Formato de registro de reglas de firewall de VPC

En esta página, se describe la estructura de registro de las reglas de firewall de VPC en Cloud Logging. Cuando una regla de nube privada virtual (VPC) con el registro habilitado se aplica al tráfico desde o hacia una instancia de máquina virtual (VM), Cloud Logging crea una entrada de registro. Los registros aparecen en el campo de carga útil de JSON de una LogEntry de Logging.

Los registros de firewall constan de campos base, que son los campos principales de cada registro, y campos de metadatos opcionales. Para reducir los costos de almacenamiento, puedes excluir los campos de metadatos.

Algunos campos de registro pueden contener otros campos como valores. Por ejemplo, el campo connection usa el formato IpConnection, que incluye la dirección IP y el puerto de origen y destino, y el protocolo, en un solo campo.

En la siguiente tabla, se describen los campos de registro admitidos para las reglas de firewall de VPC.

Nombre del campo Tipo del campo: base o metadatos opcionales Descripción
connection IpConnection 5 tuplas que describen la dirección IP de origen y destino, el puerto de origen y destino, y el protocolo de IP de esta conexión.
disposition Base Indica si la conexión fue ALLOWED o DENIED.
rule_details.reference Base Es la referencia a la regla de firewall. Para las reglas de firewall de VPC, el formato es network:{network name}/firewall:{firewall_name}.
rule_details.priority Base Es la prioridad definida para la regla de firewall de VPC.
rule_details.action Base Indica si la conexión fue ALLOWED o DENIED.
rule_details.direction Base Dirección a la que se aplica la regla de firewall ingress o egress.
rule_details.ip_port_info[ ] IpPortDetails Es una lista de los protocolos IP y los rangos de puertos aplicables. El subcampo ip_protocol puede ser ALL para las reglas de firewall de VPC.
rule_details.source_range[ ]
rule_details.destination_range[ ]		 Metadatos Lista de rangos de IP de origen o destino a los que se aplica la regla de firewall de VPC.
rule_details.source_tag[ ]
rule_details.target_tag[ ]		 Metadatos Es la lista de todas las etiquetas de red de origen o destino a las que se aplica la regla de firewall de VPC.
rule_details.source_service_account[ ]
rule_details.target_service_account[ ]		 Metadatos Lista de todas las cuentas de servicio de origen o destino a las que se aplica la regla de firewall de VPC.
instance Metadatos InstanceDetails
Detalles de la instancia de VM. En una configuración de VPC compartida, project_id corresponde a la del proyecto de servicio.
load_balancer_details Metadatos LoadBalancingDetails
Son los detalles del balanceador de cargas de aplicaciones interno o del balanceador de cargas de red del proxy interno al que se aplica la regla de firewall. Cuando el destino de una regla de firewall es uno de estos balanceadores de cargas, se omite el campo instance.
vpc Metadatos VpcDetails
Detalles de la red de VPC. En una configuración de VPC compartida, project_id corresponde a la del proyecto host.
remote_instance Metadatos InstanceDetails
Si el extremo remoto de la conexión es una VM ubicada en Compute Engine, este campo se propaga con los detalles de la instancia de VM.
remote_vpc Metadatos VpcDetails
Si el extremo remoto de la conexión es una VM ubicada en una red de VPC, este campo se propaga con los detalles de la red.
remote_location Metadatos GeographicDetails
Si el extremo remoto de la conexión es externo a la red de VPC, este campo se propaga con los metadatos de ubicación disponibles.

IpConnection

Campo Tipo Descripción
src_ip cadena Es la dirección IP de origen. Si el origen es una VM de Compute Engine, src_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. No se muestra la dirección IP externa. En el registro, se muestra la dirección IP de la VM tal como se presenta a la VM en el encabezado del paquete, de la misma manera que si ejecutaras tcpdump en la VM.
src_port integer Es el puerto de origen.
dest_ip cadena Es la dirección IP de destino. Si el destino es una VM de Google Cloud , dest_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. La dirección IP externa no se muestra aunque se haya usado para establecer la conexión.
dest_port integer Es el puerto de destino.
protocol integer Protocolo IP de la conexión.

RuleDetails

Campo Tipo Descripción
reference cadena Referencia a la regla de firewall de VPC; formato:
network:{network name}/firewall:{VPC firewall rule name}.
priority integer Es la prioridad de la regla de firewall de VPC.
action cadena Es la acción que se aplica a la conexión. Los valores admitidos son ALLOW o DENY.
direction cadena Dirección a la que se aplica la regla de firewall de VPC (ingress o egress).
source_range[ ] cadena Lista de los rangos de origen a los que se aplica la regla de firewall de VPC.
destination_range[ ] cadena Lista de los rangos de destino a los que se aplica la regla de firewall de VPC.
source_tag[ ] cadena Listas de etiquetas de red de origen a las que se aplica la regla de firewall de VPC.
target_tag[ ] cadena Listas de etiquetas de red de destino a las que se aplica la regla de firewall de VPC.
source_service_account[ ] cadena Lista de todas las cuentas de servicio de origen a las que se aplica la regla de firewall de VPC.
target_service_account[ ] cadena Es la lista de todas las cuentas de servicio de destino a las que se aplica la regla de firewall de VPC.

IpPortDetails

Campo Tipo Descripción
ip_protocol cadena Es el protocolo de IP al que se aplica la regla de firewall de VPC. Se puede establecer en ALL si la regla se aplica a todos los protocolos IP.
port_range[ ] cadena Lista de los rangos de puertos aplicables a las reglas de firewall de VPC. Por ejemplo, 8080-9090.

InstanceDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la VM.
vm_name cadena Nombre de la instancia de la VM.
region cadena Región de la VM.
zone cadena Zona de la VM.

LoadBalancingDetails

Campo Tipo Descripción
forwarding_rule_project_id cadena ID del proyecto deGoogle Cloud que contiene la regla de reenvío. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
type cadena Tipo de balanceador de cargas: APPLICATION_LOAD_BALANCER indica un balanceador de cargas de aplicaciones interno. PROXY_NETWORK_LOAD_BALANCER indica un balanceador de cargas de red de proxy interno. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
scheme cadena Esquema del balanceador de cargas, INTERNAL_MANAGED. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
url_map_name cadena Es el nombre del mapa de URL. Solo se propaga si type es APPLICATION_LOAD_BALANCER. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.
forwarding_rule_name cadena Es el nombre de la regla de reenvío. Se envía cuando el balanceador de cargas es el destino en lugar de una VM.

VpcDetails

Campo Tipo Descripción
project_id cadena ID del proyecto que contiene la red.
vpc_name cadena Es la red en la que opera la VM.
subnetwork_name cadena Subred en la que opera la VM.

GeographicDetails

Campo Tipo Descripción
continent cadena Nombre del continente. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
country cadena Es el nombre del país. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
region cadena Nombre de la región. Es aplicable si el extremo remoto de la conexión es externo a la VPC.
city cadena Nombre de la ciudad. Es aplicable si el extremo remoto de la conexión es externo a la VPC.

¿Qué sigue?