Criar políticas e regras de firewall de rede regionais

Para gerenciar o tráfego de rede em uma região específica de uma rede de nuvem privada virtual (VPC), configure políticas e regras de firewall de rede regional. Nesta página, descrevemos como criar uma política de firewall de rede regional, associá-la a uma rede VPC e região específicas e, em seguida, definir regras. Essas regras controlam o tráfego de entrada e saída de instâncias de máquina virtual (VM) e balanceadores de carga internos.

Antes de ler esta página, conheça os conceitos descritos em Políticas de firewall de rede regional.

Criar uma política de firewall de rede regional

Ao criar uma política de firewall de rede regional usando o console do Google Cloud , é possível associar a política a uma região e a uma rede VPC durante a criação. Se você criar a política usando a Google Cloud CLI, será necessário associá-la a uma região e rede depois de criá-la.

A rede VPC associada à política de firewall de rede regional precisa estar no mesmo projeto que a política.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. No menu do seletor de projetos, selecione seu projeto na organização.

  3. Clique em Criar política de firewall.

  4. No campo Nome da política, insira um nome para a política.

  5. Em Tipo de política, selecione Política de VPC ou Política de RDMA RoCE.

  6. Em Escopo da implantação, selecione Regional. Selecione a região em que você quer criar essa política de firewall.

  7. Para criar regras para sua política, clique em Continuar.

  8. Na seção Adicionar regras, clique em Criar regra de firewall. Para mais informações sobre como criar regras de firewall, consulte:

  9. Se quiser associar a política a uma rede, clique em Continuar.

  10. Na seção Associar política a redes, clique em Associar.

    Para mais informações, consulte Associar uma política a uma rede.

  11. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --region=REGION_NAME

Substitua:

  • NETWORK_FIREWALL_POLICY_NAME: um nome para a política.
  • DESCRIPTION: uma descrição da política.
  • POLICY_TYPE: tipo de política de firewall de rede. Para mais informações, consulte Especificações.
  • REGION_NAME: a região da política.

Associar uma política a uma rede

É possível associar uma política de firewall de rede regional a uma região de uma rede VPC e aplicar as regras da política a essa região da rede.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. No menu do seletor de projetos, selecione o projeto que contém a política.

  3. Clique na sua política.

  4. Clique na guia Associações.

  5. Clique em Adicionar associação.

  6. Selecione as redes no projeto.

  7. Clique em Associar.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME

Substitua:

  • POLICY_NAME: o nome curto ou o nome gerado pelo sistema da política.
  • POLICY_REGION: a região da política que contém a regra.
  • NETWORK_NAME: o nome da rede associada.
  • ASSOCIATION_NAME: um nome opcional para a associação. Se não for especificado, o nome será definido como network-NETWORK_NAME.

Adicionar regras em uma política de firewall de rede regional

Nesta seção, descrevemos como adicionar regras em uma política de firewall de rede regional.

Criar uma regra de entrada para destinos de VM

Nesta seção, descrevemos como criar uma regra de entrada que se aplica a interfaces de rede de instâncias do Compute Engine.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede regional.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede regional em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Instâncias.

      Quando você seleciona essa opção, o Cloud NGFW usa instâncias de VM como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de instância mais amplos.
      • Contas de serviço: restringe os destinos de instância mais amplos às interfaces de rede das instâncias de VM que usam a conta de serviço especificada:

        • Na seção Escopo da conta de serviço, selecione Neste projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço no mesmo projeto da política de firewall de rede regional.
        • Na seção Escopo da conta de serviço, selecione Em outro projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço em um projeto de serviço de VPC compartilhada.
      • Tags seguras: restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura que você especificar. Clique em Selecionar escopo para tags e selecione a organização ou o projeto que contém os valores de tag correspondentes. Para adicionar mais valores de tag, clique em Adicionar tag.

    5. Direção do tráfego: selecione Entrada.

    6. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.

    7. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    8. Contexto da rede de origem: especifique um contexto de rede:

      • Para pular a filtragem do tráfego de entrada por contexto de rede, selecione Todos os contextos de rede.
      • Para filtrar o tráfego de entrada para um contexto de rede específico, selecione Contexto de rede específico e, em seguida, selecione um contexto de rede:

    9. Filtros de origem: especifique outros parâmetros de origem. Alguns parâmetros de origem não podem ser usados juntos, e sua escolha de contexto de rede de origem limita quais parâmetros de origem você pode usar. Para mais informações, consulte Origens das regras de entrada e Combinações de origem das regras de entrada.

      • Para filtrar o tráfego de entrada por intervalos IPv4 de origem, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
      • Para filtrar o tráfego de entrada por intervalos IPv6 de origem, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer origem IPv6.
      • Para filtrar o tráfego de entrada por valores de tag segura de origem, selecione Selecionar escopo para tags na seção Tags seguras. Em seguida, forneça chaves e valores de tag. Para adicionar mais valores de tag, clique em Adicionar tag.
      • Para filtrar o tráfego de entrada por FQDN de origem, insira FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de entrada por geolocalização de origem, selecione um ou mais locais no campo Geolocalizações. Para mais informações, consulte Objetos de geolocalização.
      • Para filtrar o tráfego de entrada por grupo de endereços de origem, selecione um ou mais grupos no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.
      • Para filtrar o tráfego de entrada por listas de origem do Google Threat Intelligence, selecione uma ou mais listas do Google Threat Intelligence no campo Google Cloud Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.

    10. Destino: especifique parâmetros de destino opcionais. Para mais informações, consulte Destinos das regras de entrada.

      • Para pular a filtragem do tráfego de entrada por endereço IP de destino, selecione Nenhum.
      • Para filtrar o tráfego de entrada por endereço IP de destino, selecione IPv4 ou IPv6 e insira um ou mais CIDRs usando o mesmo formato usado para intervalos IPv4 ou IPv6 de origem.

    11. Protocolos e portas: especifique os protocolos e as portas de destino para que o tráfego corresponda à regra. Para mais informações, consulte Protocolos e portas.

    12. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede regional em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede regional.
  • POLICY_REGION: a região da política.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir as flags --target-secure-tags e --target-service-accounts, o Cloud NGFW vai usar os destinos de instância mais amplos.
    • TARGET_SECURE_TAGS: uma lista separada por vírgulas de valores de tags seguras que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura.
    • TARGET_SERVICE_ACCOUNTS: uma lista separada por vírgulas de contas de serviço que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM que usam uma das contas de serviço.

  • LAYER_4_CONFIGS: uma lista separada por vírgulas de configurações da camada 4. Cada configuração da camada 4 pode ser uma das seguintes:

    • Um nome de protocolo IP (tcp) ou número de protocolo IP da IANA (6) sem qualquer porta de destino.
    • Um nome de protocolo IP e uma porta de destino separados por dois pontos (tcp:80).
    • Um nome de protocolo IP e um intervalo de portas de destino separados por dois-pontos, usando um traço para separar as portas de destino inicial e final (tcp:5000-6000).

    Para mais informações, consulte Protocolos e portas.

  • Especifique uma origem para a regra de entrada. Para mais informações, consulte Combinações de origem de regras de entrada:

    • SRC_NETWORK_CONTEXT: define um contexto de rede de origem a ser usado em conjunto com outro parâmetro de origem compatível para produzir uma combinação de origem. Os valores válidos quando --target-type=INSTANCES são: INTERNET, NON_INTERNET, VPC_NETWORKS ou INTRA_VPC. Para mais informações, consulte Contextos de rede.
    • SRC_VPC_NETWORKS: uma lista separada por vírgulas de redes VPC especificadas pelos identificadores de URL. Especifique essa flag somente quando --src-network-context for VPC_NETWORKS.
    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • SRC_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos. Os grupos de endereços na lista precisam conter todos os endereços IPv4 ou todos os endereços IPv6, não uma combinação de ambos.
    • SRC_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.
    • SRC_SECURE_TAGS: uma lista de tags separadas por vírgulas. Não é possível usar a flag --src-secure-tags se --src-network-context for INTERNET.
    • SRC_COUNTRY_CODES: uma lista separada por vírgulas de códigos de países com duas letras. Para mais informações, consulte Objetos de geolocalização. Não é possível usar a flag --src-region-codes se --src-network-context for NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
    • SRC_THREAT_LIST_NAMES: uma lista separada por vírgulas de nomes de listas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall. Não será possível usar a flag --src-threat-intelligence se --src-network-context for NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
  • Se quiser, especifique um destino para a regra de entrada:

    • DEST_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.

Criar uma regra de entrada para destinos do balanceador de carga interno

Para restringir o acesso a uma ou mais regras de encaminhamento do balanceador de carga de aplicativo interno ou do balanceador de carga de rede de proxy interno, crie pelo menos duas regras de entrada que usem balanceadores de carga internos como destinos. Isso é necessário porque a ação implícita para destinos do balanceador de carga de aplicativo interno e do balanceador de carga de rede de proxy interno permite a entrada. As regras necessárias para restringir o acesso são:

  • Uma regra de firewall de negação de entrada de prioridade mais baixa com --src-ip-ranges=0.0.0.0/0.
  • Uma regra de firewall de permissão de entrada de prioridade mais alta com os parâmetros de origem especificados.

Nesta seção, descrevemos como criar uma regra de entrada para balanceadores de carga de aplicativo internos e destinos de balanceador de carga de rede de proxy interno.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede regional.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede regional em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Balanceadores de carga internos.

      Quando você seleciona essa opção, o Cloud NGFW usa balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy interno como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de balanceador de carga mais amplos.
      • Regra de encaminhamento: para selecionar a regra de encaminhamento, faça o seguinte:
        1. Clique em Selecionar projeto e escolha um projeto.
        2. Em Tipo de balanceador de carga, selecione o tipo de balanceador de carga.
        3. Em Balanceador de carga, selecione o balanceador de carga.
        4. Em Regra de encaminhamento, selecione a regra de encaminhamento.

    5. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.

    6. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    7. Contexto da rede de origem: especifique um contexto de rede:

      • Para pular a filtragem do tráfego de entrada por contexto de rede, selecione Todos os contextos de rede.
      • Para filtrar o tráfego de entrada para um contexto de rede específico, selecione Contexto de rede específico e, em seguida, selecione um contexto de rede:
      • Intra VPC: o tráfego de entrada precisa corresponder aos Critérios para o contexto de rede intra VPC.
      • Redes VPC: o tráfego de entrada precisa corresponder aos Critérios para o contexto de redes VPC. Selecione pelo menos uma rede VPC:
        • Selecionar projeto atual: permite adicionar uma ou mais rede VPC do projeto que contém a política de firewall.
        • Inserir rede manualmente: permite inserir manualmente um projeto e uma rede VPC.
        • Selecionar projeto: permite selecionar um projeto para escolher uma rede VPC.

    8. Filtros de origem: especifique outros parâmetros de origem. Alguns parâmetros de origem não podem ser usados juntos, e sua escolha de contexto de rede de origem limita quais parâmetros de origem você pode usar. Para mais informações, consulte Origens das regras de entrada e Combinações de origem das regras de entrada.

      • Para filtrar o tráfego de entrada por intervalos IPv4 de origem, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
      • Para filtrar o tráfego de entrada por intervalos IPv6 de origem, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer origem IPv6.
      • Para filtrar o tráfego de entrada por FQDN de origem, insira FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de entrada por grupo de endereços de origem, selecione um ou mais grupos no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.

    9. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede regional em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede regional.
  • POLICY_REGION: a região da política.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir a flag --target-forwarding-rules, o Cloud NGFW vai usar os destinos de balanceador de carga mais amplos.
    • TARGET_FORWARDING_RULES: uma única regra de encaminhamento para um balanceador de carga de aplicativo interno ou um balanceador de carga de rede de proxy interno especificado no formato de regras de encaminhamento de destino. Esse parâmetro restringe os destinos mais amplos do balanceador de carga a um balanceador de carga de aplicativo interno ou de rede de proxy interno específico.
  • LAYER_4_CONFIGS: especifique tcp ou o número do protocolo IANA 6. As regras de firewall que segmentam balanceadores de carga internos (INTERNAL_MANAGED_LB) são compatíveis apenas com o protocolo TCP. Não especifique portas ou intervalos de portas de destino. A filtragem se aplica a todo o tráfego direcionado à regra de encaminhamento do balanceador de carga.
  • Especifique uma origem para a regra de entrada. Para mais informações, consulte Combinações de origem de regras de entrada:

    • SRC_NETWORK_CONTEXT: define um contexto de rede de origem a ser usado em conjunto com outro parâmetro de origem compatível para produzir uma combinação de origem. Os valores válidos quando --target-type=INTERNAL_MANAGED_LB são VPC_NETWORKS ou INTRA_VPC. Para mais informações, consulte Contextos de rede.
    • SRC_VPC_NETWORKS: uma lista separada por vírgulas de redes VPC especificadas pelos identificadores de URL. Especifique essa flag somente quando --src-network-context for VPC_NETWORKS.
    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • SRC_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos. Os grupos de endereços na lista precisam conter todos os endereços IPv4 ou todos os endereços IPv6, não uma combinação de ambos.
    • SRC_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.

Criar uma regra de saída para destinos de VM

As instruções a seguir mostram como criar uma regra de saída. As regras de saída só se aplicam a destinos que são interfaces de rede de instâncias do Compute Engine.

Console

  1. No console do Google Cloud , acesse a página Políticas de firewall.

    Acesse as políticas de firewall

  2. Na lista do seletor de projetos, selecione um projeto que contenha uma política de firewall de rede regional.

  3. Na seção Políticas de firewall de rede, clique no nome de uma política de firewall de rede regional em que você quer criar uma regra.

  4. Na seção Regras de firewall, clique em Criar regra de firewall e especifique os seguintes parâmetros de configuração:

    1. Prioridade: a ordem de avaliação numérica da regra.

      As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade das regras por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.

    2. Descrição: forneça uma descrição opcional.

    3. Tipo de destino: selecione Instâncias.

      Quando você seleciona essa opção, o Cloud NGFW usa instâncias de VM como destino.

    4. Destino: selecione uma das seguintes opções:

      • Aplicar a todos: o Cloud NGFW usa os destinos de instância mais amplos.
      • Contas de serviço: restringe os destinos de instância mais amplos às interfaces de rede das instâncias de VM que usam a conta de serviço especificada:

        • Na seção Escopo da conta de serviço, selecione Neste projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço no mesmo projeto da política de firewall de rede regional.
        • Na seção Escopo da conta de serviço, selecione Em outro projeto > Conta de serviço de destino. Isso serve para especificar uma conta de serviço em um projeto de serviço de VPC compartilhada.
      • Tags seguras: restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura que você especificar. Clique em Selecionar escopo para tags e selecione a organização ou o projeto que contém os valores de tag correspondentes. Para adicionar mais valores de tag, clique em Adicionar tag.

    5. Direção do tráfego: selecione Saída.

    6. Ação se houver correspondência: selecione uma das seguintes opções:

      • Permitir: para permitir conexões que correspondam aos parâmetros da regra.
      • Negar: para bloquear conexões que correspondem aos parâmetros da regra.
      • Ir para a próxima: para continuar o processo de avaliação da regra de firewall.

    7. Registros: selecione Ativado para ativar a geração de registros de regras de firewall ou Desativado para desativar a geração de registros de regras de firewall para essa regra.

    8. Contexto da rede de destino: especifique um contexto de rede:

    9. Filtros de destino: especifique outros parâmetros de destino. Alguns parâmetros de destino não podem ser usados juntos, e sua escolha de contexto de rede de destino limita os filtros de destino que podem ser usados. Para mais informações, consulte Destinos para regras de saída e Combinações de destino de regras de saída.

      • Para filtrar o tráfego de saída por intervalos IPv4 de destino, selecione IPv4 e insira os blocos CIDR no campo Intervalos de IP. Use 0.0.0.0/0 para qualquer destino IPv4.
      • Para filtrar o tráfego de saída por intervalos IPv6 de destino, selecione IPv6 e insira os blocos CIDR no campo Intervalos IPv6. Use ::/0 para qualquer destino IPv6.
      • Para filtrar o tráfego de saída por FQDN de destino, insira os FQDNs no campo FQDNs. Para mais informações, consulte Objetos FQDN.
      • Para filtrar o tráfego de saída por geolocalização de destino, selecione um ou mais locais no campo Geolocalizações. Para mais informações, consulte Objetos de geolocalização.
      • Para filtrar o tráfego de saída por grupo de endereços de destino, selecione um ou mais grupos de endereços no campo Grupos de endereços. Para mais informações, consulte Grupos de endereços para políticas de firewall.
      • Para filtrar o tráfego de saída por listas de destino do Google Threat Intelligence, selecione uma ou mais listas do Google Threat Intelligence no campo Google Cloud Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.

    10. Origem: especifique parâmetros de origem opcionais. Para mais informações, consulte Origens das regras de saída.

      • Para pular a filtragem do tráfego de saída por endereço IP de origem, selecione Nenhum.
      • Para filtrar o tráfego de saída por endereço IP de origem, selecione IPv4 ou IPv6 e insira um ou mais CIDRs usando o mesmo formato usado para intervalos IPv4 ou IPv6 de destino.

    11. Protocolos e portas: especifique os protocolos e as portas de destino para que o tráfego corresponda à regra. Para mais informações, consulte Protocolos e portas.

    12. Aplicação: especifique se a regra de firewall é aplicada ou não:

      • Ativada: cria a regra e começa a aplicá-la a novas conexões.
      • Desativada: cria a regra, mas não a aplica a novas conexões.

  5. Clique em Criar.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Substitua:

  • PRIORITY: a ordem de avaliação numérica da regra na política. As regras são avaliadas da prioridade mais alta para a mais baixa, em que 0 é a mais alta. As prioridades precisam ser exclusivas para cada regra. Recomendamos que você separe os valores de prioridade de regra por mais do que apenas uma diferença de um (por exemplo, 100, 200, 300) para que seja possível criar novas regras entre as regras atuais mais tarde.
  • POLICY_NAME: o nome da política de firewall de rede regional em que você quer criar a regra.
  • PROJECT_ID: o ID do projeto que contém a política de firewall de rede regional.
  • POLICY_REGION: a região da política.
  • DESCRIPTION: uma descrição opcional para a nova regra.
  • ACTION: especifique uma das seguintes ações:

  • As flags --enable-logging e --no-enable-logging ativam ou desativam a geração de registros de regras de firewall de VPC.
  • As flags --disabled e --no-disabled controlam se a regra está desativada (não aplicada) ou ativada (aplicada).
  • Especifique um destino:

    • Se você omitir as flags --target-secure-tags e --target-service-accounts, o Cloud NGFW vai usar os destinos de instância mais amplos.
    • TARGET_SECURE_TAGS: uma lista separada por vírgulas de valores de tags seguras que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM vinculadas a pelo menos um dos valores de tag segura.
    • TARGET_SERVICE_ACCOUNTS: uma lista separada por vírgulas de contas de serviço que restringe os destinos de instância mais amplos às interfaces de rede de instâncias de VM que usam uma das contas de serviço.

  • LAYER_4_CONFIGS: uma lista separada por vírgulas de configurações da camada 4. Cada configuração da camada 4 pode ser uma das seguintes:

    • Um nome de protocolo IP (tcp) ou número de protocolo IP da IANA (6) sem qualquer porta de destino.
    • Um nome de protocolo IP e uma porta de destino separados por dois pontos (tcp:80).
    • Um nome de protocolo IP e um intervalo de portas de destino separados por dois-pontos, usando um traço para separar as portas de destino inicial e final (tcp:5000-6000).

    Para mais informações, consulte Protocolos e portas.

  • Especifique um destino para a regra de saída. Para mais informações, consulte Combinações de destino de regras de saída:

    • DEST_NETWORK_CONTEXT: define um contexto de rede de destino a ser usado em conjunto com outro parâmetro de destino compatível para produzir uma combinação de destino. Os valores válidos são INTERNET e NON_INTERNET. Para mais informações, consulte Contextos de rede.
    • DEST_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.
    • DEST_ADDRESS_GROUPS: uma lista separada por vírgulas de grupos de endereços especificados pelos identificadores de URL exclusivos.
    • DEST_DOMAIN_NAMES: uma lista separada por vírgulas de objetos FQDN especificados no formato de nome de domínio.
    • DEST_COUNTRY_CODES: uma lista separada por vírgulas de códigos de países com duas letras. Para mais informações, consulte Objetos de geolocalização.
    • DEST_THREAT_LIST_NAMES: uma lista separada por vírgulas de nomes de listas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.
  • Se quiser, especifique uma origem para a regra de saída:

    • SRC_IP_RANGES: uma lista separada por vírgulas de intervalos de endereços IP no formato CIDR. Todos os intervalos na lista precisam ser CIDRs IPv4 ou CIDRs IPv6, não uma combinação de ambos.

A seguir