Mit der Netzwerksicherheits-Integration können Sie VMs für Netzwerksicherheits-Appliances, einschließlich VMs, auf denen Software zur Paketprüfung und Firewallsoftware ausgeführt wird, in ein VPC-Netzwerk einbinden, ohne die Routen im VPC-Netzwerk zu ändern.
Die Netzwerksicherheits-Integration verwendet das GENEVE-Protokoll (Generic Network Virtualization Encapsulation). GENEVE liefert Originalpakete und Metadaten an VMs für Netzwerksicherheits-Appliances aus einem oder mehreren Ihrer VPC-Netzwerke, basierend auf von Ihnen erstellten Firewallregeln. Weitere Informationen finden Sie unter Informationen zum GENEVE-Format.
Verknüpfungstypen
Die Netzwerksicherheits-Integration bietet zwei Möglichkeiten, VMs für Netzwerksicherheits-Appliances einzubinden:
In-Band: Bei dieser Option werden Pakete zur Prüfung an VMs für Netzwerksicherheits-Appliances weitergeleitet. Dort wird entschieden, ob die Pakete zugelassen oder blockiert werden. Mit In-Band können Netzwerksicherheits-Appliances alle erkannten Bedrohungen blockieren, bevor der Traffic sein Ziel erreicht. Weitere Informationen finden Sie unter Übersicht über die In-Band-Integration.
Bei Paketen, die für das Internet bestimmt sind, unterstützt die In-Band-Integration das Bereitstellungsmodell für ausgehenden Direct VPC-Traffic, mit dem Ihre Netzwerksicherheits-Appliances geprüfte Pakete direkt an das Internet weiterleiten können. Weitere Informationen finden Sie unter Ausgehender Direct VPC-Traffic.
Out-of-Band: Bei dieser Option wird eine Kopie der Pakete zur Analyse an VMs für Netzwerksicherheits-Appliances weitergeleitet, ohne den ursprünglichen Trafficfluss zu beeinträchtigen. Weitere Informationen finden Sie unter Übersicht über die Out-of-Band-Integration.
Dienstersteller und ‑nutzer
Im Allgemeinen verwendet die Netzwerksicherheits-Integration ein Ersteller-Nutzer-Modell für die Datenprüfung und die Überwachung von Trafficdaten. In diesem Modell gilt Folgendes:
- Der Ersteller hat VMs für Netzwerksicherheits-Appliances, die die Trafficprüfung und ‑überwachung ermöglichen.
- Der Nutzer verwendet die Dienste des Erstellers, um den Netzwerkverkehr seiner eigenen Dienste zu sichern oder zu überwachen.
Stellen Sie sich beispielsweise ein Szenario vor, in dem die Appliances eines Netzwerksicherheitsunternehmens einem Finanzdienstleistungsunternehmen benutzerdefinierte Netzwerkanalysen für seine Anwendungen bereitstellen, die auf ausgeführt werden Google Cloud. In diesem Szenario ist das Netzwerk sicherheitsunternehmen der Ersteller und das Finanzdienstleistungsunternehmen ist der Nutzer.
Abbildung 1 zeigt die allgemeine Bereitstellungsarchitektur der Netzwerksicherheits-Integrationsdienste, bei der sich sowohl der Nutzer als auch der Ersteller in derselben Organisation befinden.
Im vorherigen Diagramm unterteilt das Ersteller-Nutzer-Modell das Netzwerk in zwei Teile: ein Netzwerk des Diensterstellers und ein Netzwerk des Dienstnutzers.
- Ein Netzwerk des Diensterstellers enthält eine Reihe skalierbarer Netzwerksicherheits-Appliances, die den Traffic prüfen.
- Ein Netzwerk des Dienstnutzers enthält Google Cloud VMs. Das Nutzernetzwerk verwendet Regeln in einer globalen Netzwerk-Firewallrichtlinie oder einer hierarchischen Firewallrichtlinie für die In-Band-Integration, um Traffic an das Erstellernetzwerk zu senden.
Je nach Konfiguration fängt die Netzwerksicherheits-Integration den Traffic aus einem oder mehreren Nutzernetzwerken ab oder spiegelt ihn. Anschließend wird der Traffic mit GENEVE gekapselt und zur Prüfung an die Netzwerksicherheits-Appliances des Erstellers gesendet.
Netzwerk des Diensterstellers
Ein VPC-Netzwerk des Erstellers enthält eine oder mehrere zonale Bereitstellungen von Netzwerksicherheits-Appliances, die den Netzwerkverkehr des Nutzernetzwerks prüfen oder spiegeln. Jede zonale Bereitstellung besteht aus einem internen Passthrough-Network Load Balancer, dessen Backend-VMs von Ihnen verwaltete Netzwerksicherheits-Appliances sind.
Zonale Bereitstellungen werden in einer einzigen Bereitstellungsgruppe zusammengefasst, auf die in jedem VPC-Netzwerk des Nutzers von einer Endpunktgruppe verwiesen wird.
Netzwerk des Dienstnutzers
Ein VPC-Netzwerk des Nutzers enthält Google Cloud Arbeitslasten die auf VM-Instanzen ausgeführt werden. Jedes VPC-Netzwerk des Nutzers verweist mit einer Endpunktgruppe auf die Dienste zur Paketprüfung oder ‑analyse eines Erstellers.
Jedes VPC-Netzwerk des Nutzers verwendet Regeln in einer globalen Netzwerk-Firewallrichtlinie oder einer hierarchischen Firewallrichtlinie für die In-Band-Integration, um den Traffic zu steuern, der von den Appliances des Erstellers geprüft oder gespiegelt wird. Diese Firewallregeln verwenden die Aktion
apply_security_profile_group. Sie können die Regeln so spezifisch wie nötig gestalten, um Ihre Sicherheitsziele zu erreichen. Dazu können Sie Traffic anhand mehrerer Attribute wie IP-Adressen oder IP-Bereiche und sicherer Tags abgleichen.
Nächste Schritte
- Übersicht über die Out-of-Band-Integration
- Übersicht über die In-Band-Integration
- Informationen zum GENEVE-Format