此页面由 Cloud Translation API 翻译。

使用分层防火墙政策和规则

本页面假定您熟悉分层防火墙政策概览中所述的概念。如需查看分层防火墙政策实施的示例，请参阅分层防火墙政策示例。

限制

分层防火墙政策规则不支持使用网络标记来定义目标。您必须改用目标虚拟私有云 (VPC) 网络或目标服务账号。
防火墙规则可以在文件夹级层和组织级层应用，但不能在 VPC 网络级层应用。VPC 网络支持常规 VPC 防火墙规则。
只有一个防火墙政策可以与资源（文件夹或组织）关联，但文件夹中的虚拟机 (VM) 实例可以从虚拟机上方的整个资源层次结构中继承规则。
防火墙规则日志记录支持 allow 和 deny 规则，但不支持 goto_next 规则。
防火墙规则不支持 IPv6 逐跳协议。

防火墙政策任务

本部分介绍了如何创建和管理分层防火墙政策。

如需查看本部分所列任务产生的操作的进度，请确保您的 IAM 主账号除了每个任务所需的权限或角色之外，还具有以下权限或角色。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.globalOperations.get
compute.globalOperations.getIamPolicy
compute.globalOperations.list
compute.globalOperations.setIamPolicy

角色

组织的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin)

创建防火墙政策

创建分层防火墙政策时，您可以将其父级设置为组织或组织内的文件夹。创建政策后，您可以将政策与组织或组织中的文件夹相关联。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.create

角色

您要在其中创建政策的组织或文件夹的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
您要创建政策的组织或文件夹的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或组织内的文件夹。
点击创建防火墙政策。
在政策名称字段中，输入政策的名称。
可选：如果您要为政策创建规则，请点击继续。
在添加规则部分中，点击创建防火墙规则。

如需了解详情，请参阅创建规则。
（可选）如果您要将政策与资源关联，请点击继续。
在将政策与资源相关联部分中，点击添加。

如需了解详情，请参阅将政策与组织或文件夹相关联。
点击创建。

gcloud

运行以下命令以创建父级为组织的分层防火墙政策：

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

运行以下命令可创建父级为组织内文件夹的分层防火墙政策：

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

替换以下内容：

ORG_ID：您的组织的 ID

指定组织 ID 以创建父级为组织的政策。政策可以与组织或组织内的文件夹相关联。
SHORT_NAME：政策的名称

使用 Google Cloud CLI 创建的政策有两个名称：系统生成的名称和您提供的简称。使用 gcloud CLI 更新现有政策时，您可以提供系统生成的名称或简称以及组织 ID。使用 API 更新政策时，您必须提供系统生成的名称。
FOLDER_ID：文件夹的 ID

指定文件夹 ID 以创建父级为文件夹的政策。该政策可以与包含相应文件夹的组织或该组织内的任何文件夹相关联。

将政策与组织或文件夹相关联

将分层防火墙政策与组织或组织中的文件夹相关联后，该防火墙政策的规则（已停用的规则除外，但需遵守每条规则的目标）将应用于关联的组织或文件夹的项目中 VPC 网络内的资源。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.use
compute.organizations.setFirewallPolicy

角色

Compute Organization Resource Admin (roles/compute.orgSecurityResourceAdmin) 对防火墙政策应适用的组织或文件夹具有此角色
并拥有以下角色之一：
- 防火墙政策或包含防火墙政策的组织或文件夹的 Compute Network Admin (roles/compute.networkAdmin) 角色
- 对防火墙政策或包含防火墙政策的组织或文件夹拥有 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
- 防火墙政策或包含防火墙政策的组织/文件夹的 Compute Organization Firewall Policy User (roles/compute.orgFirewallPolicyUser )
- 防火墙政策或包含防火墙政策的组织/文件夹的 Compute Organization Security Policy Admin (roles/compute.orgSecurityPolicyAdmin) 角色
- 防火墙政策或包含防火墙政策的组织/文件夹的 Compute Organization Security Policy User (roles/compute.orgSecurityPolicyUser) 角色
- 防火墙政策或包含防火墙政策的组织/文件夹的 Compute Security Admin (roles/compute.securityAdmin) 角色

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
点击关联标签页。
点击添加关联。
选择组织根目录或组织内的文件夹。
点击添加。

gcloud

默认情况下，如果您尝试将关联插入到已有关联的组织或文件夹，则该方法将失败。如果指定此 --replace-association-on-target 标志，则在创建新关联的同时删除现有关联。这可防止资源在转换期间没有政策。

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

替换以下内容：

POLICY_NAME：政策的简称或系统生成的名称
ORG_ID：您的组织的 ID
FOLDER_ID：如果要将政策与文件夹相关联，请在此处指定；如果要将政策关联到组织级层，请省略
ASSOCIATION_NAME：关联的可选名称；如果未指定，则将名称设置为“组织 ORG_ID”或“文件夹 FOLDER_ID”

将政策从一个资源移动到另一个资源

移动政策只会更改政策的父级。更改政策的父级可能会改变以下情况：哪些 IAM 主账号可以在政策中创建和更新规则，以及哪些 IAM 主账号可以创建未来的关联。

移动政策不会更改任何现有政策关联或政策中规则的评估。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.move

角色

新父资源（组织或文件夹）和旧父资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin)
新父资源（组织或文件夹）和旧父资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

使用 Google Cloud CLI 执行此过程。

gcloud

运行以下命令，将分层防火墙政策移至组织：

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID

运行以下命令，将分层防火墙政策移至组织中的文件夹：

gcloud compute firewall-policies move POLICY_NAME \
    --folder FOLDER_ID

替换以下内容：

POLICY_NAME：您要迁移的政策的简称或系统生成的名称
ORG_ID：政策要移至的组织的 ID
FOLDER_ID：政策要移至的文件夹 ID

更新政策说明

唯一可以更新的政策字段是说明字段。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.update

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
点击修改。
修改说明。
点击保存。

gcloud

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

列出政策

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.list

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含相应政策的父级（组织或文件夹）资源或政策本身的 Compute Organization Firewall Policy User (roles/compute.orgFirewallPolicyUser) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。

对于组织，与该组织关联的防火墙政策部分会显示关联政策。位于该组织的防火墙政策部分会列出该组织拥有的政策。

对于文件夹，与该文件夹关联或由该文件夹继承的防火墙政策部分会显示与该文件夹关联或由该文件夹继承的政策。位于该文件夹的防火墙政策部分会列出该文件夹拥有的政策。

注意：资源（组织或文件夹）拥有的政策可能不与该资源关联，但可用于与该资源或其他资源关联。

gcloud

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

描述政策

您可以查看分层防火墙政策的详细信息，包括政策规则和关联的规则属性。所有这些规则属性都计入规则属性配额。如需了解详情，请参阅每个防火墙政策表格中的“每个分层防火墙政策的规则属性”。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.get

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含相应政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy User 权限 (roles/compute.orgFirewallPolicyUser)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。

gcloud

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

删除政策

在删除分层防火墙政策之前，您必须删除其所有关联。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.delete

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您要删除的政策。
点击关联标签页。
选择所有关联。
点击移除关联。
移除所有关联后，点击删除。

gcloud

使用以下命令删除政策：

gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

列出资源的关联

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.organizations.listAssociations

角色

父级（组织或文件夹）资源（包含政策）或政策本身上的 Compute Organization Resource Admin (roles/compute.orgSecurityResourceAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
对于所选资源（组织或文件夹），系统会显示关联和继承的政策的列表。

gcloud

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

删除关联

如果您需要更改与组织或文件夹关联的分层防火墙政策，建议您关联新政策，而不是删除现有的关联政策。您只需一步即可关联新政策，这有助于确保分层防火墙政策始终与组织或文件夹相关联。

如需删除分层防火墙政策与组织或文件夹之间的关联，请按照本部分中提到的步骤操作。分层防火墙政策中的规则在关联被删除后不适用于新连接。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.organizations.setFirewallPolicy

角色

与政策关联的父级（组织或文件夹）资源的 Compute Organization Resource Admin (roles/compute.orgSecurityResourceAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
点击关联标签页。
选择要删除的关联。
点击移除关联。

gcloud

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

防火墙政策规则任务

本部分介绍了如何创建和管理分层防火墙政策规则。

创建规则

必须在分层防火墙政策中创建分层防火墙政策规则。在将包含政策与资源相关联之前，这些规则处于无效状态。

每条分层防火墙政策规则可以包含 IPv4 或 IPv6 范围，但不能同时包含这两者。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.update

角色

对防火墙政策或包含该政策的组织/文件夹拥有 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
防火墙政策或包含该政策的组织/文件夹的 Compute Security Admin (roles/compute.securityAdmin) 角色

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策名称。
点击创建防火墙规则。
填充规则字段：
1. 优先级：规则的数字评估顺序。这些规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。每条规则的优先级都必须唯一。建议您将规则优先级值之间的差值设置为大于 1（例如 100、200、300），以便日后在现有规则之间创建新规则。
2. 将日志集合设置为开启或关闭。
3. 对于流量方向，指定此规则是入站流量规则还是出站流量规则。
4. 在对匹配项执行的操作部分中，选择以下选项之一：
  1. 允许：允许与规则匹配的连接。
  2. 拒绝：拒绝与规则匹配的连接。
  3. 转到下一层：将连接的评估传递到层次结构中的下一层防火墙规则。
  4. 应用安全配置文件组：将数据包发送到已配置的防火墙端点以进行第 7 层检查。
    - 在安全配置文件组列表中，选择一个安全配置文件组的名称。
    - 如需启用数据包的 TLS 检查，请选择启用 TLS 检查。如需详细了解如何为虚拟机的每个网络接口评估规则及对应操作，请参阅政策和规则评估顺序。
5. 可选：您可以将规则仅限制为某些网络，方法是在目标网络字段中指定。点击添加网络，然后选择项目和网络。您可以向规则添加多个目标网络。
6. 可选：您可以通过在目标服务账号字段中指定账号，将规则限制为运行对某些服务账号具有访问权限的虚拟机。
7. 可选：您可以选择安全标记，以指定政策中入站流量规则的来源以及入站流量或出站流量规则的目标。如需了解详情，请参阅创建和管理安全标记。
8. 对于入站流量规则，请指定来源网络类型：
  - 如需过滤属于任何网络类型的传入流量，请选择所有网络类型。
  - 如需过滤属于特定网络类型的传入流量，请选择特定网络类型。
    - 如需过滤属于互联网 (INTERNET) 网络类型的入站流量，请选择互联网。
    - 如需过滤属于非互联网 (NON-INTERNET) 网络类型的传入流量，请选择非互联网。
    - 如需过滤属于 VPC 内部 (INTRA_VPC) 网络类型的入站流量，请选择 VPC 内部。
    - 如需过滤属于 VPC 网络 (VPC_NETWORKS) 类型的入站流量，请选择 VPC 网络，然后使用以下按钮指定一个或多个网络：
      - 选择当前项目：可让您添加当前项目中的一个或多个网络。
      - 手动输入网络：可让您手动输入项目和网络。
      - 选择项目：用于选择项目，然后您可以从该项目中选择网络。如需详细了解网络类型，请参阅网络类型。
9. 对于出站规则，请指定目标网络类型：
  - 如需过滤属于任何网络类型的出站流量，请选择所有网络类型。
  - 如需过滤属于特定网络类型的出站流量，请选择特定网络类型。
    - 如需过滤属于互联网 (INTERNET) 网络类型的出站流量，请选择互联网。
    - 如需过滤属于非互联网 (NON-INTERNET) 网络类型的出站流量，请选择非互联网。如需详细了解网络类型，请参阅网络类型。
10. 对于入站流量规则，请指定来源过滤条件：
  - 如需按来源 IPv4 范围过滤传入的流量，请选择 IPv4，然后在 IP 范围字段中输入 CIDR 地址块。如需选择所有 IPv4 来源，请使用 0.0.0.0/0。
  - 如需按来源 IPv6 范围过滤传入的流量，请选择 IPv6，然后在 IPv6 范围字段中输入 CIDR 地址块。如需选择所有 IPv6 来源，请使用 ::/0。
11. 对于出站流量规则，请指定目标过滤条件：
  - 如需按目标 IPv4 范围过滤传出的流量，请选择 IPv4，然后在 IP 范围字段中输入 CIDR 地址块。对于任何 IPv4 目标，请使用 0.0.0.0/0。
  - 如需按目标 IPv6 范围过滤传出的流量，请选择 IPv6，然后在 IPv6 范围字段中输入 CIDR 地址块。对于任何 IPv6 目标，请使用 ::/0。
12. 可选：如果您要创建入站流量规则，请指定此规则适用的来源 FQDN。如果要创建出站流量规则，请选择此规则适用的目标 FQDN。如需详细了解域名对象，请参阅 FQDN 对象。
13. 可选：如果您要创建入站流量规则，请选择此规则适用的来源地理位置。如果要创建出站流量规则，请选择此规则适用的目标地理位置。如需详细了解地理位置对象，请参阅地理位置对象。
14. 可选：如果您要创建入站流量规则，请选择此规则适用的来源地址组。如果要创建出站流量规则，请选择此规则适用的目标地址组。如需详细了解地址组，请参阅防火墙政策的地址组。
15. 可选：如果您要创建入站流量规则，请选择此规则适用的 Google Cloud 威胁情报来源列表。如果要创建出站流量规则，请选择此规则适用的目标 Google Cloud 威胁情报列表。如需详细了解 Google Threat Intelligence，请参阅防火墙政策规则的 Google Threat Intelligence。
16. 可选：对于入站流量规则，请指定目标过滤条件：
  - 如需按目标 IPv4 范围过滤传入的流量，请选择 IPv4，然后在 IP 范围字段中输入 CIDR 地址块。对于任何 IPv4 目标，请使用 0.0.0.0/0。
  - 如需按目标 IPv6 范围过滤传入的流量，请选择 IPv6 范围，然后在目标 IPv6 范围字段中输入 CIDR 地址块。对于任何 IPv6 目标，请使用 ::/0。如需了解详情，请参阅入站流量规则的目的地。
17. 可选：对于出站流量规则，请指定来源过滤条件：
  - 如需按来源 IPv4 范围过滤传出的流量，请选择 IPv4，然后在 IP 范围字段中输入 CIDR 地址块。如需选择所有 IPv4 来源，请使用 0.0.0.0/0。
  - 如需按来源 IPv6 范围过滤传出的流量，请选择 IPv6，然后在 IPv6 范围字段中输入 CIDR 地址块。如需选择所有 IPv6 来源，请使用 ::/0。如需了解详情，请参阅出站流量规则的来源。
18. 对于协议和端口，指定规则适用于所有协议和所有目标端口，或指定应用哪些协议和端口。
  
  如需指定 IPv4 ICMP，请使用 icmp 或协议编号 1。如需指定 IPv6 ICMP，请使用协议编号 58。如需详细了解协议，请参阅协议和端口。
19. 点击创建。
点击创建防火墙规则以添加其他规则。

gcloud

如需创建入站流量规则，请使用以下命令：

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    --description DESCRIPTION \
    --direction INGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources TARGET_NETWORKS] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--src-address-groups SRC_ADDRESS_GROUPS] \
    [--src-fqdns SRC_DOMAIN_NAMES] \
    [--src-secure-tags SRC_SECURE_TAGS] \
    [--src-region-codes SRC_COUNTRY_CODES] \
    [--src-threat-intelligence SRC_THREAT_LIST_NAMES] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK] \
    [--dest-ip-ranges DEST_IP_RANGES]

替换以下内容：

PRIORITY：政策中规则的数字评估顺序。这些规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。每条规则的优先级都必须唯一。建议您将规则优先级值之间的差值设为大于 1（例如 100、200、300），以便日后在现有规则之间创建新规则。
POLICY_NAME：包含新规则的分层网络防火墙政策的名称。
ORG_ID：包含分层防火墙政策的组织 ID。
DESCRIPTION：新规则的可选说明
ACTION：指定以下操作之一：
- allow：允许与规则匹配的连接。
- deny：拒绝与规则匹配的连接。
- apply_security_profile_group：以透明方式将数据包发送到已配置的防火墙端点，以进行第 7 层检查。如果操作为 apply_security_profile_group：
  - 您必须添加 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是用于第 7 层检查的安全配置文件组的名称。
  - 添加 --tls-inspect 或 --no-tls-inspect 以启用或停用 TLS 检查。
- goto_next：继续执行防火墙规则评估流程的下一步。
--enable-logging 和 --no-enable-logging 参数用于启用或停用防火墙规则日志记录。
--disabled 和 --no-disabled 参数用于控制规则是处于停用（不强制执行）状态还是启用（强制执行）状态。
指定目标：
- TARGET_NETWORKS：以网络资源网址（格式为 https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME）指定的 VPC 网络的逗号分隔列表。
- TARGET_SECURE_TAGS：以英文逗号分隔的安全标记列表。目标安全标记值必须来自具有组织用途数据的安全标记键。
- TARGET_SERVICE_ACCOUNTS：以英文逗号分隔的服务账号列表。
- 如果您省略 target-resources、--target-secure-tags 和 --target-service-accounts 参数，则规则适用于最广泛的目标。
LAYER_4_CONFIGS：以英文逗号分隔的第 4 层配置列表。每个第 4 层配置可以是以下项之一：
- 不含任何目标端口的 IP 协议名称 (tcp) 或 IANA IP 协议编号 (17)。
- 以英文冒号 (tcp:80) 分隔的 IP 协议名称和目标端口。
- IP 协议名称和目标端口范围，以英文冒号分隔，并使用英文短划线分隔起始目标端口和结束目标端口 (tcp:5000-6000)。如需了解详情，请参阅协议和端口。
为入站规则指定来源：
- SRC_IP_RANGES：以英文逗号分隔的 IP 地址范围列表（采用 CIDR 格式）。列表中的范围必须全部为 IPv4 CIDR 或 IPv6 CIDR，不能同时使用这两者。
- SRC_ADDRESS_GROUPS：以英文逗号分隔的地址组列表，其中每个地址组都由其唯一网址标识符指定。列表中的地址组必须包含所有 IPv4 地址或所有 IPv6 地址，而不能同时包含这两种地址。
- SRC_DOMAIN_NAMES：以英文逗号分隔的 FQDN 对象列表，格式如域名格式中所述。
- SRC_SECURE_TAGS：以英文逗号分隔的标记列表。如果 --src-network-type 为 INTERNET，则无法使用 --src-secure-tags 参数。
- SRC_COUNTRY_CODES：以英文逗号分隔的双字母国家/地区代码列表。如需了解详情，请参阅地理定位对象。如果 --src-network-type 为 NON_INTERNET、VPC_NETWORK 或 INTRA_VPC，则无法使用 --src-region-codes 参数。
- SRC_THREAT_LIST_NAMES：Google Threat Intelligence 列表名称的逗号分隔列表。如需了解详情，请参阅防火墙政策规则的 Google Threat Intelligence。如果 --src-network-type 为 NON_INTERNET、VPC_NETWORK 或 INTRA_VPC，则无法使用 --src-threat-intelligence 参数。
- SRC_NETWORK_TYPE：定义要与另一个受支持的目标参数结合使用的源网络类型，以生成特定的目标组合。有效值为 INTERNET、NON_INTERNET、VPC_NETWORK 或 INTRA_VPC。如需了解详情，请参阅网络类型。
- SRC_VPC_NETWORK：以网址标识符指定的一系列 VPC 网络，以英文逗号分隔。仅当 --src-network-type 为 VPC_NETWORKS 时，才应指定此参数。
（可选）为入站规则指定目的地：
- DEST_IP_RANGES：以英文逗号分隔的 IP 地址范围列表（采用 CIDR 格式）。列表中的范围必须全部是 IPv4 CIDR 或 IPv6 CIDR，不能同时包含这两者。

如需创建出站流量规则，请使用以下命令：

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    --description DESCRIPTION \
    --direction EGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources TARGET_NETWORKS] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--dest-ip-ranges DEST_IP_RANGES] \
    [--dest-address-groups DEST_ADDRESS_GROUPS] \
    [--dest-fqdns DEST_DOMAIN_NAMES] \
    [--dest-region-codes DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence DEST_THREAT_LIST_NAMES] \
    [--dest-network-type DEST_NETWORK_TYPE]

替换以下内容：

PRIORITY：政策中规则的数字评估顺序。这些规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。每条规则的优先级都必须唯一。建议您将规则优先级值之间的差值设为大于 1（例如 100、200、300），以便日后在现有规则之间创建新规则。
POLICY_NAME：包含新规则的分层网络防火墙政策的名称。
ORG_ID：包含分层防火墙政策的组织 ID。
DESCRIPTION：新规则的可选说明
ACTION：指定以下操作之一：
- allow：允许与规则匹配的连接。
- deny：拒绝与规则匹配的连接。
- apply_security_profile_group：以透明方式将数据包发送到已配置的防火墙端点，以进行第 7 层检查。如果操作为 apply_security_profile_group：
  - 您必须添加 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是用于第 7 层检查的安全配置文件组的名称。
  - 添加 --tls-inspect 或 --no-tls-inspect 以启用或停用 TLS 检查。
- goto_next：继续执行防火墙规则评估流程的下一步。
--enable-logging 和 --no-enable-logging 参数用于启用或停用防火墙规则日志记录。
--disabled 和 --no-disabled 参数用于控制规则是处于停用（不强制执行）状态还是启用（强制执行）状态。
指定目标：
- TARGET_NETWORKS：以网络资源网址（格式为 https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME）指定的 VPC 网络的逗号分隔列表。
- TARGET_SECURE_TAGS：以英文逗号分隔的安全标记列表。目标安全标记值必须来自具有组织用途数据的安全标记键。
- TARGET_SERVICE_ACCOUNTS：以英文逗号分隔的服务账号列表。
- 如果您省略 target-resources、--target-secure-tags 和 --target-service-accounts 参数，则规则适用于最广泛的目标。
LAYER_4_CONFIGS：以英文逗号分隔的第 4 层配置列表。每个第 4 层配置可以是以下项之一：
- 不含任何目标端口的 IP 协议名称 (tcp) 或 IANA IP 协议编号 (17)。
- 以英文冒号 (tcp:80) 分隔的 IP 协议名称和目标端口。
- IP 协议名称和目标端口范围，以英文冒号分隔，并使用英文短划线分隔起始目标端口和结束目标端口 (tcp:5000-6000)。如需了解详情，请参阅协议和端口。
（可选）为出站规则指定来源：
- SRC_IP_RANGES：以英文逗号分隔的 IP 地址范围列表（采用 CIDR 格式）。列表中的范围必须全部为 IPv4 CIDR 或 IPv6 CIDR，不能同时包含这两种类型。
为出站规则指定目的地：
- DEST_IP_RANGES：以英文逗号分隔的 IP 地址范围列表（采用 CIDR 格式）。列表中的范围必须全部是 IPv4 CIDR 或 IPv6 CIDR，不能同时包含这两者。
- DEST_ADDRESS_GROUPS：以英文逗号分隔的地址组列表，其中每个地址组都由其唯一网址标识符指定。
- DEST_DOMAIN_NAMES：以英文逗号分隔的 FQDN 对象列表，格式如域名格式中所述。
- DEST_COUNTRY_CODES：以英文逗号分隔的双字母国家/地区代码列表。如需了解详情，请参阅地理定位对象。
- DEST_THREAT_LIST_NAMES：Google Threat Intelligence 列表名称的逗号分隔列表。如需了解详情，请参阅防火墙政策规则的 Google Threat Intelligence。
- DEST_NETWORK_TYPE：定义要与另一个受支持的目标参数结合使用的目标网络类型，以生成特定的目标组合。有效值为 INTERNET 和 NON_INTERNET。如需了解详情，请参阅网络类型。

列出政策中的所有规则

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.get

角色

父级（组织或文件夹）资源（包含政策）或政策本身的 Compute Network Admin (roles/compute.networkAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含相应政策的父级（组织或文件夹）资源或政策本身的 Compute Organization Firewall Policy User (roles/compute.orgFirewallPolicyUser) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。规则列在防火墙规则标签页中。

gcloud

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization ORG_ID

描述规则

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.get

角色

父级（组织或文件夹）资源（包含政策）或政策本身的 Compute Network Admin (roles/compute.networkAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含相应政策的父级（组织或文件夹）资源或政策本身的 Compute Organization Firewall Policy User (roles/compute.orgFirewallPolicyUser) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
点击规则的优先级。

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

替换以下内容：

PRIORITY：要查看的规则的优先级；因为每条规则必须具有唯一的优先级，所以此设置唯一标识规则
ORG_ID：您的组织的 ID
POLICY_NAME：包含规则的政策的简称或系统生成的名称

更新规则

如需了解字段说明，请参阅创建规则。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.update

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
点击规则的优先级。
点击修改。
修改要更改的字段。
点击保存。

gcloud

gcloud compute firewall-policies rules update RULE_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [...fields you want to modify...]

将规则从一个政策克隆到另一个政策

从目标政策中移除所有规则，并将其替换为来源政策中的规则。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.copyRules

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击要从中复制规则的政策。
点击屏幕顶部的克隆。
提供目标政策的名称。
如果您想立即关联新政策，请点击继续以打开将政策与资源相关联部分。
点击克隆。

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --organization ORG_ID \
    --source-firewall-policy SOURCE_POLICY

替换以下内容：

POLICY_NAME：接收所复制规则的政策
ORG_ID：您的组织的 ID
SOURCE_POLICY：从中复制规则的政策；必须是资源的网址

删除规则

从政策中删除规则会导致该规则不再适用于与该规则的目标建立的新连接。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.firewallPolicies.update

角色

包含政策的父级（组织或文件夹）资源或政策本身上的 Compute Organization Firewall Policy Admin (roles/compute.orgFirewallPolicyAdmin) 角色
包含政策的父级（组织或文件夹）资源或政策本身的 Compute Security Admin (roles/compute.securityAdmin)

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。
点击您的政策。
选择要删除的规则。
点击删除。

gcloud

gcloud compute firewall-policies rules delete PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

替换以下内容：

PRIORITY：您要从政策中删除的规则的优先级
ORG_ID：您的组织的 ID
POLICY_NAME：包含规则的政策

获取网络的有效防火墙规则

您可以查看应用于 VPC 网络所有区域的所有分层防火墙政策规则、VPC 防火墙规则和全球网络防火墙政策规则。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.networks.getEffectiveFirewalls
compute.networks.getRegionEffectiveFirewalls

角色

包含网络的项目的 Compute Network Admin (roles/compute.networkAdmin) 角色或
包含网络的项目的 Compute Network User (roles/compute.networkUser) 角色或
包含网络的项目的 Compute Network Viewer (roles/compute.networkViewer) 权限或
包含网络的项目的 Compute Security Admin (roles/compute.securityAdmin) 或
包含相应网络的项目的 Compute Viewer (roles/compute.viewer)

控制台

在 Google Cloud 控制台中，前往 VPC 网络页面。

进入 VPC 网络页面
点击要查看其防火墙政策规则的网络。
点击防火墙。
展开每个防火墙政策以查看适用于此网络的规则。

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

将 NETWORK_NAME 替换为您要查看有效规则的网络。

您还可以在防火墙页面中查看网络的有效防火墙规则。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

网络上的 compute.organizations.listAssociations
可选：resourcemanager.folders.get 和 resourcemanager.organizations.get，用于查看继承来源和所在位置列中的信息

角色

如需查看防火墙规则，您需要具有以下角色：

compute.orgSecurityResourceAdmin
compute.viewer

可选：如需查看继承来源和所在位置列中的信息，您需要具有以下角色：

browser
resourcemanager.organizationAdmin

控制台

在 Google Cloud 控制台中，前往防火墙政策页面。

转到“防火墙政策”
防火墙政策列在此项目继承的防火墙政策部分中。
点击每项防火墙政策以查看适用于此网络的规则。

获取虚拟机接口的有效防火墙规则

您可以查看适用于 Compute Engine 虚拟机的网络接口的所有防火墙规则（包括所有适用的防火墙政策和 VPC 防火墙规则）。

执行此任务所需的权限

如需执行此任务，您必须获得以下权限或下列其中一个 IAM 角色。

权限

compute.instances.getEffectiveFirewalls

角色

包含虚拟机实例的项目中的 Compute Instance Admin (roles/compute.instanceAdmin) 或
包含虚拟机实例的项目中的 Instance Group Manager Service Agent (roles/compute.instanceGroupManagerServiceAgent) 或
包含虚拟机实例的项目中的 Compute Security Admin (roles/compute.securityAdmin) 或
包含虚拟机实例的项目的 Compute Viewer (roles/compute.viewer)

控制台

在 Google Cloud 控制台中，前往虚拟机实例页面。

转到虚拟机实例
在项目选择器菜单中，选择包含虚拟机的项目。
点击虚拟机。
对于网络接口，请点击接口。
有效防火墙规则会显示在网络配置分析部分中的防火墙标签页中。

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

替换以下内容：

INSTANCE_NAME：您要查看其有效规则的虚拟机；如果未指定接口，该命令会返回主要接口 (nic0) 的规则。
INTERFACE：您要查看其有效规则的虚拟机接口；默认值为 nic0。
ZONE：虚拟机的可用区；如果已将所选可用区设置为默认可用区，则此行为可选。

问题排查

本部分包含您可能遇到的错误消息的说明。

FirewallPolicy may not specify a name. One will be provided.

您不能指定政策名称。分层防火墙政策“名称”是创建政策时 Google Cloud 生成的数字 ID。但是，您可以在多种上下文中指定好友的简称。
FirewallPolicy may not specify associations on creation.

只有在创建分层防火墙政策后才能创建关联。
Can not move firewall policy to a different organization.

分层防火墙政策移动必须位于同一个组织内。
The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

如果资源已附加分层防火墙政策，则附加操作将失败，除非替换现有关联的选项设置为 true。
Cannot have rules with the same priorities.

在分层防火墙政策中，规则的优先级必须是唯一的。
Direction must be specified on firewall policy rule.

通过直接发送 REST 请求创建分层防火墙政策规则时，必须指定规则的方向。如果使用 Google Cloud CLI 且未指定方向，则默认为 INGRESS。
Can not specify enable_logging on a goto_next rule.

具有 goto_next 操作的规则不允许使用防火墙日志记录，因为 goto_next 操作用于表示不同防火墙政策的评估顺序，并且不是终端操作（例如 ALLOW 或 DENY）。
Must specify at least one destination on Firewall policy rule.

防火墙政策规则中的 layer4Configs 标志必须至少指定一个协议或协议和目标端口。

如需详细了解如何对防火墙政策规则进行问题排查，请参阅 VPC 防火墙规则问题排查。

使用分层防火墙政策和规则 使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

限制

防火墙政策任务

执行此任务所需的权限

创建防火墙政策

执行此任务所需的权限

控制台

gcloud

将政策与组织或文件夹相关联

执行此任务所需的权限

控制台

gcloud

将政策从一个资源移动到另一个资源

执行此任务所需的权限

控制台

gcloud

更新政策说明

执行此任务所需的权限

控制台

gcloud

列出政策

执行此任务所需的权限

控制台

gcloud

描述政策

执行此任务所需的权限

控制台

gcloud

删除政策

执行此任务所需的权限

控制台

gcloud

列出资源的关联

执行此任务所需的权限

控制台

gcloud

删除关联

执行此任务所需的权限

控制台

gcloud

防火墙政策规则任务

创建规则

执行此任务所需的权限

控制台

gcloud

列出政策中的所有规则

执行此任务所需的权限

控制台

gcloud

描述规则

执行此任务所需的权限

控制台

gcloud

更新规则

执行此任务所需的权限

控制台

gcloud

将规则从一个政策克隆到另一个政策

执行此任务所需的权限

控制台

gcloud

删除规则

执行此任务所需的权限

控制台

gcloud

获取网络的有效防火墙规则

执行此任务所需的权限

控制台

gcloud

执行此任务所需的权限

控制台

获取虚拟机接口的有效防火墙规则

执行此任务所需的权限

控制台

gcloud

问题排查

后续步骤

使用分层防火墙政策和规则