Network Security Integration を使用すると、パケット検査ソフトウェアやファイアウォール ソフトウェアを実行する VM など、ネットワーク セキュリティ アプライアンス VM を VPC ネットワーク内のルートを変更することなく VPC ネットワークに統合できます。
Network Security Integration は、Generic Network Virtualization Encapsulation（GENEVE）プロトコルを使用します。GENEVE は、作成したファイアウォール ルールに基づいて、1 つ以上の VPC ネットワークからネットワーク セキュリティ アプライアンス VM に元のパケットとメタデータを配信します。詳細については、GENEVE 形式について をご覧ください。
統合の種類
Network Security Integration には、ネットワーク セキュリティ アプライアンス VM を統合する 2 つの方法があります。
インバンド: このオプションは、パケットを検査のためにネットワーク アプライアンス VM にルーティングします。ネットワーク アプライアンス VM は、パケットを許可するかブロックするかを決定します。インバンドでは、トラフィックが宛先に到達する前に、ネットワーク アプライアンスが特定された脅威をブロックできます。詳細については、 インバンド統合 の概要をご覧ください。
インターネット宛のパケットの場合、インバンド統合はダイレクト インターネット下り（外向き）デプロイ モデルをサポートしています。これにより、ネットワーク アプライアンスは検査済みのパケットをインターネットに直接ルーティングできます。詳細については、ダイレクト インターネット 下り（外向き）をご覧ください。
アウトオブバンド: このオプションは、元のトラフィック フローに影響を与えることなく、パケットのコピーをネットワーク アプライアンス VM にルーティングして分析します。詳細については、アウトオブバンド統合 の概要をご覧ください。
サービス プロデューサーとコンシューマー
Network Security Integration は、トラフィック データのデータ検査とモニタリングにプロデューサー / コンシューマー モデルを使用します。このモデルでは、次のようになります。
- プロデューサー には、トラフィックの検査とモニタリングを行うネットワーク アプライアンス VM があります。
- コンシューマー は、プロデューサーのサービスを使用して、独自のサービスのネットワーク トラフィックを保護またはモニタリングします。
たとえば、ネットワーク セキュリティ会社の機器が、金融サービス組織の Google Cloudで実行されているアプリケーションに対してカスタム ネットワーク分析を提供するシナリオを考えてみましょう。このシナリオでは、ネットワーク セキュリティ会社がプロデューサー、金融サービス組織が コンシューマーになります。
図 1 は、コンシューマーとプロデューサーが同じ組織に属している Network Security Integration サービスのデプロイ アーキテクチャの概要を示しています。
上の図では、プロデューサー / コンシューマー モデルによって、ネットワークがサービス プロデューサー ネットワークとサービス コンシューマー ネットワークの 2 つに分割されています。
- サービス プロデューサー ネットワークには、トラフィックを検査するスケーラブルなネットワーク アプライアンスのセットが含まれています。
- サービス ユーザー ネットワークには Google Cloud VM が含まれています。コンシューマー ネットワークは、インバンド統合用のグローバル ネットワーク ファイアウォール ポリシーまたは階層型ファイアウォール ポリシーのルールを使用して、トラフィックをプロデューサー ネットワークに送信します。
構成に応じて、Network Security Integration は 1 つ以上のコンシューマー ネットワークからのトラフィックを傍受またはミラーリングします。次に、トラフィックを GENEVE でカプセル化し、検査のためにプロデューサーのネットワーク アプライアンスに送信します。
サービス プロデューサー ネットワーク
プロデューサー VPC ネットワークには、コンシューマー ネットワーク トラフィックを検査またはミラーリングするネットワーク アプライアンスのゾーン デプロイが 1 つ以上含まれています。各ゾーン デプロイは、バックエンド VM が管理するネットワーク アプライアンスである内部パススルー ネットワーク ロードバランサで構成されます。
ゾーン デプロイは、各コンシューマー VPC ネットワークのエンドポイント グループによって参照される単一のデプロイ グループにグループ化されます。
サービス ユーザー ネットワーク
コンシューマー VPC ネットワークには、 Google Cloud 仮想マシン（VM）インスタンスで実行される ワークロードが含まれています。各コンシューマー VPC ネットワークは、エンドポイント グループを使用して、プロデューサーのパケット検査または分析サービスを参照します。
各コンシューマー VPC ネットワークは、インバンド統合用のグローバル ネットワーク ファイアウォール ポリシーまたは階層型ファイアウォール ポリシーのルールを使用して、プロデューサーのアプライアンスによって検査またはミラーリングされるトラフィックを制御します。 これらのファイアウォール ルールは、
apply_security_profile_groupアクションを使用します。セキュリティ目標を達成するために必要なだけルールを具体的に指定できます。IP アドレスや IP 範囲、セキュリティ タグなどの 複数の 属性を使用してトラフィックを照合します。