מדיניות חומת אש היא אוסף של כללי חומת אש שמאפשרים לכם לשלוט בזרימת תעבורת הנתונים הנכנסת (ingress) והיוצאת (egress) ברשת VPC. כללים של מדיניות חומת האש מאפשרים לכם לאשר או לדחות חיבורים באופן מפורש.
ב-Network Security Integration בתוך תדרים, משתמשים במדיניות ובכללים של חומת אש היררכית וגלובלית (מומלץ) כדי להפנות מחדש את תעבורת הנתונים ברשת. התעבורה עוברת דרך קבוצת נקודות הקצה של רשת ה-VPC, קבוצת הפריסה של הספק ואז למשאבי המחשוב של הספק לצורך בדיקת התעבורה.
בדף הזה מתוארים כללי המדיניות וחומת האש שמשמשים לבדיקת חבילות נתונים.
מדיניות וכללים של חומת אש
כדי להפנות תנועה לקבוצת נקודות קצה ליירוט, אפשר ליצור כללים ומדיניות של חומת אש ברשת או היררכית.
כשיוצרים מדיניות חומת אש, צריך ליצור כלל חומת אש עם הפעולה APPLY_SECURITY_PROFILE_GROUP. הכלל צריך להפנות לקבוצת פרופילי האבטחה שמכילה את הפעולה custom-intercept-profile.
עדיפות
העדיפות של כלל חומת האש צריכה להיות מספר שלם בין 0 ל-2,147,483,547, כולל. מספרים שלמים נמוכים יותר מציינים עדיפות גבוהה יותר. מידע נוסף זמין במאמר בנושא עדיפות של כללים בחומת האש.
פעולה במקרה של התאמה
כלל במדיניות חומת אש יכול לכלול אחת מהפעולות הבאות:
- הפעולה
allowמאפשרת תנועה ומפסיקה את ההערכה של כללים נוספים. - הפעולה
denyדוחה תנועה ומפסיקה את ההערכה של כללים נוספים. הפעולה
apply_security_profile_groupמיירטת את התעבורה באופן שקוף ושולחת אותה לנקודת הקצה של חומת האש שהוגדרה או לקבוצת נקודות הקצה של היירוט לבדיקה. ההחלטה אם לאפשר את החבילה או לדחות אותה תלויה בנקודת הקצה של חומת האש (או בקבוצת נקודות הקצה של היירוט) ובפרופיל האבטחה שהוגדר. בשני המקרים, תהליך ההערכה של הכלל נפסק.פעולת ברירת המחדל לכללי חומת אש שמשתמשים ב-
apply_security_profile_groupהיאallow. אם הבדיקה נכשלת בגלל הגדרה לא מלאה, למשל אם לא משייכים את רשת ה-VPC לקבוצת נקודות הקצה של היירוט, חומת האש מאפשרת את התעבורה כברירת מחדל. בתרחישים כאלה, בשדהapply_security_profile_fallback_actionביומני חומת האש מוצג הערךUNSPECIFIED.
מידע נוסף זמין במאמר בנושא סדר ההערכה של מדיניות וכללים.
תעבורת נתונים יוצאת (egress) ותעבורת נתונים נכנסת (ingress)
כלל ingress עם פעולה deny מגן על כל המכונות על ידי חסימת חיבורים נכנסים אליהן. כלל עם עדיפות גבוהה יותר עשוי לאפשר גישה נכנסת.
כלל יציאה עם פעולה allow מאפשר למופע לשלוח תעבורה ליעדים שצוינו בכלל. יכול להיות שכללי חומת אש עם עדיפות גבוהה יותר ימנעו יציאה. Google Cloud גם חוסמים או מגבילים סוגים מסוימים של תנועה.
אחרי שמוסיפים את כלל חומת האש למדיניות, משייכים את מדיניות חומת האש לרשת. מידע נוסף מופיע במאמר בנושא יצירה וניהול של כללים.
פרוטוקולים ויציאות
בדומה לכללים של חומת האש, כשיוצרים כלל לחומת האש צריך לציין מגבלות של פרוטוקול ויציאה. כשמציינים TCP או UDP בכלל חומת אש, אפשר לציין את הפרוטוקול, את הפרוטוקול ואת יציאת היעד, או את הפרוטוקול ואת טווח יציאות היעד. אי אפשר לציין רק יציאה או טווח יציאות. בנוסף, אפשר לציין רק יציאות יעד. אין תמיכה בכללים שמבוססים על יציאות מקור.
אפשר להשתמש בשמות הפרוטוקולים הבאים בכללי חומת האש:
tcpudp-
icmp(ל-IPv4 ICMP) espahsctpipip
לכל שאר הפרוטוקולים, משתמשים במספרי הפרוטוקולים של IANA.
מידע נוסף זמין במאמר בנושא פרוטוקול ופורטים של כללים בחומת האש.
כיוון
הכיוון שבו כלל חומת האש חל. הערך יכול להיות INGRESS או EGRESS.
INGRESS: כיוון הכניסה מתייחס לחיבורים הנכנסים שנשלחים ממקורות ספציפיים ליעדים Google Cloud . כללי תעבורת נתונים נכנסת (ingress) חלים על מנות נתונים נכנסות, כשהיעד של מנות הנתונים הוא היעד.כלל כניסה עם פעולת דחייה מגן על כל המופעים על ידי חסימת חיבורים נכנסים אליהם. כלל בעדיפות גבוהה יותר עשוי לאפשר גישה נכנסת. רשת ברירת מחדל שנוצרת באופן אוטומטי כוללת כמה כללי חומת אש של ענן וירטואלי פרטי (VPC) שמולאו מראש, שמאפשרים תעבורת נתונים נכנסת (ingress) לסוגים מסוימים של תעבורת נתונים.
EGRESS: כיוון תעבורת הנתונים היוצאת מתייחס לתעבורת הנתונים היוצאת שנשלחת מיעד ליעד. כללי יציאה חלים על מנות של חיבורים חדשים שבהם המקור של המנה הוא היעד.