建立階層式防火牆政策和規則

如要強制執行一致的安全防護措施，並控管整個Google Cloud 組織和資料夾的網路流量，您可以建立及管理階層式防火牆政策和規則。

本文將說明如何建立階層式政策、新增輸入和輸出政策規則，以及將政策與組織或組織內的資料夾建立關聯。如要建立階層式防火牆政策，您必須具備資料夾層級或組織層級的 Identity and Access Management (IAM) 權限，例如 Compute 安全管理員角色 (roles/compute.securityAdmin)。閱讀本頁面前，請務必熟悉階層式防火牆政策總覽中說明的概念。

限制

• 階層式防火牆政策規則不支援使用網路標記定義目標。您必須改用目標虛擬私有雲 (VPC) 網路或目標服務帳戶。
• 防火牆政策可在資料夾和組織層級套用，但無法在虛擬私有雲網路層級套用。虛擬私有雲網路支援一般虛擬私有雲防火牆規則。
• 一項資源 (資料夾或組織) 只能與一項防火牆政策建立關聯，不過資料夾中的虛擬機器 (VM) 執行個體可以沿用 VM 上方整個資源階層的規則。
• allow 和 deny 規則支援防火牆政策規則記錄，但 goto_next 規則不支援。
• 防火牆規則不支援 IPv6 逐躍點通訊協定。

注意： 建立政策時，您可以為政策設定容易記住的簡稱。「簡稱」欄位先前稱為「顯示名稱」，在某些情況下，可能仍會顯示為「顯示名稱」一段時間。

防火牆政策工作

本節說明如何建立及連結階層式防火牆政策。

建立防火牆政策

建立階層式防火牆政策時，您可以將上層設為組織或組織內的資料夾。建立政策後，您可以將政策與組織或組織中的資料夾建立關聯。

這項工作需要的權限

必須擁有下列權限「或」下列任一 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.create

角色

• 在要建立政策的組織或資料夾，具備 Compute 組織防火牆政策管理員 (roles/compute.orgFirewallPolicyAdmin) 角色
• 在要建立政策的組織或資料夾中，具備 Compute 安全管理員 (roles/compute.securityAdmin) 權限

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案選取器選單中，選取組織 ID 或組織內的資料夾。

3. 按一下「建立防火牆政策」。

4. 在「Policy name」(政策名稱) 欄位中，輸入政策名稱。

5. 選用：如要為政策建立規則，請按一下「Continue」(繼續)。

6. 在「新增規則」部分，按一下「建立防火牆規則」。如要進一步瞭解如何建立防火牆規則，請參閱下列文章：

   • 為 VM 目標建立輸入規則
   • 為 VM 目標建立輸出規則

7. 選用：如要將政策與資源建立關聯，請按一下「Continue」(繼續)。

8. 在「將政策與資源建立關聯」部分，按一下「新增」。

   詳情請參閱「將政策與組織或資料夾建立關聯」。

9. 點選「建立」。

gcloud

執行下列指令，建立上層為組織的階層式防火牆政策：

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

執行下列指令，建立階層式防火牆政策，其父項為組織內的資料夾：

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

更改下列內容：

• ORG_ID：組織 ID

  指定組織 ID，建立上層為組織的政策。這項政策可以與組織或組織內的資料夾建立關聯。

• SHORT_NAME：政策名稱

  使用 Google Cloud CLI 建立的政策有兩個名稱：系統產生的名稱和您提供的簡稱。使用 gcloud CLI 更新現有政策時，您可以提供系統產生的名稱，或簡稱和組織 ID。使用 API 更新政策時，必須提供系統產生的名稱。

• FOLDER_ID：資料夾 ID

  指定資料夾 ID，建立上層為資料夾的政策。政策可以與包含資料夾的組織，或該組織中的任何資料夾建立關聯。

將政策與組織或資料夾建立關聯

將階層式防火牆政策與組織或組織中的資料夾建立關聯時，防火牆政策的規則 (停用的規則除外，且須遵守各規則的目標) 會套用至相關聯組織或資料夾專案中虛擬私有雲網路的資源。

這項工作需要的權限

必須擁有下列權限「或」下列任一 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.use
• compute.organizations.setFirewallPolicy

角色

• 在要套用防火牆政策的組織或資料夾，具備 Compute 組織資源管理員 (roles/compute.orgSecurityResourceAdmin) 角色
• 以及下列其中一個角色：
  • 防火牆政策或包含防火牆政策的組織或資料夾的 Compute 網路管理員 (roles/compute.networkAdmin)
  • 防火牆政策或包含防火牆政策的組織或資料夾的 Compute 組織防火牆政策管理員 (roles/compute.orgFirewallPolicyAdmin)
  • 對防火牆政策或包含防火牆政策的組織或資料夾，具備 Compute 組織防火牆政策使用者 (roles/compute.orgFirewallPolicyUser ) 角色
  • 防火牆政策或包含防火牆政策的組織或資料夾的 Compute 組織安全性政策管理員 (roles/compute.orgSecurityPolicyAdmin)
  • Compute 組織安全性政策使用者 (roles/compute.orgSecurityPolicyUser)，適用於防火牆政策，或含有防火牆政策的組織或資料夾
  • 防火牆政策或包含防火牆政策的組織或資料夾的 Compute 安全管理員 (roles/compute.securityAdmin)

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案選取器選單中，選取組織 ID 或含有政策的資料夾。

3. 按一下政策。

4. 按一下「關聯項目」分頁標籤。

5. 按一下「新增關聯」。

6. 選取組織根目錄或組織中的資料夾。

7. 按一下「新增」。

gcloud

根據預設，如果您嘗試將關聯插入已有關聯的組織或資料夾，方法會失敗。如果指定 --replace-association-on-target 旗標，系統會在建立新關聯時刪除現有關聯。這樣可以避免資源在轉換期間沒有政策。

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

更改下列內容：

• POLICY_NAME：政策的簡稱或系統產生的名稱
• ORG_ID：組織 ID
• FOLDER_ID：如要將政策與資料夾建立關聯，請在這裡指定資料夾；如要將政策與組織層級建立關聯，請省略這個參數
• ASSOCIATION_NAME：關聯的選用名稱；如未指定，名稱會設為「organization ORG_ID」或「folder FOLDER_ID」

防火牆政策規則工作

本節說明如何建立階層式防火牆政策規則。

建立 VM 目標的輸入規則

這項工作需要的權限

必須擁有下列權限「或」下列任一 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.update

角色

• 防火牆政策或含有政策的組織或資料夾的 Compute 組織防火牆政策管理員 (roles/compute.orgFirewallPolicyAdmin)
• 對防火牆政策或含有該政策的組織或資料夾，具備 Compute 安全管理員 (roles/compute.securityAdmin) 角色

本節說明如何建立適用於 Compute Engine 執行個體網路介面的輸入規則。

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案選取器清單中，選取含有階層式防火牆政策的組織或資料夾。

3. 如有需要，請在「Hierarchy index」(階層索引) 部分選取子資料夾。

4. 在「Firewall policies」(防火牆政策) 區段中，按一下要建立規則的分層防火牆政策名稱。

5. 在「Firewall rules」(防火牆規則) 區段中，按一下「Create firewall rule」(建立防火牆規則)，然後指定下列設定參數：

   1. 優先順序：規則的數字評估順序。

      系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。 建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，這樣日後才能在現有規則之間建立新規則。

   2. 說明：提供說明 (選填)。

   3. 「Target type」(目標類型)：選取「Instances」(執行個體)。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體設為目標。

   4. 目標：選取下列其中一項：

      • 套用至所有：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標範圍，縮小至使用「Target service account」(目標服務帳戶) 中指定服務帳戶的 VM 執行個體網路介面。
      • 安全標記：將最廣泛的執行個體目標，縮小至繫結至您指定至少一個安全標記值的 VM 執行個體網路介面。按一下「Select scope for tags」(選取標記範圍)，然後選取包含要比對標記值的組織或專案。如要新增更多標記值，請按一下「Add tag」(新增標記)。

   5. 「流量方向」：選取「輸入」。

   6. 相符時執行的動作：選取下列任一選項：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • Go to next：繼續防火牆規則評估程序。
      • 「Apply security profile group」(套用安全性設定檔群組)：根據您選取的「Purpose」(用途)，將封包傳送至防火牆端點或攔截端點群組。
        • 如要將封包傳送至 Cloud NGFW 防火牆端點，請選取「Cloud NGFW Enterprise」，然後選取「Security profile group」(安全性設定檔群組)。如要啟用封包的 TLS 檢查功能，請選取「Enable TLS inspection」(啟用 TLS 檢查)。
        • 如要將封包傳送至網路安全整合服務攔截端點群組，進行頻帶內整合，請選取「NSI In-Band」(NSI 頻帶內)，然後選取「Security profile group」(安全設定檔群組)。

   7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能，或選取「關閉」，停用這項規則的防火牆規則記錄功能。

   8. 「Target networks」(目標網路)：如要將防火牆政策套用至特定虛擬私有雲網路中的目標，請按一下「Add network」(新增網路)，然後選取「Project」(專案) 和「Network」(網路)。

   9. 來源網路情境：指定網路情境：

      • 如要略過依網路情境篩選傳入流量，請選取「All network contexts」(所有網路情境)。
      • 如要將傳入流量篩選至特定網路情境，請選取「Specific network context」(特定網路情境)，然後選取網路情境：
        • 網際網路：傳入流量必須符合輸入封包的網際網路網路內容。
        • 非網際網路：傳入流量必須符合輸入封包的非網際網路網路情境。
        • 虛擬私有雲內部：傳入流量必須符合虛擬私有雲內部網路情境的條件。
        • 虛擬私有雲網路：傳入流量必須符合虛擬私有雲網路情境條件。您必須至少選取一個虛擬私有雲網路：
          • 「Select current project」(選取目前專案)：可從包含防火牆政策的專案中，新增一或多個虛擬私有雲網路。
          • 「Manually enter network」(手動輸入網路)：手動輸入專案和虛擬私有雲網路。
          • 「Select project」(選取專案)：可讓您選取專案，並從中選取虛擬私有雲網路。

   10. 來源篩選器：指定其他來源參數。部分來源參數無法搭配使用，且您選擇的來源網路內容會限制可使用的來源參數。詳情請參閱「輸入規則的來源」和「輸入規則來源組合」。

       • 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。如要指定任何 IPv4 來源，請使用 0.0.0.0/0。
       • 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。如為任何 IPv6 來源，請使用 ::/0。
       • 如要依據來源安全標記值篩選傳入流量，請在「Secure tags」(安全標記) 專區中選取「Select scope for tags」(選取標記範圍)。接著，提供標記鍵和標記值。如要新增更多標記值，請按一下「Add tag」(新增標記)。
       • 如要依來源 FQDN 篩選傳入流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱「FQDN 物件」。
       • 如要依來源地理位置篩選傳入流量，請從「Geolocations」(地理位置) 欄位中選取一或多個位置。詳情請參閱「地理位置物件」。
       • 如要依來源位址群組篩選傳入流量，請從「Address groups」(位址群組) 欄位中選取一或多個位址群組。詳情請參閱「防火牆政策的位址群組」。
       • 如要依來源 Google Threat Intelligence 清單篩選傳入流量，請從「Google Cloud Threat Intelligence」欄位中選取一或多個 Google Threat Intelligence 清單。詳情請參閱「防火牆政策規則的 Google Threat Intelligence」。

   11. 目的地：指定選用的目的地參數。詳情請參閱「輸入規則的目的地」。

       • 如要略過依目的地 IP 位址篩選傳入流量，請選取「None」(無)。
       • 如要依目的地 IP 位址篩選傳入流量，請選取「IPv4」或「IPv6」，然後輸入一或多個 CIDR，格式與來源 IPv4 範圍或來源 IPv6 範圍相同。

   12. 通訊協定和通訊埠：指定流量的通訊協定和目的地通訊埠，以符合規則。詳情請參閱「通訊協定和通訊埠」。

   13. 強制執行：指定是否強制執行防火牆規則：

       • 「Enabled」(已啟用)：建立規則，並開始對新連線強制執行規則。
       • 停用：建立規則，但不會對新連線強制執行規則。

6. 點選「建立」。

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

更改下列內容：

• PRIORITY：政策中規則的數值評估順序。系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，以便日後在現有規則之間建立新規則。
• POLICY_NAME：要在其中建立規則的階層式防火牆政策名稱。
• ORG_ID：如果上層是組織，則為包含階層式防火牆政策的組織 ID。
• FOLDER_ID：如果階層式防火牆政策的父項是資料夾，則為包含該政策的資料夾 ID。
• DESCRIPTION：新規則的選用說明。
• ACTION：指定下列其中一項動作：
  • allow：允許符合規則的連線。
  • deny：拒絕與規則相符的連線。
  • goto_next：繼續防火牆規則評估程序。
  • apply_security_profile_group：將封包傳送至防火牆端點或攔截端點群組。
    • 如果動作是 apply_security_profile_group，則必須加入 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是安全性設定檔群組的名稱。
    • 安全性設定檔群組的安全性設定檔，可參照 Cloud NGFW 防火牆端點或網路安全整合服務攔截端點群組，進行頻內整合。
    • 如果安全性設定檔群組的安全性設定檔參照 Cloud NGFW 防火牆端點，請加入 --tls-inspect 或 --no-tls-inspect，啟用或停用 TLS 檢查。
• --enable-logging 和 --no-enable-logging 旗標可啟用或停用虛擬私有雲防火牆規則記錄功能。
• --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
• 指定目標：
  • 如果省略 --target-resources、--target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
  • TARGET_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，格式為 https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME，由網路資源網址指定。--target-resources 旗標可以單獨使用，也可以與另一個目標旗標搭配使用。詳情請參閱「特定目標組合」。
  • TARGET_SECURE_TAGS：以半形逗號分隔的安全標記值清單，可將最廣泛的執行個體目標範圍，縮小至繫結至至少一個安全標記值的 VM 執行個體網路介面。
  • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標，縮小至使用其中一個服務帳戶的 VM 執行個體網路介面。

• LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：

  • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (6)，不含任何目的地通訊埠。
  • IP 通訊協定名稱和目的地通訊埠，以半形冒號 (tcp:80) 分隔。
  • IP 通訊協定名稱和目的地通訊埠範圍，中間以冒號分隔，並使用破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。

  詳情請參閱「通訊協定和通訊埠」。

• 指定輸入規則的來源。詳情請參閱「輸入規則來源組合」：
  • SRC_NETWORK_CONTEXT：定義來源網路情境，與其他支援的來源參數搭配使用，產生來源組合。--target-type=INSTANCES 的有效值為：INTERNET、NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC。詳情請參閱「網路情境」。
  • SRC_VPC_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，這些網路是以網址 ID 指定。只有在 --src-network-context 為 VPC_NETWORKS 時，才需要指定這個旗標。
  • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
  • SRC_ADDRESS_GROUPS：以半形逗號分隔的位址群組清單，由專屬網址識別碼指定。清單中的位址群組必須全部包含 IPv4 位址或全部包含 IPv6 位址，不得同時包含兩者。
  • SRC_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，以網域名稱格式指定。
  • SRC_SECURE_TAGS：以半形逗號分隔的標記清單。如果 --src-network-context 為 INTERNET，則無法使用 --src-secure-tags 旗標。
  • SRC_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「地理位置物件」。如果 --src-network-context 為 NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC，則無法使用 --src-region-codes 旗標。
  • SRC_THREAT_LIST_NAMES：以半形逗號分隔的 Google Threat Intelligence 清單名稱。詳情請參閱「Google Threat Intelligence for firewall policy rules」(適用於防火牆政策規則的 Google Threat Intelligence)。如果 --src-network-context 為 NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC，則無法使用 --src-threat-intelligence 旗標。
• (選用) 指定輸入規則的目的地：
  • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

建立 VM 目標的輸出規則

這項工作需要的權限

必須擁有下列權限「或」下列任一 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.update

角色

• 防火牆政策或含有政策的組織或資料夾的 Compute 組織防火牆政策管理員 (roles/compute.orgFirewallPolicyAdmin)
• 對防火牆政策或含有該政策的組織或資料夾，具備 Compute 安全管理員 (roles/compute.securityAdmin) 角色

以下說明如何建立輸出規則。輸出規則僅適用於 Compute Engine 執行個體的網路介面目標。

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案選取器清單中，選取含有階層式防火牆政策的組織或資料夾。

3. 如有需要，請在「Hierarchy index」(階層索引) 部分選取子資料夾。

4. 在「Firewall policies」(防火牆政策) 區段中，按一下要建立規則的分層防火牆政策名稱。

5. 在「Firewall rules」(防火牆規則) 區段中，按一下「Create firewall rule」(建立防火牆規則)，然後指定下列設定參數：

   1. 優先順序：規則的數字評估順序。

      系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。 建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，這樣日後才能在現有規則之間建立新規則。

   2. 說明：提供說明 (選填)。

   3. 「Target type」(目標類型)：選取「Instances」(執行個體)。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體設為目標。

   4. 目標：選取下列其中一項：

      • 套用至所有：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標範圍縮小至 VM 執行個體的網路介面，這些執行個體使用您在「Target service account」(目標服務帳戶) 中指定的服務帳戶。
      • 安全標記：將最廣泛的執行個體目標，縮小至繫結至至少一個指定安全標記值的 VM 執行個體網路介面。按一下「Select scope for tags」(選取標記範圍)，然後選取含有要比對標記值的組織或專案。如要新增更多標記值，請按一下「Add tag」(新增標記)。

   5. 「流量方向」：選取「輸出」。

   6. 相符時執行的動作：選取下列任一選項：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • Go to next：繼續防火牆規則評估程序。
      • 「Apply security profile group」(套用安全性設定檔群組)：根據您選取的「Purpose」(用途)，將封包傳送至防火牆端點或攔截端點群組。
        • 如要將封包傳送至 Cloud NGFW 防火牆端點，請選取「Cloud NGFW Enterprise」，然後選取「Security profile group」(安全性設定檔群組)。如要啟用封包的 TLS 檢查功能，請選取「Enable TLS inspection」(啟用 TLS 檢查)。
        • 如要將封包傳送至網路安全整合服務攔截端點群組，進行頻帶內整合，請選取「NSI In-Band」(NSI 頻帶內)，然後選取「Security profile group」(安全設定檔群組)。

   7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能，或選取「關閉」，停用這項規則的防火牆規則記錄功能。

   8. 「Target networks」(目標網路)：如要將防火牆政策套用至特定虛擬私有雲網路中的目標，請按一下「Add network」(新增網路)，然後選取「Project」(專案) 和「Network」(網路)。

   9. Destination network context：指定網路情境：

      • 如要略過依網路情境篩選傳出流量，請選取「All network contexts」(所有網路情境)。
      • 如要篩選傳出至特定網路情境的流量，請選取「Specific network context」(特定網路情境)，然後選取網路情境：
        • 網際網路：傳出流量必須符合輸出封包的網際網路網路情境。
        • 非網際網路：傳出流量必須符合輸出封包的非網際網路網路情境。

   10. 目的地篩選器：指定其他目的地參數。部分目的地參數無法同時使用，且目的地網路內容的選擇會限制可使用的目的地篩選器。詳情請參閱「輸出規則的目的地」和「輸出規則目的地組合」。

       • 如要依目的地 IPv4 範圍篩選傳出流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。任何 IPv4 目的地都請使用 0.0.0.0/0。
       • 如要依目的地 IPv6 範圍篩選傳出流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。任何 IPv6 目的地都請使用 ::/0。
       • 如要依目的地 FQDN 篩選傳出流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱「FQDN 物件」。
       • 如要依目的地地理位置篩選傳出流量，請從「Geolocations」(地理位置) 欄位中選取一或多個位置。詳情請參閱「地理位置物件」。
       • 如要依目的地網址群組篩選傳出流量，請從「Address groups」(網址群組) 欄位中選取一或多個網址群組。詳情請參閱「防火牆政策的位址群組」。
       • 如要依目的地 Google Threat Intelligence 清單篩選傳出流量，請從「Google Cloud Threat Intelligence」欄位中選取一或多個 Google Threat Intelligence 清單。詳情請參閱「防火牆政策規則適用的 Google Threat Intelligence」。

   11. 來源：指定選用的來源參數。詳情請參閱「輸出規則的來源」。

       • 如要略過依來源 IP 位址篩選外送流量，請選取「None」(無)。
       • 如要依來源 IP 位址篩選傳出流量，請選取「IPv4」或「IPv6」，然後輸入一或多個 CIDR，格式與目的地 IPv4 範圍或目的地 IPv6 範圍相同。

   12. 通訊協定和通訊埠：指定流量的通訊協定和目的地通訊埠，以符合規則。詳情請參閱「通訊協定和通訊埠」。

   13. 強制執行：指定是否強制執行防火牆規則：

       • 「Enabled」(已啟用)：建立規則，並開始對新連線強制執行規則。
       • 停用：建立規則，但不會對新連線強制執行規則。

6. 點選「建立」。

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

更改下列內容：

• PRIORITY：政策中規則的數值評估順序。系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，以便日後在現有規則之間建立新規則。
• POLICY_NAME：要在其中建立規則的階層式防火牆政策名稱。
• ORG_ID：如果上層是組織，則為包含階層式防火牆政策的組織 ID。
• FOLDER_ID：如果階層式防火牆政策的父項是資料夾，則為包含該政策的資料夾 ID。
• DESCRIPTION：新規則的選用說明。
• ACTION：指定下列其中一項動作：
  • allow：允許符合規則的連線。
  • deny：拒絕與規則相符的連線。
  • goto_next：繼續防火牆規則評估程序。
  • apply_security_profile_group：將封包傳送至防火牆端點或攔截端點群組。
    • 如果動作是 apply_security_profile_group，則必須加入 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是安全性設定檔群組的名稱。
    • 安全性設定檔群組的安全性設定檔，可參照 Cloud NGFW 防火牆端點或網路安全整合服務攔截端點群組，進行頻內整合。
    • 如果安全性設定檔群組的安全性設定檔參照 Cloud NGFW 防火牆端點，請加入 --tls-inspect 或 --no-tls-inspect，啟用或停用 TLS 檢查。
• --enable-logging 和 --no-enable-logging 旗標可啟用或停用虛擬私有雲防火牆規則記錄功能。
• --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
• 指定目標：
  • 如果省略 --target-resources、--target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
  • TARGET_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，格式為 https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME，由網路資源網址指定。--target-resources 旗標可以單獨使用，也可以與另一個目標旗標搭配使用。詳情請參閱「特定目標組合」。
  • TARGET_SECURE_TAGS：以半形逗號分隔的安全標記值清單，可將最廣泛的執行個體目標範圍，縮小至繫結至至少一個安全標記值的 VM 執行個體網路介面。
  • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標，縮小至使用其中一個服務帳戶的 VM 執行個體網路介面。

• LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：

  • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (6)，不含任何目的地通訊埠。
  • IP 通訊協定名稱和目的地通訊埠，以半形冒號 (tcp:80) 分隔。
  • IP 通訊協定名稱和目的地通訊埠範圍，中間以冒號分隔，並使用破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。

  詳情請參閱「通訊協定和通訊埠」。

• 指定輸出規則的目的地。詳情請參閱「輸出規則目的地組合」：
  • DEST_NETWORK_CONTEXT：定義目的地網路情境，與其他支援的目的地參數搭配使用，產生目的地組合。有效值為 INTERNET 和 NON_INTERNET。詳情請參閱「網路環境」。
  • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
  • DEST_ADDRESS_GROUPS：以半形逗號分隔的位址群組清單，由不重複網址 ID 指定。
  • DEST_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，以網域名稱格式指定。
  • DEST_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「地理位置物件」。
  • DEST_THREAT_LIST_NAMES：以半形逗號分隔的 Google Threat Intelligence 清單名稱。詳情請參閱「防火牆政策規則的 Google Threat Intelligence」。
• 視需要指定輸出規則的來源：
  • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

後續步驟

• 管理階層式防火牆政策和規則
• 虛擬私有雲防火牆規則
• 階層式防火牆政策範例