리전 네트워크 방화벽 정책 및 규칙 만들기

Virtual Private Cloud (VPC) 네트워크의 특정 리전 내에서 네트워크 트래픽을 관리하려면 리전 네트워크 방화벽 정책 및 규칙을 구성합니다. 이 페이지에서는 리전 네트워크 방화벽 정책을 만들고, 이를 특정 VPC 네트워크 및 리전과 연결한 후 규칙을 정의하는 방법을 설명합니다. 이러한 규칙은 가상 머신 (VM) 인스턴스 및 내부 부하 분산기의 인그레스 및 이그레스 트래픽을 제어합니다.

이 페이지를 읽기 전에 리전 네트워크 방화벽 정책에 설명된 개념을 숙지해야 합니다.

리전 네트워크 방화벽 정책 만들기

Google Cloud 콘솔을 사용하여 리전 네트워크 방화벽 정책을 만들 때 생성 중에 정책을 리전 및 VPC 네트워크와 연결할 수 있습니다. Google Cloud CLI를 사용하여 정책을 만드는 경우 정책을 만든 후 정책을 리전 및 네트워크와 연결해야 합니다.

리전 네트워크 방화벽 정책과 연결된 VPC 네트워크는 리전 네트워크 방화벽 정책과 동일한 프로젝트에 있어야 합니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.regionFirewallPolicies.create

역할

• 정책을 만들려는 프로젝트의 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 내의 프로젝트를 선택합니다.

3. 방화벽 정책 만들기를 클릭합니다.

4. 정책 이름 필드에 정책 이름을 입력합니다.

5. 정책 유형에서 VPC 정책 또는 RDMA RoCE 정책을 선택합니다.

   참고: RDMA RoCE는 리전 네트워크 방화벽 정책에만 지원됩니다. RoCE 정책 유형을 선택하면 배포 범위가 자동으로 리전으로 설정되며 수정할 수 없습니다.

6. 배포 범위에서 리전을 선택합니다. 이 방화벽 정책을 만들 리전을 선택합니다.

7. 정책에 대한 규칙을 만들려면 계속을 클릭합니다.

8. 규칙 추가 섹션에서 방화벽 규칙 만들기를 클릭합니다. 방화벽 규칙 만들기에 대한 자세한 내용은 다음을 참조하세요.

   • VM 타겟에 대한 인그레스 규칙 만들기
   • 내부 애플리케이션 부하 분산기 및 내부 프록시 네트워크 부하 분산기 대상에 대한 인그레스 규칙 만들기
   • VM 대상에 대한 이그레스 규칙 만들기

9. 정책을 네트워크와 연결하려면 계속을 클릭합니다.

10. 네트워크와 정책 연결 섹션에서 연결을 클릭합니다.

    자세한 내용은 정책을 네트워크와 연결을 참조하세요.

11. 만들기를 클릭합니다.

gcloud

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --region=REGION_NAME

다음을 바꿉니다.

• NETWORK_FIREWALL_POLICY_NAME: 정책 이름
• DESCRIPTION: 정책에 대한 설명
• POLICY_TYPE: 네트워크 방화벽 정책 유형입니다. 자세한 내용은 사양을 참조하세요.
• REGION_NAME: 정책의 리전

정책을 네트워크에 연결

리전 네트워크 방화벽 정책을 VPC 네트워크의 리전과 연결하고 정책의 규칙을 해당 네트워크 리전에 적용할 수 있습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.regionFirewallPolicies.use
• compute.networks.setFirewallPolicy

역할

• 방화벽 정책 또는 방화벽 정책이 포함된 프로젝트에 대한 Compute 네트워크 관리자 (roles/compute.networkAdmin) 또는
• 방화벽 정책 또는 방화벽 정책이 포함된 프로젝트에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 정책이 포함된 프로젝트를 선택합니다.

3. 정책을 클릭합니다.

4. 연결 탭을 클릭합니다.

5. 연결 추가를 클릭합니다.

6. 프로젝트에 있는 네트워크를 선택합니다.

7. 연결을 클릭합니다.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME

다음을 바꿉니다.

• POLICY_NAME: 정책의 닉네임 또는 시스템 생성 이름입니다.
• POLICY_REGION: 규칙이 포함된 정책의 리전입니다.
• NETWORK_NAME: 연결된 네트워크의 이름입니다.
• ASSOCIATION_NAME: 연결에 대한 선택적인 이름입니다. 지정하지 않으면 이름이 network-NETWORK_NAME로 설정됩니다.

리전 네트워크 방화벽 정책에 규칙 추가

이 섹션에서는 리전 네트워크 방화벽 정책에 규칙을 추가하는 방법을 설명합니다.

VM 대상에 대한 인그레스 규칙 만들기

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.regionFirewallPolicies.update

역할

• 방화벽 정책 또는 방화벽 정책이 포함된 프로젝트에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

이 섹션에서는 Compute Engine 인스턴스의 네트워크 인터페이스에 적용되는 인그레스 규칙을 만드는 방법을 설명합니다.

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 목록에서 리전 네트워크 방화벽 정책이 포함된 프로젝트를 선택합니다.

3. 네트워크 방화벽 정책 섹션에서 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름을 클릭합니다.

4. 방화벽 규칙 섹션에서 방화벽 규칙 만들기를 클릭하고 다음 구성 파라미터를 지정합니다.

   1. 우선순위: 규칙의 평가 순서(번호순)입니다.

      규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0는 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다 (예: 100, 200, 300).

   2. 설명: 원하는 경우 설명을 입력합니다.

   3. 대상 유형: 인스턴스를 선택합니다.

      이 옵션을 선택하면 Cloud NGFW는 VM 인스턴스를 대상으로 사용합니다.

   4. 대상: 다음 중 하나를 선택합니다.

      • 모두에 적용: Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
      • 서비스 계정: 가장 광범위한 인스턴스 타겟을 지정한 서비스 계정을 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁힙니다.
        • 서비스 계정 범위 섹션에서 이 프로젝트에서 > 대상 서비스 계정을 선택합니다. 리전 네트워크 방화벽 정책과 동일한 프로젝트의 서비스 계정을 지정하는 데 사용됩니다.
        • 서비스 계정 범위 섹션에서 다른 프로젝트 > 대상 서비스 계정을 선택합니다. 공유 VPC 서비스 프로젝트에서 서비스 계정을 지정하는 데 사용됩니다.
      • 보안 태그: 가장 광범위한 인스턴스 대상을 지정한 보안 태그 값 중 하나 이상에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁힙니다. 태그 범위 선택을 클릭하고 일치시킬 태그 값이 포함된 조직 또는 프로젝트를 선택합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.

   5. 트래픽 방향: 인그레스를 선택합니다.

   6. 일치 시 작업: 다음 중 하나를 선택합니다.

      • 허용: 규칙 매개변수와 일치하는 연결을 허용합니다.
      • 거부: 규칙 매개변수와 일치하는 연결을 차단합니다.
      • 다음으로 이동: 방화벽 규칙 평가 프로세스를 계속 진행합니다.

   7. 로그: 이 규칙에 대해 방화벽 규칙 로깅을 사용 설정하려면 사용 설정을 선택하고 방화벽 규칙 로깅을 사용 중지하려면 사용 중지를 선택합니다.

   8. 소스 네트워크 컨텍스트: 네트워크 컨텍스트를 지정합니다.

      • 네트워크 컨텍스트별로 인바운드 트래픽 필터링을 건너뛰려면 모든 네트워크 컨텍스트를 선택합니다.
      • 특정 네트워크 컨텍스트로 인바운드 트래픽을 필터링하려면 특정 네트워크 컨텍스트를 선택한 후 네트워크 컨텍스트를 선택합니다.
        • 인터넷: 인바운드 트래픽은 인그레스 패킷의 인터넷 네트워크 컨텍스트와 일치해야 합니다.
        • 비인터넷: 인바운드 트래픽은 인그레스 패킷의 비인터넷 네트워크 컨텍스트와 일치해야 합니다.
        • VPC 내: 인바운드 트래픽이 VPC 내 네트워크 컨텍스트 기준과 일치해야 합니다.
        • VPC 네트워크: 인바운드 트래픽이 VPC 네트워크 컨텍스트 기준과 일치해야 합니다. VPC 네트워크를 하나 이상 선택해야 합니다.
          • 현재 프로젝트 선택: 방화벽 정책이 포함된 프로젝트에서 VPC 네트워크를 하나 이상 추가할 수 있습니다.
          • 네트워크 수동 입력: 프로젝트 및 VPC 네트워크를 수동으로 입력할 수 있습니다.
          • 프로젝트 선택: VPC 네트워크를 선택할 수 있는 프로젝트를 선택할 수 있습니다.

   9. 소스 필터: 추가 소스 매개변수를 지정합니다. 일부 소스 매개변수는 함께 사용할 수 없으며 소스 네트워크 컨텍스트를 선택하면 사용할 수 있는 소스 매개변수가 제한됩니다. 자세한 내용은 인그레스 규칙의 소스 및 인그레스 규칙 소스 조합을 참조하세요.

      • 소스 IPv4 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv4를 선택한 후 IP 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv4 소스에 0.0.0.0/0을 사용합니다.
      • 소스 IPv6 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv6을 선택한 다음 IPv6 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv6 소스에 ::/0을 사용합니다.
      • 소스 보안 태그 값으로 인바운드 트래픽을 필터링하려면 보안 태그 섹션에서 태그 범위 선택을 선택합니다. 그런 다음 태그 키와 태그 값을 제공합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.
      • 소스 FQDN으로 인바운드 트래픽을 필터링하려면 FQDN 필드에 FQDN을 입력합니다. 자세한 내용은 FQDN 객체를 참조하세요.
      • 소스 위치정보로 인바운드 트래픽을 필터링하려면 위치정보 필드에서 하나 이상의 위치를 선택합니다. 자세한 내용은 위치정보 객체를 참조하세요.
      • 소스 주소 그룹별로 인바운드 트래픽을 필터링하려면 주소 그룹 필드에서 주소 그룹을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책의 주소 그룹을 참조하세요.
      • 소스 Google Threat Intelligence 목록을 기준으로 인바운드 트래픽을 필터링하려면 Google Cloud Threat Intelligence 필드에서 Google Threat Intelligence 목록을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참조하세요.

   10. 대상: 선택적 대상 매개변수를 지정합니다. 자세한 내용은 인그레스 규칙의 대상을 참조하세요.

       • 대상 IP 주소로 인바운드 트래픽 필터링을 건너뛰려면 없음을 선택합니다.
       • 대상 IP 주소로 인바운드 트래픽을 필터링하려면 IPv4 또는 IPv6를 선택한 후 소스 IPv4 범위 또는 소스 IPv6 범위에 사용되는 것과 동일한 형식을 사용하여 하나 이상의 CIDR을 입력합니다.

   11. 프로토콜 및 포트: 트래픽이 규칙과 일치하도록 프로토콜 및 대상 포트를 지정합니다. 자세한 내용은 프로토콜 및 포트를 참조하세요.

   12. 시행: 방화벽 규칙이 시행되는지 여부를 지정합니다.

       • 사용 설정됨: 규칙을 만들고 새 연결에 규칙을 적용하기 시작합니다.
       • 사용 중지됨: 규칙을 만들지만 새 연결에 규칙을 적용하지 않습니다.

5. 만들기를 클릭합니다.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

다음을 바꿉니다.

• PRIORITY: 정책 내 규칙의 평가 순서(번호순)입니다. 규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다(예: 100, 200, 300).
• POLICY_NAME: 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름입니다.
• PROJECT_ID: 리전 네트워크 방화벽 정책이 포함된 프로젝트 ID입니다.
• POLICY_REGION: 정책의 리전입니다.
• DESCRIPTION: 새 규칙에 대한 설명입니다(선택사항).
• ACTION: 다음 작업 중 하나를 지정합니다.
  • allow: 규칙과 일치하는 연결을 허용합니다.
  • deny: 규칙과 일치하는 연결을 거부합니다.
  • goto_next: 방화벽 규칙 평가 프로세스를 계속합니다.
• --enable-logging 및 --no-enable-logging 플래그는 VPC 방화벽 규칙 로깅을 사용 설정하거나 사용 중지합니다.
• --disabled 및 --no-disabled 플래그는 규칙이 사용 중지 (적용되지 않음) 또는 사용 설정 (적용됨)되는지 여부를 제어합니다.
• 대상을 지정합니다.
  • --target-secure-tags 및 --target-service-accounts 플래그를 모두 생략하면 Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
  • TARGET_SECURE_TAGS: 가장 광범위한 인스턴스 타겟을 하나 이상의 보안 태그 값에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁히는 쉼표로 구분된 보안 태그 값 목록입니다.
  • TARGET_SERVICE_ACCOUNTS: 가장 광범위한 인스턴스 타겟을 서비스 계정 중 하나를 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁히는 쉼표로 구분된 서비스 계정 목록입니다.

• LAYER_4_CONFIGS: 쉼표로 구분된 레이어 4 구성 목록입니다. 각 레이어 4 구성은 다음 중 하나일 수 있습니다.

  • 대상 포트가 없는 IP 프로토콜 이름 (tcp) 또는 IANA IP 프로토콜 번호 (6)입니다.
  • 콜론으로 구분된 IP 프로토콜 이름 및 대상 포트(tcp:80)
  • 대시를 사용하여 시작 및 종료 대상 포트를 구분하는 콜론으로 구분된 IP 프로토콜 이름 및 대상 포트 범위(tcp:5000-6000)

  자세한 내용은 프로토콜 및 포트를 참조하세요.

• 인그레스 규칙의 소스를 지정합니다. 자세한 내용은 인그레스 규칙 소스 조합을 참조하세요.
  • SRC_NETWORK_CONTEXT: 지원되는 다른 소스 파라미터와 함께 사용하여 소스 조합을 생성하는 소스 네트워크 컨텍스트를 정의합니다. --target-type=INSTANCES인 경우 유효한 값은 INTERNET, NON_INTERNET, VPC_NETWORKS, INTRA_VPC입니다. 자세한 내용은 네트워크 컨텍스트를 참조하세요.
  • SRC_VPC_NETWORKS: URL 식별자로 지정된 VPC 네트워크의 쉼표로 구분된 목록입니다. --src-network-context가 VPC_NETWORKS인 경우에만 이 플래그를 지정합니다.
  • SRC_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_ADDRESS_GROUPS: 고유 URL 식별자로 지정된 쉼표로 구분된 주소 그룹 목록입니다. 목록의 주소 그룹에는 IPv4 주소 또는 IPv6 주소가 모두 포함되어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_DOMAIN_NAMES: 도메인 이름 형식에 지정된 FQDN 객체의 쉼표로 구분된 목록입니다.
  • SRC_SECURE_TAGS: 쉼표로 구분된 태그 목록입니다. --src-network-context가 INTERNET인 경우 --src-secure-tags 플래그를 사용할 수 없습니다.
  • SRC_COUNTRY_CODES: 쉼표로 구분된 두 글자 국가 코드 목록입니다. 자세한 내용은 위치정보 객체를 참조하세요. --src-network-context가 NON_INTERNET, VPC_NETWORKS 또는 INTRA_VPC인 경우 --src-region-codes 플래그를 사용할 수 없습니다.
  • SRC_THREAT_LIST_NAMES: 쉼표로 구분된 Google Threat Intelligence 이름 목록입니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참조하세요. --src-network-context가 NON_INTERNET, VPC_NETWORKS 또는 INTRA_VPC인 경우 --src-threat-intelligence 플래그를 사용할 수 없습니다.
• 원하는 경우 인그레스 규칙의 대상을 지정합니다.
  • DEST_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.

내부 부하 분산기 대상에 대한 인그레스 규칙 만들기

하나 이상의 내부 애플리케이션 부하 분산기 또는 내부 프록시 네트워크 부하 분산기 전달 규칙에 대한 액세스를 제한하려면 내부 부하 분산기를 대상으로 사용하는 인그레스 규칙을 두 개 이상 만듭니다. 이는 내부 애플리케이션 부하 분산기 및 내부 프록시 네트워크 부하 분산기 대상에 대한 암시적 작업이 인그레스를 허용하기 때문에 필요합니다. 액세스를 제한하는 데 필요한 규칙은 다음과 같습니다.

• --src-ip-ranges=0.0.0.0/0가 있는 우선순위가 낮은 인그레스 거부 방화벽 규칙
• 지정한 소스 매개변수가 있는 우선순위가 더 높은 인그레스 허용 방화벽 규칙

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.regionFirewallPolicies.update

역할

• 방화벽 정책 또는 방화벽 정책이 포함된 프로젝트에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

이 섹션에서는 내부 애플리케이션 부하 분산기 및 내부 프록시 네트워크 부하 분산기 대상에 대한 인그레스 규칙을 만드는 방법을 설명합니다.

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 목록에서 리전 네트워크 방화벽 정책이 포함된 프로젝트를 선택합니다.

3. 네트워크 방화벽 정책 섹션에서 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름을 클릭합니다.

4. 방화벽 규칙 섹션에서 방화벽 규칙 만들기를 클릭하고 다음 구성 파라미터를 지정합니다.

   1. 우선순위: 규칙의 평가 순서(번호순)입니다.

      규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0는 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다 (예: 100, 200, 300).

   2. 설명: 원하는 경우 설명을 입력합니다.

   3. 대상 유형: 내부 부하 분산기를 선택합니다.

      이 옵션을 선택하면 Cloud NGFW는 내부 애플리케이션 부하 분산기와 내부 프록시 네트워크 부하 분산기를 대상으로 사용합니다.

   4. 대상: 다음 중 하나를 선택합니다.

      • 모두에 적용: Cloud NGFW는 가장 광범위한 부하 분산기 대상을 사용합니다.
      • 전달 규칙: 전달 규칙을 선택하려면 다음을 수행합니다.
        1. 프로젝트 선택을 클릭하고 프로젝트를 선택합니다.
        2. 부하 분산기 유형에서 부하 분산기 유형을 선택합니다.
        3. 부하 분산기에서 부하 분산기를 선택합니다.
        4. 전달 규칙에서 전달 규칙을 선택합니다.

   5. 일치 시 작업: 다음 중 하나를 선택합니다.

      • 허용: 규칙 매개변수와 일치하는 연결을 허용합니다.
      • 거부: 규칙 매개변수와 일치하는 연결을 차단합니다.
      • 다음으로 이동: 방화벽 규칙 평가 프로세스를 계속 진행합니다.

   6. 로그: 이 규칙에 대해 방화벽 규칙 로깅을 사용 설정하려면 사용 설정을 선택하고 방화벽 규칙 로깅을 사용 중지하려면 사용 중지를 선택합니다.

   7. 소스 네트워크 컨텍스트: 네트워크 컨텍스트를 지정합니다.

      • 네트워크 컨텍스트별로 인바운드 트래픽 필터링을 건너뛰려면 모든 네트워크 컨텍스트를 선택합니다.
      • 인바운드 트래픽을 특정 네트워크 컨텍스트로 필터링하려면 특정 네트워크 컨텍스트를 선택한 후 네트워크 컨텍스트를 선택합니다.
      • VPC 내: 인바운드 트래픽이 VPC 내 네트워크 컨텍스트 기준과 일치해야 합니다.
      • VPC 네트워크: 인바운드 트래픽이 VPC 네트워크 컨텍스트 기준과 일치해야 합니다. VPC 네트워크를 하나 이상 선택해야 합니다.
        • 현재 프로젝트 선택: 방화벽 정책이 포함된 프로젝트에서 VPC 네트워크를 하나 이상 추가할 수 있습니다.
        • 네트워크 수동 입력: 프로젝트 및 VPC 네트워크를 수동으로 입력할 수 있습니다.
        • 프로젝트 선택: VPC 네트워크를 선택할 수 있는 프로젝트를 선택할 수 있습니다.

   8. 소스 필터: 추가 소스 매개변수를 지정합니다. 일부 소스 매개변수는 함께 사용할 수 없으며 소스 네트워크 컨텍스트를 선택하면 사용할 수 있는 소스 매개변수가 제한됩니다. 자세한 내용은 인그레스 규칙의 소스 및 인그레스 규칙 소스 조합을 참조하세요.

      • 소스 IPv4 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv4를 선택한 후 IP 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv4 소스에 0.0.0.0/0을 사용합니다.
      • 소스 IPv6 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv6을 선택한 다음 IPv6 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv6 소스에 ::/0을 사용합니다.
      • 소스 FQDN으로 인바운드 트래픽을 필터링하려면 FQDN 필드에 FQDN을 입력합니다. 자세한 내용은 FQDN 객체를 참조하세요.
      • 소스 주소 그룹별로 인바운드 트래픽을 필터링하려면 주소 그룹 필드에서 주소 그룹을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책의 주소 그룹을 참조하세요.

   9. 시행: 방화벽 규칙이 시행되는지 여부를 지정합니다.

      • 사용 설정됨: 규칙을 만들고 새 연결에 규칙을 적용하기 시작합니다.
      • 사용 중지됨: 규칙을 만들지만 새 연결에 규칙을 적용하지 않습니다.

5. 만들기를 클릭합니다.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

다음을 바꿉니다.

• PRIORITY: 정책 내 규칙의 평가 순서(번호순)입니다. 규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다(예: 100, 200, 300).
• POLICY_NAME: 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름입니다.
• PROJECT_ID: 리전 네트워크 방화벽 정책이 포함된 프로젝트 ID입니다.
• POLICY_REGION: 정책의 리전입니다.
• DESCRIPTION: 새 규칙에 대한 설명입니다(선택사항).
• ACTION: 다음 작업 중 하나를 지정합니다.
  • allow: 규칙과 일치하는 연결을 허용합니다.
  • deny: 규칙과 일치하는 연결을 거부합니다.
  • goto_next: 방화벽 규칙 평가 프로세스를 계속합니다.
• --enable-logging 및 --no-enable-logging 플래그는 VPC 방화벽 규칙 로깅을 사용 설정하거나 사용 중지합니다.
• --disabled 및 --no-disabled 플래그는 규칙이 사용 중지 (적용되지 않음) 또는 사용 설정 (적용됨)되는지 여부를 제어합니다.
• 대상을 지정합니다.
  • --target-forwarding-rules 플래그를 생략하면 Cloud NGFW는 가장 광범위한 부하 분산기 대상을 사용합니다.
  • TARGET_FORWARDING_RULES: 대상 전달 규칙 형식으로 지정된 내부 애플리케이션 부하 분산기 또는 내부 프록시 네트워크 부하 분산기의 단일 전달 규칙입니다. 이 매개변수는 가장 광범위한 부하 분산기 타겟을 특정 내부 애플리케이션 부하 분산기 또는 내부 프록시 네트워크 부하 분산기로 좁힙니다.

• LAYER_4_CONFIGS: tcp 또는 IANA 프로토콜 번호 6를 지정합니다. 내부 부하 분산기(INTERNAL_MANAGED_LB)를 타겟팅하는 방화벽 규칙은 TCP 프로토콜만 지원합니다. 목적지 포트 또는 포트 범위를 지정하지 마세요. 필터링은 부하 분산기의 전달 규칙으로 전달되는 모든 트래픽에 적용됩니다.

• 인그레스 규칙의 소스를 지정합니다. 자세한 내용은 인그레스 규칙 소스 조합을 참조하세요.
  • SRC_NETWORK_CONTEXT: 지원되는 다른 소스 파라미터와 함께 사용하여 소스 조합을 생성하는 소스 네트워크 컨텍스트를 정의합니다. --target-type=INTERNAL_MANAGED_LB가 VPC_NETWORKS 또는 INTRA_VPC인 경우 유효한 값입니다. 자세한 내용은 네트워크 컨텍스트를 참조하세요.
  • SRC_VPC_NETWORKS: URL 식별자로 지정된 VPC 네트워크의 쉼표로 구분된 목록입니다. --src-network-context가 VPC_NETWORKS인 경우에만 이 플래그를 지정합니다.
  • SRC_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_ADDRESS_GROUPS: 고유 URL 식별자로 지정된 쉼표로 구분된 주소 그룹 목록입니다. 목록의 주소 그룹에는 IPv4 주소 또는 IPv6 주소만 포함되어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_DOMAIN_NAMES: 도메인 이름 형식에 지정된 FQDN 객체의 쉼표로 구분된 목록입니다.

VM 대상에 대한 이그레스 규칙 만들기

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.regionFirewallPolicies.update

역할

• 방화벽 정책 또는 방화벽 정책이 포함된 프로젝트에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

다음 안내에서는 이그레스 규칙을 만드는 방법을 보여줍니다. 이그레스 규칙은 Compute Engine 인스턴스의 네트워크 인터페이스인 대상에만 적용됩니다.

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 목록에서 리전 네트워크 방화벽 정책이 포함된 프로젝트를 선택합니다.

3. 네트워크 방화벽 정책 섹션에서 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름을 클릭합니다.

4. 방화벽 규칙 섹션에서 방화벽 규칙 만들기를 클릭하고 다음 구성 파라미터를 지정합니다.

   1. 우선순위: 규칙의 평가 순서(번호순)입니다.

      규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0는 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다 (예: 100, 200, 300).

   2. 설명: 원하는 경우 설명을 입력합니다.

   3. 대상 유형: 인스턴스를 선택합니다.

      이 옵션을 선택하면 Cloud NGFW는 VM 인스턴스를 대상으로 사용합니다.

   4. 대상: 다음 중 하나를 선택합니다.

      • 모두에 적용: Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
      • 서비스 계정: 가장 광범위한 인스턴스 타겟을 지정한 서비스 계정을 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁힙니다.
        • 서비스 계정 범위 섹션에서 이 프로젝트에서 > 대상 서비스 계정을 선택합니다. 리전 네트워크 방화벽 정책과 동일한 프로젝트의 서비스 계정을 지정하는 데 사용됩니다.
        • 서비스 계정 범위 섹션에서 다른 프로젝트 > 대상 서비스 계정을 선택합니다. 공유 VPC 서비스 프로젝트에서 서비스 계정을 지정하는 데 사용됩니다.
      • 보안 태그: 가장 광범위한 인스턴스 대상을 지정한 보안 태그 값 중 하나 이상에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁힙니다. 태그 범위 선택을 클릭하고 일치시킬 태그 값이 포함된 조직 또는 프로젝트를 선택합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.

   5. 트래픽 방향: 이그레스를 선택합니다.

   6. 일치 시 작업: 다음 중 하나를 선택합니다.

      • 허용: 규칙 매개변수와 일치하는 연결을 허용합니다.
      • 거부: 규칙 매개변수와 일치하는 연결을 차단합니다.
      • 다음으로 이동: 방화벽 규칙 평가 프로세스를 계속 진행합니다.

   7. 로그: 이 규칙에 대해 방화벽 규칙 로깅을 사용 설정하려면 사용 설정을 선택하고 방화벽 규칙 로깅을 사용 중지하려면 사용 중지를 선택합니다.

   8. 목적지 네트워크 컨텍스트: 네트워크 컨텍스트를 지정합니다.

      • 네트워크 컨텍스트별로 발신 트래픽 필터링을 건너뛰려면 모든 네트워크 컨텍스트를 선택합니다.
      • 나가는 트래픽을 특정 네트워크 컨텍스트로 필터링하려면 특정 네트워크 컨텍스트를 선택한 후 네트워크 컨텍스트를 선택합니다.
        • 인터넷: 발신 트래픽은 이그레스 패킷의 인터넷 네트워크 컨텍스트와 일치해야 합니다.
        • 비인터넷: 발신 트래픽이 이그레스 패킷의 비인터넷 네트워크 컨텍스트와 일치해야 합니다.

   9. 대상 필터: 추가 대상 매개변수를 지정합니다. 일부 대상 매개변수는 함께 사용할 수 없으며 대상 네트워크 컨텍스트를 선택하면 사용할 수 있는 대상 필터가 제한됩니다. 자세한 내용은 이그레스 규칙의 대상 및 이그레스 규칙 대상 조합을 참조하세요.

      • 대상 IPv4 범위를 기준으로 나가는 트래픽을 필터링하려면 IPv4를 선택한 다음 IP 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv4 대상에 0.0.0.0/0을 사용합니다.
      • 대상 IPv6 범위를 기준으로 나가는 트래픽을 필터링하려면 IPv6을 선택한 다음 IPv6 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv6 대상에 ::/0을 사용합니다.
      • 대상 FQDN으로 나가는 트래픽을 필터링하려면 FQDN 필드에 FQDN을 입력합니다. 자세한 내용은 FQDN 객체를 참조하세요.
      • 대상 위치정보로 나가는 트래픽을 필터링하려면 위치정보 필드에서 하나 이상의 위치를 선택합니다. 자세한 내용은 위치정보 객체를 참조하세요.
      • 대상 주소 그룹별로 발신 트래픽을 필터링하려면 주소 그룹 필드에서 주소 그룹을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책의 주소 그룹을 참조하세요.
      • 대상 Google Threat Intelligence 목록별로 발신 트래픽을 필터링하려면 Google Cloud Threat Intelligence 필드에서 하나 이상의 Google Threat Intelligence 목록을 선택합니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참조하세요.

   10. 소스: 선택적 소스 매개변수를 지정합니다. 자세한 내용은 이그레스 규칙의 소스를 참조하세요.

       • 소스 IP 주소로 나가는 트래픽 필터링을 건너뛰려면 없음을 선택합니다.
       • 소스 IP 주소로 나가는 트래픽을 필터링하려면 IPv4 또는 IPv6를 선택한 후 대상 IPv4 범위 또는 대상 IPv6 범위에 사용되는 것과 동일한 형식을 사용하여 CIDR을 하나 이상 입력합니다.

   11. 프로토콜 및 포트: 트래픽이 규칙과 일치하도록 프로토콜 및 대상 포트를 지정합니다. 자세한 내용은 프로토콜 및 포트를 참조하세요.

   12. 시행: 방화벽 규칙이 시행되는지 여부를 지정합니다.

       • 사용 설정됨: 규칙을 만들고 새 연결에 규칙을 적용하기 시작합니다.
       • 사용 중지됨: 규칙을 만들지만 새 연결에 규칙을 적용하지 않습니다.

5. 만들기를 클릭합니다.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

다음을 바꿉니다.

• PRIORITY: 정책 내 규칙의 평가 순서(번호순)입니다. 규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1 이상의 차이로 구분하는 것이 좋습니다(예: 100, 200, 300).
• POLICY_NAME: 규칙을 만들려는 리전 네트워크 방화벽 정책의 이름입니다.
• PROJECT_ID: 리전 네트워크 방화벽 정책이 포함된 프로젝트 ID입니다.
• POLICY_REGION: 정책의 리전입니다.
• DESCRIPTION: 새 규칙에 대한 설명입니다(선택사항).
• ACTION: 다음 작업 중 하나를 지정합니다.
  • allow: 규칙과 일치하는 연결을 허용합니다.
  • deny: 규칙과 일치하는 연결을 거부합니다.
  • goto_next: 방화벽 규칙 평가 프로세스를 계속합니다.
• --enable-logging 및 --no-enable-logging 플래그는 VPC 방화벽 규칙 로깅을 사용 설정하거나 사용 중지합니다.
• --disabled 및 --no-disabled 플래그는 규칙이 사용 중지 (적용되지 않음) 또는 사용 설정 (적용됨)되는지 여부를 제어합니다.
• 대상을 지정합니다.
  • --target-secure-tags 및 --target-service-accounts 플래그를 모두 생략하면 Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
  • TARGET_SECURE_TAGS: 가장 광범위한 인스턴스 타겟을 하나 이상의 보안 태그 값에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁히는 쉼표로 구분된 보안 태그 값 목록입니다.
  • TARGET_SERVICE_ACCOUNTS: 가장 광범위한 인스턴스 타겟을 서비스 계정 중 하나를 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁히는 쉼표로 구분된 서비스 계정 목록입니다.

• LAYER_4_CONFIGS: 쉼표로 구분된 레이어 4 구성 목록입니다. 각 레이어 4 구성은 다음 중 하나일 수 있습니다.

  • 대상 포트가 없는 IP 프로토콜 이름 (tcp) 또는 IANA IP 프로토콜 번호 (6)입니다.
  • 콜론으로 구분된 IP 프로토콜 이름 및 대상 포트(tcp:80)
  • 대시를 사용하여 시작 및 종료 대상 포트를 구분하는 콜론으로 구분된 IP 프로토콜 이름 및 대상 포트 범위(tcp:5000-6000)

  자세한 내용은 프로토콜 및 포트를 참조하세요.

• 이그레스 규칙의 대상을 지정합니다. 자세한 내용은 이그레스 규칙 대상 조합을 참조하세요.
  • DEST_NETWORK_CONTEXT: 지원되는 다른 대상 매개변수와 함께 사용하여 대상 조합을 생성하는 대상 네트워크 컨텍스트를 정의합니다. 유효한 값은 INTERNET 및 NON_INTERNET입니다. 자세한 내용은 네트워크 컨텍스트를 참조하세요.
  • DEST_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.
  • DEST_ADDRESS_GROUPS: 고유 URL 식별자로 지정된 쉼표로 구분된 주소 그룹 목록입니다.
  • DEST_DOMAIN_NAMES: 도메인 이름 형식에 지정된 FQDN 객체의 쉼표로 구분된 목록입니다.
  • DEST_COUNTRY_CODES: 쉼표로 구분된 두 글자 국가 코드 목록입니다. 자세한 내용은 위치정보 객체를 참조하세요.
  • DEST_THREAT_LIST_NAMES: 쉼표로 구분된 Google Threat Intelligence 이름 목록입니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참조하세요.
• 원하는 경우 이그레스 규칙의 소스를 지정합니다.
  • SRC_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.

다음 단계

• 리전 네트워크 방화벽 정책
• 리전 네트워크 방화벽 정책 관리
• 계층식 방화벽 정책
• 전역 네트워크 방화벽 정책 및 규칙 만들기