Usar reglas y políticas de cortafuegos de red regionales

En esta página se da por hecho que conoces los conceptos descritos en el artículo Descripción general de las políticas de cortafuegos de red regionales.

Tareas de políticas de cortafuegos

En esta sección se describe cómo crear, asociar y gestionar políticas de cortafuegos de red regionales.

Crear una política de cortafuegos de red regional

Cuando creas una política de cortafuegos de red regional mediante la consola Google Cloud , puedes asociar la política a una región y a una red de nube privada virtual (VPC) durante la creación. Si creas la política con Google Cloud CLI, debes asociarla a una región y una red después de crearla.

La red de VPC con la que está asociada la política de cortafuegos de red regional debe estar en el mismo proyecto que la política de cortafuegos de red regional.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto de tu organización.

  3. Haz clic en Crear política de cortafuegos.

  4. En el campo Policy name (Nombre de la política), introduce un nombre.

  5. En Ámbito de implementación, selecciona Regional. Selecciona la región en la que quieres crear esta política de cortafuegos.

  6. Para crear reglas para su política, haga clic en Continuar.

  7. En la sección Añadir reglas, haga clic en Crear regla de cortafuegos.

    Para obtener más información, consulta el artículo Crear una regla.

  8. Si quieres asociar la política a una red, haz clic en Continuar.

  9. En la sección Asociar política a redes, haga clic en Asociar.

    Para obtener más información, consulta Asociar una política a una red.

  10. Haz clic en Crear.

gcloud

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Haz los cambios siguientes:

  • NETWORK_FIREWALL_POLICY_NAME: nombre de la política
  • DESCRIPTION: una descripción de la política
  • REGION_NAME: la región de la política

Asociar una política a una red

Puedes asociar una política de cortafuegos de red regional a una región de una red de VPC y aplicar las reglas de la política a esa región de la red.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga tu política.

  3. Haz clic en tu política.

  4. Haz clic en la pestaña Asociaciones.

  5. Haz clic en Añadir asociación.

  6. Selecciona las redes del proyecto.

  7. Haz clic en Asociar.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME \
    --firewall-policy-region=REGION_NAME

Haz los cambios siguientes:

  • POLICY_NAME: el nombre abreviado o el nombre generado por el sistema de la política.
  • NETWORK_NAME: el nombre de la red asociada.
  • ASSOCIATION_NAME: nombre opcional de la asociación. Si no se especifica, el nombre se define como network-NETWORK_NAME.
  • REGION_NAME: la región de la política.

Eliminar una asociación

Para detener la aplicación de una política de cortafuegos en una red, elimina la asociación.

Sin embargo, si quieres sustituir una política de cortafuegos por otra, no es necesario que elimines la asociación actual. Si se elimina esa asociación, habrá un periodo en el que no se aplicará ninguna de las políticas. En su lugar, sustituye la política actual cuando asocies una nueva.

Para eliminar una asociación entre una política de cortafuegos de red regional y una región de una red VPC, sigue los pasos que se indican en esta sección. Las reglas de la política de cortafuegos de red regional no se aplican a las nuevas conexiones después de que se elimine su asociación.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto o la carpeta que contenga la política.

  3. Haz clic en tu política.

  4. Haz clic en la pestaña Asociaciones.

  5. Selecciona la asociación que quieras eliminar.

  6. Haz clic en Quitar asociación.

gcloud

gcloud compute network-firewall-policies associations delete \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region REGION_NAME

Describe una política de cortafuegos de red regional

Puedes ver los detalles de una política de cortafuegos de red regional, incluidas las reglas de la política y los atributos de regla asociados. Todos estos atributos de regla se tienen en cuenta en la cuota de atributos de regla. Para obtener más información, consulta "Atributos de reglas por política de cortafuegos de red regional" en la tabla Por política de cortafuegos. Además, puede ver las prioridades de las asociaciones de redes de VPC que ya tenga.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú del selector de proyectos, elija el proyecto que contenga la política de firewall de red regional.

  3. Haz clic en tu política.

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --region=REGION_NAME

Actualizar la descripción de una política de cortafuegos de red regional

El único campo de política que se puede actualizar es el de Descripción.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú del selector de proyectos, elija el proyecto que contenga la política de firewall de red regional.

  3. Haz clic en tu política.

  4. Haz clic en Editar.

  5. En el campo Descripción, modifica la descripción.

  6. Haz clic en Guardar.

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --region=REGION_NAME

Listar políticas de cortafuegos de red regionales

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

    En la sección Políticas de cortafuegos de red se muestran las políticas disponibles en tu proyecto.

gcloud

gcloud compute network-firewall-policies list \
    --regions=LIST_OF_REGIONS

Eliminar una política de cortafuegos de red regional

Para poder eliminar una política de cortafuegos de red regional, debes eliminar todas sus asociaciones.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

  3. Haz clic en la política que quieras eliminar.

  4. Haz clic en la pestaña Asociaciones.

  5. Selecciona todas las asociaciones.

  6. Haz clic en Quitar asociación.

  7. Una vez que se hayan quitado todas las asociaciones, haz clic en Eliminar.

gcloud

Usa el siguiente comando para eliminar la política:

gcloud compute network-firewall-policies delete POLICY_NAME \
    --region=REGION_NAME

Tareas de reglas de políticas de cortafuegos

En esta sección se describe cómo crear y gestionar reglas de políticas de firewall de red regionales.

Crear una regla

Cada regla de una política de cortafuegos de red regional es una regla de entrada o de salida con una prioridad única. Para obtener información sobre los demás parámetros de una regla, incluidas las combinaciones de origen y destino válidas, consulta Reglas de políticas de cortafuegos.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga tu política.

  3. Haz clic en el nombre de tu política regional.

  4. En Reglas de cortafuegos, haga clic en Crear regla de cortafuegos.

  5. Rellena los campos de la regla:

    1. Prioridad: el orden de evaluación numérico de la regla. Las reglas se evalúan de mayor a menor prioridad, donde 0 es la prioridad más alta. Las prioridades deben ser únicas para cada regla. Te recomendamos que separes los valores de prioridad de las reglas por más de una unidad (por ejemplo, 100, 200 y 300) para que puedas crear reglas nuevas entre las que ya tienes.
    2. En Recogida de registros, selecciona Activado o Desactivado.
    3. En Dirección del tráfico, elige entrada o salida.
    4. En Acción tras coincidencia, especifique si las conexiones que coinciden con la regla se permiten (Permitir) o se deniegan (Denegar), o si la evaluación de la conexión se transfiere a la siguiente regla de cortafuegos inferior de la jerarquía (Ir a la siguiente).

    5. Especifica el objetivo de la regla.

      • Si quiere que la regla se aplique a todas las instancias de la red, elija Aplicar a todas.
      • Si quieres que la regla se aplique a instancias concretas mediante una cuenta de servicio asociada, elige Cuentas de servicio, indica si la cuenta de servicio está en el proyecto actual o en otro en Ámbito de la cuenta de servicio y elige o escribe el nombre de la cuenta de servicio en el campo Cuenta de servicio de destino.

      • Si quieres que la regla se aplique a instancias concretas por etiquetas seguras, elige Etiquetas seguras.

        • Haz clic en Seleccionar ámbito de las etiquetas y selecciona la organización o el proyecto en los que quieras crear pares clave-valor de etiquetas seguras. Introduzca los pares clave-valor a los que se aplicará la regla.
        • Para añadir más pares clave-valor, haga clic en Añadir etiqueta.

    6. En el caso de una regla de entrada, especifica el tipo de red de origen:

      • Para filtrar el tráfico entrante que pertenezca a cualquier tipo de red, selecciona Todos los tipos de red.
      • Para filtrar el tráfico entrante que pertenece a un tipo de red específico, selecciona Tipo de red específico.
        • Para filtrar el tráfico entrante que pertenece al tipo de red de Internet (INTERNET), seleccione Internet.
        • Para filtrar el tráfico entrante que pertenece al tipo de red no de Internet (NON-INTERNET), seleccione No de Internet.
        • Para filtrar el tráfico entrante que pertenece al tipo de red intra-VPC (INTRA_VPC), seleccione Intra-VPC.
        • Para filtrar el tráfico entrante que pertenece al tipo de redes de VPC (VPC_NETWORKS), selecciona Redes de VPC y, a continuación, especifica una o varias redes con el siguiente botón:
          • Seleccionar proyecto actual: te permite añadir una o varias redes del proyecto actual.
          • Introducir red manualmente: te permite introducir un proyecto y una red manualmente.
          • Seleccionar proyecto: te permite elegir un proyecto desde el que puedes elegir una red. Para obtener más información sobre los tipos de redes, consulta Tipos de redes.

    7. En el caso de una regla de salida, especifica el tipo de red de destino:

      • Para filtrar el tráfico saliente que pertenezca a cualquier tipo de red, selecciona Todos los tipos de red.
      • Para filtrar el tráfico saliente que pertenece a un tipo de red específico, selecciona Tipo de red específico.
        • Para filtrar el tráfico saliente que pertenece al tipo de red de Internet (INTERNET), seleccione Internet.
        • Para filtrar el tráfico saliente que pertenece al tipo de red no de Internet (NON-INTERNET), selecciona No de Internet. Para obtener más información sobre los tipos de redes, consulta Tipos de redes.

    8. En el caso de una regla Ingress, especifique el Source filter (Filtro de origen):

      • Para filtrar el tráfico entrante por intervalos de IPv4 de origen, selecciona IPv4 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IP. Usa 0.0.0.0/0 para cualquier fuente IPv4.
      • Para filtrar el tráfico entrante por intervalos de IPv6 de origen, selecciona IPv6 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IPv6. Usa ::/0 para cualquier fuente IPv6.

      • Para limitar la fuente por etiquetas seguras, haga clic en Seleccionar ámbito de las etiquetas en la sección Etiquetas seguras.

        • Selecciona la organización o el proyecto en el que quieras crear etiquetas. Introduzca los pares clave-valor a los que se aplicará la regla.
        • Para añadir más pares clave-valor, haga clic en Añadir etiqueta.

    9. En el caso de una regla Salida, especifique el Filtro de destino:

      • Para filtrar el tráfico saliente por intervalos de IPv4 de destino, selecciona IPv4 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IP. Usa 0.0.0.0/0 para cualquier destino IPv4.
      • Para filtrar el tráfico saliente por intervalos de IPv6 de destino, selecciona IPv6 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IPv6. Usa ::/0 para cualquier destino IPv6.

    10. Opcional: Si vas a crear una regla Ingress, especifica los FQDNs de origen a los que se aplica esta regla. Si vas a crear una regla de salida, selecciona los FQDNs de destino a los que se aplica esta regla. Para obtener más información sobre los objetos de nombre de dominio, consulta Objetos de nombre de dominio.

    11. Opcional: Si vas a crear una regla de entrada, selecciona las geolocalizaciones de origen a las que se aplica esta regla. Si vas a crear una regla de salida, selecciona las geolocalizaciones de destino a las que se aplica esta regla. Para obtener más información sobre los objetos de geolocalización, consulta Objetos de geolocalización.

    12. Opcional: Si vas a crear una regla Ingress, selecciona los grupos de direcciones de origen a los que se aplica esta regla. Si vas a crear una regla de salida, selecciona los grupos de direcciones de destino a los que se aplica esta regla. Para obtener más información sobre los grupos de direcciones, consulta Grupos de direcciones de políticas de cortafuegos.

    13. Opcional: Si vas a crear una regla Ingress, selecciona las listas de fuentes de Inteligencia frente a amenazas de Google Cloud a las que se aplica esta regla. Si va a crear una regla de salida, seleccione las listas de Inteligencia frente a amenazas de Google Cloud de destino a las que se aplica esta regla. Para obtener más información sobre Google Threat Intelligence, consulta Google Threat Intelligence para reglas de políticas de cortafuegos.

    14. Opcional: En el caso de una regla Ingress, especifica los filtros de Destination:

      • Para filtrar el tráfico entrante por intervalos de IPv4 de destino, selecciona IPv4 e introduce los bloques CIDR en el campo Intervalos de IP. Usa 0.0.0.0/0 para cualquier destino IPv4.
      • Para filtrar el tráfico entrante por intervalos de IPv6 de destino, selecciona Intervalos de IPv6 e introduce los bloques CIDR en el campo Intervalos de IPv6 de destino. Usa ::/0 para cualquier destino IPv6. Para obtener más información, consulta Destino de las reglas de entrada.

    15. Opcional: En el caso de una regla Salida, especifica el filtro Origen:

      • Para filtrar el tráfico saliente por intervalos de IPv4 de origen, selecciona IPv4 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IP. Usa 0.0.0.0/0 para cualquier fuente IPv4.
      • Para filtrar el tráfico saliente por intervalos de IPv6 de origen, selecciona IPv6 y, a continuación, introduce los bloques CIDR en el campo Intervalos de IPv6. Usa ::/0 para cualquier fuente IPv6. Para obtener más información, consulta Origen de las reglas de salida.

    16. En Protocolos y puertos, especifica si la regla se aplica a todos los protocolos y puertos de destino o a cuáles se aplica.

    17. Haz clic en Crear.

  6. Haz clic en Crear regla de cortafuegos para añadir otra regla.

gcloud

Para crear una regla de entrada, usa el siguiente comando:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction INGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--src-address-groups SRC_ADDRESS_GROUPS] \
    [--src-fqdns SRC_DOMAIN_NAMES] \
    [--src-secure-tags SRC_SECURE_TAGS] \
    [--src-region-codes SRC_COUNTRY_CODES] \
    [--src-threat-intelligence SRC_THREAT_LIST_NAMES] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK] \
    [--dest-ip-ranges DEST_IP_RANGES]

Haz los cambios siguientes:

  • PRIORITY: el orden de evaluación numérica de la regla en la política. Las reglas se evalúan de mayor a menor prioridad, donde 0 es la prioridad más alta. Las prioridades deben ser únicas para cada regla. Te recomendamos que separes los valores de prioridad de las reglas por más de una unidad (por ejemplo, 100, 200 y 300) para que puedas crear reglas nuevas entre las que ya tienes más adelante.
  • POLICY_NAME: nombre de la política de cortafuegos de red regional que contiene la nueva regla.
  • POLICY_REGION: la región de la política que contiene la nueva regla.
  • DESCRIPTION: descripción opcional de la nueva regla
  • ACTION: especifica una de las siguientes acciones:
  • Los parámetros --enable-logging y --no-enable-logging habilitan o inhabilitan el registro de reglas de cortafuegos.
  • Los parámetros --disabled y --no-disabled controlan si la regla está inhabilitada (no se aplica) o habilitada (se aplica).
  • Especifica un objetivo:
    • TARGET_SECURE_TAGS: una lista de etiquetas seguras separadas por comas.
    • TARGET_SERVICE_ACCOUNTS: lista de cuentas de servicio separada por comas.
    • Si omite los parámetros --target-secure-tags y --target-service-accounts, la regla se aplicará a la orientación más amplia.
  • LAYER_4_CONFIGS: lista de configuraciones de capa 4 separada por comas. Cada configuración de capa 4 puede ser una de las siguientes:
    • Nombre de protocolo IP (tcp) o número de protocolo IP de IANA (17) sin ningún puerto de destino.
    • Nombre de protocolo IP y puerto de destino separados por dos puntos (tcp:80).
    • Nombre de un protocolo IP e intervalo de puertos de destino separados por dos puntos. Se usa un guion para separar los puertos de destino inicial y final (tcp:5000-6000). Para obtener más información, consulte Protocolos y puertos.
  • Especifique una fuente para la regla de entrada:
    • SRC_IP_RANGES: una lista separada por comas de intervalos de direcciones IP en formato CIDR. Todos los intervalos de la lista deben ser CIDRs IPv4 o CIDRs IPv6, pero no una combinación de ambos.
    • SRC_ADDRESS_GROUPS: lista de grupos de direcciones separados por comas especificados por sus identificadores de URL únicos. Los grupos de direcciones de la lista deben contener todas las direcciones IPv4 o todas las direcciones IPv6, no una combinación de ambas.
    • SRC_DOMAIN_NAMES: una lista de objetos FQDN separados por comas especificados en el formato de nombre de dominio.
    • SRC_SECURE_TAGS: una lista de etiquetas separadas por comas. No puedes usar el parámetro --src-secure-tags si --src-network-type es INTERNET.
    • SRC_COUNTRY_CODES: lista de códigos de país de dos letras separados por comas. Para obtener más información, consulta Objetos de geolocalización. No puedes usar el parámetro --src-region-codes si el valor de --src-network-type es NON_INTERNET, VPC_NETWORK o INTRA_VPC.
    • SRC_THREAT_LIST_NAMES: lista de nombres de listas de Google Threat Intelligence separados por comas. Para obtener más información, consulta Google Threat Intelligence para reglas de políticas de firewall. No puedes usar el parámetro --src-threat-intelligence si el valor de --src-network-type es NON_INTERNET, VPC_NETWORK o INTRA_VPC.
    • SRC_NETWORK_TYPE: define los tipos de redes de origen que se van a usar junto con otro parámetro de destino admitido para generar una combinación de destino específica. Los valores válidos son INTERNET, NON_INTERNET, VPC_NETWORK o INTRA_VPC. Para obtener más información, consulta Tipos de redes.
    • SRC_VPC_NETWORK: lista de VPCs separadas por comas especificadas por sus identificadores de URL. Especifica este parámetro solo cuando --src-network-type sea VPC_NETWORKS.
  • También puede especificar un destino para la regla de entrada:
    • DEST_IP_RANGES: una lista separada por comas de intervalos de direcciones IP en formato CIDR. Todos los intervalos de la lista deben ser CIDRs IPv4 o CIDRs IPv6, no una combinación de ambos.

Para crear una regla de salida, usa el siguiente comando:

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --description DESCRIPTION \
    --direction EGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--dest-ip-ranges DEST_IP_RANGES] \
    [--dest-address-groups DEST_ADDRESS_GROUPS] \
    [--dest-fqdns DEST_DOMAIN_NAMES] \
    [--dest-region-codes DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence DEST_THREAT_LIST_NAMES] \
    [--dest-network-type DEST_NETWORK_TYPE]

Haz los cambios siguientes:

  • PRIORITY: el orden de evaluación numérica de la regla en la política. Las reglas se evalúan de mayor a menor prioridad, donde 0 es la prioridad más alta. Las prioridades deben ser únicas para cada regla. Te recomendamos que separes los valores de prioridad de las reglas por más de una unidad (por ejemplo, 100, 200 y 300) para que puedas crear reglas nuevas entre las que ya tienes más adelante.
  • POLICY_NAME: nombre de la política de cortafuegos de red regional que contiene la nueva regla.
  • POLICY_REGION: la región de la política que contiene la nueva regla.
  • DESCRIPTION: descripción opcional de la nueva regla
  • ACTION: especifica una de las siguientes acciones:
  • Los parámetros --enable-logging y --no-enable-logging habilitan o inhabilitan el registro de reglas de cortafuegos.
  • Los parámetros --disabled y --no-disabled controlan si la regla está inhabilitada (no se aplica) o habilitada (se aplica).
  • Especifica un objetivo:
    • TARGET_SECURE_TAGS: una lista de etiquetas seguras separadas por comas.
    • TARGET_SERVICE_ACCOUNTS: lista de cuentas de servicio separada por comas.
    • Si omite los parámetros --target-secure-tags y --target-service-accounts, la regla se aplicará a la orientación más amplia.
  • LAYER_4_CONFIGS: lista de configuraciones de capa 4 separada por comas. Cada configuración de capa 4 puede ser una de las siguientes:
    • Nombre de protocolo IP (tcp) o número de protocolo IP de IANA (17) sin ningún puerto de destino.
    • Nombre de protocolo IP y puerto de destino separados por dos puntos (tcp:80).
    • Nombre de un protocolo IP e intervalo de puertos de destino separados por dos puntos. Se usa un guion para separar los puertos de destino inicial y final (tcp:5000-6000). Para obtener más información, consulte Protocolos y puertos.
  • Si quieres, especifica una fuente para la regla de salida:
    • SRC_IP_RANGES: una lista separada por comas de intervalos de direcciones IP en formato CIDR. Todos los intervalos de la lista deben ser CIDRs IPv4 o CIDRs IPv6, no una combinación de ambos.
  • Especifica un destino para la regla de salida:
    • DEST_IP_RANGES: una lista separada por comas de intervalos de direcciones IP en formato CIDR. Todos los intervalos de la lista deben ser CIDRs IPv4 o CIDRs IPv6, no una combinación de ambos.
    • DEST_ADDRESS_GROUPS: lista de grupos de direcciones separados por comas especificados por sus identificadores de URL únicos.
    • DEST_DOMAIN_NAMES: una lista de objetos FQDN separados por comas especificados en el formato de nombre de dominio.
    • DEST_COUNTRY_CODES: lista de códigos de país de dos letras separados por comas. Para obtener más información, consulta Objetos de geolocalización.
    • DEST_THREAT_LIST_NAMES: lista de nombres de listas de Google Threat Intelligence separados por comas. Para obtener más información, consulta Google Threat Intelligence para reglas de políticas de firewall.
    • DEST_NETWORK_TYPE: define los tipos de red de destino que se van a usar junto con otro parámetro de destino admitido para generar una combinación de destino específica. Los valores válidos son INTERNET y NON_INTERNET. Para obtener más información, consulta Tipos de redes.

Actualizar una regla

Para ver las descripciones de las marcas, consulta Crear una regla.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

  3. Haz clic en tu política.

  4. Haz clic en la prioridad de la regla.

  5. Haz clic en Editar.

  6. Modifica las marcas que quieras cambiar.

  7. Haz clic en Guardar.

gcloud

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME \
    [...flags you want to modify...]

Describe una regla

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

  3. Haz clic en tu política.

  4. Haz clic en la prioridad de la regla.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Haz los cambios siguientes:

  • PRIORITY: número de prioridad que identifica la regla de forma única
  • POLICY_NAME: el nombre de la política que contiene la regla
  • REGION_NAME: la región de la política que contiene la regla

Eliminar una regla

Si se elimina una regla de una política, la regla dejará de aplicarse a las nuevas conexiones hacia o desde el destino de la regla.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

  3. Haz clic en tu política.

  4. Selecciona la regla que quieras eliminar.

  5. Haz clic en Eliminar.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=REGION_NAME

Haz los cambios siguientes:

  • PRIORITY: número de prioridad que identifica la regla de forma única
  • POLICY_NAME: la política que contiene la regla
  • REGION_NAME: la región de la política que contiene la regla

Clonar reglas de una política a otra

Al clonar una política, se copian las reglas de la política de origen en la de destino, y se sustituyen todas las reglas que ya hubiera en la política de destino.

Consola

  1. En la Google Cloud consola, ve a la página Políticas de cortafuegos.

    Ir a Políticas de cortafuegos

  2. En el menú de selección de proyectos, elige el proyecto que contenga la política.

  3. Haz clic en la política de la que quieras copiar las reglas.

  4. En la parte superior de la pantalla, haz clic en Clonar.

  5. Indica el nombre de una política de destino.

  6. Si quieres asociar la nueva política inmediatamente, haz clic en Continuar > Asociar.

  7. En la página Asociar política con redes de VPC, selecciona las redes y haz clic en Asociar.

  8. Haz clic en Continuar.

  9. Haz clic en Clonar.

gcloud

gcloud compute network-firewall-policies clone-rules TARGET_POLICY \
    --region=TARGET_POLICY_REGION \
    --source-firewall-policy SOURCE_POLICY

Haz los cambios siguientes:

  • TARGET_POLICY: el nombre de la política de destino
  • TARGET_POLICY_REGION: la región de la política de destino
  • SOURCE_POLICY: la URL de la política de origen

Obtener las reglas de cortafuegos en vigor de una región de una red

Puede ver todas las reglas de políticas de cortafuegos de jerarquía, las reglas de cortafuegos de VPC, las reglas de políticas de cortafuegos de red globales y las reglas de políticas de cortafuegos de red regionales que se aplican a una región específica de una red de VPC.

gcloud

gcloud compute network-firewall-policies get-effective-firewalls \
    --region=REGION_NAME \
    --network=NETWORK_NAME

Haz los cambios siguientes:

  • REGION_NAME: la región de la que quiere ver las reglas vigentes.
  • NETWORK_NAME: la red de la que quieres ver las reglas efectivas.