Configurar serviços de consumidor

Nesta página, você encontra detalhes sobre as etapas que um consumidor de serviços precisa seguir para enviar tráfego aos serviços de inspeção de pacotes de um produtor.

Antes de começar

  1. Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloud, crie uma conta para avaliar o desempenho de nossos produtos em situações reais. Clientes novos também recebem US$ 300 em créditos para executar, testar e implantar cargas de trabalho.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. Verifique se você tem os seguintes papéis do Identity and Access Management (IAM) no seu projeto:

  7. Ative as APIs Compute Engine e Network Security, se alguma delas ainda não estiver ativada.

    Funções necessárias para ativar APIs

    Para ativar APIs, você precisa da permissão serviceusage.services.enable. Se você criou o projeto, provavelmente já tem essa permissão com o papel de Proprietário (roles/owner). Caso contrário, é possível receber essa permissão com o papel de Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin). Saiba como conceder papéis.

    Ativar as APIs

  8. Instale a CLI do Google Cloud. Para mais informações, consulte a CLI gcloud.

    Observação: caso você ainda não tenha executado a CLI do Google Cloud, inicialize o diretório da gcloud CLI executando o comando gcloud init.

  9. Para se conectar a um produtor, confira os seguintes detalhes:

Preparar sua rede

Para permitir que uma ou mais redes VPC enviem tráfego aos serviços de inspeção de pacotes de um produtor, faça o seguinte:

  1. Identifique as redes VPC e defina a ordem de aplicação da política de firewall.

    Identifique as redes VPC que querem usar uma oferta de interceptação de pacotes de um produtor. Depois que as redes forem identificadas, defina a ordem de aplicação da política e da regra de firewall de cada rede como BEFORE_CLASSIC_FIREWALL.

    A ordem de aplicação BEFORE_CLASSIC_FIREWALL garante que as regras de política de firewall hierárquicas e globais, que você usará para interceptar o tráfego, sejam avaliadas antes das regras de firewall da VPC. Se você usar a ordem AFTER_CLASSIC_FIREWALL padrão, as regras de firewall da VPC terão precedência, e seu tráfego poderá ser descartado antes de ser interceptado para inspeção.

  2. Crie grupos gerenciados ou não gerenciados de instâncias zonais que contenham suas VMs.

    Recomendamos usar grupos de instâncias gerenciadas, se possível. Se você escolher grupos gerenciados de instâncias, use grupos gerenciados de instâncias zonais. Para mais informações, consulte Criar um MIG em uma única zona.

Configurar recursos na banda

Crie os seguintes recursos para usar os serviços de inspeção de pacotes do produtor:

  1. Crie um grupo de endpoints de interceptação e uma associação de grupo de endpoints de interceptação em um projeto. Para mais informações, consulte Criar e gerenciar grupos de endpoints de interceptação.

    Um consumidor usa o grupo de endpoints de interceptação e a associação de grupo de endpoints de interceptação para selecionar uma oferta de interceptação de pacotes de um produtor para usar em uma ou mais redes VPC de consumidores.

    Ao configurar o grupo de endpoints de interceptação e a associação do grupo de endpoints de interceptação, considere o seguinte:

    • As redes VPC do consumidor e as associações correspondentes do grupo de endpoints de interceptação precisam estar no mesmo projeto.
    • Um grupo de endpoints de interceptação referenciado por uma associação de grupo de endpoints pode estar localizado em qualquer projeto da organização do consumidor.

  2. Crie um perfil de segurança e um grupo de perfis de segurança. Para mais informações sobre como criar um perfil de segurança de interceptação personalizado, consulte Criar um perfil de segurança de interceptação personalizado e Criar e gerenciar grupos de perfis de segurança.

    Com um perfil de segurança e um grupo de perfis de segurança, é possível usar a oferta de interceptação de pacotes de um produtor em regras de uma política de firewall hierárquica ou de política de firewall de rede global. As regras em uma política de firewall fazem referência ao grupo de perfis de segurança e usam a ação apply_security_profile_group para enviar pacotes ao serviço de inspeção de pacotes de um produtor.

  3. Configure uma política de firewall e adicione regras para direcionar o tráfego para a inspeção de pacotes. Somente regras em políticas de firewall de rede global podem referenciar grupos de perfis de segurança para envolvidos no projeto. Para mais informações, consulte Criar e gerenciar regras de firewall.

    As regras que direcionam o tráfego para a inspeção de pacotes precisam ter todas as seguintes características:

    • A ação da regra de política de firewall precisa ser apply_security_profile_group.

    • A regra de política de firewall precisa fazer referência a um grupo de perfis de segurança que contenha o perfil de segurança configurado na etapa anterior. As políticas hierárquicas de firewall só podem fazer referência a grupos de perfis de segurança no nível da organização. As políticas de firewall de rede global podem fazer referência a grupos de perfis de segurança no nível da organização e para envolvidos no projeto.

      O perfil de segurança precisa referenciar o mesmo grupo de endpoints de interceptação associado às redes VPC a que a regra precisa ser aplicada.

    • A política de firewall que contém a regra precisa estar associada às redes VPC a que a regra precisa ser aplicada. O método para criar essa associação depende do tipo de política:

      • Se a regra estiver em uma política de firewall de rede global, ela precisará ser associada às redes VPC a que a regra precisa ser aplicada.

      • Se a regra estiver em uma política hierárquica de firewall de rede, a política de firewall precisará estar associada a uma pasta ou à organização que contém as redes VPC a que a regra precisa ser aplicada. Além disso, se o destino da regra for um recurso de rede, ele precisará incluir as redes VPC a que a regra precisa ser aplicada.

      Para mais informações sobre parâmetros de regras de firewall, consulte Componentes de regras da política de firewall.

  4. Associe a política de firewall às redes VPC que usam a inspeção de pacotes do produtor.

    Para mais informações, consulte Associar uma política de firewall de rede.

Depois de associar a política de firewall e configurar as regras, o tráfego de rede será redirecionado para o grupo de implantação de interceptação do produtor.

A seguir