Formato de registro de reglas de firewall de VPC

El registro de reglas de firewall de VPC registra información del tráfico de red para ayudarte a consultar, analizar y solucionar problemas de coincidencias de reglas en tu red de nube privada virtual (VPC) de Google Cloud. En este documento, se describen el formato de registro y la estructura de los campos para el registro de reglas de firewall de VPC.

Cloud Logging estructura los registros del firewall con campos básicos y de metadatos, que se usan para identificar errores de configuración de la red y optimizar el rendimiento de las reglas. Los registros aparecen en el campo de carga útil de JSON de una LogEntry de Logging.

Este documento está dirigido a administradores de red, ingenieros de seguridad y analistas de operaciones que consultan, revisan y analizan los registros del firewall de red.

Campos de registro admitidos

En la siguiente tabla, se describen los campos de registro admitidos para las reglas de firewall de VPC.

Nombre del campo Tipo del campo: base o metadatos opcionales Descripción
connection Base IpConnection
5-Tuple describing the source and destination IP address, source and destination port, and IP protocol of this connection.
disposition Base Indica si la conexión fue ALLOWED o DENIED.
rule_details Base RuleDetails
Son los detalles de la regla de firewall de VPC. Para las reglas de firewall de VPC, el formato es network:{network name}/firewall:{firewall_name}.
instance Metadatos InstanceDetails
Detalles de la instancia de VM. En una configuración de VPC compartida, project_id corresponde a la del proyecto de servicio.
load_balancer_details Metadatos LoadBalancingDetails
Son los detalles del balanceador de cargas de aplicaciones interno o del balanceador de cargas de red del proxy interno al que se aplica la regla de firewall. Cuando el destino de una regla de firewall es uno de estos balanceadores de cargas, se omite el campo instance.
vpc Metadatos VpcDetails
Detalles de la red de VPC. En una configuración de VPC compartida, project_id corresponde a la del proyecto host.
remote_instance Metadatos InstanceDetails
Si el extremo remoto de la conexión es una VM ubicada en Compute Engine, este campo se propaga con los detalles de la instancia de VM.
remote_vpc Metadatos VpcDetails
Si el extremo remoto de la conexión es una VM ubicada en una red de VPC, este campo se propaga con los detalles de la red.
remote_location Metadatos GeographicDetails
Si el extremo remoto de la conexión es externo a la red de VPC, este campo se propaga con los metadatos de ubicación disponibles.

IpConnection

Campo Tipo Descripción
src_ip cadena Es la dirección IP de origen. Si el origen es una VM de Compute Engine, src_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. No se muestra la dirección IP externa. En el registro, se muestra la dirección IP de la VM tal como se presenta a la VM en el encabezado del paquete, de la misma manera que si ejecutaras tcpdump en la VM.
src_port integer Es el puerto de origen.
dest_ip cadena Es la dirección IP de destino. Si el destino es una VM de Google Cloud , dest_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. La dirección IP externa no se muestra aunque se haya usado para establecer la conexión.
dest_port integer Es el puerto de destino.
protocol integer Protocolo IP de la conexión.

RuleDetails

Campo Tipo Descripción
reference cadena Es una cadena de identificador único que hace referencia a una regla de firewall con nombre de recurso vinculada a una sola red de VPC. El formato de la regla de firewall de VPC es:
network:{network name}/firewall:{VPC firewall rule name}.
priority integer Es la prioridad de la regla de firewall de VPC.
action cadena Es la acción que se aplica a la conexión. Los valores admitidos son ALLOW o DENY.
direction cadena Es la dirección a la que se aplica la regla de firewall de VPC. Puede ser INGRESS o EGRESS.
source_range[ ] cadena Lista de los rangos de origen a los que se aplica la regla de firewall de VPC.
destination_range[ ] cadena Lista de los rangos de destino a los que se aplica la regla de firewall de VPC.
ip_port_info[ ] cadena Lista de los protocolos IP y rangos de puertos aplicables a las reglas.
source_tag[ ] cadena Listas de etiquetas de red de origen a las que se aplica la regla de firewall de VPC.
target_tag[ ] cadena Listas de etiquetas de red de destino a las que se aplica la regla de firewall de VPC.
source_service_account[ ] cadena Lista de todas las cuentas de servicio de origen a las que se aplica la regla de firewall de VPC.
target_service_account[ ] cadena Es la lista de todas las cuentas de servicio de destino a las que se aplica la regla de firewall de VPC.

IpPortDetails

Campo Tipo Descripción
ip_protocol cadena Es el protocolo IP al que se aplica la regla de firewall de VPC. Se puede establecer en ALL si la regla se aplica a todos los protocolos IP.
port_range[ ] cadena Lista de los rangos de puertos aplicables a las reglas de firewall de VPC. Por ejemplo, 8080-9090.

InstanceDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la VM.
vm_name cadena Nombre de la instancia de la VM.
region cadena Región de la VM.
zone cadena Zona de la VM.

LoadBalancingDetails

Campo Tipo Descripción
forwarding_rule_project_id cadena ID del proyecto deGoogle Cloud que contiene la regla de reenvío. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
type cadena Tipo de balanceador de cargas: APPLICATION_LOAD_BALANCER indica un balanceador de cargas de aplicaciones interno. PROXY_NETWORK_LOAD_BALANCER indica un balanceador de cargas de red de proxy interno. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
scheme cadena Esquema del balanceador de cargas, INTERNAL_MANAGED. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
url_map_name cadena Es el nombre del mapa de URL. Solo se propaga si type es APPLICATION_LOAD_BALANCER. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
forwarding_rule_name cadena Es el nombre de la regla de reenvío. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.

VpcDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la red.
vpc_name cadena Es la red en la que opera la VM.
subnetwork_name cadena Subred en la que opera la VM.

GeographicDetails

Campo Tipo Descripción
continent cadena Nombre del continente. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
country cadena Nombre del país. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
region cadena Nombre de la región. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
city cadena Nombre de la ciudad. Se aplica si el extremo remoto de la conexión es externo a la VPC.

¿Qué sigue?