계층식 방화벽 정책 및 규칙 사용

이 페이지에서는 사용자가 계층적 방화벽 정책 개요에 설명된 개념에 익숙하다고 가정합니다. 계층식 방화벽 정책 구현 예시를 보려면 계층식 방화벽 정책 예시를 참조하세요.

제한사항

• 계층식 방화벽 정책 규칙은 타겟을 정의하는 네트워크 태그 사용을 지원하지 않습니다. 대신 타겟 Virtual Private Cloud(VPC) 네트워크 또는 타겟 서비스 계정을 사용해야 합니다.
• 방화벽 정책은 폴더 및 조직 수준에서 적용될 수 있지만 VPC 네트워크 수준에서는 적용되지 않습니다. 일반 VPC 방화벽 규칙은 VPC 네트워크에서 지원됩니다.
• 폴더의 가상 머신(VM) 인스턴스는 VM 상위의 리소스 계층 전체에서 규칙을 상속할 수 있지만 하나의 방화벽 정책만 리소스(폴더 또는 조직)에 연결될 수 있습니다.
• 방화벽 규칙 로깅은 allow 및 deny 규칙에서 지원되지만 goto_next 규칙에서는 지원되지 않습니다.
• IPv6 홉별 프로토콜은 방화벽 규칙에서 지원되지 않습니다.

참고: 정책을 만들 때 기억하기 쉬운 닉네임을 지정할 수 있습니다. 닉네임 필드는 이전에 표시 이름으로 불렸으며 일부 경우에 한동안 표시 이름으로 표시될 수 있습니다.

방화벽 정책 작업

이 섹션에서는 계층적 방화벽 정책을 만들고 관리하는 방법을 설명합니다.

이 섹션에 나열된 작업으로 인해 발생하는 작업의 진행 상황을 확인하려면 IAM 주 구성원에게 각 작업에 필요한 권한 또는 역할 외에 다음 권한 또는 역할이 있는지 확인하세요.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.globalOperations.get
• compute.globalOperations.getIamPolicy
• compute.globalOperations.list
• compute.globalOperations.setIamPolicy

역할

• 조직에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)

방화벽 정책 만들기

계층식 방화벽 정책을 만들 때 상위 요소를 조직 또는 조직 내 폴더로 설정할 수 있습니다. 정책을 만든 후 조직 또는 조직의 폴더와 정책을 연결할 수 있습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.create

역할

• 정책을 만들려는 조직 또는 폴더에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책을 만들려는 조직 또는 폴더의 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 조직 내의 폴더를 선택합니다.

3. 방화벽 정책 만들기를 클릭합니다.

4. 정책 이름 필드에 정책 이름을 입력합니다.

5. (선택사항) 정책에 대한 규칙을 만들려면 계속을 클릭합니다.

6. 규칙 추가 섹션에서 방화벽 규칙 만들기를 클릭합니다. 방화벽 규칙 만들기에 대한 자세한 내용은 다음을 참고하세요.

   • VM 타겟의 인그레스 규칙 만들기
   • VM 타겟의 이그레스 규칙 만들기

7. (선택사항) 정책을 리소스와 연결하려면 계속을 클릭합니다.

8. 리소스와 정책 연결 섹션에서 추가를 클릭합니다.

   자세한 내용은 정책을 조직 또는 폴더와 연결을 참고하세요.

9. 만들기를 클릭합니다.

gcloud

다음 명령어를 실행하여 상위 항목이 조직인 계층식 방화벽 정책을 만듭니다.

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

다음 명령어를 실행하여 상위 항목이 조직 내 폴더인 계층식 방화벽 정책을 만듭니다.

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

다음을 바꿉니다.

• ORG_ID: 조직의 ID

  상위 항목이 조직인 정책을 만들 조직 ID를 지정합니다. 정책은 조직 또는 조직 내 폴더와 연결할 수 있습니다.

• SHORT_NAME: 정책 이름

  Google Cloud CLI를 사용하여 만든 정책에는 시스템 생성 이름과 개발자가 제공한 닉네임, 이렇게 두 가지가 있습니다. gcloud CLI CLI를 사용하여 기존 정책을 업데이트할 때 시스템 생성 이름 또는 닉네임과 조직 ID를 제공할 수 있습니다. API를 사용하여 정책을 업데이트하는 경우 시스템 생성 이름을 제공해야 합니다.

• FOLDER_ID: 폴더의 ID

  상위 항목이 폴더인 정책을 만들려면 폴더 ID를 지정합니다. 정책은 폴더가 포함된 조직 또는 해당 조직 내의 폴더와 연결할 수 있습니다.

정책을 조직 또는 폴더와 연결

조직의 계층식 방화벽 정책을 조직 또는 폴더와 연결하면 사용 중지된 규칙을 제외하고 각 규칙의 대상에 따라 방화벽 정책의 규칙이 연결된 조직 또는 폴더의 프로젝트에 있는 VPC 네트워크의 리소스에 적용됩니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.use
• compute.organizations.setFirewallPolicy

역할

• 방화벽 정책이 적용되어야 하는 조직 또는 폴더에 대한 Compute 조직 리소스 관리자 (roles/compute.orgSecurityResourceAdmin)
• 다음 역할 중 하나:
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더에 대한 Compute 네트워크 관리자 (roles/compute.networkAdmin)
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더에 대한 Compute 조직 방화벽 정책 사용자 (roles/compute.orgFirewallPolicyUser )
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더의 Compute 조직 보안 정책 관리자 (roles/compute.orgSecurityPolicyAdmin)
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더에 대한 Compute 조직 보안 정책 사용자 (roles/compute.orgSecurityPolicyUser)
  • 방화벽 정책 또는 방화벽 정책이 포함된 조직 또는 폴더의 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

4. 연결 탭을 클릭합니다.

5. 연결 추가를 클릭합니다.

6. 조직 루트를 선택하거나 조직 내의 폴더를 선택합니다.

7. 추가를 클릭합니다.

gcloud

기본적으로 연결이 있는 조직 또는 폴더에 연결 삽입을 시도하면 메서드가 실패합니다. --replace-association-on-target 플래그를 지정하면 새 연결이 생성될 때 기존 연결이 삭제됩니다. 이렇게 하면 전환 중에 리소스가 정책 없이 유지되는 것을 막을 수 있습니다.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

다음을 바꿉니다.

• POLICY_NAME: 닉네임 또는 시스템에서 생성된 정책 이름
• ORG_ID: 조직의 ID
• FOLDER_ID: 정책을 폴더와 연결하는 경우 여기에서 지정하고, 정책을 조직 수준에 연결하는 경우에는 생략합니다.
• ASSOCIATION_NAME: 연결의 이름(선택사항). 지정하지 않으면 이름이 '조직 ORG_ID' 또는 '폴더 FOLDER_ID'로 설정됩니다.

리소스 간 정책 이동

정책을 이동하면 정책의 상위 항목만 변경됩니다. 정책의 상위를 변경하면 정책에서 규칙을 만들고 업데이트할 수 있는 IAM 주 구성원과 향후 연결을 만들 수 있는 IAM 주 구성원이 변경될 수 있습니다.

정책을 이동해도 기존 정책 연결이나 정책의 규칙 평가는 변경되지 않습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.move

역할

• 새 상위 (조직 또는 폴더) 리소스 및 이전 상위 리소스 또는 정책 자체에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 새 상위 (조직 또는 폴더) 리소스 및 이전 상위 리소스 또는 정책 자체에 대한 Compute 보안 관리자(roles/compute.securityAdmin)

콘솔

이 절차에는 Google Cloud CLI를 사용합니다.

gcloud

다음 명령어를 실행하여 계층식 방화벽 정책을 조직으로 이동합니다.

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID

다음 명령어를 실행하여 계층식 방화벽 정책을 조직의 폴더로 이동합니다.

gcloud compute firewall-policies move POLICY_NAME \
    --folder FOLDER_ID

다음을 바꿉니다.

• POLICY_NAME: 이동할 정책의 닉네임 또는 시스템 생성 이름
• ORG_ID: 정책이 이동되는 조직 ID
• FOLDER_ID: 정책이 이동된 폴더 ID

정책 설명 업데이트

업데이트할 수 있는 유일한 정책 필드는 설명 필드입니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.update

역할

• 정책이 포함된 상위 (조직 또는 폴더) 리소스 또는 정책 자체에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

4. 수정을 클릭합니다.

5. 설명을 수정합니다.

6. 저장을 클릭합니다.

gcloud

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

정책 나열

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.list

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체가 포함된 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 사용자 (roles/compute.orgFirewallPolicyUser)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

   조직의 경우 이 조직과 연결된 방화벽 정책 섹션에 연결된 정책이 표시됩니다. 이 조직에 있는 방화벽 정책 섹션에는 조직이 소유한 정책이 나열됩니다.

   폴더의 경우 이 폴더와 연결되거나 이 폴더에 상속된 방화벽 정책 섹션에 폴더와 연결되거나 폴더에 상속된 정책이 표시됩니다. 이 폴더에 있는 방화벽 정책 섹션에는 이 폴더가 소유한 정책이 나열됩니다.

   참고: 리소스(조직 또는 폴더)가 소유한 정책은 해당 리소스와 연결되지 않을 수 있지만 해당 리소스 또는 다른 리소스와 연결할 수 있습니다.

gcloud

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

정책 설명

정책 규칙 및 연결된 규칙 속성을 비롯한 계층식 방화벽 정책에 관한 세부정보를 볼 수 있습니다. 이러한 모든 규칙 속성은 규칙 속성 할당량의 일부로 계산됩니다. 자세한 내용은 방화벽 정책별 표의 '계층적 방화벽 정책별 규칙 속성'을 참고하세요.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.get

역할

• 정책 또는 정책 자체를 포함하는 상위(조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자(roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체가 포함된 상위(조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 사용자(roles/compute.orgFirewallPolicyUser)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

gcloud

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

정책 삭제

계층적 방화벽 정책을 삭제하려면 먼저 모든 연결을 삭제해야 합니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.delete

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 삭제할 정책을 클릭합니다.

4. 연결 탭을 클릭합니다.

5. 모든 연결을 선택합니다.

6. 연결 삭제를 클릭합니다.

7. 연결을 모두 삭제한 후 삭제를 클릭합니다.

gcloud

다음 명령어를 사용하여 정책을 삭제합니다.

gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

리소스의 연결 나열

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.organizations.listAssociations

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 리소스 관리자 (roles/compute.orgSecurityResourceAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 선택한 리소스(조직 또는 폴더)의 경우 연결된 정책 및 상속된 정책 목록이 표시됩니다.

gcloud

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

연결 삭제

조직 또는 폴더와 연결된 계층식 방화벽 정책을 변경해야 하는 경우 연결된 기존 정책을 삭제하는 대신 새 정책을 연결하는 것이 좋습니다. 한 단계로 새 정책을 연결할 수 있으므로 계층식 방화벽 정책이 항상 조직 또는 폴더와 연결되도록 할 수 있습니다.

계층식 방화벽 정책과 조직 또는 폴더 간의 연결을 삭제하려면 이 섹션에 설명된 단계를 따르세요. 계층식 방화벽 정책의 규칙은 연결이 삭제된 후 새 연결에 적용되지 않습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.organizations.setFirewallPolicy

역할

• 정책이 연결된 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 리소스 관리자 (roles/compute.orgSecurityResourceAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

4. 연결 탭을 클릭합니다.

5. 삭제하려는 연결을 선택합니다.

6. 연결 삭제를 클릭합니다.

gcloud

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

방화벽 정책 규칙 태스크

이 섹션에서는 계층적 방화벽 정책 규칙을 만들고 관리하는 방법을 설명합니다.

VM 타겟의 인그레스 규칙 만들기

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.update

역할

• 방화벽 정책 또는 정책이 포함된 조직 또는 폴더에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책이 포함된 방화벽 정책, 조직 또는 폴더의 Compute 보안 관리자 (roles/compute.securityAdmin)

이 섹션에서는 Compute Engine 인스턴스의 네트워크 인터페이스에 적용되는 수신 규칙을 만드는 방법을 설명합니다.

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 목록에서 계층적 방화벽 정책이 포함된 조직 또는 폴더를 선택합니다.

3. 필요한 경우 계층 구조 색인 섹션에서 하위 폴더를 선택합니다.

4. 방화벽 정책 섹션에서 규칙을 만들려는 계층적 방화벽 정책의 이름을 클릭합니다.

5. 방화벽 규칙 섹션에서 방화벽 규칙 만들기를 클릭하고 다음 구성 매개변수를 지정합니다.

   1. 우선순위: 규칙의 평가 순서(번호순)입니다.

      규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1보다 큰 차이로 구분하는 것이 좋습니다 (예: 100, 200, 300).

   2. 설명: 원하는 경우 설명을 제공합니다.

   3. 트래픽 방향: 인그레스를 선택합니다.

   4. 일치 시 작업: 다음 중 하나를 선택합니다.

      • 허용: 규칙 매개변수와 일치하는 연결을 허용합니다.
      • 거부: 규칙 매개변수와 일치하는 연결을 차단합니다.
      • 다음으로 이동: 방화벽 규칙 평가 프로세스를 계속합니다.
      • 보안 프로필 그룹 적용: 선택한 용도에 따라 패킷을 방화벽 엔드포인트 또는 인터셉트 엔드포인트 그룹으로 전송합니다.
        • 패킷을 Cloud NGFW 방화벽 엔드포인트로 전송하려면 Cloud NGFW Enterprise를 선택한 다음 보안 프로필 그룹을 선택합니다. 패킷의 TLS 검사를 사용 설정하려면 TLS 검사 사용 설정을 선택합니다.
        • 대역 내 통합을 위해 네트워크 보안 통합 인터셉트 엔드포인트 그룹에 패킷을 전송하려면 NSI 대역 내를 선택한 다음 보안 프로필 그룹을 선택합니다.

   5. 로그: 사용을 선택하여 방화벽 규칙 로깅을 사용 설정하거나 사용 안함을 선택하여 이 규칙에 대한 방화벽 규칙 로깅을 사용 중지합니다.

   6. 타겟 네트워크: 선택적으로 특정 VPC 네트워크의 타겟에 방화벽 정책을 적용하려면 네트워크 추가를 클릭한 다음 프로젝트와 네트워크를 선택합니다.

   7. 타겟: 다음 중 하나를 선택합니다.

      • 모두에 적용: Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
      • 서비스 계정: 가장 광범위한 인스턴스 타겟을 타겟 서비스 계정에 지정한 서비스 계정을 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁힙니다.
      • 보안 태그: 가장 광범위한 인스턴스 타겟을 지정한 보안 태그 값 중 하나 이상에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁힙니다. 태그 범위 선택을 클릭하고 일치시킬 태그 값이 포함된 조직 또는 프로젝트를 선택합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.

   8. 소스 네트워크 유형: 네트워크 유형을 지정합니다.

      • 네트워크 유형별로 인바운드 트래픽을 필터링하지 않으려면 모든 네트워크 유형을 선택합니다.
      • 특정 네트워크 유형으로의 인바운드 트래픽을 필터링하려면 특정 네트워크 유형을 선택한 다음 네트워크 유형을 선택합니다.
        • 인터넷: 인바운드 트래픽이 인그레스 패킷의 인터넷 네트워크 유형과 일치해야 합니다.
        • 비인터넷: 인바운드 트래픽이 인그레스 패킷의 비인터넷 네트워크 유형과 일치해야 합니다.
        • VPC 내: 인바운드 트래픽이 VPC 내 네트워크 유형 기준과 일치해야 합니다.
        • VPC 네트워크: 인바운드 트래픽이 VPC 네트워크 유형 기준과 일치해야 합니다. VPC 네트워크를 하나 이상 선택해야 합니다.
          • 현재 프로젝트 선택: 방화벽 정책이 포함된 프로젝트에서 하나 이상의 VPC 네트워크를 추가할 수 있습니다.
          • 네트워크 수동 입력: 프로젝트와 VPC 네트워크를 수동으로 입력할 수 있습니다.
          • 프로젝트 선택: VPC 네트워크를 선택할 수 있는 프로젝트를 선택할 수 있습니다.

   9. 소스 필터: 추가 소스 매개변수를 지정합니다. 일부 소스 매개변수는 함께 사용할 수 없으며 선택한 소스 네트워크 유형에 따라 사용할 수 있는 소스 매개변수가 제한됩니다. 자세한 내용은 인그레스 규칙의 소스 및 인그레스 규칙 소스 조합을 참고하세요.

      • 소스 IPv4 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv4를 선택한 다음 IP 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv4 소스에 0.0.0.0/0을 사용합니다.
      • 소스 IPv6 범위를 기준으로 인바운드 트래픽을 필터링하려면 IPv6을 선택한 다음 IPv6 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv6 소스에 ::/0을 사용합니다.
      • 소스 보안 태그 값으로 인바운드 트래픽을 필터링하려면 보안 태그 섹션에서 태그 범위 선택을 선택합니다. 그런 다음 태그 키와 태그 값을 제공합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.
      • 소스 FQDN으로 인바운드 트래픽을 필터링하려면 FQDN 필드에 FQDN을 입력합니다. 자세한 내용은 FQDN 객체를 참고하세요.
      • 소스 위치정보로 인바운드 트래픽을 필터링하려면 위치정보 필드에서 하나 이상의 위치를 선택합니다. 자세한 내용은 위치정보 객체를 참고하세요.
      • 소스 주소 그룹별로 인바운드 트래픽을 필터링하려면 주소 그룹 필드에서 주소 그룹을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책의 주소 그룹을 참고하세요.
      • 소스 Google Threat Intelligence 목록별로 인바운드 트래픽을 필터링하려면 Google Cloud Threat Intelligence 필드에서 Google Threat Intelligence 목록을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참고하세요.

   10. 대상: 선택적 대상 매개변수를 지정합니다. 자세한 내용은 인그레스 규칙의 대상을 참고하세요.

       • 대상 IP 주소별로 인바운드 트래픽을 필터링하지 않으려면 없음을 선택합니다.
       • 대상 IP 주소를 기준으로 인바운드 트래픽을 필터링하려면 IPv4 또는 IPv6를 선택한 다음 소스 IPv4 범위 또는 소스 IPv6 범위에 사용된 것과 동일한 형식을 사용하여 하나 이상의 CIDR을 입력합니다.

   11. 프로토콜 및 포트: 규칙과 일치하는 트래픽의 프로토콜 및 대상 포트를 지정합니다. 자세한 내용은 프로토콜 및 포트를 참고하세요.

   12. 강제 시행: 방화벽 규칙이 강제 시행되는지 여부를 지정합니다.

       • 사용 설정됨: 규칙을 만들고 새 연결에 규칙을 적용하기 시작합니다.
       • 사용 중지됨: 규칙을 만들지만 새 연결에 규칙을 적용하지 않습니다.

6. 만들기를 클릭합니다.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-type=SRC_NETWORK_TYPE] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

다음을 바꿉니다.

• PRIORITY: 정책 내 규칙의 평가 순서(번호순)입니다. 규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1보다 큰 차이로 구분하는 것이 좋습니다(예: 100, 200, 300).
• POLICY_NAME: 규칙을 만들려는 계층적 방화벽 정책의 이름
• ORG_ID: 상위 항목이 조직인 경우 계층적 방화벽 정책이 포함된 조직 ID입니다.
• FOLDER_ID: 상위 항목이 폴더인 경우 계층적 방화벽 정책을 포함하는 폴더 ID입니다.
• DESCRIPTION: 새 규칙에 대한 설명입니다(선택사항).
• ACTION: 다음 작업 중 하나를 지정합니다.
  • allow: 규칙과 일치하는 연결을 허용합니다.
  • deny: 규칙과 일치하는 연결을 거부합니다.
  • goto_next: 방화벽 규칙 평가 프로세스를 계속합니다.
  • apply_security_profile_group: 방화벽 엔드포인트 또는 인터셉트 엔드포인트 그룹으로 패킷을 전송합니다.
    • 작업이 apply_security_profile_group인 경우 --security-profile-group SECURITY_PROFILE_GROUP를 포함해야 합니다. 여기서 SECURITY_PROFILE_GROUP은 보안 프로필 그룹의 이름입니다.
    • 보안 프로필 그룹의 보안 프로필은 인밴드 통합을 위해 Cloud NGFW 방화벽 엔드포인트 또는 네트워크 보안 통합 인터셉트 엔드포인트 그룹을 참조할 수 있습니다.
    • 보안 프로필 그룹의 보안 프로필이 Cloud NGFW 방화벽 엔드포인트를 참조하는 경우 --tls-inspect 또는 --no-tls-inspect을 포함하여 TLS 검사를 사용 설정하거나 사용 중지합니다.
• --enable-logging 및 --no-enable-logging 플래그는 방화벽 규칙 로깅을 사용 설정하거나 중지합니다.
• --disabled 및 --no-disabled 플래그는 규칙이 사용 중지 (적용되지 않음)인지 사용 설정 (적용됨)인지를 제어합니다.
• 대상을 지정합니다.
  • --target-resources, --target-secure-tags, --target-service-accounts 플래그를 생략하면 Cloud NGFW에서 가장 광범위한 인스턴스 타겟을 사용합니다.
  • TARGET_NETWORKS: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME 형식의 네트워크 리소스 URL로 지정된 VPC 네트워크의 쉼표로 구분된 목록입니다. --target-resources 플래그는 단독으로 사용하거나 다른 타겟 플래그와 함께 사용할 수 있습니다. 자세한 내용은 특정 타겟 조합을 참고하세요.
  • TARGET_SECURE_TAGS: 가장 광범위한 인스턴스 타겟을 하나 이상의 보안 태그 값에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁히는 보안 태그 값의 쉼표로 구분된 목록입니다.
  • TARGET_SERVICE_ACCOUNTS: 서비스 계정 중 하나를 사용하는 VM 인스턴스의 네트워크 인터페이스로 가장 광범위한 인스턴스 타겟을 좁히는 쉼표로 구분된 서비스 계정 목록입니다.
• LAYER_4_CONFIGS: 쉼표로 구분된 레이어 4 구성 목록입니다. 각 레이어 4 구성은 다음 중 하나일 수 있습니다.
  • 대상 포트가 없는 IP 프로토콜 이름 (tcp) 또는 IANA IP 프로토콜 번호 (17)입니다.
  • 콜론(tcp:80)으로 구분된 IP 프로토콜 이름과 대상 포트입니다.
  • IP 프로토콜 이름과 대상 포트 범위가 콜론으로 구분되고 대시를 사용하여 시작 및 종료 대상 포트가 구분됩니다(tcp:5000-6000). 자세한 내용은 프로토콜 및 포트를 참고하세요.
• 인그레스 규칙의 소스를 지정합니다. 자세한 내용은 인그레스 규칙 소스 조합을 참고하세요.
  • SRC_NETWORK_TYPE: 지원되는 다른 소스 매개변수와 함께 사용하여 소스 조합을 생성할 소스 네트워크 유형을 정의합니다. --target-type=INSTANCES인 경우 유효한 값은 INTERNET, NON_INTERNET, VPC_NETWORKS, INTRA_VPC입니다. 자세한 내용은 네트워크 유형을 참고하세요.
  • SRC_VPC_NETWORKS: URL 식별자로 지정된 VPC 네트워크의 쉼표로 구분된 목록입니다. --src-network-type가 VPC_NETWORKS인 경우에만 이 플래그를 지정하세요.
  • SRC_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_ADDRESS_GROUPS: 고유 URL 식별자로 지정된 주소 그룹의 쉼표로 구분된 목록입니다. 목록의 주소 그룹에는 모든 IPv4 주소 또는 모든 IPv6 주소가 포함되어야 하며, 두 주소를 조합할 수 없습니다.
  • SRC_DOMAIN_NAMES: 도메인 이름 형식에 지정된 FQDN 객체의 쉼표로 구분된 목록입니다.
  • SRC_SECURE_TAGS: 쉼표로 구분된 태그 목록입니다. --src-network-type이 INTERNET인 경우 --src-secure-tags 플래그를 사용할 수 없습니다.
  • SRC_COUNTRY_CODES: 쉼표로 구분된 두 글자 국가 코드 목록입니다. 자세한 내용은 위치정보 객체를 참고하세요. --src-network-type가 NON_INTERNET, VPC_NETWORKS 또는 INTRA_VPC인 경우 --src-region-codes 플래그를 사용할 수 없습니다.
  • SRC_THREAT_LIST_NAMES: 쉼표로 구분된 Google Threat Intelligence 이름 목록입니다. 자세한 내용은 방화벽 정책 규칙의 Google 위협 인텔리전스를 참고하세요. --src-network-type가 NON_INTERNET, VPC_NETWORKS 또는 INTRA_VPC인 경우 --src-threat-intelligence 플래그를 사용할 수 없습니다.
• 선택적으로 인그레스 규칙의 대상을 지정합니다.
  • DEST_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.

VM 타겟에 대한 이그레스 규칙 만들기

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.update

역할

• 방화벽 정책 또는 정책이 포함된 조직 또는 폴더에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책이 포함된 방화벽 정책, 조직 또는 폴더의 Compute 보안 관리자 (roles/compute.securityAdmin)

다음 안내에서는 이그레스 규칙을 만드는 방법을 보여줍니다. 이그레스 규칙은 Compute Engine 인스턴스의 네트워크 인터페이스인 타겟에만 적용됩니다.

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 목록에서 계층적 방화벽 정책이 포함된 조직 또는 폴더를 선택합니다.

3. 필요한 경우 계층 구조 색인 섹션에서 하위 폴더를 선택합니다.

4. 방화벽 정책 섹션에서 규칙을 만들려는 계층적 방화벽 정책의 이름을 클릭합니다.

5. 방화벽 규칙 섹션에서 방화벽 규칙 만들기를 클릭하고 다음 구성 매개변수를 지정합니다.

   1. 우선순위: 규칙의 평가 순서(번호순)입니다.

      규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1보다 큰 차이로 구분하는 것이 좋습니다 (예: 100, 200, 300).

   2. 설명: 원하는 경우 설명을 제공합니다.

   3. 트래픽 방향: 이그레스를 선택합니다.

   4. 일치 시 작업: 다음 중 하나를 선택합니다.

      • 허용: 규칙 매개변수와 일치하는 연결을 허용합니다.
      • 거부: 규칙 매개변수와 일치하는 연결을 차단합니다.
      • 다음으로 이동: 방화벽 규칙 평가 프로세스를 계속합니다.
      • 보안 프로필 그룹 적용: 선택한 용도에 따라 패킷을 방화벽 엔드포인트 또는 인터셉트 엔드포인트 그룹으로 전송합니다.
        • 패킷을 Cloud NGFW 방화벽 엔드포인트로 전송하려면 Cloud NGFW Enterprise를 선택한 다음 보안 프로필 그룹을 선택합니다. 패킷의 TLS 검사를 사용 설정하려면 TLS 검사 사용 설정을 선택합니다.
        • 대역 내 통합을 위해 네트워크 보안 통합 인터셉트 엔드포인트 그룹에 패킷을 전송하려면 NSI 대역 내를 선택한 다음 보안 프로필 그룹을 선택합니다.

   5. 로그: 사용을 선택하여 방화벽 규칙 로깅을 사용 설정하거나 사용 안함을 선택하여 이 규칙에 대한 방화벽 규칙 로깅을 사용 중지합니다.

   6. 타겟 네트워크: 선택적으로 특정 VPC 네트워크의 타겟에 방화벽 정책을 적용하려면 네트워크 추가를 클릭한 다음 프로젝트와 네트워크를 선택합니다.

   7. 타겟: 다음 중 하나를 선택합니다.

      • 모두에 적용: Cloud NGFW는 가장 광범위한 인스턴스 타겟을 사용합니다.
      • 서비스 계정: 가장 광범위한 인스턴스 타겟을 타겟 서비스 계정에 지정한 서비스 계정을 사용하는 VM 인스턴스의 네트워크 인터페이스로 좁힙니다.
      • 보안 태그: 가장 광범위한 인스턴스 타겟을 지정한 보안 태그 값 중 하나 이상에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁힙니다. 태그 범위 선택을 클릭하고 일치시킬 태그 값이 포함된 조직 또는 프로젝트를 선택합니다. 태그 값을 더 추가하려면 태그 추가를 클릭합니다.

   8. 대상 네트워크 유형: 네트워크 유형을 지정합니다.

      • 네트워크 유형별로 전송 트래픽을 필터링하지 않으려면 모든 네트워크 유형을 선택합니다.
      • 특정 네트워크 유형으로 전송되는 트래픽을 필터링하려면 특정 네트워크 유형을 선택한 다음 네트워크 유형을 선택합니다.
        • 인터넷: 나가는 트래픽이 이그레스 패킷의 인터넷 네트워크 유형과 일치해야 합니다.
        • 비인터넷: 나가는 트래픽이 이그레스 패킷의 비인터넷 네트워크 유형과 일치해야 합니다.

   9. 대상 필터: 추가 대상 매개변수를 지정합니다. 일부 대상 매개변수는 함께 사용할 수 없으며, 선택한 대상 네트워크 유형에 따라 사용할 수 있는 대상 필터가 제한됩니다. 자세한 내용은 이그레스 규칙의 대상 및 이그레스 규칙 대상 조합을 참고하세요.

      • 대상 IPv4 범위를 기준으로 나가는 트래픽을 필터링하려면 IPv4를 선택한 다음 IP 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv4 대상에 0.0.0.0/0을 사용합니다.
      • 대상 IPv6 범위를 기준으로 나가는 트래픽을 필터링하려면 IPv6를 선택한 다음 IPv6 범위 필드에 CIDR 블록을 입력합니다. 모든 IPv6 대상에 ::/0을 사용합니다.
      • 대상 FQDN을 기준으로 나가는 트래픽을 필터링하려면 FQDN 필드에 FQDN을 입력합니다. 자세한 내용은 FQDN 객체를 참고하세요.
      • 대상 위치정보로 나가는 트래픽을 필터링하려면 위치정보 필드에서 하나 이상의 위치를 선택합니다. 자세한 내용은 위치정보 객체를 참고하세요.
      • 대상 주소 그룹별로 아웃바운드 트래픽을 필터링하려면 주소 그룹 필드에서 주소 그룹을 하나 이상 선택합니다. 자세한 내용은 방화벽 정책의 주소 그룹을 참고하세요.
      • 대상 Google 위협 인텔리전스 목록별로 나가는 트래픽을 필터링하려면 Google Cloud 위협 인텔리전스 필드에서 하나 이상의 Google 위협 인텔리전스 목록을 선택합니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참고하세요.

   10. 소스: 선택적 소스 매개변수를 지정합니다. 자세한 내용은 이그레스 규칙의 소스를 참고하세요.

       • 소스 IP 주소별로 나가는 트래픽을 필터링하지 않으려면 없음을 선택합니다.
       • 소스 IP 주소를 기준으로 나가는 트래픽을 필터링하려면 IPv4 또는 IPv6를 선택한 다음 대상 IPv4 범위 또는 대상 IPv6 범위에 사용된 것과 동일한 형식을 사용하여 하나 이상의 CIDR을 입력합니다.

   11. 프로토콜 및 포트: 규칙과 일치하는 트래픽의 프로토콜 및 대상 포트를 지정합니다. 자세한 내용은 프로토콜 및 포트를 참고하세요.

   12. 강제 시행: 방화벽 규칙이 강제 시행되는지 여부를 지정합니다.

       • 사용 설정됨: 규칙을 만들고 새 연결에 규칙을 적용하기 시작합니다.
       • 사용 중지됨: 규칙을 만들지만 새 연결에 규칙을 적용하지 않습니다.

6. 만들기를 클릭합니다.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-type=DEST_NETWORK_TYPE] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

다음을 바꿉니다.

• PRIORITY: 정책 내 규칙의 평가 순서(번호순)입니다. 규칙은 가장 높은 우선순위에서 가장 낮은 우선순위로 평가되며 0이 가장 높은 우선순위입니다. 우선순위는 각 규칙에서 고유해야 합니다. 나중에 기존 규칙 사이에 새 규칙을 만들 수 있도록 규칙 우선순위 값을 1보다 큰 차이로 구분하는 것이 좋습니다(예: 100, 200, 300).
• POLICY_NAME: 규칙을 만들려는 계층적 방화벽 정책의 이름
• ORG_ID: 상위 항목이 조직인 경우 계층적 방화벽 정책이 포함된 조직 ID입니다.
• FOLDER_ID: 상위 항목이 폴더인 경우 계층적 방화벽 정책을 포함하는 폴더 ID입니다.
• DESCRIPTION: 새 규칙에 대한 설명입니다(선택사항).
• ACTION: 다음 작업 중 하나를 지정합니다.
  • allow: 규칙과 일치하는 연결을 허용합니다.
  • deny: 규칙과 일치하는 연결을 거부합니다.
  • goto_next: 방화벽 규칙 평가 프로세스를 계속합니다.
  • apply_security_profile_group: 방화벽 엔드포인트 또는 인터셉트 엔드포인트 그룹으로 패킷을 전송합니다.
    • 작업이 apply_security_profile_group인 경우 --security-profile-group SECURITY_PROFILE_GROUP를 포함해야 합니다. 여기서 SECURITY_PROFILE_GROUP은 보안 프로필 그룹의 이름입니다.
    • 보안 프로필 그룹의 보안 프로필은 인밴드 통합을 위해 Cloud NGFW 방화벽 엔드포인트 또는 네트워크 보안 통합 인터셉트 엔드포인트 그룹을 참조할 수 있습니다.
    • 보안 프로필 그룹의 보안 프로필이 Cloud NGFW 방화벽 엔드포인트를 참조하는 경우 --tls-inspect 또는 --no-tls-inspect을 포함하여 TLS 검사를 사용 설정하거나 사용 중지합니다.
• --enable-logging 및 --no-enable-logging 플래그는 방화벽 규칙 로깅을 사용 설정하거나 중지합니다.
• --disabled 및 --no-disabled 플래그는 규칙이 사용 중지 (적용되지 않음)인지 사용 설정 (적용됨)인지를 제어합니다.
• 대상을 지정합니다.
  • --target-resources, --target-secure-tags, --target-service-accounts 플래그를 생략하면 Cloud NGFW에서 가장 광범위한 인스턴스 타겟을 사용합니다.
  • TARGET_NETWORKS: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME 형식의 네트워크 리소스 URL로 지정된 VPC 네트워크의 쉼표로 구분된 목록입니다. --target-resources 플래그는 단독으로 사용하거나 다른 타겟 플래그와 함께 사용할 수 있습니다. 자세한 내용은 특정 타겟 조합을 참고하세요.
  • TARGET_SECURE_TAGS: 가장 광범위한 인스턴스 타겟을 하나 이상의 보안 태그 값에 바인딩된 VM 인스턴스의 네트워크 인터페이스로 좁히는 보안 태그 값의 쉼표로 구분된 목록입니다.
  • TARGET_SERVICE_ACCOUNTS: 서비스 계정 중 하나를 사용하는 VM 인스턴스의 네트워크 인터페이스로 가장 광범위한 인스턴스 타겟을 좁히는 쉼표로 구분된 서비스 계정 목록입니다.
• LAYER_4_CONFIGS: 쉼표로 구분된 레이어 4 구성 목록입니다. 각 레이어 4 구성은 다음 중 하나일 수 있습니다.
  • 대상 포트가 없는 IP 프로토콜 이름 (tcp) 또는 IANA IP 프로토콜 번호 (17)입니다.
  • 콜론(tcp:80)으로 구분된 IP 프로토콜 이름과 대상 포트입니다.
  • IP 프로토콜 이름과 대상 포트 범위가 콜론으로 구분되고 대시를 사용하여 시작 및 종료 대상 포트가 구분됩니다(tcp:5000-6000). 자세한 내용은 프로토콜 및 포트를 참고하세요.
• 이그레스 규칙의 대상을 지정합니다. 자세한 내용은 이그레스 규칙 대상 조합을 참고하세요.
  • DEST_NETWORK_TYPE: 지원되는 다른 대상 매개변수와 함께 사용하여 대상 조합을 생성할 대상 네트워크 유형을 정의합니다. 유효한 값은 INTERNET 및 NON_INTERNET입니다. 자세한 내용은 네트워크 유형을 참고하세요.
  • DEST_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.
  • DEST_ADDRESS_GROUPS: 고유 URL 식별자로 지정된 주소 그룹의 쉼표로 구분된 목록입니다.
  • DEST_DOMAIN_NAMES: 도메인 이름 형식에 지정된 FQDN 객체의 쉼표로 구분된 목록입니다.
  • DEST_COUNTRY_CODES: 쉼표로 구분된 두 글자 국가 코드 목록입니다. 자세한 내용은 위치정보 객체를 참고하세요.
  • DEST_THREAT_LIST_NAMES: 쉼표로 구분된 Google Threat Intelligence 이름 목록입니다. 자세한 내용은 방화벽 정책 규칙의 Google Threat Intelligence를 참고하세요.
• 원하는 경우 이그레스 규칙의 소스를 지정합니다.
  • SRC_IP_RANGES: CIDR 형식의 쉼표로 구분된 IP 주소 범위 목록입니다. 목록의 범위는 모두 IPv4 CIDR 또는 IPv6 CIDR이어야 하며, 두 주소를 조합할 수 없습니다.

정책의 모든 규칙 나열

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.get

역할

• 정책 또는 정책 자체가 포함된 상위 (조직 또는 폴더) 리소스에 대한 Compute 네트워크 관리자 (roles/compute.networkAdmin) 역할
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체가 포함된 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 사용자 (roles/compute.orgFirewallPolicyUser)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다. 규칙이 방화벽 규칙 탭에 나열됩니다.

gcloud

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

• POLICY_NAME: 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
• ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

규칙 설명

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.get

역할

• 정책 또는 정책 자체가 포함된 상위 (조직 또는 폴더) 리소스에 대한 Compute 네트워크 관리자 (roles/compute.networkAdmin) 역할
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체가 포함된 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 사용자 (roles/compute.orgFirewallPolicyUser)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

4. 규칙의 우선순위를 클릭합니다.

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

• POLICY_NAME: 새 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
• ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

규칙 업데이트

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.update

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 계층적 방화벽 정책이 포함된 조직 또는 폴더를 선택합니다.

3. 업데이트할 규칙이 포함된 계층식 방화벽 정책의 이름을 클릭합니다.

4. 규칙의 우선순위를 클릭합니다.

5. 수정을 클릭합니다.

6. 변경하려는 방화벽 규칙 필드를 수정합니다. 각 필드에 관한 설명은 다음 중 하나를 참고하세요.

   • VM 타겟의 인그레스 규칙 만들기
   • VM 타겟의 이그레스 규칙 만들기

7. 저장을 클릭합니다.

gcloud

gcloud compute firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization ORG_ID \
    [...other flags that you want to modify...]

다음을 바꿉니다.

• PRIORITY: 규칙을 고유하게 식별하는 우선순위 번호입니다.
• POLICY_NAME: 규칙이 포함된 정책의 이름입니다.
• ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

수정하려는 플래그를 제공합니다. 플래그 설명은 다음 중 하나를 참고하세요.

• VM 타겟의 인그레스 규칙 만들기
• VM 타겟의 이그레스 규칙 만들기

정책 간 규칙 클론

타겟 정책에서 모든 규칙을 삭제하고 소스 정책의 규칙으로 바꿉니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.copyRules

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 규칙을 복사하려는 정책을 클릭합니다.

4. 화면 상단의 클론을 클릭합니다.

5. 대상 정책의 이름을 입력합니다.

6. 새 정책을 즉시 연결하려면 계속을 클릭하여 리소스와 정책 연결 섹션을 엽니다.

7. 복제를 클릭합니다.

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --source-firewall-policy=SOURCE_POLICY \
    --organization=ORG_ID \

다음을 바꿉니다.

• POLICY_NAME: 복사된 규칙을 받을 정책
• SOURCE_POLICY: 규칙을 복사할 정책. 리소스의 URL이어야 합니다.
• ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

규칙 삭제

정책에서 규칙을 삭제하면 규칙의 대상과의 새 연결에 더 이상 규칙이 적용되지 않습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.firewallPolicies.update

역할

• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 조직 방화벽 정책 관리자 (roles/compute.orgFirewallPolicyAdmin)
• 정책 또는 정책 자체를 포함하는 상위 (조직 또는 폴더) 리소스에 대한 Compute 보안 관리자 (roles/compute.securityAdmin)

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

3. 정책을 클릭합니다.

4. 삭제하려는 규칙을 선택합니다.

5. 삭제를 클릭합니다.

gcloud

gcloud compute firewall-policies rules delete PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

• PRIORITY: 정책에서 삭제하려는 규칙의 우선순위입니다.
• POLICY_NAME: 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
• ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

네트워크에 유효한 방화벽 규칙 가져오기

VPC 네트워크의 모든 리전에 적용되는 모든 계층식 방화벽 정책 규칙, VPC 방화벽 규칙, 전역 네트워크 방화벽 정책 규칙을 볼 수 있습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.networks.getEffectiveFirewalls
• compute.networks.getRegionEffectiveFirewalls

역할

• 네트워크가 포함된 프로젝트의 Compute 네트워크 관리자 (roles/compute.networkAdmin) 또는
• 네트워크가 포함된 프로젝트의 Compute 네트워크 사용자 (roles/compute.networkUser) 또는
• 네트워크가 포함된 프로젝트의 Compute 네트워크 뷰어 (roles/compute.networkViewer)또는
• 네트워크가 포함된 프로젝트의 Compute 보안 관리자 (roles/compute.securityAdmin) 또는
• 네트워크가 포함된 프로젝트의 Compute 뷰어 (roles/compute.viewer)

콘솔

1. Google Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

   VPC 네트워크로 이동

2. 방화벽 정책 규칙을 보려는 네트워크를 클릭합니다.

3. 방화벽을 클릭합니다.

4. 각 방화벽 정책을 펼쳐서 이 네트워크에 적용되는 규칙을 확인합니다.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

NETWORK_NAME을 유효한 규칙을 보려는 네트워크로 바꿉니다.

방화벽 페이지에서 네트워크에 유효한 방화벽 규칙을 볼 수도 있습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• 네트워크에 대한 compute.organizations.listAssociations
• 선택사항: 상속 출처 열과 위치 열에서 정보를 볼 수 있는 resourcemanager.folders.get 및 resourcemanager.organizations.get

역할

방화벽 규칙을 보려면 다음 명령어를 실행합니다.

• compute.orgSecurityResourceAdmin
• compute.viewer

선택사항: 상속 출처 열과 위치 열에서 정보를 보려면 다음 안내를 따르세요.

• browser
• resourcemanager.organizationAdmin

콘솔

1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

   방화벽 정책으로 이동

2. 방화벽 정책은 이 프로젝트에서 상속된 방화벽 정책 섹션에 나열됩니다.

3. 각 방화벽 정책을 클릭하여 이 네트워크에 적용되는 규칙을 확인합니다.

VM 인터페이스에 유효한 방화벽 규칙 가져오기

Compute Engine VM의 네트워크 인터페이스에 적용되는 모든 관련 방화벽 정책 및 VPC 방화벽 규칙의 모든 방화벽 규칙을 볼 수 있습니다.

이 태스크에 필요한 권한

이 태스크를 수행하려면 다음과 같은 권한 또는 다음과 같은 IAM 역할을 부여받아야 합니다.

권한

• compute.instances.getEffectiveFirewalls

역할

• VM 인스턴스를 포함하는 프로젝트에 대한 Compute 인스턴스 관리자 (roles/compute.instanceAdmin) 또는
• VM 인스턴스가 포함된 프로젝트의 인스턴스 그룹 관리자 서비스 에이전트 (roles/compute.instanceGroupManagerServiceAgent) 또는
• VM 인스턴스가 포함된 프로젝트의 Compute 보안 관리자 (roles/compute.securityAdmin) 또는
• VM 인스턴스가 포함된 프로젝트에 대한 Compute 뷰어 (roles/compute.viewer)

콘솔

1. Google Cloud 콘솔에서 VM 인스턴스 페이지로 이동합니다.

   VM 인스턴스로 이동

2. 프로젝트 선택기 메뉴에서 VM이 포함된 프로젝트를 선택합니다.

3. VM을 클릭합니다.

4. 네트워크 인터페이스에서 인터페이스를 클릭합니다.

5. 유효한 방화벽 규칙은 네트워크 구성 분석 섹션에서 사용할 수 있는 방화벽 탭에 표시됩니다.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

다음을 바꿉니다.

• INSTANCE_NAME: 유효한 규칙을 보려는 VM입니다. 인터페이스를 지정하지 않으면 명령어에서 기본 인터페이스(nic0)의 규칙을 반환합니다.
• INTERFACE: 유효한 규칙을 보려는 VM 인터페이스입니다. 기본값은 nic0입니다.
• ZONE: VM의 영역입니다. 선택한 영역이 이미 기본값으로 설정되어 있으면 이 줄은 선택사항입니다.

문제 해결

이 섹션에는 발생할 수 있는 오류 메시지에 대한 설명이 포함되어 있습니다.

• FirewallPolicy may not specify a name. One will be provided.

  정책 이름을 지정할 수 없습니다. 계층식 방화벽 정책 '이름'은 정책이 생성될 때 Google Cloud 에서 생성된 숫자 ID입니다. 그러나 여러 컨텍스트에서 별칭 역할을 하는 친숙한 닉네임을 지정할 수 있습니다.

• FirewallPolicy may not specify associations on creation.

  연결은 계층식 방화벽 정책이 생성된 후에만 만들 수 있습니다.

• Can't move firewall policy to a different organization.

  계층식 방화벽 정책을 이동하려면 동일한 조직 내에 있어야 합니다.

• The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

  리소스가 이미 계층식 방화벽 정책에 연결된 경우 기존 연결을 교체하는 옵션이 true로 설정되어 있지 않으면 연결 작업이 실패합니다.

• Can't have rules with the same priorities.

  규칙의 우선순위는 계층식 방화벽 정책 내에서 고유해야 합니다.

• Direction must be specified for a firewall policy rule.

  REST 요청을 직접 전송하여 계층식 방화벽 정책 규칙을 만들 때 규칙 방향을 지정해야 합니다. Google Cloud CLI를 사용하고 방향을 지정하지 않으면 기본값은 INGRESS입니다.

• Can't specify enable_logging on a goto_next rule.

  goto_next 작업은 다른 방화벽 정책의 평가 순서를 나타내는 데 사용되고 ALLOW 또는 DENY의 터미널 작업이 아니므로 방화벽 로깅은 goto_next 작업이 포함된 방화벽 규칙에 허용되지 않습니다.

• Must specify at least one destination on Firewall policy rule.

  방화벽 정책 규칙의 layer4Configs 플래그는 하나 이상의 프로토콜 또는 프로토콜 및 대상 포트를 지정해야 합니다.

  방화벽 정책 규칙 문제 해결에 대한 자세한 내용은 VPC 방화벽 규칙 문제 해결을 참조하세요.

다음 단계

• VPC 방화벽 규칙 개요
• 계층식 방화벽 정책 예시