Criar e gerenciar regras de espelhamento

Nesta página, descrevemos como criar e gerenciar regras de espelhamento usando a Google Cloud CLI. Antes de criar uma regra de espelhamento de pacotes, crie um grupo de endpoints e associações de grupo de endpoints. Para mais informações, consulte Configurar serviços de consumo.

Criar e gerenciar regras de espelhamento para políticas de firewall de rede

Nesta seção, você vai aprender a criar e gerenciar regras de espelhamento para políticas de firewall de rede global.

Criar uma política de firewall com uma regra de espelhamento

Crie uma regra de espelhamento de pacotes em uma política de firewall de rede.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• compute.firewallPolicies.update

Papéis

• Administrador de segurança do Compute (roles/compute.securityAdmin)

Console

Para criar uma política de firewall de rede, siga estas etapas:

1. No console do Google Cloud , acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. Na lista do seletor de projetos, selecione seu Google Cloud projeto na organização.

3. Clique em Criar política de firewall.

4. No campo Nome da política, insira um nome para a política.

5. Em Escopo da implantação, selecione Global.

6. Para criar regras de espelhamento para sua política, clique em Continuar > Continuar.

7. Na seção Adicionar regras de espelhamento, clique em Criar regra de espelhamento.

   1. No campo Prioridade, defina o número do pedido da regra, em que 0 é a prioridade mais alta.
   2. Em Direção do tráfego, escolha Entrada.
   3. Em Ação se houver correspondência, escolha Espelhar.
   4. Em Grupo de perfis de segurança, selecione o grupo de perfis de segurança de espelhamento personalizado.
   5. Em Destino, especifique o destino da regra.
   6. Em Origem, especifique o filtro de origem.
   7. Em Destinos, especifique os filtros de destino.
   8. Em Protocolos e portas, especifique que a regra se aplica a todos os protocolos e a todas as portas de destino ou a quais protocolos e portas de destino ela se aplica.
   9. Clique em Criar.

8. Se quiser associar a política a uma rede, clique em Continuar e em Associar política a redes. Para mais informações, consulte Associar uma política à rede.

   Observação: é possível associar a política a redes depois que ela é criada.

9. Clique em Criar.

gcloud

Para criar uma regra de espelhamento em uma política de firewall de rede, use o comando gcloud compute network-firewall-policies mirroring-rules create:

 gcloud compute network-firewall-policies mirroring-rules create PRIORITY \
     --action ACTION \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy \
     --security-profile-group SECURITY_PROFILE_GROUP \
     --description DESCRIPTION \
     --direction DIRECTION \
     --layer4-configs LAYER4_CONIFG \
     --src-ip-ranges SRC_IP_RANGE \
     --dest-ip-ranges DEST_IP_RANGE

Substitua:

• PRIORITY: a prioridade da regra a ser adicionada.

• ACTION: a ação a ser realizada se a solicitação corresponder à condição de correspondência. ACTION precisa ser mirror ou do_not_mirror.

• FIREWALL_POLICY: o ID da política de firewall com que criar uma regra.

• SECURITY_PROFILE_GROUP: o nome do grupo de perfis de segurança que tem um perfil de segurança CUSTOM_MIRRORING e é usado com a ação mirror.

• DESCRIPTION: uma descrição opcional para a regra de espelhamento.

• DIRECTION: indica se a regra é ingress ou egress. Se a direção não for especificada, o padrão será aplicar a regra ao tráfego de entrada. Para o tráfego de entrada, não é possível especificar intervalos de destino. Para o tráfego de saída, não é possível especificar intervalos de origem ou tags de origem.

• LAYER4_CONFIG: uma lista de protocolos e portas de destino a que a regra de firewall se aplica.

• SRC_IP_RANGE: os intervalos de IP de origem. Isso só será especificado se DIRECTION for ingress.

• DEST_IP_RANGE: os intervalos de IP de destino. Isso só será especificado se DIRECTION for egress.

Terraform

Para criar uma regra de espelhamento, use um recurso google_compute_network_firewall_policy_packet_mirroring_rule.

resource "google_compute_network_firewall_policy_packet_mirroring_rule" "default" {
  provider               = google-beta
  firewall_policy        = google_compute_network_firewall_policy.default.name
  priority               = 1000
  action                 = "mirror"
  direction              = "INGRESS"
  security_profile_group = google_network_security_security_profile_group.default.id

  match {
    layer4_configs {
      ip_protocol = "tcp"
      ports       = ["80"]
    }
    src_ip_ranges = ["10.10.0.0/16"]
  }
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Descrever regra de espelhamento

Descreve a regra de espelhamento da política de firewall de rede na prioridade especificada.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• compute.firewallPolicies.get

Papéis

• Administrador de segurança do Compute (roles/compute.securityAdmin)
• Administrador da rede do Compute (roles/compute.networkAdmin)

Console

1. No console do Google Cloud , acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. No seletor de projetos, selecione o projeto Google Cloud que contém a política de firewall de rede global.

3. Clique na sua política.

4. Para conferir os detalhes de uma regra, clique na prioridade dela.

gcloud

Para descrever uma regra de espelhamento em uma política de firewall de rede, use o comando gcloud compute network-firewall-policies mirroring-rules describe:

 gcloud compute network-firewall-policies mirroring-rules describe PRIORITY \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy

Substitua:

• PRIORITY: a prioridade da regra a ser descrita

• FIREWALL_POLICY: o ID da política de firewall com que descrever a regra

Atualizar regra de espelhamento

Atualize uma regra de espelhamento em uma política de firewall de rede.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• compute.firewallPolicies.update

Papéis

• Administrador de segurança do Compute (roles/compute.securityAdmin)

Console

1. No console do Google Cloud , acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. No seletor de projetos, selecione o projeto Google Cloud que contém a política.

3. Clique na sua política.

4. Na seção Regras de espelhamento, clique na prioridade da regra que você quer atualizar.

5. Clique em Editar.

6. Depois de editar a regra, clique em Salvar.

gcloud

Para atualizar uma regra de espelhamento em uma política de firewall de rede, use o comando gcloud compute network-firewall-policies mirroring-rules update:

 gcloud compute network-firewall-policies mirroring-rules update PRIORITY \
     --action ACTION \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy \
     --security-profile-group SECURITY_PROFILE_GROUP \
     --description DESCRIPTION \
     --direction DIRECTION \
     --layer4-configs LAYER4_CONIFG \
     --src-ip-ranges SRC_IP_RANGE \
     --dest-ip-ranges DEST_IP_RANGE

Substitua:

• PRIORITY: a prioridade da regra a ser atualizada.

• ACTION: a ação a ser realizada se a solicitação corresponder à condição de correspondência. ACTION precisa ser mirror ou do_not_mirror.

• FIREWALL_POLICY: o ID da política de firewall com que uma regra será atualizada.

• SECURITY_PROFILE_GROUP: o nome do grupo de perfis de segurança que tem um perfil de segurança CUSTOM_MIRRORING ou se ACTION é mirror.

• DESCRIPTION: uma descrição opcional para a regra de espelhamento.

• DIRECTION: indica se a regra é ingress ou egress. Se a direção não for especificada, o padrão será aplicar a regra ao tráfego de entrada. Para o tráfego de entrada, não é possível especificar intervalos de destino. Para o tráfego de saída, não é possível especificar intervalos de origem ou tags de origem.

• LAYER4_CONFIG: uma lista de protocolos e portas de destino a que a regra de firewall será aplicada.

• SRC_IP_RANGE: os intervalos de IP de origem. Isso só será especificado se DIRECTION for ingress.

• DEST_IP_RANGE: os intervalos de IP de destino. Isso só será especificado se DIRECTION for egress.

Excluir regra de espelhamento

Exclui a regra de espelhamento de pacotes na prioridade especificada.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• compute.firewallPolicies.update

Papéis

• Administrador de segurança do Compute (roles/compute.securityAdmin)

Console

1. No console do Google Cloud , acesse a página Políticas de firewall.

   Acesse as políticas de firewall

2. No seletor de projetos, selecione o projeto Google Cloud que contém a política.

3. Clique na sua política.

4. Selecione a regra de espelhamento que você quer excluir.

5. Clique em Excluir.

gcloud

Para excluir uma regra de espelhamento de uma política de firewall de rede, use o comando gcloud compute network-firewall-policies mirroring-rules delete:

 gcloud compute network-firewall-policies mirroring-rules delete PRIORITY \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy

Substitua:

• PRIORITY: a prioridade da regra a ser excluída

• FIREWALL_POLICY: o ID da política de firewall com que uma regra será excluída

A seguir

• Visão geral das políticas e regras de firewall
• Visão geral da integração da segurança de rede
• Monitorar a integração fora da banda
• Visão geral da integração fora da banda