Créer des stratégies et des règles de pare-feu hiérarchiques

Pour appliquer une sécurité cohérente et contrôler le trafic réseau dans votre organisation et vos dossiersGoogle Cloud , vous pouvez créer et gérer des stratégies et des règles de pare-feu hiérarchiques.

Dans ce document, vous allez apprendre à créer des stratégies hiérarchiques, à ajouter des règles de stratégie d'entrée et de sortie, et à associer les stratégies à l'organisation ou aux dossiers de l'organisation. Pour créer des stratégies de pare-feu hiérarchiques, vous devez disposer d'autorisations IAM (Identity and Access Management) au niveau du dossier ou de l'organisation, telles que le rôle d'administrateur de sécurité Compute (roles/compute.securityAdmin). Avant de lire cette page, assurez-vous de bien maîtriser les concepts décrits dans la présentation des stratégies de pare-feu hiérarchiques.

Limites

  • Les règles des stratégies de pare-feu hiérarchiques ne permettent pas d'utiliser des tags réseau pour définir des cibles. Vous devez plutôt utiliser un réseau cloud privé virtuel (VPC) cible ou un compte de service cible.
  • Les stratégies de pare-feu peuvent être appliquées au niveau du dossier et de l'organisation, mais pas au niveau du réseau VPC. Les stratégies de pare-feu VPC standards sont acceptées pour les réseaux VPC.
  • Une seule stratégie de pare-feu peut être associée à une ressource (dossier ou organisation), bien que les instances de machine virtuelle (VM) d'un dossier puissent hériter des règles de la hiérarchie de ressources complète au-dessus de la VM.
  • La journalisation des règles de stratégie de pare-feu est compatible avec les règles allow et deny, mais pas avec les règles goto_next.
  • Le protocole IPv6 Hop-by-Hop n'est pas compatible avec les règles de pare-feu.

Tâches liées aux stratégies de pare-feu

Cette section explique comment créer et associer des stratégies de pare-feu hiérarchiques.

Créer une stratégie de pare-feu

Lorsque vous créez une stratégie de pare-feu hiérarchique, vous pouvez définir son parent sur l'organisation ou sur un dossier de l'organisation. Après avoir créé la stratégie, vous pouvez l'associer à l'organisation ou à un dossier de l'organisation.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies de pare-feu.

    Accéder aux stratégies de pare-feu

  2. Dans le menu de sélection du projet, sélectionnez l'ID d'organisation ou un dossier au sein de votre organisation.

  3. Cliquez sur Créer une stratégie de pare-feu.

  4. Dans le champ Nom de la stratégie, saisissez un nom pour la stratégie.

  5. Facultatif : Si vous souhaitez créer des règles pour votre stratégie, cliquez sur Continuer.

  6. Dans la section Ajouter des règles, cliquez sur Créer une règle de pare-feu. Pour en savoir plus sur la création de règles de pare-feu, consultez les ressources suivantes :

  7. Facultatif : si vous souhaitez associer la stratégie à une ressource, cliquez sur Continuer.

  8. Dans la section Associer la stratégie à des ressources, cliquez sur Ajouter.

    Pour en savoir plus, consultez Associer une stratégie à l'organisation ou au dossier.

  9. Cliquez sur Créer.

gcloud

Exécutez ces commandes pour créer une stratégie de pare-feu hiérarchique dont le parent est une organisation :

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

Exécutez ces commandes pour créer une stratégie de pare-feu hiérarchique dont le parent est un dossier au sein d'une organisation :

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

Remplacez les éléments suivants :

  • ORG_ID : ID de votre organisation.

    Spécifiez un ID d'organisation pour créer une stratégie dont le parent est une organisation. La règle peut être associée à l'organisation ou à un dossier de l'organisation.

  • SHORT_NAME : nom de la règle

    Une stratégie créée en utilisant Google Cloud CLI possède deux noms : un nom généré par le système et un nom court que vous spécifiez. Lorsque vous mettez à jour une stratégie existante en utilisant la gcloud CLI, vous pouvez indiquer le nom généré par le système ou utiliser le nom court accompagné de l'ID d'organisation. Lorsque vous utilisez l'API pour mettre à jour la stratégie, vous devez fournir le nom généré par le système.

  • FOLDER_ID : ID d'un dossier

    Spécifiez un ID de dossier pour créer une stratégie dont le parent est un dossier. La stratégie peut être associée à l'organisation qui contient le dossier ou à n'importe quel dossier de cette organisation.

Associer une stratégie à l'organisation ou au dossier

Lorsque vous associez une stratégie de pare-feu hiérarchique à une organisation ou à un dossier d'une organisation, les règles de la stratégie de pare-feu (à l'exception des règles désactivées et sous réserve de la cible de chaque règle) s'appliquent aux ressources des réseaux VPC des projets de l'organisation ou du dossier associé.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies de pare-feu.

    Accéder aux stratégies de pare-feu

  2. Dans le menu de sélection de projet, sélectionnez l'ID d'organisation ou le dossier contenant votre stratégie.

  3. Cliquez sur la stratégie.

  4. Cliquez sur l'onglet Associations.

  5. Cliquez sur Ajouter une association.

  6. Sélectionnez l'organisation racine ou sélectionnez des dossiers au sein de celle-ci.

  7. Cliquez sur Ajouter.

gcloud

Par défaut, si vous essayez d'insérer une association à une organisation ou un dossier déjà associé, la méthode échoue. Si vous spécifiez l'option --replace-association-on-target, l'association existante est supprimée au moment où la nouvelle association est créée. Cela permet d'éviter que la ressource se retrouve sans stratégie pendant la transition.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Remplacez les éléments suivants :

  • POLICY_NAME : le nom court ou le nom généré par le système de la stratégie
  • ORG_ID : ID de votre organisation.
  • FOLDER_ID : si vous associez la stratégie à un dossier, spécifiez-le ici. Vous pouvez omettre cette option si vous associez la stratégie à l'organisation.
  • ASSOCIATION_NAME : nom facultatif pour l'association. S'il n'est pas spécifié, le nom est défini sur "organisation ORG_ID" ou "dossier FOLDER_ID".

Tâches liées aux règles des stratégies de pare-feu

Cette section explique comment créer des règles de stratégie de pare-feu hiérarchique.

Créer une règle d'entrée pour les cibles de VM

Cette section explique comment créer une règle d'entrée qui s'applique aux interfaces réseau des instances Compute Engine.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies de pare-feu.

    Accéder aux stratégies de pare-feu

  2. Dans la liste des sélecteurs de projet, sélectionnez une organisation ou un dossier contenant une stratégie de pare-feu hiérarchique.

  3. Si nécessaire, dans la section Index de la hiérarchie, sélectionnez un dossier enfant.

  4. Dans la section Stratégies de pare-feu, cliquez sur le nom de la stratégie de pare-feu hiérarchique dans laquelle vous souhaitez créer une règle.

  5. Dans la section Règles de pare-feu, cliquez sur Créer une règle de pare-feu et spécifiez les paramètres de configuration suivants :

    1. Priorité : ordre d'évaluation numérique de la règle.

      Les règles sont évaluées de la priorité la plus élevée à la plus faible, où 0 correspond à la priorité la plus élevée. Les priorités doivent être uniques pour chaque règle. Nous vous recommandons de séparer les valeurs de priorité des règles par une différence supérieure à un (par exemple, 100, 200, 300) afin de pouvoir créer ultérieurement de nouvelles règles entre les règles existantes.

    2. Description : fournissez une description facultative.

    3. Type de cible : sélectionnez Instances.

      Lorsque vous sélectionnez cette option, Cloud NGFW utilise des instances de VM comme cible.

    4. Cible : sélectionnez l'une des options suivantes :

      • Appliquer à tous : Cloud NGFW utilise les cibles d'instance les plus larges.
      • Comptes de service : limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM qui utilisent le compte de service que vous spécifiez dans Compte de service cible.
      • Tags sécurisés : limite l'ensemble de cibles d'instances le plus large aux interfaces réseau des instances de VM liées à au moins l'une des valeurs de tag sécurisé que vous spécifiez. Cliquez sur Sélectionner le champ d'application des tags, puis sélectionnez l'organisation ou le projet contenant les valeurs de tag à mettre en correspondance. Pour ajouter d'autres valeurs de tag, cliquez sur Ajouter un tag.

    5. Sens du trafic : sélectionnez Entrée.

    6. Action en cas de correspondance : sélectionnez l'une des options suivantes :

      • Autoriser : pour autoriser les connexions correspondant aux paramètres de la règle.
      • Refuser : pour bloquer les connexions qui correspondent aux paramètres de la règle.
      • Passer à la suivante : pour poursuivre le processus d'évaluation des règles de pare-feu.
      • Appliquer un groupe de profils de sécurité : envoie les paquets à un point de terminaison de pare-feu ou à un groupe de points de terminaison d'interception en fonction de l'objectif que vous sélectionnez.
        • Pour envoyer des paquets à un point de terminaison de pare-feu Cloud NGFW, sélectionnez Cloud NGFW Enterprise, puis un groupe de profils de sécurité. Pour activer l'inspection TLS des paquets, sélectionnez Activer l'inspection TLS.
        • Pour envoyer des paquets à un groupe de points de terminaison d'interception Network Security Integration pour l'intégration en bande, sélectionnez NSI en bande, puis un groupe de profils de sécurité.

    7. Journaux : sélectionnez Activé pour activer la journalisation des règles de pare-feu ou Désactivé pour la désactiver pour cette règle.

    8. Réseaux cibles : si vous souhaitez appliquer la stratégie de pare-feu à des cibles dans des réseaux VPC spécifiques, cliquez sur Ajouter un réseau, puis sélectionnez le projet et le réseau.

    9. Contexte du réseau source : spécifiez un contexte de réseau :

      • Pour ignorer le filtrage du trafic entrant par contexte réseau, sélectionnez Tous les contextes réseau.
      • Pour filtrer le trafic entrant vers un contexte réseau spécifique, sélectionnez Contexte réseau spécifique, puis sélectionnez un contexte réseau :

    10. Filtres de source : spécifiez des paramètres de source supplémentaires. Certains paramètres sources ne peuvent pas être utilisés ensemble, et votre choix de contexte de réseau source limite les paramètres sources que vous pouvez utiliser. Pour en savoir plus, consultez les pages Sources pour les règles d'entrée et Combinaisons de sources de règles d'entrée.

      • Pour filtrer le trafic entrant par plages IPv4 sources, sélectionnez IPv4, puis saisissez les blocs CIDR dans le champ Plages d'adresses IP. Utilisez 0.0.0.0/0 pour n'importe quelle source IPv4.
      • Pour filtrer le trafic entrant par plages IPv6 sources, sélectionnez IPv6, puis saisissez les blocs CIDR dans le champ Plages IPv6. Utilisez ::/0 pour n'importe quelle source IPv6.
      • Pour filtrer le trafic entrant par valeurs de tag sécurisé source, sélectionnez Sélectionner le champ d'application pour les tags dans la section Tags sécurisés. Ensuite, fournissez des clés et des valeurs de tag. Pour ajouter d'autres valeurs de tag, cliquez sur Ajouter un tag.
      • Pour filtrer le trafic entrant par nom de domaine complet source, saisissez les noms de domaine complets dans le champ Noms de domaine complets. Pour en savoir plus, consultez la section Objets de nom de domaine complet.
      • Pour filtrer le trafic entrant par géolocalisation source, sélectionnez un ou plusieurs emplacements dans le champ Géolocalisations. Pour en savoir plus, consultez Objets de géolocalisation.
      • Pour filtrer le trafic entrant par groupe d'adresses sources, sélectionnez un ou plusieurs groupes d'adresses dans le champ Groupes d'adresses. Pour en savoir plus, consultez la section Groupes d'adresses pour les stratégies de pare-feu.
      • Pour filtrer le trafic entrant par listes Google Threat Intelligence sources, sélectionnez une ou plusieurs listes Google Threat Intelligence dans le champ Google Cloud Threat Intelligence. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu.

    11. Destination : spécifiez des paramètres de destination facultatifs. Pour en savoir plus, consultez la section Destinations des règles d'entrée.

      • Pour ignorer le filtrage du trafic entrant par adresse IP de destination, sélectionnez Aucun.
      • Pour filtrer le trafic entrant par adresse IP de destination, sélectionnez IPv4 ou IPv6, puis saisissez un ou plusieurs CIDR au même format que celui utilisé pour les plages IPv4 sources ou les plages IPv6 sources.

    12. Protocoles et ports : spécifiez les protocoles et les ports de destination pour que le trafic corresponde à la règle. Pour en savoir plus, consultez la section Protocoles et ports.

    13. Application : indiquez si la règle de pare-feu est appliquée ou non :

      • Activé : crée la règle et commence à l'appliquer aux nouvelles connexions.
      • Désactivé : crée la règle, mais ne l'applique pas aux nouvelles connexions.

  6. Cliquez sur Créer.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Remplacez les éléments suivants :

  • PRIORITY : ordre d'évaluation numérique de la règle dans la stratégie. Les règles sont évaluées de la priorité la plus élevée à la plus faible, où 0 correspond à la priorité la plus élevée. Les priorités doivent être uniques pour chaque règle. Nous vous recommandons de séparer les valeurs de priorité des règles par une différence supérieure à un (par exemple, 100, 200, 300) afin de pouvoir créer ultérieurement de nouvelles règles entre les règles existantes.
  • POLICY_NAME : nom de la stratégie de pare-feu hiérarchique dans laquelle vous souhaitez créer la règle.
  • ORG_ID : ID d'organisation qui contient la stratégie de pare-feu hiérarchique, si son parent est une organisation.
  • FOLDER_ID : ID du dossier contenant la stratégie de pare-feu hiérarchique, si son parent est un dossier.
  • DESCRIPTION : description facultative de la nouvelle règle.
  • ACTION : spécifiez l'une des actions suivantes :

    • apply_security_profile_group : envoie les paquets à un point de terminaison de pare-feu ou à un groupe de points de terminaison d'interception.
      • Lorsque l'action est apply_security_profile_group, vous devez inclure --security-profile-group SECURITY_PROFILE_GROUP, où SECURITY_PROFILE_GROUP est le nom d'un groupe de profils de sécurité.
      • Le profil de sécurité du groupe de profils de sécurité peut référencer un point de terminaison de pare-feu Cloud NGFW ou un groupe de points de terminaison d'interception Network Security Integration pour l'intégration intrabande.
      • Si le profil de sécurité du groupe de profils de sécurité fait référence à un point de terminaison de pare-feu Cloud NGFW, incluez --tls-inspect ou --no-tls-inspect pour activer ou désactiver l'inspection TLS.
  • Les options --enable-logging et --no-enable-logging activent ou désactivent la journalisation des règles de pare-feu VPC.
  • Les options --disabled et --no-disabled contrôlent si la règle est désactivée (non appliquée) ou activée (appliquée).
  • Spécifiez une cible :

    • Si vous omettez les options --target-resources, --target-secure-tags et --target-service-accounts, Cloud NGFW utilise les cibles d'instance les plus larges.
    • TARGET_NETWORKS : liste d'URL de ressources réseau VPC séparées par des virgules au format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. L'option --target-resources peut être utilisée seule ou en combinaison avec une autre option de cible. Pour en savoir plus, consultez Combinaisons de cibles spécifiques.
    • TARGET_SECURE_TAGS : liste de valeurs de tags sécurisés séparées par une virgule qui limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM liées à au moins une des valeurs de tags sécurisés.
    • TARGET_SERVICE_ACCOUNTS : liste de comptes de service séparés par une virgule qui limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM qui utilisent l'un des comptes de service.

  • LAYER_4_CONFIGS : liste de configurations de couche 4 séparées par une virgule. Chaque configuration de couche 4 peut être l'une des suivantes :

    • Nom de protocole IP (tcp) ou numéro de protocole IP IANA (6) sans port de destination.
    • Un nom de protocole IP et un port de destination séparés par un deux-points (tcp:80).
    • Un nom de protocole IP et une plage de ports de destination séparés par un deux-points, avec un tiret pour séparer les ports de destination de début et de fin (tcp:5000-6000).

    Pour en savoir plus, consultez la page Protocoles et ports.

  • Spécifiez une source pour la règle d'entrée. Pour en savoir plus, consultez Combinaisons de sources de règles d'entrée :

    • SRC_NETWORK_CONTEXT : définit un contexte de réseau source à utiliser conjointement avec un autre paramètre source compatible pour produire une combinaison source. Les valeurs valides lorsque --target-type=INSTANCES sont : INTERNET, NON_INTERNET, VPC_NETWORKS ou INTRA_VPC. Pour en savoir plus, consultez Contextes réseau.
    • SRC_VPC_NETWORKS : liste d'éléments séparés par une virgule de réseaux VPC spécifiés par leurs identifiants d'URL. Ne spécifiez cette option que lorsque --src-network-context est VPC_NETWORKS.
    • SRC_IP_RANGES : liste d'éléments séparés par une virgule de plages d'adresses IP au format CIDR. Les plages de la liste doivent toutes être des CIDR IPv4 ou IPv6, et non une combinaison des deux.
    • SRC_ADDRESS_GROUPS : liste de groupes d'adresses séparés par une virgule, spécifiés par leurs identifiants d'URL uniques. Les groupes d'adresses de la liste doivent contenir toutes les adresses IPv4 ou toutes les adresses IPv6, et non une combinaison des deux.
    • SRC_DOMAIN_NAMES : liste d'objets de nom de domaine complet séparés par une virgule, spécifiés au format de nom de domaine.
    • SRC_SECURE_TAGS : liste de tags séparés par une virgule Vous ne pouvez pas utiliser l'option --src-secure-tags si --src-network-context est défini sur INTERNET.
    • SRC_COUNTRY_CODES : liste de codes pays à deux lettres, séparés par une virgule. Pour en savoir plus, consultez Objets de géolocalisation. Vous ne pouvez pas utiliser l'option --src-region-codes si --src-network-context est défini sur NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
    • SRC_THREAT_LIST_NAMES : liste de noms des listes Google Threat Intelligence, séparés par une virgule. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu. Vous ne pouvez pas utiliser l'option --src-threat-intelligence si --src-network-context est défini sur NON_INTERNET, VPC_NETWORKS ou INTRA_VPC.
  • Si vous le souhaitez, spécifiez une destination pour la règle d'entrée :

    • DEST_IP_RANGES : liste d'éléments séparés par une virgule de plages d'adresses IP au format CIDR. Les plages de la liste doivent toutes être des CIDR IPv4 ou IPv6, et non une combinaison des deux.

Créer une règle de sortie pour les cibles de VM

Les instructions suivantes expliquent comment créer une règle de sortie. Les règles de sortie ne s'appliquent qu'aux cibles qui sont des interfaces réseau d'instances Compute Engine.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies de pare-feu.

    Accéder aux stratégies de pare-feu

  2. Dans la liste des sélecteurs de projet, sélectionnez une organisation ou un dossier contenant une stratégie de pare-feu hiérarchique.

  3. Si nécessaire, dans la section Index de la hiérarchie, sélectionnez un dossier enfant.

  4. Dans la section Stratégies de pare-feu, cliquez sur le nom de la stratégie de pare-feu hiérarchique dans laquelle vous souhaitez créer une règle.

  5. Dans la section Règles de pare-feu, cliquez sur Créer une règle de pare-feu et spécifiez les paramètres de configuration suivants :

    1. Priorité : ordre d'évaluation numérique de la règle.

      Les règles sont évaluées de la priorité la plus élevée à la plus faible, où 0 correspond à la priorité la plus élevée. Les priorités doivent être uniques pour chaque règle. Nous vous recommandons de séparer les valeurs de priorité des règles par une différence supérieure à un (par exemple, 100, 200, 300) afin de pouvoir créer ultérieurement de nouvelles règles entre les règles existantes.

    2. Description : fournissez une description facultative.

    3. Type de cible : sélectionnez Instances.

      Lorsque vous sélectionnez cette option, Cloud NGFW utilise des instances de VM comme cible.

    4. Cible : sélectionnez l'une des options suivantes :

      • Appliquer à tous : Cloud NGFW utilise les cibles d'instance les plus larges.
      • Comptes de service : limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM qui utilisent le compte de service que vous spécifiez dans Compte de service cible.
      • Tags sécurisés : limite l'ensemble de cibles d'instances le plus large aux interfaces réseau des instances de VM liées à au moins l'une des valeurs de tag sécurisé que vous spécifiez. Cliquez sur Sélectionner le champ d'application des tags, puis sélectionnez l'organisation ou le projet contenant les valeurs de tag à mettre en correspondance. Pour ajouter d'autres valeurs de tag, cliquez sur Ajouter un tag.

    5. Sens du trafic : sélectionnez Sortie.

    6. Action en cas de correspondance : sélectionnez l'une des options suivantes :

      • Autoriser : pour autoriser les connexions correspondant aux paramètres de la règle.
      • Refuser : pour bloquer les connexions qui correspondent aux paramètres de la règle.
      • Passer à la suivante : pour poursuivre le processus d'évaluation des règles de pare-feu.
      • Appliquer un groupe de profils de sécurité : envoie les paquets à un point de terminaison de pare-feu ou à un groupe de points de terminaison d'interception en fonction de l'objectif que vous sélectionnez.
        • Pour envoyer des paquets à un point de terminaison de pare-feu Cloud NGFW, sélectionnez Cloud NGFW Enterprise, puis un groupe de profils de sécurité. Pour activer l'inspection TLS des paquets, sélectionnez Activer l'inspection TLS.
        • Pour envoyer des paquets à un groupe de points de terminaison d'interception Network Security Integration pour l'intégration en bande, sélectionnez NSI en bande, puis un groupe de profils de sécurité.

    7. Journaux : sélectionnez Activé pour activer la journalisation des règles de pare-feu ou Désactivé pour la désactiver pour cette règle.

    8. Réseaux cibles : si vous souhaitez appliquer la stratégie de pare-feu à des cibles dans des réseaux VPC spécifiques, cliquez sur Ajouter un réseau, puis sélectionnez le projet et le réseau.

    9. Contexte du réseau de destination : spécifiez un contexte réseau :

    10. Filtres de destination : spécifiez des paramètres de destination supplémentaires. Certains paramètres de destination ne peuvent pas être utilisés ensemble, et le choix du contexte du réseau de destination limite les filtres de destination que vous pouvez utiliser. Pour en savoir plus, consultez Destinations des règles de sortie et Combinaisons de destinations des règles de sortie.

      • Pour filtrer le trafic sortant par plage IPv4 de destination, sélectionnez IPv4, puis saisissez les blocs CIDR dans le champ Plages d'adresses IP. Utilisez 0.0.0.0/0 pour n'importe quelle destination IPv4.
      • Pour filtrer le trafic sortant par plages IPv6 de destination, sélectionnez IPv6, puis saisissez les blocs CIDR dans le champ Plages IPv6. Utilisez ::/0 pour n'importe quelle destination IPv6.
      • Pour filtrer le trafic sortant par nom de domaine complet de destination, saisissez les noms de domaine complets dans le champ Noms de domaine complets. Pour en savoir plus, consultez la section Objets de nom de domaine complet.
      • Pour filtrer le trafic sortant par géolocalisation de destination, sélectionnez un ou plusieurs emplacements dans le champ Géolocalisations. Pour en savoir plus, consultez Objets de géolocalisation.
      • Pour filtrer le trafic sortant par groupe d'adresses de destination, sélectionnez un ou plusieurs groupes d'adresses dans le champ Groupes d'adresses. Pour en savoir plus, consultez la section Groupes d'adresses pour les stratégies de pare-feu.
      • Pour filtrer le trafic sortant par listes Google Threat Intelligence de destination, sélectionnez une ou plusieurs listes Google Threat Intelligence dans le champ Google Cloud Threat Intelligence. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu.

    11. Source : spécifiez des paramètres sources facultatifs. Pour en savoir plus, consultez Sources pour les règles de sortie.

      • Pour ignorer le filtrage du trafic sortant par adresse IP source, sélectionnez Aucun.
      • Pour filtrer le trafic sortant par adresse IP source, sélectionnez IPv4 ou IPv6, puis saisissez un ou plusieurs CIDR au même format que celui utilisé pour les plages IPv4 ou IPv6 de destination.

    12. Protocoles et ports : spécifiez les protocoles et les ports de destination pour que le trafic corresponde à la règle. Pour en savoir plus, consultez la section Protocoles et ports.

    13. Application : indiquez si la règle de pare-feu est appliquée ou non :

      • Activé : crée la règle et commence à l'appliquer aux nouvelles connexions.
      • Désactivé : crée la règle, mais ne l'applique pas aux nouvelles connexions.

  6. Cliquez sur Créer.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Remplacez les éléments suivants :

  • PRIORITY : ordre d'évaluation numérique de la règle dans la stratégie. Les règles sont évaluées de la priorité la plus élevée à la plus faible, où 0 correspond à la priorité la plus élevée. Les priorités doivent être uniques pour chaque règle. Nous vous recommandons de séparer les valeurs de priorité des règles par une différence supérieure à un (par exemple, 100, 200, 300) afin de pouvoir créer ultérieurement de nouvelles règles entre les règles existantes.
  • POLICY_NAME : nom de la stratégie de pare-feu hiérarchique dans laquelle vous souhaitez créer la règle.
  • ORG_ID : ID d'organisation qui contient la stratégie de pare-feu hiérarchique, si son parent est une organisation.
  • FOLDER_ID : ID du dossier contenant la stratégie de pare-feu hiérarchique, si son parent est un dossier.
  • DESCRIPTION : description facultative de la nouvelle règle.
  • ACTION : spécifiez l'une des actions suivantes :

    • apply_security_profile_group : envoie les paquets à un point de terminaison de pare-feu ou à un groupe de points de terminaison d'interception.
      • Lorsque l'action est apply_security_profile_group, vous devez inclure --security-profile-group SECURITY_PROFILE_GROUP, où SECURITY_PROFILE_GROUP est le nom d'un groupe de profils de sécurité.
      • Le profil de sécurité du groupe de profils de sécurité peut référencer un point de terminaison de pare-feu Cloud NGFW ou un groupe de points de terminaison d'interception Network Security Integration pour l'intégration intrabande.
      • Si le profil de sécurité du groupe de profils de sécurité fait référence à un point de terminaison de pare-feu Cloud NGFW, incluez --tls-inspect ou --no-tls-inspect pour activer ou désactiver l'inspection TLS.
  • Les options --enable-logging et --no-enable-logging activent ou désactivent la journalisation des règles de pare-feu VPC.
  • Les options --disabled et --no-disabled contrôlent si la règle est désactivée (non appliquée) ou activée (appliquée).
  • Spécifiez une cible :

    • Si vous omettez les options --target-resources, --target-secure-tags et --target-service-accounts, Cloud NGFW utilise les cibles d'instance les plus larges.
    • TARGET_NETWORKS : liste d'URL de ressources réseau VPC séparées par des virgules au format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. L'option --target-resources peut être utilisée seule ou en combinaison avec une autre option de cible. Pour en savoir plus, consultez Combinaisons de cibles spécifiques.
    • TARGET_SECURE_TAGS : liste de valeurs de tags sécurisés séparées par une virgule qui limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM liées à au moins une des valeurs de tags sécurisés.
    • TARGET_SERVICE_ACCOUNTS : liste de comptes de service séparés par une virgule qui limite les cibles d'instance les plus larges aux interfaces réseau des instances de VM qui utilisent l'un des comptes de service.

  • LAYER_4_CONFIGS : liste de configurations de couche 4 séparées par une virgule. Chaque configuration de couche 4 peut être l'une des suivantes :

    • Nom de protocole IP (tcp) ou numéro de protocole IP IANA (6) sans port de destination.
    • Un nom de protocole IP et un port de destination séparés par un deux-points (tcp:80).
    • Un nom de protocole IP et une plage de ports de destination séparés par un deux-points, avec un tiret pour séparer les ports de destination de début et de fin (tcp:5000-6000).

    Pour en savoir plus, consultez la page Protocoles et ports.

  • Spécifiez une destination pour la règle de sortie. Pour en savoir plus, consultez Combinaisons de destinations pour les règles de sortie.

    • DEST_NETWORK_CONTEXT : définit un contexte de réseau de destination à utiliser conjointement avec un autre paramètre de destination compatible pour produire une combinaison de destinations. Les valeurs valides sont INTERNET et NON_INTERNET. Pour en savoir plus, consultez Contextes réseau.
    • DEST_IP_RANGES : liste d'éléments séparés par une virgule de plages d'adresses IP au format CIDR. Les plages de la liste doivent toutes être des CIDR IPv4 ou IPv6, et non une combinaison des deux.
    • DEST_ADDRESS_GROUPS : liste de groupes d'adresses séparés par une virgule, spécifiés par leurs identifiants d'URL uniques.
    • DEST_DOMAIN_NAMES : liste d'objets de nom de domaine complet séparés par une virgule, spécifiés au format de nom de domaine.
    • DEST_COUNTRY_CODES : liste de codes pays à deux lettres, séparés par une virgule. Pour en savoir plus, consultez la section Objets de géolocalisation.
    • DEST_THREAT_LIST_NAMES : liste de noms des listes Google Threat Intelligence, séparés par une virgule. Pour en savoir plus, consultez Google Threat Intelligence pour les règles de stratégie de pare-feu.
  • Vous pouvez éventuellement spécifier une source pour la règle de sortie :

    • SRC_IP_RANGES : liste d'éléments séparés par une virgule de plages d'adresses IP au format CIDR. Les plages de la liste doivent toutes être des CIDR IPv4 ou IPv6, et non une combinaison des deux.

Étapes suivantes