Questa pagina presuppone che tu abbia familiarità con i concetti descritti in Policy firewall di rete regionali.
Attività relative alle policy del firewall
Questa sezione descrive come creare, associare e gestire le policy del firewall di rete regionali.
Crea una policy firewall di rete regionale
Quando crei una policy firewall di rete regionale utilizzando la console Google Cloud , puoi associare la policy a una regione e a una rete Virtual Private Cloud (VPC) durante la creazione. Se crei il criterio utilizzando Google Cloud CLI, devi associarlo a una regione e a una rete dopo averlo creato.
La rete VPC a cui è associata la policy firewall di rete a livello di regione deve trovarsi nello stesso progetto della policy firewall di rete a livello di regione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il tuo progetto all'interno della tua organizzazione.
Fai clic su Crea criterio firewall.
Nel campo Nome policy, inserisci un nome per la policy.
In Ambito di deployment, seleziona A livello di regione. Seleziona la regione in cui vuoi creare questa policy di firewall.
Per creare regole per la tua policy, fai clic su Continua.
Nella sezione Aggiungi regole, fai clic su Crea regola firewall. Per saperne di più sulla creazione di regole firewall, consulta quanto segue:
Se vuoi associare il criterio a una rete, fai clic su Continua.
Nella sezione Associa policy alle reti, fai clic su Associa.
Per saperne di più, consulta Associare una policy a una rete.
Fai clic su Crea.
gcloud
gcloud compute network-firewall-policies create \
NETWORK_FIREWALL_POLICY_NAME \
--description DESCRIPTION \
--region=REGION_NAME
Sostituisci quanto segue:
NETWORK_FIREWALL_POLICY_NAME: un nome per la policyDESCRIPTION: una descrizione della policyREGION_NAME: la regione per la policy
Associa un criterio a una rete
Puoi associare una policy firewall di rete regionale a una regione di una rete VPC e applicare le regole della policy a quella regione di rete.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la tua policy.
Fai clic sulla policy.
Fai clic sulla scheda Associazioni.
Fai clic su Aggiungi associazione.
Seleziona le reti all'interno del progetto.
Fai clic su Associa.
gcloud
gcloud compute network-firewall-policies associations create \
--firewall-policy POLICY_NAME \
--firewall-policy-region=POLICY_REGION \
--network NETWORK_NAME \
--name ASSOCIATION_NAME
Sostituisci quanto segue:
POLICY_NAME: il nome breve o il nome generato dal sistema della policy.POLICY_REGION: la regione della policy che contiene la regola.NETWORK_NAME: il nome della rete associata.ASSOCIATION_NAME: un nome facoltativo per l'associazione. Se non specificato, il nome è impostato sunetwork-NETWORK_NAME.
Eliminare un'associazione
Per interrompere l'applicazione di un criterio firewall su una rete, elimina l'associazione.
Tuttavia, se intendi sostituire un criterio firewall con un altro, non devi prima eliminare l'associazione esistente. L'eliminazione di questa associazione lascia un periodo di tempo in cui nessuna policy viene applicata. Sostituisci invece la policy esistente quando associ una nuova policy.
Per eliminare un'associazione tra una policy del firewall di rete regionale e una regione di una rete VPC, segui i passaggi descritti in questa sezione. Le regole nella policy firewall di rete regionale non si applicano alle nuove connessioni dopo l'eliminazione dell'associazione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il tuo progetto o la cartella che contiene la policy.
Fai clic sulla policy.
Fai clic sulla scheda Associazioni.
Seleziona l'associazione che vuoi eliminare.
Fai clic su Rimuovi associazione.
gcloud
gcloud compute network-firewall-policies associations delete \
--name ASSOCIATION_NAME \
--firewall-policy POLICY_NAME \
--firewall-policy-region=POLICY_REGION
Descrivi un criterio firewall di rete a livello di regione
Puoi visualizzare i dettagli di una policy firewall di rete regionale, incluse le regole della policy e gli attributi delle regole associati. Tutti questi attributi delle regole vengono conteggiati come parte della quota degli attributi delle regole. Per saperne di più, consulta "Attributi delle regole per policy del firewall di rete regionale" nella tabella Per policy del firewall. Inoltre, puoi visualizzare le priorità delle associazioni di reti VPC esistenti.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy firewall di rete a livello di regione.
Fai clic sulla policy.
gcloud
gcloud compute network-firewall-policies describe POLICY_NAME \
--region=REGION_NAME
Aggiorna la descrizione di un criterio firewall di rete a livello di regione
L'unico campo dei criteri che può essere aggiornato è Descrizione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy firewall di rete a livello di regione.
Fai clic sulla policy.
Fai clic su Modifica.
Nel campo Descrizione, modifica la descrizione.
Fai clic su Salva.
gcloud
gcloud compute network-firewall-policies update POLICY_NAME \
--description DESCRIPTION \
--region=REGION_NAME
Elenca i criteri firewall di rete regionali
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.
La sezione Criteri firewall di rete mostra i criteri disponibili nel tuo progetto.
gcloud
gcloud compute network-firewall-policies list \
--regions=LIST_OF_REGIONS
Elimina un criterio firewall di rete a livello di regione
Prima di poter eliminare una policy firewall di rete regionale, devi eliminare tutte le relative associazioni.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.
Fai clic sulla policy che vuoi eliminare.
Fai clic sulla scheda Associazioni.
Seleziona tutte le associazioni.
Fai clic su Rimuovi associazione.
Dopo aver rimosso tutte le associazioni, fai clic su Elimina.
gcloud
Utilizza il seguente comando per eliminare la policy:
gcloud compute network-firewall-policies delete POLICY_NAME \
--region=REGION_NAME
Attività della regola del criterio firewall
Questa sezione descrive come creare e gestire le regole delle policy del firewall di rete regionali.
Crea una regola in entrata per i target VM
Questa sezione descrive come creare una regola di ingresso che si applica alle interfacce di rete delle istanze Compute Engine.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nell'elenco del selettore di progetti, seleziona un progetto che contiene una policy firewall di rete regionale.
Nella sezione Policy firewall di rete, fai clic sul nome di una policy firewall di rete regionale in cui vuoi creare una regola.
Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:
Priorità: l'ordine di valutazione numerico della regola.
Le regole vengono valutate dalla priorità più alta a quella più bassa, dove
0è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio,100,200,300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.Descrizione: fornisci una descrizione facoltativa.
Direzione del traffico: seleziona In entrata.
Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:
- Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
- Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
- Vai al passaggio successivo: per continuare la procedura di valutazione della regola firewall.
Log: seleziona On per attivare la registrazione dei log delle regole firewall o Off per disattivarla per questa regola.
Target: seleziona una delle seguenti opzioni:
- Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
-
Service account: restringe i target delle istanze più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato:
- Nella sezione Ambito del service account, seleziona In questo progetto > Service account di destinazione. per specificare un account di servizio nello stesso progetto del criterio firewall di rete regionale.
- Nella sezione Ambito del service account, seleziona In un altro progetto > Service account di destinazione. per specificare un account di servizio in un progetto di servizio VPC condiviso.
- Tag sicuri: restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da corrispondere. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.
Tipo di rete di origine: specifica un tipo di rete:
- Per ignorare il filtro del traffico in entrata in base al tipo di rete, seleziona Tutti i tipi di rete.
- Per filtrare il traffico in entrata in base a un tipo di rete specifico, seleziona
Tipo di rete specifico, quindi seleziona un tipo di rete:
- Internet: il traffico in entrata deve corrispondere al tipo di rete internet per i pacchetti in entrata.
- Non internet: il traffico in entrata deve corrispondere al tipo di rete non internet per i pacchetti in entrata.
- Intra-VPC: il traffico in entrata deve corrispondere ai criteri per il tipo di rete intra-VPC.
- Reti VPC: il traffico in entrata deve corrispondere ai criteri per il tipo di reti VPC.
Devi selezionare almeno una rete VPC:
- Seleziona progetto attuale: consente di aggiungere una o più reti VPC dal progetto che contiene la policy firewall.
- Inserisci manualmente la rete: ti consente di inserire manualmente un progetto e una rete VPC.
- Seleziona progetto: ti consente di selezionare un progetto da cui puoi selezionare una rete VPC.
Filtri di origine: specifica parametri di origine aggiuntivi. Alcuni parametri della sorgente non possono essere utilizzati insieme e il tipo di rete della sorgente limita i parametri della sorgente che puoi utilizzare. Per maggiori informazioni, consulta Origini per le regole in entrata e Combinazioni di origini delle regole in entrata.
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4,
quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza
0.0.0.0/0per qualsiasi origine IPv4. - Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6
e poi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza
::/0per qualsiasi origine IPv6. - Per filtrare il traffico in entrata in base ai valori dei tag sicuri di origine, seleziona Seleziona ambito per i tag nella sezione Tag sicuri. Poi, fornisci le chiavi e i valori dei tag. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.
- Per filtrare il traffico in entrata in base al nome di dominio completo di origine, inserisci i nomi di dominio completi nel campo Nomi di dominio completi. Per ulteriori informazioni, vedi Oggetti FQDN.
- Per filtrare il traffico in entrata in base alla geolocalizzazione della sorgente, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
- Per filtrare il traffico in entrata in base al gruppo di indirizzi di origine, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per le norme firewall.
- Per filtrare il traffico in entrata in base alle liste di Google Threat Intelligence di origine, seleziona una o più liste di Google Threat Intelligence dal campo Google Cloud Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole dei criteri firewall.
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4,
quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza
Destinazione: specifica i parametri di destinazione facoltativi. Per ulteriori informazioni, consulta Destinazioni per le regole in entrata.
- Per ignorare il filtro del traffico in entrata in base all'indirizzo IP di destinazione, seleziona Nessuno.
- Per filtrare il traffico in entrata in base all'indirizzo IP di destinazione, seleziona IPv4 o IPv6 e poi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di origine o gli intervalli IPv6 di origine.
Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico in modo che corrispondano alla regola. Per ulteriori informazioni, consulta Protocolli e porte.
Applicazione: specifica se la regola firewall viene applicata o meno:
- Attivato: crea la regola e inizia ad applicarla alle nuove connessioni.
- Disattivata: crea la regola, ma non la applica alle nuove connessioni.
Fai clic su Crea.
gcloud
gcloud compute network-firewall-policies rules create PRIORITY \
--firewall-policy=POLICY_NAME \
--project=PROJECT_ID \
--firewall-policy-region=POLICY_REGION \
--description=DESCRIPTION \
--direction=INGRESS \
--action=ACTION \
[--enable-logging | --no-enable-logging] \
[--disabled | --no-disabled] \
[--target-secure-tags=TARGET_SECURE_TAGS] \
[--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
[--layer4-configs=LAYER_4_CONFIGS] \
[--src-network-type=SRC_NETWORK_TYPE] \
[--src-networks=SRC_VPC_NETWORKS] \
[--src-ip-ranges=SRC_IP_RANGES] \
[--src-address-groups=SRC_ADDRESS_GROUPS] \
[--src-fqdns=SRC_DOMAIN_NAMES] \
[--src-secure-tags=SRC_SECURE_TAGS] \
[--src-region-codes=SRC_COUNTRY_CODES] \
[--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
[--dest-ip-ranges=DEST_IP_RANGES]
Sostituisci quanto segue:
PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove0è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio,100,200,300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.POLICY_NAME: il nome della policy del firewall di rete regionale in cui vuoi creare la regola.PROJECT_ID: l'ID progetto che contiene la policy firewall di rete regionale.POLICY_REGION: la regione della policy.DESCRIPTION: una descrizione facoltativa per la nuova regola.-
ACTION: specifica una delle seguenti azioni:allow: consente le connessioni che corrispondono alla regola.deny: nega le connessioni che corrispondono alla regola.goto_next: continua il processo di valutazione delle regole firewall.
- I flag
--enable-logginge--no-enable-loggingattivano o disattivano il logging delle regole firewall. - I flag
--disablede--no-disabledcontrollano se la regola è disattivata (non applicata) o attivata (applicata). -
Specifica un target:
- Se ometti i flag
--target-secure-tagse--target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi. TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag sicuri che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri.TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano uno dei service account.
- Se ometti i flag
LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:- Un nome di protocollo IP (
tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione. - Un nome di protocollo IP e una porta di destinazione separati da due punti
(
tcp:80). - Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti
con un trattino per separare le porte di destinazione iniziale e finale
(
tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
- Un nome di protocollo IP (
-
Specifica un'origine per la regola
di ingresso.
Per saperne di più sulle combinazioni di origini delle regole in entrata:
SRC_NETWORK_TYPE: definisce i tipi di rete di origine da utilizzare in combinazione con un altro parametro di origine supportato per produrre una combinazione di origine. I valori validi quando--target-type=INSTANCESsono:INTERNET,NON_INTERNET,VPC_NETWORKSoINTRA_VPC. Per saperne di più, consulta Tipi di rete.SRC_VPC_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo flag solo quando--src-network-typeèVPC_NETWORKS.SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti gli indirizzi IPv4 o tutti gli indirizzi IPv6, non una combinazione di entrambi.SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.SRC_SECURE_TAGS: un elenco separato da virgole di tag. Non puoi utilizzare il flag--src-secure-tagsse--src-network-typeèINTERNET.SRC_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione. Non puoi utilizzare il flag--src-region-codesse--src-network-typeèNON_INTERNET,VPC_NETWORKSoINTRA_VPC.SRC_THREAT_LIST_NAMES: un elenco separato da virgole di nomi di elenchi di Google Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole dei criteri firewall. Non puoi utilizzare il flag--src-threat-intelligencese--src-network-typeèNON_INTERNET,VPC_NETWORKSoINTRA_VPC.
-
(Facoltativo) Specifica una destinazione per la regola
in entrata:
DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
Crea una regola Ingress per i target del bilanciatore del carico interno
Per limitare l'accesso a una o più regole di forwarding di bilanciatori del carico di rete proxy interni o bilanciatori del carico delle applicazioni interni, crea almeno due regole di ingresso con --target-type=INTERNAL_MANAGED_LB. Ciò è necessario perché l'azione implicita per i target del bilanciatore del carico delle applicazioni interno e del bilanciatore del carico di rete proxy interno consente l'ingresso.
Le regole necessarie per limitare l'accesso sono:
- Una regola firewall di negazione in entrata con priorità inferiore con
--src-ip-ranges=0.0.0.0/0. - Una regola firewall in entrata di autorizzazione con priorità più elevata con i parametri di origine che specifichi.
Questa sezione descrive come creare una regola di ingresso per i bilanciatori del carico delle applicazioni interni e i target del bilanciatore del carico di rete proxy interno.
gcloud
gcloud beta compute network-firewall-policies rules create PRIORITY \
--firewall-policy=POLICY_NAME \
--project=PROJECT_ID \
--firewall-policy-region=POLICY_REGION \
--description=DESCRIPTION \
--direction=INGRESS \
--action=ACTION \
[--enable-logging | --no-enable-logging] \
[--disabled | --no-disabled] \
--target-type=INTERNAL_MANAGED_LB \
[--target-forwarding-rules=TARGET_FORWARDING_RULES] \
[--layer4-configs=LAYER_4_CONFIGS] \
[--src-network-type=SRC_NETWORK_TYPE] \
[--src-networks=SRC_VPC_NETWORKS] \
[--src-ip-ranges=SRC_IP_RANGES] \
[--src-address-groups=SRC_ADDRESS_GROUPS] \
[--src-fqdns=SRC_DOMAIN_NAMES] \
[--dest-ip-ranges=DEST_IP_RANGES]
Sostituisci quanto segue:
PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove0è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio,100,200,300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.POLICY_NAME: il nome della policy del firewall di rete regionale in cui vuoi creare la regola.PROJECT_ID: l'ID progetto che contiene la policy firewall di rete regionale.POLICY_REGION: la regione della policy.DESCRIPTION: una descrizione facoltativa per la nuova regola.-
ACTION: specifica una delle seguenti azioni:allow: consente le connessioni che corrispondono alla regola.deny: nega le connessioni che corrispondono alla regola.goto_next: continua il processo di valutazione delle regole firewall.
- I flag
--enable-logginge--no-enable-loggingattivano o disattivano il logging delle regole firewall. - I flag
--disablede--no-disabledcontrollano se la regola è disattivata (non applicata) o attivata (applicata). -
Specifica un target:
- Se ometti il flag
--target-forwarding-rules, Cloud NGFW utilizza i target del bilanciamento del carico più ampi. TARGET_FORWARDING_RULES: una singola regola di forwarding per un bilanciatore del carico delle applicazioni interno o un bilanciatore del carico di rete proxy interno specificato nel formato delle regole di forwarding di destinazione. Questo parametro restringe i target del bilanciatore del carico più ampi a un bilanciatore del carico delle applicazioni interno o a un bilanciatore del carico di rete proxy interno specifico.
- Se ometti il flag
LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:- Un nome di protocollo IP (
tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione. - Un nome di protocollo IP e una porta di destinazione separati da due punti
(
tcp:80). - Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti
con un trattino per separare le porte di destinazione iniziale e finale
(
tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
- Un nome di protocollo IP (
-
Specifica un'origine per la regola
di ingresso.
Per saperne di più sulle combinazioni di origini delle regole in entrata:
SRC_NETWORK_TYPE: definisce i tipi di rete di origine da utilizzare in combinazione con un altro parametro di origine supportato per produrre una combinazione di origine. I valori validi quando--target-type=INTERNAL_MANAGED_LBsonoVPC_NETWORKSoINTRA_VPC. Per saperne di più, consulta Tipi di rete.SRC_VPC_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo flag solo quando--src-network-typeèVPC_NETWORKS.SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti gli indirizzi IPv4 o tutti gli indirizzi IPv6, non una combinazione di entrambi.SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
-
(Facoltativo) Specifica una destinazione per la regola
in entrata:
DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
Crea una regola di uscita per le VM di destinazione
Le indicazioni riportate di seguito mostrano come creare una regola di uscita. Le regole di uscita si applicano solo ai target che sono interfacce di rete delle istanze Compute Engine.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nell'elenco del selettore di progetti, seleziona un progetto che contiene una policy firewall di rete regionale.
Nella sezione Policy firewall di rete, fai clic sul nome di una policy firewall di rete regionale in cui vuoi creare una regola.
Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:
Priorità: l'ordine di valutazione numerico della regola.
Le regole vengono valutate dalla priorità più alta a quella più bassa, dove
0è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio,100,200,300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.Descrizione: fornisci una descrizione facoltativa.
Direzione del traffico: seleziona In uscita.
Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:
- Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
- Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
- Vai al passaggio successivo: per continuare la procedura di valutazione della regola firewall.
Log: seleziona On per attivare la registrazione dei log delle regole firewall o Off per disattivarla per questa regola.
Target: seleziona una delle seguenti opzioni:
- Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
-
Service account: restringe i target delle istanze più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato:
- Nella sezione Ambito del service account, seleziona In questo progetto > Service account di destinazione. per specificare un account di servizio nello stesso progetto del criterio firewall di rete regionale.
- Nella sezione Ambito del service account, seleziona In un altro progetto > Service account di destinazione. per specificare un account di servizio in un progetto di servizio VPC condiviso.
- Tag sicuri: restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da corrispondere. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.
Tipo di rete di destinazione: specifica un tipo di rete:
- Per ignorare il filtro del traffico in uscita per tipo di rete, seleziona Tutti i tipi di rete.
- Per filtrare il traffico in uscita in base a un tipo di rete specifico, seleziona
Tipo di rete specifico, quindi seleziona un
tipo di rete:
- Internet: il traffico in uscita deve corrispondere al tipo di rete internet per i pacchetti in uscita.
- Non internet: il traffico in uscita deve corrispondere al tipo di rete non internet per i pacchetti in uscita.
Filtri di destinazione: specifica parametri di destinazione aggiuntivi. Alcuni parametri di destinazione non possono essere utilizzati insieme e la tua scelta del tipo di rete di destinazione limita i filtri di destinazione che puoi utilizzare. Per saperne di più, consulta Destinazioni per le regole in uscita e Combinazioni di destinazioni delle regole in uscita.
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4 e
poi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza
0.0.0.0/0per qualsiasi destinazione IPv4. - Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6 e
poi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza
::/0per qualsiasi destinazione IPv6. - Per filtrare il traffico in uscita in base al nome di dominio completo di destinazione, inserisci i nomi di dominio completi nel campo Nomi di dominio completi. Per ulteriori informazioni, vedi Oggetti FQDN.
- Per filtrare il traffico in uscita in base alla geolocalizzazione di destinazione, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
- Per filtrare il traffico in uscita in base al gruppo di indirizzi di destinazione, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per i criteri firewall.
- Per filtrare il traffico in uscita in base agli elenchi di Google Threat Intelligence di destinazione, seleziona uno o più elenchi di Google Threat Intelligence dal campo Google Cloud Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole dei criteri firewall.
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4 e
poi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza
Origine: specifica i parametri di origine facoltativi. Per saperne di più, consulta Origini per le regole in uscita.
- Per ignorare il filtro del traffico in uscita in base all'indirizzo IP di origine, seleziona Nessuno.
- Per filtrare il traffico in uscita in base all'indirizzo IP di origine, seleziona IPv4 o IPv6 e poi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di destinazione o gli intervalli IPv6 di destinazione.
Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico in modo che corrispondano alla regola. Per ulteriori informazioni, consulta Protocolli e porte.
Applicazione: specifica se la regola firewall viene applicata o meno:
- Attivato: crea la regola e inizia ad applicarla alle nuove connessioni.
- Disattivata: crea la regola, ma non la applica alle nuove connessioni.
Fai clic su Crea.
gcloud
gcloud compute network-firewall-policies rules create PRIORITY \
--firewall-policy=POLICY_NAME \
--project=PROJECT_ID \
--firewall-policy-region=POLICY_REGION \
--description=DESCRIPTION \
--direction=EGRESS \
--action=ACTION \
[--enable-logging | --no-enable-logging] \
[--disabled | --no-disabled] \
[--target-secure-tags=TARGET_SECURE_TAGS] \
[--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
[--layer4-configs=LAYER_4_CONFIGS] \
[--dest-network-type=DEST_NETWORK_TYPE] \
[--dest-ip-ranges=DEST_IP_RANGES] \
[--dest-address-groups=DEST_ADDRESS_GROUPS] \
[--dest-fqdns=DEST_DOMAIN_NAMES] \
[--dest-region-codes=DEST_COUNTRY_CODES] \
[--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
[--src-ip-ranges=SRC_IP_RANGES]
Sostituisci quanto segue:
PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove0è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio,100,200,300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.POLICY_NAME: il nome della policy del firewall di rete regionale in cui vuoi creare la regola.PROJECT_ID: l'ID progetto che contiene la policy firewall di rete regionale.POLICY_REGION: la regione della policy.DESCRIPTION: una descrizione facoltativa per la nuova regola.-
ACTION: specifica una delle seguenti azioni:allow: consente le connessioni che corrispondono alla regola.deny: nega le connessioni che corrispondono alla regola.goto_next: continua il processo di valutazione delle regole firewall.
- I flag
--enable-logginge--no-enable-loggingattivano o disattivano il logging delle regole firewall. - I flag
--disablede--no-disabledcontrollano se la regola è disattivata (non applicata) o attivata (applicata). -
Specifica un target:
- Se ometti i flag
--target-secure-tagse--target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi. TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag sicuri che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri.TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano uno dei service account.
- Se ometti i flag
LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:- Un nome di protocollo IP (
tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione. - Un nome di protocollo IP e una porta di destinazione separati da due punti
(
tcp:80). - Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti
con un trattino per separare le porte di destinazione iniziale e finale
(
tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
- Un nome di protocollo IP (
-
Specifica una destinazione per la regola
in uscita.
Per saperne di più, consulta Combinazioni di destinazioni delle regole in uscita:
DEST_NETWORK_TYPE: definisce i tipi di rete di destinazione da utilizzare insieme a un altro parametro di destinazione supportato per produrre una combinazione di destinazioni. I valori validi sonoINTERNETeNON_INTERNET. Per maggiori informazioni, consulta Tipi di rete.DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.DEST_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci.DEST_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.DEST_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione.DEST_THREAT_LIST_NAMES: un elenco separato da virgole di nomi di elenchi di Google Threat Intelligence. Per saperne di più, consulta Google Threat Intelligence per le regole dei criteri firewall.
-
(Facoltativo) Specifica un'origine per la regola di
uscita:
SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
Aggiornare una regola
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy firewall di rete a livello di regione.
Fai clic sul nome del criterio firewall di rete regionale che contiene la regola da aggiornare.
Fai clic sulla priorità della regola.
Fai clic su Modifica.
Modifica i campi della regola firewall che vuoi cambiare. Per le descrizioni di ogni campo, consulta uno dei seguenti articoli:
Fai clic su Salva.
gcloud
gcloud compute network-firewall-policies rules update PRIORITY \
--firewall-policy=POLICY_NAME \
--firewall-policy-region=POLICY_REGION \
[...other flags that you want to modify...]
Sostituisci quanto segue:
PRIORITY: il numero di priorità che identifica in modo univoco la regola.POLICY_NAME: il nome della policy che contiene la regola.POLICY_REGION: la regione della policy che contiene la regola.
Fornisci i flag che vuoi modificare. Per le descrizioni dei flag, consulta uno dei seguenti articoli:
Descrivere una regola
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.
Fai clic sulla policy.
Fai clic sulla priorità della regola.
gcloud
gcloud compute network-firewall-policies rules describe PRIORITY \
--firewall-policy=POLICY_NAME \
--firewall-policy-region=POLICY_REGION
Sostituisci quanto segue:
PRIORITY: il numero di priorità che identifica in modo univoco la regola.POLICY_NAME: il nome della policy che contiene la regola.POLICY_REGION: la regione della policy che contiene la regola.
Eliminare una regola
L'eliminazione di una regola da un criterio fa sì che la regola non venga più applicata alle nuove connessioni da o verso la destinazione della regola.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.
Fai clic sulla policy.
Seleziona la regola che vuoi eliminare.
Fai clic su Elimina.
gcloud
gcloud compute network-firewall-policies rules delete PRIORITY \
--firewall-policy=POLICY_NAME \
--firewall-policy-region=POLICY_REGION
Sostituisci quanto segue:
PRIORITY: il numero di priorità che identifica in modo univoco la regola.POLICY_NAME: il nome della policy che contiene la regola.POLICY_REGION: la regione della policy che contiene la regola.
Clonare le regole da una policy a un'altra
La clonazione copia le regole da una policy di origine a una policy di destinazione, sostituendo tutte le regole esistenti nella policy di destinazione.
Console
Nella console Google Cloud , vai alla pagina Policy del firewall.
Nel menu del selettore dei progetti, seleziona il progetto che contiene la policy.
Fai clic sulla policy da cui vuoi copiare le regole.
Fai clic su Clona nella parte superiore dello schermo.
Fornisci il nome di una norma di destinazione.
Se vuoi associare immediatamente la nuova norma, fai clic su Continua > Associa.
Nella pagina Associa policy a reti VPC, seleziona le reti e fai clic su Associa.
Fai clic su Continua.
Fai clic su Clona.
gcloud
gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
--region=TARGET_POLICY_REGION \
--source-firewall-policy=SOURCE_POLICY
Sostituisci quanto segue:
TARGET_POLICY: il nome della policy di destinazione.TARGET_POLICY_REGION: la regione della policy di destinazione.SOURCE_POLICY: l'URL della policy di origine.
Recupera le regole firewall effettive per una regione di una rete
Puoi visualizzare tutte le regole dei criteri firewall gerarchici, le regole firewall VPC, le regole dei criteri firewall di rete globali e le regole dei criteri firewall di rete regionali che si applicano a una regione specifica di una rete VPC.
gcloud
gcloud compute network-firewall-policies get-effective-firewalls \
--region=REGION_NAME \
--network=NETWORK_NAME
Sostituisci quanto segue:
REGION_NAME: la regione per la quale vuoi visualizzare le regole effettive.NETWORK_NAME: la rete per cui vuoi visualizzare le regole effettive.