, se intendi sostituire un criterio firewall con un altro, non devi prima eliminare l'associazione esistente. L'eliminazione di questa associazione lascia un periodo di tempo in cui nessuna policy viene applicata. Sostituisci invece la policy esistente quando associ una nuova policy.

Per eliminare un'associazione tra una policy del firewall di rete regionale e una regione di una rete VPC, segui i passaggi descritti in questa sezione. Le regole nella policy firewall di rete regionale non si applicano alle nuove connessioni dopo l'eliminazione dell'associazione.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il tuo progetto o la cartella che contiene la policy.

  3. Fai clic sulla policy.

  4. Fai clic sulla scheda Associazioni.

  5. Seleziona l'associazione che vuoi eliminare.

  6. Fai clic su Rimuovi associazione.

gcloud 

gcloud compute network-firewall-policies associations delete \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region REGION_NAME

Descrivi un criterio firewall di rete a livello di regione

Puoi visualizzare i dettagli di una policy firewall di rete regionale, incluse le regole della policy e gli attributi delle regole associati. Tutti questi attributi delle regole vengono conteggiati come parte della quota degli attributi delle regole. Per ulteriori informazioni, consulta "Attributi delle regole per policy del firewall di rete regionale" nella tabella Per policy del firewall. Inoltre, puoi visualizzare le priorità delle associazioni di reti VPC esistenti.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy firewall di rete a livello di regione.

  3. Fai clic sulla policy.

gcloud 

gcloud compute network-firewall-policies describe POLICY_NAME \
    --region=REGION_NAME

Aggiorna la descrizione di un criterio firewall di rete a livello di regione

L'unico campo dei criteri che può essere aggiornato è Descrizione.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy firewall di rete a livello di regione.

  3. Fai clic sulla policy.

  4. Fai clic su Modifica.

  5. Nel campo Descrizione, modifica la descrizione.

  6. Fai clic su Salva.

gcloud 

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Elenca i criteri firewall di rete regionali

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

    La sezione Criteri firewall di rete mostra i criteri disponibili nel tuo progetto.

gcloud 

gcloud compute network-firewall-policies list \
    --regions=LIST_OF_REGIONS

Elimina un criterio firewall di rete a livello di regione

Prima di poter eliminare una policy firewall di rete regionale, devi eliminare tutte le relative associazioni.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

  3. Fai clic sulla policy che vuoi eliminare.

  4. Fai clic sulla scheda Associazioni.

  5. Seleziona tutte le associazioni.

  6. Fai clic su Rimuovi associazione.

  7. Dopo aver rimosso tutte le associazioni, fai clic su Elimina.

gcloud

Utilizza il seguente comando per eliminare la policy:

gcloud compute network-firewall-policies delete POLICY_NAME \
    --region=REGION_NAME

Attività delle regole dei criteri firewall

Questa sezione descrive come creare e gestire le regole delle policy del firewall di rete regionali.

Crea una regola

Ogni regola in un criterio firewall di rete regionale è una regola in entrata o in uscita con una priorità univoca. Per informazioni dettagliate sugli altri parametri di una regola, incluse le combinazioni di origine e destinazione valide, consulta Regole delle policy firewall.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene la tua policy.

  3. Fai clic sul nome della norma regionale.

  4. Per Regole firewall, fai clic su Crea regola firewall.

  5. Compila i campi della regola:

    1. Priorità: l'ordine di valutazione numerico della regola. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
    2. Imposta la raccolta Log su On o Off.
    3. Per Direzione del traffico, scegli in entrata o in uscita.
    4. In Azione in caso di corrispondenza, specifica se le connessioni che corrispondono alla regola sono consentite (Consenti), negate (Nega) o se la valutazione della connessione viene passata alla regola firewall di livello inferiore successiva nella gerarchia (Vai a successivo).

    5. Specifica il target della regola.

      • Se vuoi che la regola venga applicata a tutte le istanze della rete, scegli Applica a tutti.
      • Se vuoi che la regola venga applicata a istanze selezionate da un account di servizio associato, scegli Service account, indica se il account di servizio si trova nel progetto corrente o in un altro in Ambito service account e scegli o digita il nome del service account nel campo Service account di destinazione.

      • Se vuoi che la regola venga applicata a istanze selezionate in base a tag sicuri, scegli Tag sicuri.

        • Fai clic su Seleziona ambito per i tag e seleziona l'organizzazione o il progetto in cui vuoi creare coppie chiave-valore dei tag sicuri. Inserisci le coppie chiave-valore a cui applicare la regola.
        • Per aggiungere altre coppie chiave-valore, fai clic su Aggiungi tag.

    6. Per una regola in entrata, specifica il tipo di rete di origine:

      • Per filtrare il traffico in entrata appartenente a qualsiasi tipo di rete, seleziona Tutti i tipi di rete.
      • Per filtrare il traffico in entrata appartenente a un tipo di rete specifico, seleziona Tipo di rete specifico.
        • Per filtrare il traffico in entrata appartenente al tipo di rete internet (INTERNET), seleziona Internet.
        • Per filtrare il traffico in entrata appartenente al tipo di rete non internet (NON-INTERNET), seleziona Non internet.
        • Per filtrare il traffico in entrata appartenente al tipo di rete VPC interno (INTRA_VPC), seleziona VPC interno.
        • Per filtrare il traffico in entrata appartenente al tipo di reti VPC (VPC_NETWORKS), seleziona Reti VPC e poi specifica una o più reti utilizzando il seguente pulsante:
          • Seleziona progetto corrente: consente di aggiungere una o più reti dal progetto corrente.
          • Inserisci manualmente la rete: ti consente di inserire manualmente un progetto e una rete.
          • Seleziona progetto: ti consente di scegliere un progetto da cui puoi scegliere una rete. Per saperne di più sui tipi di rete, vedi Tipi di rete.

    7. Per una regola di uscita, specifica il tipo di rete di destinazione:

      • Per filtrare il traffico in uscita appartenente a qualsiasi tipo di rete, seleziona Tutti i tipi di rete.
      • Per filtrare il traffico in uscita appartenente a un tipo di rete specifico, seleziona Tipo di rete specifico.
        • Per filtrare il traffico in uscita appartenente al tipo di rete internet (INTERNET), seleziona Internet.
        • Per filtrare il traffico in uscita appartenente al tipo di rete non internet (NON-INTERNET), seleziona Non internet. Per saperne di più sui tipi di rete, vedi Tipi di rete.

    8. Per una regola Ingress, specifica il Filtro di origine:

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi origine IPv6.

      • Per limitare l'origine in base ai tag sicuri, fai clic su Seleziona ambito per i tag nella sezione Tag sicuri.

        • Seleziona l'organizzazione o il progetto in cui vuoi creare i tag. Inserisci le coppie chiave-valore a cui deve essere applicata la regola.
        • Per aggiungere altre coppie chiave-valore, fai clic su Aggiungi tag.

    9. Per una regola in uscita, specifica il filtro di destinazione:

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi destinazione IPv6.

    10. (Facoltativo) Se stai creando una regola Ingress, specifica i FQDN di origine a cui si applica questa regola. Se stai creando una regola in uscita, seleziona i FQDN di destinazione a cui si applica questa regola. Per saperne di più sugli oggetti nome di dominio, vedi Oggetti nome di dominio.

    11. (Facoltativo) Se stai creando una regola in entrata, seleziona le geolocalizzazioni di origine a cui si applica questa regola. Se stai creando una regola in uscita, seleziona le geolocalizzazioni di destinazione a cui si applica questa regola. Per ulteriori informazioni sugli oggetti di geolocalizzazione, consulta la sezione Oggetti di geolocalizzazione.

    12. (Facoltativo) Se stai creando una regola Ingress, seleziona i gruppi di indirizzi di origine a cui si applica questa regola. Se stai creando una regola Egress, seleziona i gruppi di indirizzi di destinazione a cui si applica questa regola. Per saperne di più sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri firewall.

    13. (Facoltativo) Se stai creando una regola Ingress, seleziona gli elenchi di origini Google Cloud Threat Intelligence a cui si applica questa regola. Se stai creando una regola Egress, seleziona gli elenchi di destinazione Google Cloud Threat Intelligence a cui si applica questa regola. Per saperne di più su Google Threat Intelligence, consulta Google Threat Intelligence per le regole dei criteri firewall.

    14. (Facoltativo) Per una regola Ingress, specifica i filtri Destinazione:

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di destinazione, seleziona IPv4 e inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di destinazione, seleziona Intervalli IPv6 e inserisci i blocchi CIDR nel campo Intervalli IPv6 di destinazione. Utilizza ::/0 per qualsiasi destinazione IPv6. Per saperne di più, consulta Destinazione per le regole in entrata.

    15. (Facoltativo) Per una regola In uscita, specifica il filtro Origine:

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi origine IPv6. Per saperne di più, consulta Origine delle regole in uscita.

    16. Per Protocolli e porte, specifica se la regola si applica a tutti i protocolli e a tutte le porte di destinazione oppure specifica a quali protocolli e porte di destinazione si applica.

    17. Fai clic su Crea.

  6. Fai clic su Crea regola firewall per aggiungere un'altra regola.

gcloud

Per creare una regola in entrata, utilizza il seguente comando:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction INGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--src-address-groups SRC_ADDRESS_GROUPS] \
    [--src-fqdns SRC_DOMAIN_NAMES] \
    [--src-secure-tags SRC_SECURE_TAGS] \
    [--src-region-codes SRC_COUNTRY_CODES] \
    [--src-threat-intelligence SRC_THREAT_LIST_NAMES] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK] \
    [--dest-ip-ranges DEST_IP_RANGES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall di rete regionale che contiene la nuova regola.
  • POLICY_REGION: la regione della policy che contiene la nuova regola.
  • DESCRIPTION: una descrizione facoltativa della nuova regola
  • ACTION: specifica una delle seguenti azioni:
  • I parametri --enable-logging e --no-enable-logging attivano o disattivano il logging delle regole firewall.
  • I parametri --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:
    • TARGET_SECURE_TAGS: un elenco separato da virgole di tag sicuri.
    • TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account.
    • Se ometti entrambi i parametri --target-secure-tags e --target-service-accounts, la regola viene applicata al target più ampio.
  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:
    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati dai due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
  • Specifica un'origine per la regola di ingresso:
    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti gli indirizzi IPv4 o tutti gli indirizzi IPv6, non una combinazione di entrambi.
    • SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • SRC_SECURE_TAGS: un elenco separato da virgole di tag. Non puoi utilizzare il parametro --src-secure-tags se --src-network-type è INTERNET.
    • SRC_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione. Non puoi utilizzare il parametro --src-region-codes se --src-network-type è NON_INTERNET, VPC_NETWORK o INTRA_VPC.
    • SRC_THREAT_LIST_NAMES: un elenco separato da virgole dei nomi degli elenchi di Google Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole delle norme firewall. Non puoi utilizzare il parametro --src-threat-intelligence se --src-network-type è NON_INTERNET, VPC_NETWORK o INTRA_VPC.
    • SRC_NETWORK_TYPE: definisce i tipi di rete di origine da utilizzare insieme a un altro parametro di destinazione supportato per produrre una combinazione di destinazione specifica. I valori validi sono INTERNET, NON_INTERNET, VPC_NETWORK o INTRA_VPC. Per saperne di più, consulta Tipi di rete.
    • SRC_VPC_NETWORK: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo parametro solo quando --src-network-type è VPC_NETWORKS.
  • (Facoltativo) Specifica una destinazione per la regola di ingresso:
    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.

Per creare una regola in uscita, utilizza il seguente comando:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction EGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--dest-ip-ranges DEST_IP_RANGES] \
    [--dest-address-groups DEST_ADDRESS_GROUPS] \
    [--dest-fqdns DEST_DOMAIN_NAMES] \
    [--dest-region-codes DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence DEST_THREAT_LIST_NAMES] \
    [--dest-network-type DEST_NETWORK_TYPE]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall di rete regionale che contiene la nuova regola.
  • POLICY_REGION: la regione della policy che contiene la nuova regola.
  • DESCRIPTION: una descrizione facoltativa della nuova regola
  • ACTION: specifica una delle seguenti azioni:
  • I parametri --enable-logging e --no-enable-logging attivano o disattivano il logging delle regole firewall.
  • I parametri --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:
    • TARGET_SECURE_TAGS: un elenco separato da virgole di tag sicuri.
    • TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account.
    • Se ometti entrambi i parametri --target-secure-tags e --target-service-accounts, la regola viene applicata al target più ampio.
  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:
    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati dai due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
  • (Facoltativo) Specifica un'origine per la regola di uscita:
    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Tutti gli intervalli nell'elenco devono essere CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
  • Specifica una destinazione per la regola di uscita:
    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • DEST_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci.
    • DEST_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • DEST_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, vedi Oggetti di geolocalizzazione.
    • DEST_THREAT_LIST_NAMES: un elenco separato da virgole dei nomi degli elenchi di Google Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole dei criteri firewall.
    • DEST_NETWORK_TYPE: definisce i tipi di rete di destinazione da utilizzare in combinazione con un altro parametro di destinazione supportato per produrre una combinazione di destinazioni specifica. I valori validi sono INTERNET e NON_INTERNET. Per saperne di più, consulta Tipi di rete.

Aggiornare una regola

Per le descrizioni dei flag, vedi Creare una regola.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

  3. Fai clic sulla policy.

  4. Fai clic sulla priorità della regola.

  5. Fai clic su Modifica.

  6. Modifica i flag che vuoi cambiare.

  7. Fai clic su Salva.

gcloud 

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME \
    [...flags you want to modify...]

Descrivere una regola

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

  3. Fai clic sulla policy.

  4. Fai clic sulla priorità della regola.

gcloud 

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Sostituisci quanto segue:

  • PRIORITY: il numero di priorità che identifica in modo univoco la regola
  • POLICY_NAME: il nome della policy che contiene la regola
  • REGION_NAME: la regione della policy che contiene la regola

Eliminare una regola

L'eliminazione di una regola da un criterio fa sì che la regola non venga più applicata alle nuove connessioni da o verso la destinazione della regola.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

  3. Fai clic sulla policy.

  4. Seleziona la regola che vuoi eliminare.

  5. Fai clic su Elimina.

gcloud 

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Sostituisci quanto segue:

  • PRIORITY: il numero di priorità che identifica in modo univoco la regola
  • POLICY_NAME: la policy che contiene la regola
  • REGION_NAME: la regione della policy che contiene la regola

Clonare le regole da un criterio a un altro

La clonazione copia le regole da un criterio di origine a un criterio di destinazione, sostituendo tutte le regole esistenti nel criterio di destinazione.

Console

  1. Nella console Google Cloud , vai alla pagina Policy firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona il progetto che contiene il criterio.

  3. Fai clic sulla norma da cui vuoi copiare le regole.

  4. Fai clic su Clona nella parte superiore dello schermo.

  5. Fornisci il nome di una norma di destinazione.

  6. Se vuoi associare immediatamente la nuova norma, fai clic su Continua > Associa.

  7. Nella pagina Associa policy a reti VPC, seleziona le reti e fai clic su Associa.

  8. Fai clic su Continua.

  9. Fai clic su Clona.

gcloud 

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --region=TARGET_POLICY_REGION \
    --source-firewall-policy SOURCE_POLICY

Sostituisci quanto segue:

  • TARGET_POLICY: il nome della policy di destinazione
  • TARGET_POLICY_REGION: la regione della policy di destinazione
  • SOURCE_POLICY: l'URL della policy di origine

Recupera le regole firewall effettive per una regione di una rete

Puoi visualizzare tutte le regole dei criteri firewall gerarchici, le regole firewall VPC, le regole dei criteri firewall di rete globali e le regole dei criteri firewall di rete regionali che si applicano a una regione specifica di una rete VPC.

gcloud 

gcloud compute network-firewall-policies get-effective-firewalls \
    --region=REGION_NAME \
    --network=NETWORK_NAME

Sostituisci quanto segue:

  • REGION_NAME: la regione per la quale vuoi visualizzare le regole effettive.
  • NETWORK_NAME: la rete per cui vuoi visualizzare le regole effettive.