建立及管理防火牆規則

如要檢查消費者的網路流量，請使用防火牆政策將流量重新導向至虛擬私有雲的攔截端點群組。流量隨後會通過製作人的攔截部署群組，前往他們的運算資源。

本頁面說明如何設定及管理全域網路防火牆政策和規則。如要建立階層式防火牆政策和規則，請參閱「使用階層式防火牆政策和規則」。

事前準備

• 在 Google Cloud 專案中啟用 Compute Engine API。

• 在 Google Cloud 專案中啟用 Network Security API。

• 安裝 gcloud CLI。

• 建立安全性設定檔群組。

角色

如要建立、查看或刪除防火牆規則，請要求管理員授予您專案的必要 Identity and Access Management (IAM) 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

如要查看這個頁面列出的作業進度，請確保您的使用者角色具有下列專案層級的 Compute 安全性管理員 (roles/compute.securityAdmin)、Compute 網路管理員 (roles/compute.networkAdmin) 和 Compute 檢視者 (roles/compute.viewer) 角色：

• compute.networks.get
• compute.networks.list
• compute.firewallPolicies.create
• compute.firewallPolicies.update
• compute.firewallPolicies.removeAssociation

建立防火牆政策和規則

您可以使用 APPLY_SECURITY_PROFILE_GROUP 動作建立防火牆政策和規則。

這項工作需要的權限

必須擁有下列權限「或」下列其中一個 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.create
• compute.firewallPolicies.update
• compute.firewallPolicies.get

角色

• 您要在其中建立政策的專案的 compute.securityAdmin 權限

控制台

如要建立網路防火牆政策，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案選取器清單中，選取機構內的專案。

3. 按一下「建立防火牆政策」。

4. 在「Name」(名稱) 欄位中，輸入政策名稱。

5. 在「部署範圍」部分，選取「全域」。

6. 如要為政策建立規則，請按一下「繼續」，然後點選「新增規則」。

   1. 在「優先順序」欄位中，設定規則的順序編號，其中 0 為最高優先順序。
   2. 在「流量方向」部分，選擇「輸入」。
   3. 在「相符時執行的動作」中，選擇「Proceed to L7 inspection」(進行 L7 檢查)。
   4. 在「用途」部分，選擇「NSI in-band」。
   5. 在「安全性設定檔群組」中，選取自訂攔截安全性設定檔群組。
   6. 在「目標類型」中，指定規則的目標。
   7. 針對「來源篩選器」，指定來源篩選器。
   8. 在「目的地」部分，指定目的地篩選器。
   9. 在「Protocols and ports」(通訊協定和通訊埠) 中，指定規則適用於所有通訊協定和所有目的地通訊埠，或指定規則適用於哪些通訊協定和目的地通訊埠。
   10. 點選「建立」。

7. 按一下「新增規則」，新增其他規則。

8. 如要將政策與網路建立關聯，請按一下「繼續」，然後點選「將政策與虛擬私有雲網路建立關聯」。

9. 點選「建立」。

詳情請參閱「建立全域網路防火牆規則」。

gcloud

如要建立網路防火牆政策，請使用 gcloud compute firewall-policies create 指令：

gcloud compute network-firewall-policies create FIREWALL_POLICY

如要建立防火牆規則，請使用 gcloud compute network-firewall-policies rules create 指令：

gcloud compute network-firewall-policies rules create PRIORITY \
    --action APPLY_SECURITY_PROFILE_GROUP \
    --firewall-policy FIREWALL_POLICY \
    --security-profile-group organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/SECURITY_PROFILE_GROUP_ID \
    --direction DIRECTION \
    --layer4-configs LAYER4_CONIFG \
    --src-ip-ranges SRC_IP_RANGE \
    [--dest-ip-ranges DEST_IP_RANGE] \
    --global-firewall-policy

更改下列內容：

• PRIORITY：要新增規則的優先順序。

• FIREWALL_POLICY：要建立規則的防火牆政策 ID。

• ORGANIZATION_ID：建立安全性設定檔群組的機構 ID。

• SECURITY_PROFILE_GROUP_ID：具有 custom-intercept-profile 動作的安全設定檔群組 ID。

• DIRECTION：指出規則是 ingress 還是 egress 規則。如未指定方向，系統預設會對傳入流量套用規則。對於傳入流量，您無法指定目的地範圍。針對傳出流量，您無法指定來源範圍或來源標記。

• LAYER4_CONFIG：防火牆規則適用的目的地通訊協定和通訊埠清單。

• SRC_IP_RANGE：來源 IP 範圍。只有在 DIRECTION 為 ingress 時，才會指定此屬性。

• DEST_IP_RANGE：目的地 IP 範圍。只有在 DIRECTION 為 egress 時，才會指定這項屬性。

Terraform

如要建立防火牆政策，可以使用 google_compute_firewall_policy 資源。

resource "google_compute_network_firewall_policy" "default" {
  name = "firewall-policy"
}

如要建立防火牆政策規則，可以使用 google_compute_network_firewall_policy_rule 資源。

resource "google_compute_network_firewall_policy_rule" "default" {
  firewall_policy        = google_compute_network_firewall_policy.default.name
  priority               = 1000
  action                 = "apply_security_profile_group"
  direction              = "INGRESS"
  security_profile_group = google_network_security_security_profile_group.default.id

  match {
    layer4_configs {
      ip_protocol = "tcp"
      ports       = ["80"]
    }
    src_ip_ranges = ["10.10.0.0/16"]
  }
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

說明防火牆政策和規則

您可以查看政策的所有詳細資料，包括所有防火牆規則。

這項工作需要的權限

必須擁有下列權限「或」下列其中一個 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.get

角色

• compute.networkAdmin
• 專案的 compute.securityAdmin 權限

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案挑選器中，選取包含全域網路防火牆政策的專案。

3. 按一下政策。

4. 如要查看規則詳細資料，請按一下規則的優先順序。

gcloud

如要說明防火牆政策，請使用 gcloud compute network-firewall-policies describe 指令：

gcloud compute network-firewall-policies describe FIREWALL_POLICY

如要說明防火牆規則，請使用 gcloud compute network-firewall-policies rules describe 指令：

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy FIREWALL_POLICY

將 FIREWALL_POLICY 替換為定義規則的防火牆政策 ID。

刪除防火牆政策和規則

您可以刪除政策和當中的防火牆規則。您必須先刪除機構防火牆政策的所有關聯，才能刪除該政策。

這項工作需要的權限

必須擁有下列權限「或」下列其中一個 IAM 角色，才能執行這項工作。

權限

• compute.firewallPolicies.removeAssociation
• compute.firewallPolicies.update

角色

• 專案的 compute.securityAdmin 權限

控制台

1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「Firewall policies」(防火牆政策)

2. 在專案挑選器中，選取含有政策的專案。

3. 按一下政策。

4. 選取要刪除的規則。

5. 點選「刪除」。

6. 按一下「關聯項目」分頁標籤。

7. 選取要刪除的關聯。

8. 按一下「移除關聯項目」。

9. 移除所有關聯後，按一下「刪除」。

gcloud

如要刪除防火牆規則，請使用 gcloud compute network-firewall-policies rules delete 指令：

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy FIREWALL_POLICY

將 FIREWALL_POLICY 替換為定義規則的防火牆政策 ID。

如要刪除防火牆政策，請使用 gcloud compute network-firewall-policies delete 指令：

gcloud compute network-firewall-policies delete FIREWALL_POLICY