Hierarchische Firewallrichtlinien und -regeln erstellen

Wenn Sie einheitliche Sicherheitsmaßnahmen erzwingen und den Netzwerkverkehr in Ihrer Organisation und Ihren Ordnern vonGoogle Cloud steuern möchten, können Sie hierarchische Firewallrichtlinien und -regeln erstellen und verwalten.

In diesem Dokument erfahren Sie, wie Sie hierarchische Richtlinien erstellen, Richtlinienregeln für eingehenden und ausgehenden Traffic hinzufügen und die Richtlinien mit der Organisation oder mit Ordnern innerhalb der Organisation verknüpfen. Zum Erstellen hierarchischer Firewallrichtlinien benötigen Sie IAM-Berechtigungen (Identity and Access Management) auf Ordner- oder Organisationsebene, z. B. die Rolle „Compute Security Admin“ (roles/compute.securityAdmin). Bevor Sie diese Seite lesen, sollten Sie sich mit den Konzepten in der Übersicht über hierarchische Firewallrichtlinien vertraut machen.

Beschränkungen

  • Regeln für hierarchische Firewallrichtlinien unterstützen für die Definition von Zielen keine Netzwerk-Tags. Stattdessen müssen Sie ein Ziel-VPC-Netzwerk (Virtual Private Cloud) oder ein Zieldienstkonto verwenden.
  • Firewallrichtlinien können auf Ordner- und Organisationsebene angewendet werden, jedoch nicht auf VPC-Netzwerkebene. Für VPC-Netzwerke werden reguläre VPC-Firewallregeln unterstützt.
  • Einer Ressource (Ordner oder Organisation) kann jeweils nur eine Firewallrichtlinie zugeordnet werden. Die VM-Instanzen in einem Ordner können jedoch die Regeln aus der gesamten Ressourcenhierarchie übernehmen, die der VM übergeordnet ist.
  • Logging von Firewallrichtlinienregeln wird für die Regeln allow und deny unterstützt, nicht aber für goto_next-Regeln.
  • Das IPv6-Hop-by-Hop-Protokoll wird in Firewallregeln nicht unterstützt.

Aufgaben im Zusammenhang mit Firewallrichtlinien

In diesem Abschnitt wird beschrieben, wie Sie hierarchische Firewallrichtlinien erstellen und verknüpfen.

Firewallrichtlinie erstellen

Wenn Sie eine hierarchische Firewallrichtlinie erstellen, können Sie als übergeordnetes Element entweder die Organisation oder einen Ordner innerhalb der Organisation festlegen. Nachdem Sie die Richtlinie erstellt haben, können Sie sie mit der Organisation oder einem Ordner in der Organisation verknüpfen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ Ihre Organisations-ID oder einen Ordner innerhalb Ihrer Organisation aus.

  3. Klicken Sie auf Firewallrichtlinie erstellen.

  4. Geben Sie im Feld Richtlinienname einen Namen für die Richtlinie ein.

  5. Optional: Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Weiter.

  6. Klicken Sie im Bereich Regeln hinzufügen auf Firewallregel erstellen. Weitere Informationen zum Erstellen von Firewallregeln finden Sie hier:

  7. Optional: Wenn Sie die Richtlinie mit einer Ressource verknüpfen möchten, klicken Sie auf Weiter.

  8. Klicken Sie im Abschnitt Richtlinie mit Ressourcen verknüpfen auf Hinzufügen.

    Weitere Informationen finden Sie unter Richtlinie mit der Organisation oder einem Ordner verknüpfen.

  9. Klicken Sie auf Erstellen.

gcloud

Führen Sie diese Befehle aus, um eine hierarchische Firewallrichtlinie zu erstellen, deren übergeordnetes Element eine Organisation ist:

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

Führen Sie diese Befehle aus, um eine hierarchische Firewallrichtlinie zu erstellen, deren übergeordnete Ressource ein Ordner innerhalb einer Organisation ist:

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

Ersetzen Sie Folgendes:

  • ORG_ID: ID Ihrer Organisation

    Geben Sie eine Organisations-ID an, um eine Richtlinie zu erstellen, deren übergeordnetes Element eine Organisation ist. Die Richtlinie kann mit der Organisation oder einem Ordner innerhalb der Organisation verknüpft werden.

  • SHORT_NAME: ein Name für die Richtlinie

    Eine Richtlinie, die mithilfe der Google Cloud CLI erstellt wird, hat zwei Namen: einen vom System generierten Namen und einen Kurznamen, den Sie selbst festlegen. Wenn Sie eine vorhandene Richtlinie über die gcloud CLI aktualisieren, können Sie entweder den vom System generierten Namen oder den Kurznamen und die Organisations-ID angeben. Wenn Sie die API zum Aktualisieren der Richtlinie verwenden, müssen Sie den vom System generierten Namen angeben.

  • FOLDER_ID: die ID eines Ordners

    Geben Sie eine Ordner-ID an, um eine Richtlinie zu erstellen, deren übergeordnetes Element ein Ordner ist. Die Richtlinie kann mit der Organisation verknüpft werden, die den Ordner enthält, oder mit einem beliebigen Ordner innerhalb dieser Organisation.

Richtlinie mit der Organisation oder dem Ordner verknüpfen

Wenn Sie eine hierarchische Firewallrichtlinie mit einer Organisation oder einem Ordner in einer Organisation verknüpfen, gelten die Regeln der Firewallrichtlinie – mit Ausnahme deaktivierter Regeln und vorbehaltlich des Ziels jeder Regel – für Ressourcen in VPC-Netzwerken in Projekten der verknüpften Organisation oder des verknüpften Ordners.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü „Projektauswahl“ Ihre Organisations-ID oder den Ordner aus, der die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Klicken Sie auf Verknüpfung hinzufügen.

  6. Wählen Sie den Organisationsstamm oder die Ordner innerhalb der Organisation aus.

  7. Klicken Sie auf Hinzufügen.

gcloud

Normalerweise schlägt der Vorgang fehl, wenn Sie versuchen, eine Richtlinie mit einer Ressource auf Organisations- oder Ordnerebene zu verknüpfen, für die bereits eine Verknüpfung besteht. Wenn Sie das Flag --replace-association-on-target angeben, wird die vorhandene Verknüpfung gelöscht, sobald Sie die neue Verknüpfung erstellen. Dadurch wird verhindert, dass die Ressource während der Umstellung keine Richtlinie hat.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Ersetzen Sie Folgendes:

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie
  • ORG_ID: ID Ihrer Organisation
  • FOLDER_ID: Wenn Sie die Richtlinie mit einem Ordner verknüpfen, geben Sie diesen hier an. Lassen Sie den Platzhalter unverändert, wenn Sie die Richtlinie auf Organisationsebene verknüpfen
  • ASSOCIATION_NAME: Optionaler Name für die Verknüpfung. Wenn nicht angegeben, wird der Name "Organisation ORG_ID" oder "Ordner FOLDER_ID" festgelegt.

Aufgaben im Zusammenhang mit Firewallrichtlinienregeln

In diesem Abschnitt wird beschrieben, wie Sie hierarchische Firewallrichtlinienregeln erstellen.

Regel für eingehenden Traffic für VM-Ziele erstellen

In diesem Abschnitt wird beschrieben, wie Sie eine Regel für eingehenden Traffic erstellen, die für Netzwerkschnittstellen von Compute Engine-Instanzen gilt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie in der Projektauswahlliste eine Organisation oder einen Ordner aus, die bzw. der eine hierarchische Firewallrichtlinie enthält.

  3. Wählen Sie im Abschnitt Hierarchieindex bei Bedarf einen untergeordneten Ordner aus.

  4. Klicken Sie im Bereich Firewallrichtlinien auf den Namen einer hierarchischen Firewallrichtlinie, in der Sie eine Regel erstellen möchten.

  5. Klicken Sie im Abschnitt Firewallregeln auf Firewallregel erstellen und geben Sie die folgenden Konfigurationsparameter an:

    1. Priorität: die numerische Auswertungsreihenfolge der Regel.

      Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte der Regeln nicht nur um eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.

    2. Beschreibung: Geben Sie eine optionale Beschreibung ein.

    3. Zieltyp: Wählen Sie Instanzen aus.

      Wenn Sie diese Option auswählen, verwendet die Cloud NGFW VM-Instanzen als Ziel.

    4. Ziel: Wählen Sie eine der folgenden Optionen aus:

      • Auf alle anwenden: Cloud NGFW verwendet die breitesten Instanzziele.
      • Dienstkonten: Schränkt die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen ein, die das Dienstkonto verwenden, das Sie unter Zieldienstkonto angeben.
      • Sichere Tags: Schränkt die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen ein, die an mindestens einen der von Ihnen angegebenen sicheren Tag-Werte gebunden sind. Klicken Sie auf Bereich für Tags auswählen und wählen Sie die Organisation oder das Projekt aus, die bzw. das die Tag-Werte enthält, die übereinstimmen sollen. Wenn Sie weitere Tag-Werte hinzufügen möchten, klicken Sie auf Tag hinzufügen.

    5. Traffic-Richtung: Wählen Sie Eingehend aus.

    6. Aktion bei Übereinstimmung: Wählen Sie eine der folgenden Optionen aus:

      • Zulassen: Verbindungen, die den Regelparametern entsprechen, werden zugelassen.
      • Ablehnen: Verbindungen, die den Regelparametern entsprechen, werden blockiert.
      • Zu nächster: um den Firewallregel-Auswertungsprozess fortzusetzen.
      • Sicherheitsprofilgruppe anwenden: Sendet die Pakete basierend auf dem ausgewählten Zweck an einen Firewall-Endpunkt oder eine Intercept-Endpunktgruppe.
        • Wenn Sie Pakete an einen Cloud NGFW-Firewall-Endpunkt senden möchten, wählen Sie Cloud NGFW Enterprise und dann eine Sicherheitsprofilgruppe aus. Wählen Sie TLS-Prüfung aktivieren aus, um die TLS-Prüfung der Pakete zu aktivieren.
        • Wenn Sie Pakete an eine Abfang-Endpunktgruppe der Netzwerksicherheits-Integration für die In-Band-Integration senden möchten, wählen Sie NSI In-Band und dann eine Sicherheitsprofilgruppe aus.

    7. Logs: Wählen Sie Ein aus, um das Logging von Firewallregeln zu aktivieren, oder Aus, um das Logging von Firewallregeln für diese Regel zu deaktivieren.

    8. Zielnetzwerke: Wenn Sie die Firewallrichtlinie auf Ziele in bestimmten VPC-Netzwerken anwenden möchten, klicken Sie optional auf Netzwerk hinzufügen und wählen Sie dann das Projekt und das Netzwerk aus.

    9. Quellnetzwerkkontext: Geben Sie einen Netzwerkkontext an:

      • Wenn Sie eingehenden Traffic nicht nach Netzwerkkontext filtern möchten, wählen Sie Alle Netzwerkkontexte aus.
      • Wenn Sie eingehenden Traffic nach einem bestimmten Netzwerkkontext filtern möchten, wählen Sie Bestimmter Netzwerkkontext und dann einen Netzwerkkontext aus:

    10. Quellfilter: Geben Sie zusätzliche Quellparameter an. Einige Quellparameter können nicht zusammen verwendet werden. Die Auswahl des Quellnetzwerkkontexts schränkt ein, welche Quellparameter Sie verwenden können. Weitere Informationen finden Sie unter Quellen für Regeln für eingehenden Traffic und Quellkombinationen für Regeln für eingehenden Traffic.

      • Wenn Sie eingehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie eingehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jede IPv6-Quelle.
      • Wenn Sie eingehenden Traffic nach sicheren Tag-Werten der Quelle filtern möchten, wählen Sie im Abschnitt Sichere Tags die Option Bereich für Tags auswählen aus. Geben Sie dann Tag-Schlüssel und Tag-Werte an. Wenn Sie weitere Tag-Werte hinzufügen möchten, klicken Sie auf Tag hinzufügen.
      • Wenn Sie eingehenden Traffic nach Quell-FQDN filtern möchten, geben Sie FQDNs in das Feld FQDNs ein. Weitere Informationen finden Sie unter FQDN-Objekte.
      • Wenn Sie eingehenden Traffic nach Quellstandort filtern möchten, wählen Sie im Feld Standorte einen oder mehrere Standorte aus. Weitere Informationen finden Sie unter Standortobjekte.
      • Wenn Sie eingehenden Traffic nach Quelladressgruppe filtern möchten, wählen Sie im Feld Adressgruppen eine oder mehrere Adressgruppen aus. Weitere Informationen finden Sie unter Adressgruppen für Firewallrichtlinien.
      • Wenn Sie eingehenden Traffic nach Google Threat Intelligence-Quelllisten filtern möchten, wählen Sie im Feld Google Cloud Threat Intelligence eine oder mehrere Google Threat Intelligence-Listen aus. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.

    11. Ziel: Geben Sie optionale Zielparameter an. Weitere Informationen finden Sie unter Ziele für Regeln für eingehenden Traffic.

      • Wenn Sie eingehenden Traffic nicht nach Ziel-IP-Adresse filtern möchten, wählen Sie Keine aus.
      • Wenn Sie eingehenden Traffic nach Ziel-IP-Adresse filtern möchten, wählen Sie IPv4 oder IPv6 aus und geben Sie dann einen oder mehrere CIDRs im selben Format ein, das für IPv4-Quellbereiche oder IPv6-Quellbereiche verwendet wird.

    12. Protokolle und Ports: Geben Sie die Protokolle und Zielports für den Traffic an, der der Regel entsprechen soll. Weitere Informationen finden Sie unter Protokolle und Ports.

    13. Erzwingung: Geben Sie an, ob die Firewallregel erzwungen wird oder nicht:

      • Aktiviert: Die Regel wird erstellt und für neue Verbindungen erzwungen.
      • Deaktiviert: Die Regel wird erstellt, aber nicht für neue Verbindungen erzwungen.

  6. Klicken Sie auf Erstellen.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte der Regeln nicht nur um eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der hierarchischen Firewallrichtlinie, in der Sie die Regel erstellen möchten.
  • ORG_ID: die Organisations-ID, die die hierarchische Firewallrichtlinie enthält, wenn das übergeordnete Element eine Organisation ist.
  • FOLDER_ID: die Ordner-ID, die die hierarchische Firewallrichtlinie enthält, wenn das übergeordnete Element ein Ordner ist.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel.
  • ACTION: Geben Sie eine der folgenden Aktionen an:

    • allow: lässt Verbindungen zu, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • goto_next: setzt die Firewallregel-Auswertung fort.
    • apply_security_profile_group: sendet die Pakete an einen Firewall-Endpunkt oder eine Intercept-Endpunktgruppe.
      • Wenn die Aktion apply_security_profile_group ist, müssen Sie --security-profile-group SECURITY_PROFILE_GROUP angeben, wobei SECURITY_PROFILE_GROUP der Name einer Sicherheitsprofilgruppe ist.
      • Das Sicherheitsprofil der Sicherheitsprofilgruppe kann entweder auf einen Cloud NGFW-Firewall-Endpunkt oder auf eine Intercept-Endpunktgruppe für die Netzwerksicherheits-Integration für die In-Band-Integration verweisen.
      • Wenn das Sicherheitsprofil der Sicherheitsprofilgruppe auf einen Cloud NGFW-Firewall-Endpunkt verweist, fügen Sie entweder --tls-inspect oder --no-tls-inspect hinzu, um die TLS-Prüfung zu aktivieren oder zu deaktivieren.
  • Mit den Flags --enable-logging und --no-enable-logging wird das Logging von VPC-Firewallregeln aktiviert oder deaktiviert.
  • Mit den Flags --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:

    • Wenn Sie die Flags --target-resources, --target-secure-tags und --target-service-accounts weglassen, verwendet die Cloud NGFW die umfassendsten Instanzziele.
    • TARGET_NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre Netzwerkressourcen-URLs im Format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME angegeben werden. Das Flag --target-resources kann allein oder in Kombination mit einem anderen Zielflag verwendet werden. Weitere Informationen finden Sie unter Spezifische Zielkombinationen.
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste von sicheren Tag-Werten, die die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen beschränkt, die an mindestens einen der sicheren Tag-Werte gebunden sind.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten, die die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen beschränkt, die eines der Dienstkonten verwenden.

  • LAYER_4_CONFIGS: eine durch Kommas getrennte Liste von Layer-4-Konfigurationen. Jede Layer-4-Konfiguration kann eine der folgenden sein:

    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (6) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind, wobei ein Bindestrich verwendet wird, um den Anfangs- und Endzielport (tcp:5000-6000) zu trennen.

    Weitere Informationen finden Sie unter Protokolle und Ports.

  • Geben Sie eine Quelle für die Regel für eingehenden Traffic an. Weitere Informationen finden Sie unter Quellkombinationen für Regeln für eingehenden Traffic:

    • SRC_NETWORK_CONTEXT: Definiert einen Quellnetzwerkkontext, der in Verbindung mit einem anderen unterstützten Quellparameter verwendet werden soll, um eine Quellkombination zu erzeugen. Gültige Werte, wenn --target-type=INSTANCES: INTERNET, NON_INTERNET, VPC_NETWORKS oder INTRA_VPC. Weitere Informationen finden Sie unter Netzwerkkontexte.
    • SRC_VPC_NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre URL-IDs angegeben werden. Geben Sie dieses Flag nur an, wenn der --src-network-context VPC_NETWORKS ist.
    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, keine Kombination aus beidem.
    • SRC_ADDRESS_GROUPS: eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden. Adressgruppen in der Liste müssen entweder nur IPv4-Adressen oder nur IPv6-Adressen enthalten, keine Kombination aus beiden.
    • SRC_DOMAIN_NAMES: eine durch Kommas getrennte Liste von FQDN-Objekten, die im Domainnamenformat angegeben sind.
    • SRC_SECURE_TAGS: eine durch Kommas getrennte Liste von Tags Sie können das Flag --src-secure-tags nicht verwenden, wenn --src-network-context den Wert INTERNET hat.
    • SRC_COUNTRY_CODES: eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes. Weitere Informationen finden Sie unter Standortobjekte. Sie können das Flag --src-region-codes nicht verwenden, wenn --src-network-context den Wert NON_INTERNET, VPC_NETWORKS oder INTRA_VPC hat.
    • SRC_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln. Sie können das Flag --src-threat-intelligence nicht verwenden, wenn --src-network-context den Wert NON_INTERNET, VPC_NETWORKS oder INTRA_VPC hat.
  • Geben Sie optional ein Ziel für die Regel für eingehenden Traffic an:

    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, keine Kombination aus beidem.

Regel für ausgehenden Traffic für VM-Ziele erstellen

In der folgenden Anleitung wird gezeigt, wie Sie eine Regel für ausgehenden Traffic erstellen. Regeln für ausgehenden Traffic gelten nur für Ziele, die Netzwerkschnittstellen von Compute Engine-Instanzen sind.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie in der Projektauswahlliste eine Organisation oder einen Ordner aus, die bzw. der eine hierarchische Firewallrichtlinie enthält.

  3. Wählen Sie im Abschnitt Hierarchieindex bei Bedarf einen untergeordneten Ordner aus.

  4. Klicken Sie im Bereich Firewallrichtlinien auf den Namen einer hierarchischen Firewallrichtlinie, in der Sie eine Regel erstellen möchten.

  5. Klicken Sie im Abschnitt Firewallregeln auf Firewallregel erstellen und geben Sie die folgenden Konfigurationsparameter an:

    1. Priorität: die numerische Auswertungsreihenfolge der Regel.

      Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte der Regeln nicht nur um eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.

    2. Beschreibung: Geben Sie eine optionale Beschreibung ein.

    3. Zieltyp: Wählen Sie Instanzen aus.

      Wenn Sie diese Option auswählen, verwendet die Cloud NGFW VM-Instanzen als Ziel.

    4. Ziel: Wählen Sie eine der folgenden Optionen aus:

      • Auf alle anwenden: Cloud NGFW verwendet die breitesten Instanzziele.
      • Dienstkonten: Schränkt die breiteste Gruppe von Instanzzielen auf die Netzwerkschnittstellen von VM-Instanzen ein, die das Dienstkonto verwenden, das Sie unter Zieldienstkonto angeben.
      • Sichere Tags: Schränkt die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen ein, die an mindestens einen der von Ihnen angegebenen sicheren Tag-Werte gebunden sind. Klicken Sie auf Bereich für Tags auswählen und wählen Sie die Organisation oder das Projekt aus, die bzw. das die Tag-Werte enthält, die übereinstimmen sollen. Wenn Sie weitere Tag-Werte hinzufügen möchten, klicken Sie auf Tag hinzufügen.

    5. Traffic-Richtung: Wählen Sie Ausgehend aus.

    6. Aktion bei Übereinstimmung: Wählen Sie eine der folgenden Optionen aus:

      • Zulassen: Verbindungen, die den Regelparametern entsprechen, werden zugelassen.
      • Ablehnen: Verbindungen, die den Regelparametern entsprechen, werden blockiert.
      • Zu nächster: um den Firewallregel-Auswertungsprozess fortzusetzen.
      • Sicherheitsprofilgruppe anwenden: Sendet die Pakete basierend auf dem ausgewählten Zweck an einen Firewall-Endpunkt oder eine Intercept-Endpunktgruppe.
        • Wenn Sie Pakete an einen Cloud NGFW-Firewall-Endpunkt senden möchten, wählen Sie Cloud NGFW Enterprise und dann eine Sicherheitsprofilgruppe aus. Wählen Sie TLS-Prüfung aktivieren aus, um die TLS-Prüfung der Pakete zu aktivieren.
        • Wenn Sie Pakete an eine Abfang-Endpunktgruppe der Netzwerksicherheits-Integration für die In-Band-Integration senden möchten, wählen Sie NSI In-Band und dann eine Sicherheitsprofilgruppe aus.

    7. Logs: Wählen Sie Ein aus, um das Logging von Firewallregeln zu aktivieren, oder Aus, um das Logging von Firewallregeln für diese Regel zu deaktivieren.

    8. Zielnetzwerke: Wenn Sie die Firewallrichtlinie auf Ziele in bestimmten VPC-Netzwerken anwenden möchten, klicken Sie optional auf Netzwerk hinzufügen und wählen Sie dann das Projekt und das Netzwerk aus.

    9. Zielnetzwerkkontext: Geben Sie einen Netzwerkkontext an:

    10. Zielfilter: Geben Sie zusätzliche Zielparameter an. Einige Zielparameter können nicht zusammen verwendet werden. Außerdem wird durch die Auswahl des Zielnetzwerk-Kontexts eingeschränkt, welche Zielfilter Sie verwenden können. Weitere Informationen finden Sie unter Ziele für Regeln für ausgehenden Traffic und Zielkombinationen für Regeln für ausgehenden Traffic.

      • Wenn Sie ausgehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie ausgehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel.
      • Wenn Sie ausgehenden Traffic nach Ziel-FQDN filtern möchten, geben Sie FQDNs in das Feld FQDNs ein. Weitere Informationen finden Sie unter FQDN-Objekte.
      • Wenn Sie ausgehenden Traffic nach geografischem Zielstandort filtern möchten, wählen Sie im Feld Standorte einen oder mehrere Standorte aus. Weitere Informationen finden Sie unter Standortobjekte.
      • Wenn Sie ausgehenden Traffic nach Zieladressgruppe filtern möchten, wählen Sie im Feld Adressgruppen eine oder mehrere Adressgruppen aus. Weitere Informationen finden Sie unter Adressgruppen für Firewallrichtlinien.
      • Wenn Sie ausgehenden Traffic nach Google Threat Intelligence-Ziellisten filtern möchten, wählen Sie im Feld Google Cloud Threat Intelligence eine oder mehrere Google Threat Intelligence-Listen aus. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.

    11. Quelle: Geben Sie optionale Quellparameter an. Weitere Informationen finden Sie unter Quellen für Regeln für ausgehenden Traffic.

      • Wenn Sie ausgehenden Traffic nicht nach Quell-IP-Adresse filtern möchten, wählen Sie Keine aus.
      • Wenn Sie ausgehenden Traffic nach Quell-IP-Adresse filtern möchten, wählen Sie IPv4 oder IPv6 aus und geben Sie dann einen oder mehrere CIDRs im selben Format ein, das für IPv4- oder IPv6-Zielbereiche verwendet wird.

    12. Protokolle und Ports: Geben Sie die Protokolle und Zielports für den Traffic an, der der Regel entsprechen soll. Weitere Informationen finden Sie unter Protokolle und Ports.

    13. Erzwingung: Geben Sie an, ob die Firewallregel erzwungen wird oder nicht:

      • Aktiviert: Die Regel wird erstellt und für neue Verbindungen erzwungen.
      • Deaktiviert: Die Regel wird erstellt, aber nicht für neue Verbindungen erzwungen.

  6. Klicken Sie auf Erstellen.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte der Regeln nicht nur um eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der hierarchischen Firewallrichtlinie, in der Sie die Regel erstellen möchten.
  • ORG_ID: die Organisations-ID, die die hierarchische Firewallrichtlinie enthält, wenn das übergeordnete Element eine Organisation ist.
  • FOLDER_ID: die Ordner-ID, die die hierarchische Firewallrichtlinie enthält, wenn das übergeordnete Element ein Ordner ist.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel.
  • ACTION: Geben Sie eine der folgenden Aktionen an:

    • allow: lässt Verbindungen zu, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • goto_next: setzt die Firewallregel-Auswertung fort.
    • apply_security_profile_group: sendet die Pakete an einen Firewall-Endpunkt oder eine Intercept-Endpunktgruppe.
      • Wenn die Aktion apply_security_profile_group ist, müssen Sie --security-profile-group SECURITY_PROFILE_GROUP angeben, wobei SECURITY_PROFILE_GROUP der Name einer Sicherheitsprofilgruppe ist.
      • Das Sicherheitsprofil der Sicherheitsprofilgruppe kann entweder auf einen Cloud NGFW-Firewall-Endpunkt oder auf eine Intercept-Endpunktgruppe für die Netzwerksicherheits-Integration für die In-Band-Integration verweisen.
      • Wenn das Sicherheitsprofil der Sicherheitsprofilgruppe auf einen Cloud NGFW-Firewall-Endpunkt verweist, fügen Sie entweder --tls-inspect oder --no-tls-inspect hinzu, um die TLS-Prüfung zu aktivieren oder zu deaktivieren.
  • Mit den Flags --enable-logging und --no-enable-logging wird das Logging von VPC-Firewallregeln aktiviert oder deaktiviert.
  • Mit den Flags --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:

    • Wenn Sie die Flags --target-resources, --target-secure-tags und --target-service-accounts weglassen, verwendet die Cloud NGFW die umfassendsten Instanzziele.
    • TARGET_NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre Netzwerkressourcen-URLs im Format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME angegeben werden. Das Flag --target-resources kann allein oder in Kombination mit einem anderen Zielflag verwendet werden. Weitere Informationen finden Sie unter Spezifische Zielkombinationen.
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste von sicheren Tag-Werten, die die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen beschränkt, die an mindestens einen der sicheren Tag-Werte gebunden sind.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten, die die breitesten Instanzziele auf die Netzwerkschnittstellen von VM-Instanzen beschränkt, die eines der Dienstkonten verwenden.

  • LAYER_4_CONFIGS: eine durch Kommas getrennte Liste von Layer-4-Konfigurationen. Jede Layer-4-Konfiguration kann eine der folgenden sein:

    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (6) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind, wobei ein Bindestrich verwendet wird, um den Anfangs- und Endzielport (tcp:5000-6000) zu trennen.

    Weitere Informationen finden Sie unter Protokolle und Ports.

  • Geben Sie ein Ziel für die Regel für ausgehenden Traffic an. Weitere Informationen finden Sie unter Zielkombinationen für Regeln für ausgehenden Traffic:

    • DEST_NETWORK_CONTEXT: Definiert einen Zielnetzwerk-Kontext, der in Verbindung mit einem anderen unterstützten Zielparameter verwendet werden soll, um eine Zielkombination zu erzeugen. Gültige Werte sind INTERNET und NON_INTERNET. Weitere Informationen finden Sie unter Netzwerkkontexte.
    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, keine Kombination aus beidem.
    • DEST_ADDRESS_GROUPS: eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden.
    • DEST_DOMAIN_NAMES: eine durch Kommas getrennte Liste von FQDN-Objekten, die im Domainnamenformat angegeben sind.
    • DEST_COUNTRY_CODES: eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes Weitere Informationen finden Sie unter Standortobjekte.
    • DEST_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.
  • Geben Sie optional eine Quelle für die Regel für ausgehenden Traffic an:

    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, keine Kombination aus beidem.

Nächste Schritte