Regionale Netzwerk-Firewallrichtlinien und -regeln verwenden

Auf dieser Seite wird davon ausgegangen, dass Sie mit den Konzepten vertraut sind, die im Überblick über regionale Netzwerk-Firewallrichtlinien beschrieben werden.

Aufgaben im Zusammenhang mit Firewallrichtlinien

In diesem Abschnitt wird beschrieben, wie Sie regionale Netzwerk-Firewallrichtlinien erstellen, zuordnen und verwalten.

Regionale Netzwerk-Firewallrichtlinie erstellen

Wenn Sie eine regionale Netzwerk-Firewallrichtlinie über die Google Cloud Konsole erstellen, können Sie die Richtlinie während der Erstellung einer Region und einem VPC-Netzwerk (Virtual Private Cloud) zuordnen. Wenn Sie die Richtlinie mit der Google Cloud CLI erstellen, müssen Sie sie nach dem Erstellen einer Region und einem Netzwerk zuordnen.

Das VPC-Netzwerk, dem die regionale Netzwerk-Firewallrichtlinie zugeordnet ist, muss sich im selben Projekt wie die regionale Netzwerk-Firewallrichtlinie befinden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ Ihr Projekt in Ihrer Organisation aus.

  3. Klicken Sie auf Firewallrichtlinie erstellen.

  4. Geben Sie im Feld Richtlinienname einen Richtliniennamen ein.

  5. Wählen Sie unter Bereitstellungsbereich die Option Regional aus. Wählen Sie die Region aus, in der Sie diese Firewallrichtlinie erstellen möchten.

  6. Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Weiter.

  7. Klicken Sie im Bereich Regeln hinzufügen auf Firewallregel erstellen.

    Weitere Informationen finden Sie unter Regel erstellen.

  8. Wenn Sie die Richtlinie mit einem Netzwerk verknüpfen möchten, klicken Sie auf Weiter.

  9. Klicken Sie im Abschnitt Richtlinie mit Netzwerken verknüpfen auf Verknüpfen.

    Weitere Informationen finden Sie unter Richtlinie mit einem Netzwerk verknüpfen.

  10. Klicken Sie auf Erstellen.

gcloud 

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Ersetzen Sie Folgendes:

  • NETWORK_FIREWALL_POLICY_NAME: ein Name für die Richtlinie
  • DESCRIPTION: eine Beschreibung der Richtlinie
  • REGION_NAME: die Region für die Richtlinie

Richtlinie mit einem Netzwerk verknüpfen

Sie können eine regionale Netzwerk-Firewallrichtlinie mit einer Region eines VPC-Netzwerk verknüpfen und die Regeln in der Richtlinie auf diese Netzwerkregion anwenden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das Ihre Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Klicken Sie auf Verknüpfung hinzufügen.

  6. Wählen Sie die Netzwerke im Projekt aus.

  7. Klicken Sie auf Verknüpfen.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME \
    --firewall-policy-region=REGION_NAME

Ersetzen Sie Folgendes:

  • POLICY_NAME: der Kurzname oder der vom System generierte Name der Richtlinie.
  • NETWORK_NAME: Der Name des zugehörigen Netzwerks.
  • ASSOCIATION_NAME: ein optionaler Name für die Verknüpfung. Wenn nicht angegeben, wird der Name auf network-NETWORK_NAME festgelegt.
  • REGION_NAME: die Region für die Richtlinie.

Verknüpfung löschen

Wenn eine Firewallrichtlinie in einem Netzwerk nicht mehr erzwungen werden soll, löschen Sie die Verknüpfung.

Wenn Sie jedoch eine Firewallrichtlinie durch eine andere ersetzen möchten, müssen Sie die vorhandene Verknüpfung nicht zuerst löschen. Wenn Sie diese Verknüpfung löschen, verbleibt ein Zeitraum, in dem keine der Richtlinien erzwungen wird. Ersetzen Sie daher die vorhandene Richtlinie, wenn Sie eine neue Richtlinie verknüpfen möchten.

Wenn Sie eine Verknüpfung zwischen einer regionalen Netzwerk-Firewallrichtlinie und einer Region eines VPC-Netzwerk löschen möchten, folgen Sie der Anleitung in diesem Abschnitt. Regeln in der regionalen Netzwerk-Firewallrichtlinie gelten nicht für neue Verbindungen, nachdem die zugehörige Verknüpfung gelöscht wurde.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl das Projekt oder den Ordner aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie die Verknüpfung aus, die Sie löschen möchten.

  6. Klicken Sie auf Verknüpfung entfernen.

gcloud 

gcloud compute network-firewall-policies associations delete \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region REGION_NAME

Regionale Netzwerk-Firewallrichtlinie beschreiben

Sie können Details zu einer regionalen Netzwerk-Firewallrichtlinie ansehen, einschließlich der Richtlinienregeln und zugehörigen Regelattribute. Alle diese Regelattribute werden auf das Kontingent für Regelattribute angerechnet. Weitere Informationen finden Sie in der Tabelle Pro Firewallrichtlinie unter „Regelattribute pro regionaler Netzwerk-Firewallrichtlinie“. Außerdem können Sie die Prioritäten der vorhandenen VPC-Netzwerkzuordnungen ansehen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die regionale Netzwerk-Firewallrichtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

gcloud 

gcloud compute network-firewall-policies describe POLICY_NAME \
    --region=REGION_NAME

Beschreibung einer regionalen Netzwerk-Firewallrichtlinie aktualisieren

Das einzige Richtlinienfeld, das aktualisiert werden kann, ist das Feld Beschreibung.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die regionale Netzwerk-Firewallrichtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf Bearbeiten.

  5. Ändern Sie die Beschreibung im Feld Beschreibung.

  6. Klicken Sie auf Speichern.

gcloud 

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Regionale Netzwerk-Firewallrichtlinien auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

    Im Abschnitt Netzwerk-Firewallrichtlinien werden die in Ihrem Projekt verfügbaren Richtlinien angezeigt.

gcloud 

gcloud compute network-firewall-policies list \
    --regions=LIST_OF_REGIONS

Regionale Netzwerk-Firewallrichtlinie löschen

Bevor Sie eine regionale Netzwerk-Firewallrichtlinie löschen können, müssen Sie alle zugehörigen Verknüpfungen löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie, die Sie löschen möchten.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie alle Verknüpfungen aus.

  6. Klicken Sie auf Verknüpfung entfernen.

  7. Nachdem Sie alle Verknüpfungen entfernt haben, klicken Sie auf Löschen.

gcloud

Verwenden Sie den folgenden Befehl, um die Richtlinie zu löschen:

gcloud compute network-firewall-policies delete POLICY_NAME \
    --region=REGION_NAME

Aufgaben im Zusammenhang mit Firewallregeln

In diesem Abschnitt wird beschrieben, wie Sie Regeln für regionale Netzwerk-Firewallrichtlinien erstellen und verwalten.

Regel erstellen

Jede Regel in einer regionalen Netzwerk-Firewallrichtlinie ist entweder eine Regel für eingehenden oder ausgehenden Traffic mit einer eindeutigen Priorität. Weitere Informationen zu den anderen Parametern einer Regel, einschließlich gültiger Quell- und Zielkombinationen, finden Sie unter Firewallrichtlinien-Regeln.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das Ihre Richtlinie enthält.

  3. Klicken Sie auf den Namen Ihrer regionalen Richtlinie.

  4. Klicken Sie unter Firewallregeln auf Firewallregel erstellen.

  5. Füllen Sie die Regelfelder aus:

    1. Priorität: die numerische Auswertungsreihenfolge der Regel. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte der Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
    2. Schalten Sie die Erfassung der Logs Ein oder Aus.
    3. Wählen Sie unter Trafficrichtung die Option „Eingehend“ oder „Ausgehend“.
    4. Geben Sie bei Aktion bei Übereinstimmung an, ob Verbindungen, die der Regel entsprechen, zugelassen oder abgelehnt werden sollen oder ob die Auswertung der Verbindung an die nächste untergeordnete Firewallregel in der Hierarchie weitergeleitet werden soll.

    5. Geben Sie das Ziel der Regel an.

      • Wenn die Regel für alle Instanzen im Netzwerk gelten soll, wählen Sie Auf alle anwenden aus.
      • Wenn Sie die Regel auf bestimmte Instanzen nach verknüpftem Dienstkonto anwenden möchten, wählen Sie Dienstkonten aus und geben Sie unter Bereich des Dienstkontos an, ob das Dienstkonto im aktuellen Projekt oder in einem anderen Projekt enthalten ist. Wählen Sie im Feld Zieldienstkonto den Namen des Dienstkontos aus oder geben Sie ihn ein.

      • Wenn Sie die Regel auf bestimmte Instanzen anhand von sicheren Tags anwenden möchten, wählen Sie Sichere Tags aus.

        • Klicken Sie auf Bereich für Tags auswählen und wählen Sie die Organisation oder das Projekt aus, in dem Sie Schlüssel/Wert-Paare für sichere Tags erstellen möchten. Geben Sie die Schlüssel/Wert-Paare ein, auf die die Regel angewendet werden soll.
        • Wenn Sie weitere Schlüssel/Wert-Paare hinzufügen möchten, klicken Sie auf Tag hinzufügen.

    6. Geben Sie für Eingangsregeln den Quellnetzwerktyp an:

      • Wenn Sie eingehenden Traffic filtern möchten, der zu einem beliebigen Netzwerktyp gehört, wählen Sie Alle Netzwerktypen aus.
      • Wenn Sie eingehenden Traffic nach einem bestimmten Netzwerktyp filtern möchten, wählen Sie Bestimmter Netzwerktyp aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „Internet“ (INTERNET) gehört, wählen Sie Internet aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „Nicht-Internet“ (NON-INTERNET) gehört, wählen Sie Nicht-Internet aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „VPC-intern“ (INTRA_VPC) gehört, wählen Sie VPC-intern aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zu VPC-Netzwerken (VPC_NETWORKS) gehört, wählen Sie VPC-Netzwerke aus und geben Sie dann ein oder mehrere Netzwerke mit der folgenden Schaltfläche an:
          • Aktuelles Projekt auswählen: Damit können Sie ein oder mehrere Netzwerke aus dem aktuellen Projekt hinzufügen.
          • Netzwerk manuell eingeben: Hier können Sie ein Projekt und ein Netzwerk manuell eingeben.
          • Projekt auswählen: Hier können Sie ein Projekt auswählen, aus dem Sie ein Netzwerk auswählen können. Weitere Informationen zu den Netzwerktypen finden Sie unter Netzwerktypen.

    7. Geben Sie für eine Ausgangsregel den Zielnetzwerktyp an:

      • Wenn Sie ausgehenden Traffic filtern möchten, der zu einem beliebigen Netzwerktyp gehört, wählen Sie Alle Netzwerktypen aus.
      • Wenn Sie ausgehenden Traffic filtern möchten, der zu einem bestimmten Netzwerktyp gehört, wählen Sie Bestimmter Netzwerktyp aus.
        • Wenn Sie ausgehenden Traffic des Netzwerktyps INTERNET herausfiltern möchten, wählen Sie Internet aus.
        • Wenn Sie ausgehenden Traffic filtern möchten, der zum Netzwerktyp „Nicht-Internet“ (NON-INTERNET) gehört, wählen Sie Nicht-Internet aus. Weitere Informationen zu den Netzwerktypen finden Sie unter Netzwerktypen.

    8. Geben Sie den Quellfilter für eine Regel für eingehenden Traffic an:

      • Wenn Sie eingehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie eingehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jede IPv6-Quelle.

      • Klicken Sie im Abschnitt Sichere Tags auf Bereich für Tags auswählen, um die Quelle durch sichere Tags zu beschränken.

        • Wählen Sie die Organisation oder das Projekt aus, in dem Sie Tags erstellen möchten. Geben Sie die Schlüssel/Wert-Paare ein, auf die die Regel angewendet werden soll.
        • Wenn Sie weitere Schlüssel/Wert-Paare hinzufügen möchten, klicken Sie auf Tag hinzufügen.

    9. Geben Sie den Zielfilter für eine Regel für ausgehenden Traffic an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie ausgehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel.

    10. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, geben Sie die Quell-FQDNs an, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Ziel-FQDNs aus, für die diese Regel gelten soll. Weitere Informationen zu Domainnamenobjekten finden Sie unter Domainnamenobjekte.

    11. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quell-Standorte aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Ziel-Standorte aus, für die diese Regel gelten soll. Weitere Informationen zu Standortbestimmungs-Objekten finden Sie unter Standortbestimmungs-Objekte.

    12. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quell-Adressgruppen aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Quell-Adressgruppen aus, für die diese Regel gelten soll. Weitere Informationen zu Adressgruppen finden Sie unter Adressgruppen für Firewallrichtlinien.

    13. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Quelllisten aus, für die diese Regel gilt. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Ziellisten aus, für die diese Regel gilt. Weitere Informationen zu Google Threat Intelligence finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.

    14. Optional: Geben Sie für eine Regel für eingehenden Traffic die Zielfilter an:

      • Wenn Sie eingehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie eingehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6-Bereiche aus und geben Sie die CIDR-Blöcke in das Feld IPv6-Zielbereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel. Weitere Informationen finden Sie unter Ziel für Regeln für eingehenden Traffic.

    15. Optional: Geben Sie für eine Regel für ausgehenden Traffic den Quellfilter an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie ausgehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jede IPv6-Quelle. Weitere Informationen finden Sie unter Quelle für Regeln für ausgehenden Traffic.

    16. Geben Sie für Protokolle und Ports entweder an, dass die Regel für alle Protokolle und Zielports gilt, oder legen Sie fest, für welche Protokolle und Zielports sie gilt.

    17. Klicken Sie auf Erstellen.

  6. Klicken Sie auf Firewallregel erstellen, um eine weitere Regel hinzuzufügen.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel für eingehenden Traffic zu erstellen:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction INGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--src-address-groups SRC_ADDRESS_GROUPS] \
    [--src-fqdns SRC_DOMAIN_NAMES] \
    [--src-secure-tags SRC_SECURE_TAGS] \
    [--src-region-codes SRC_COUNTRY_CODES] \
    [--src-threat-intelligence SRC_THREAT_LIST_NAMES] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK] \
    [--dest-ip-ranges DEST_IP_RANGES]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte von Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der regionalen Richtlinie für Netzwerkfirewalls, die die neue Regel enthält.
  • POLICY_REGION: die Region der Richtlinie, die die neue Regel enthält.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel
  • ACTION: Geben Sie eine der folgenden Aktionen an:
    • allow: Ermöglicht die Verbindungen, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • goto_next: Fährt mit dem nächsten Schritt des Firewallregel-Auswertungsprozesses fort.
  • Mit den Parametern --enable-logging und --no-enable-logging wird das Logging von Firewallregeln aktiviert oder deaktiviert.
  • Mit den Parametern --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste sicherer Tags.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten.
    • Wenn Sie sowohl den Parameter --target-secure-tags als auch den Parameter --target-service-accounts weglassen, wird die Regel auf das breiteste Ziel angewendet.
  • LAYER_4_CONFIGS: Eine durch Kommas getrennte Liste von Layer 4-Konfigurationen. Jede Layer 4-Konfiguration kann eine der folgenden sein:
    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (17) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind. Der Start- und Endport des Zielports werden durch einen Bindestrich getrennt (tcp:5000-6000). Weitere Informationen finden Sie unter Protokolle und Ports.
  • Geben Sie eine Quelle für die Eingangsregel an:
    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, nicht eine Kombination aus beidem.
    • SRC_ADDRESS_GROUPS: Eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden. Adressgruppen in der Liste müssen entweder alle IPv4-Adressen oder alle IPv6-Adressen enthalten, nicht eine Kombination aus beidem.
    • SRC_DOMAIN_NAMES: Eine durch Kommas getrennte Liste von FQDN-Objekten im Domainnamenformat.
    • SRC_SECURE_TAGS: eine durch Kommas getrennte Liste von Tags. Sie können den Parameter --src-secure-tags nicht verwenden, wenn --src-network-typeINTERNET ist.
    • SRC_COUNTRY_CODES: Eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes. Weitere Informationen finden Sie unter Standortobjekte. Der Parameter --src-region-codes kann nicht verwendet werden, wenn --src-network-type gleich NON_INTERNET, VPC_NETWORK oder INTRA_VPC ist.
    • SRC_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln. Sie können den Parameter --src-threat-intelligence nicht verwenden, wenn --src-network-type NON_INTERNET, VPC_NETWORK oder INTRA_VPC ist.
    • SRC_NETWORK_TYPE: Definiert Quellnetzwerktypen, die in Verbindung mit einem anderen unterstützten Zielparameter verwendet werden, um eine bestimmte Zielkombination zu erstellen. Gültige Werte sind INTERNET, NON_INTERNET, VPC_NETWORK oder INTRA_VPC. Weitere Informationen finden Sie unter Netzwerktypen.
    • SRC_VPC_NETWORK: Eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre URL-IDs angegeben werden. Geben Sie diesen Parameter nur an, wenn --src-network-type VPC_NETWORKS ist.
  • Optional können Sie ein Ziel für die Eingangsregel angeben:
    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, aber keine Kombination aus beidem.

Verwenden Sie den folgenden Befehl, um eine Egress-Regel zu erstellen:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction EGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--dest-ip-ranges DEST_IP_RANGES] \
    [--dest-address-groups DEST_ADDRESS_GROUPS] \
    [--dest-fqdns DEST_DOMAIN_NAMES] \
    [--dest-region-codes DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence DEST_THREAT_LIST_NAMES] \
    [--dest-network-type DEST_NETWORK_TYPE]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte von Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der regionalen Richtlinie für Netzwerkfirewalls, die die neue Regel enthält.
  • POLICY_REGION: die Region der Richtlinie, die die neue Regel enthält.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel
  • ACTION: Geben Sie eine der folgenden Aktionen an:
    • allow: Ermöglicht die Verbindungen, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • goto_next: Fährt mit dem nächsten Schritt des Firewallregel-Auswertungsprozesses fort.
  • Mit den Parametern --enable-logging und --no-enable-logging wird das Logging von Firewallregeln aktiviert oder deaktiviert.
  • Mit den Parametern --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste sicherer Tags.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten.
    • Wenn Sie sowohl den Parameter --target-secure-tags als auch den Parameter --target-service-accounts weglassen, wird die Regel auf das breiteste Ziel angewendet.
  • LAYER_4_CONFIGS: Eine durch Kommas getrennte Liste von Layer 4-Konfigurationen. Jede Layer 4-Konfiguration kann eine der folgenden sein:
    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (17) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind. Der Start- und Endport des Zielports werden durch einen Bindestrich getrennt (tcp:5000-6000). Weitere Informationen finden Sie unter Protokolle und Ports.
  • Optional: Geben Sie eine Quelle für die Ausgangsregel an:
    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder alle IPv4-CIDRs oder alle IPv6-CIDRs sein, nicht eine Kombination aus beidem.
  • Geben Sie ein Ziel für die Ausgangsregel an:
    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, aber keine Kombination aus beidem.
    • DEST_ADDRESS_GROUPS: Eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden.
    • DEST_DOMAIN_NAMES: Eine durch Kommas getrennte Liste von FQDN-Objekten im Domainnamenformat.
    • DEST_COUNTRY_CODES: Eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes. Weitere Informationen finden Sie unter Standortobjekte.
    • DEST_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.
    • DEST_NETWORK_TYPE: Definiert einen Zielnetzwerktyp, der in Verbindung mit einem anderen unterstützten Zielparameter verwendet werden soll, um eine bestimmte Zielkombination zu erstellen. Gültige Werte sind INTERNET und NON_INTERNET. Weitere Informationen finden Sie unter Netzwerktypen.

Regel aktualisieren

Beschreibungen der Flags finden Sie unter Regel erstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

  5. Klicken Sie auf Bearbeiten.

  6. Ändern Sie die gewünschten Flags.

  7. Klicken Sie auf Speichern.

gcloud 

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME \
    [...flags you want to modify...]

Regel beschreiben

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Die Prioritätsnummer, die die Regel eindeutig identifiziert.
  • POLICY_NAME: der Name der Richtlinie, die die Regel enthält
  • REGION_NAME: die Region der Richtlinie, die die Regel enthält

Regel löschen

Wenn Sie eine Regel aus einer Richtlinie löschen, wird sie nicht mehr auf neue Verbindungen zum oder vom Ziel der Regel angewendet.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Wählen Sie die Regel aus, die Sie löschen möchten.

  5. Klicken Sie auf Löschen.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Die Prioritätsnummer, die die Regel eindeutig identifiziert.
  • POLICY_NAME: Richtlinie, die die Regel enthält
  • REGION_NAME: die Region der Richtlinie, die die Regel enthält

Regeln von einer Richtlinie in eine andere kopieren

Beim Klonen werden die Regeln aus einer Quellrichtlinie in eine Zielrichtlinie kopiert und alle vorhandenen Regeln in der Zielrichtlinie werden ersetzt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ das Projekt aus, das die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie, aus der Sie Regeln kopieren möchten.

  4. Klicken Sie oben auf dem Bildschirm auf Klonen.

  5. Geben Sie den Namen der Zielrichtlinie an.

  6. Wenn Sie die neue Richtlinie sofort verknüpfen möchten, klicken Sie auf Weiter > Verknüpfen.

  7. Wählen Sie auf der Seite Richtlinie mit VPC-Netzwerken verknüpfen die Netzwerke aus und klicken Sie auf Verknüpfen.

  8. Klicken Sie auf Weiter.

  9. Klicken Sie auf Klonen.

gcloud

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --region=TARGET_POLICY_REGION \
    --source-firewall-policy SOURCE_POLICY

Ersetzen Sie Folgendes:

  • TARGET_POLICY: der Name der Zielrichtlinie
  • TARGET_POLICY_REGION: die Region der Zielrichtlinie
  • SOURCE_POLICY: die URL der Quellrichtlinie

Für eine Region eines Netzwerks geltende Firewallregeln abrufen

Sie können alle Regeln für hierarchische Firewallrichtlinien, VPC-Firewallregeln, globale Netzwerk-Firewallrichtlinienregeln und regionale Netzwerk-Firewallrichtlinienregeln ansehen, die für eine bestimmte Region eines VPC-Netzwerk gelten.

gcloud 

gcloud compute network-firewall-policies get-effective-firewalls \
    --region=REGION_NAME \
    --network=NETWORK_NAME

Ersetzen Sie dabei Folgendes:

  • REGION_NAME: Region, für die Sie die gültigen Regeln anzeigen möchten.
  • NETWORK_NAME: Netzwerk, für die Sie die gültigen Regeln anzeigen möchten.