Componentes da regra de política de firewall

Neste documento, descrevemos os componentes de uma regra de política de firewall que você configura em uma política de firewall hierárquica, global ou regional que se aplica a uma rede de nuvem privada virtual (VPC) comum. Esses componentes incluem direção, origem, destino e características da camada 4, como protocolo e porta de destino (se o protocolo usar portas).

As regras de política de firewall no Google Cloud permitem controlar o tráfego para melhorar a segurança e a eficiência operacional. Ao criar uma regra de política de firewall, você especifica os componentes que definem o que a regra faz. Cada regra de política de firewall se aplica a conexões de entrada (entrada) ou de saída (saída), mas não a ambas.

Para perfis de rede especializados e de alto desempenho, como acesso direto à memória remota (RDMA, na sigla em inglês) em Ethernet convergente (RoCE, na sigla em inglês), os recursos e as configurações das regras de política de firewall são diferentes das redes comuns. Para detalhes sobre as regras de firewall para perfis de rede RDMA, consulte Cloud NGFW para redes VPC RoCE.

Este documento é destinado a administradores da rede e engenheiros de segurança que configuram e gerenciam regras de política de firewall.

Prioridade

Cada regra de uma política de firewall precisa ter uma prioridade exclusiva.

Considere as seguintes diretrizes ao atribuir uma prioridade a uma regra de política de firewall:

  • A prioridade é um número inteiro de 0 a 2,147,483,547, inclusive.
  • Em uma política de firewall, cada regra precisa ter um número de prioridade exclusivo. As regras da política de firewall não têm nomes.
  • O número de prioridade 0 é a prioridade mais alta, e 2,147,483,547 é a mais baixa. A prioridade diminui à medida que o número aumenta. Em uma política de firewall, se um pacote corresponder a várias regras, somente a regra correspondente com a maior prioridade será aplicada.

Considere o exemplo a seguir, em que há duas regras de política de firewall em uma política de firewall de rede global associada à sua rede VPC:

  • Uma regra de entrada de origens 0.0.0.0/0 (qualquer endereço IPv4) aplicável a todas as metas, todos os protocolos e todas as portas, com uma ação deny e uma prioridade de 1000.

  • Uma regra de entrada de origens 0.0.0.0/0 (qualquer endereço IPv4) aplicável a destinos específicos com a tag segura tagKeys/123/tagValues/456 (chave de tag shortName role e valor de tag webserver), para tráfego no TCP 80, com uma ação allow.

A prioridade da segunda regra determina se o tráfego TCP na porta 80 é permitido para as metas de webserver:

  • Se a prioridade da segunda regra for definida como um número maior que 1000, ela terá uma prioridade inferior. Por isso, será aplicada a primeira regra, que nega todo o tráfego.

  • Se a prioridade da segunda regra estiver definida como um número inferior a 1000, ela terá uma prioridade mais alta. Um pacote que chega para o webserver no TCP 80 corresponde primeiro à segunda regra. O tráfego é permitido, e o firewall para de procurar outras regras. A primeira regra nunca é verificada para esse pacote específico.

O exemplo anterior demonstra como é possível usar as prioridades para criar regras allow seletivas e regras deny globais para implementar uma prática recomendada de segurança com o privilégio mínimo.

Ação se houver correspondência

Uma regra em uma política de firewall pode ter uma das ações a seguir:

Parâmetro de ação Descrição
allow

Permite pacotes para uma nova conexão. Interrompe a avaliação de regras na política de firewall que contém a regra correspondente. Não avalia outras regras de firewall.

Independentemente da direção da regra, se o protocolo do pacote e o tipo de política de firewall forem compatíveis com o rastreamento de conexão, uma regra de permissão vai criar uma entrada na tabela de rastreamento de conexão de firewall que permite pacotes de entrada e saída.
deny

Não permite pacotes para uma nova conexão. Interrompe a avaliação de regras na política de firewall que contém a regra correspondente. Não avalia outras regras de firewall.

O Cloud NGFW sempre verifica se há uma entrada na tabela de rastreamento de conexão de firewall antes de avaliar as regras de firewall. Consequentemente, se uma regra de permissão tiver criado uma entrada na tabela de rastreamento de conexão, essa entrada terá precedência.
apply_security_profile_group

Intercepta pacotes de uma nova conexão e os envia para um endpoint de firewall ou grupo de endpoints de interceptação. Interrompe a avaliação de regras na política de firewall que contém a regra correspondente. Não avalia outras regras de firewall.

Independentemente da direção da regra, se o protocolo do pacote e o tipo de política de firewall forem compatíveis com o rastreamento de conexão, uma regra com a ação apply_security_profile_group vai criar uma entrada na tabela de rastreamento de conexão de firewall para que os pacotes de entrada e saída sejam interceptados pelo endpoint de firewall ou pelo grupo de endpoints de interceptação.

Não é possível usar a ação apply_security_profile_group em políticas de firewall de rede regional ou de sistema regional.

A ação apply_security_profile_group tem alguns requisitos especiais, dependendo do tipo de segmentação da regra. Para mais informações, consulte Destinos.
goto_next

Interrompe a avaliação de outras regras na política de firewall e avalia as regras na próxima etapa da ordem de avaliação de políticas e regras de firewall.

A próxima etapa da ordem de avaliação da política e da regra de firewall pode ser a avaliação de regras em outra política de firewall ou as regras de firewall implícitas.

Aplicação

Para escolher se uma regra de política de firewall é aplicada, defina o estado dela como ativado ou desativado. Você define o estado de aplicação ao criar uma regra ou atualizar uma regra.

Se você não definir um estado de aplicação obrigatória ao criar uma nova regra de firewall, ela será ativada automaticamente.

Protocolos e portas

Uma regra de política de firewall armazena restrições de protocolo e porta na lista de configurações da camada 4. Se você omitir as informações de configuração da camada 4, a regra da política de firewall será aplicada a todos os protocolos e portas de destino.

Cada configuração da camada 4 na lista pode especificar uma das seguintes opções:

  • Um nome de protocolo IP, como tcp, ou um número de protocolo IP da IANA, como 17, sem nenhuma porta de destino:

    • É possível usar os seguintes nomes de protocolo IP: tcp, udp, icmp (para IPv4 ICMP), esp, ah, sctp e ipip.
    • Para todos os outros protocolos, use um número de protocolo IANA. A maioria dos protocolos usa o mesmo nome e número no IPv4 e no IPv6, mas alguns protocolos, como o ICMP, não. Para especificar o ICMP IPv4, use icmp ou o número de protocolo 1. Para especificar o ICMP IPv6, use o número de protocolo 58. As regras de política de firewall não são compatíveis com o protocolo IPv6 Hop-by-Hop.

  • Uma combinação de um nome de protocolo IP válido e informações de porta de destino:

    • Os protocolos IP válidos são aqueles que usam portas de destino, como tcp e udp.
    • Para especificar portas de destino, é preciso incluir um único nome de protocolo. É possível especificar um nome de protocolo com um único número de porta de destino ou um intervalo de portas de destino.

As configurações da camada 4 não são compatíveis com o seguinte:

  • Informações de porta de origem para protocolos que usam portas de origem, como tcp e udp

  • Tipos e códigos de ICMP.

Quando você define o tipo de destino de uma regra de política de firewall como INTERNAL_MANAGED_LB, as seguintes restrições adicionais se aplicam:

  • Especifique apenas o protocolo TCP (tcp ou número de protocolo IP da IANA 6).
  • É preciso omitir as informações da porta de destino porque a regra de encaminhamento do balanceador de carga define a porta de destino.

Logging

A geração de registros para regras da política de firewall funciona da mesma forma que a geração de registros de regras de firewall da VPC, com as seguintes exceções:

  • O campo de referência inclui o ID da política de firewall e um número que indica o nível do recurso a que a política está anexada. Por exemplo, 0 significa que a política é aplicada a uma organização, e 1 significa que a política é aplicada a uma pasta de nível superior na organização.

  • Os registros das regras da política de firewall incluem um campo target_resource que identifica as redes VPC às quais a regra se aplica.

  • A geração de registros pode ser ativada somente para as regras allow, deny e apply_security_profile_group. Não é possível ativá-la para regras goto_next.

  • Quando você ativa a geração de registros para uma regra que usa a ação apply_security_profile_group, o Cloud NGFW gera uma única entrada de registro quando intercepta uma sessão de tráfego e redireciona o tráfego para o endpoint de firewall para inspeção profunda de pacotes. Essa entrada de registro confirma que a regra de firewall correspondeu ao tráfego e o redirecionou para o endpoint de firewall. Para mais informações, consulte Visão geral da geração de registros de regras de política de firewall.

  • O endpoint de firewall realiza uma inspeção profunda de pacotes, como o serviço de detecção e prevenção de intrusões e o serviço de filtragem de URLs, e gera o próprio conjunto de registros. Esses registros fornecem informações detalhadas sobre as conexões na sessão interceptada, listando todas as ameaças detectadas ou ações de filtragem de URL. Esses registros de inspeção profunda de pacotes podem gerar várias entradas de registro por sessão.

Destino, origem, destino

Os parâmetros de meta, origem e destino funcionam juntos para determinar o escopo de uma regra de firewall.

  • Parâmetros de destino: identificam os recursos aos quais a regra de firewall se aplica.

  • Parâmetros de origem e destino: definem os critérios de tráfego. É possível especificar as duas para regras de entrada e saída. As opções válidas para os parâmetros de origem e destino dependem dos parâmetros de destino e da direção da regra de firewall.

Destinos

O parâmetro tipo de segmentação e um ou mais parâmetros de segmentação definem os destinos de uma regra de firewall. Esses destinos de uma regra de firewall são os recursos que ela protege.

  • Se o tipo de destino for omitido ou definido como INSTANCES, a regra de firewall será aplicada às interfaces de rede das instâncias do Compute Engine, incluindo nós do Google Kubernetes Engine (GKE) e instâncias do ambiente flexível do App Engine. As regras de entrada e saída são compatíveis.

    Para especificar as interfaces de rede de VM a que a regra de firewall se aplica, use parâmetros de destino:

  • Se você definir o tipo de destino como INTERNAL_MANAGED_LB, a regra de firewall será aplicada aos proxies gerenciados do Envoy que processam o tráfego de balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy internos.

    • Se você omitir o parâmetro regras de encaminhamento de destino, a regra de firewall será aplicada aos destinos mais amplos do balanceador de carga.

    • Para restringir a regra de firewall a um único balanceador de carga, use o parâmetro de regras de encaminhamento de destino. Não é possível usar outros parâmetros de destino específicos, como tags seguras ou contas de serviço. Para mais informações, consulte Destinos específicos e Formato das regras de encaminhamento de destino.

      Se uma regra em uma política de firewall de rede global tiver o tipo de destino definido como INTERNAL_MANAGED_LB e a ação definida como apply_security_profile_group, use o parâmetro de regras de encaminhamento de destino para restringir a regra a um único balanceador de carga de aplicativo interno entre regiões.

    • As regras de firewall com o tipo de destino definido como INTERNAL_MANAGED_LB têm as seguintes restrições:

      • A regra precisa ser de entrada.

      • É necessário omitir o parâmetro de destino da regra, porque a regra de encaminhamento do balanceador de carga define o endereço IP de destino.

      • Nas configurações da camada 4 da regra, especifique apenas o protocolo TCP (tcp ou número de protocolo IP da IANA 6). É preciso omitir as portas de destino porque a regra de encaminhamento do balanceador de carga define a porta de destino.

      • É possível excluir uma regra de encaminhamento de um balanceador de carga de aplicativo interno ou de um balanceador de carga de rede de proxy interno sem remover a regra de firewall que a segmenta. As regras de encaminhamento de destino são vinculadas à regra de firewall pelo ID, não pelo nome. Se você criar uma nova regra de encaminhamento com o mesmo nome, a regra de firewall não será vinculada automaticamente à nova regra de encaminhamento. Para reaplicar a regra de firewall, atualize-a para fazer referência à nova regra de encaminhamento.

Metas de instância mais amplas

Os destinos de instância mais amplos dependem do tipo de política de firewall:

  • Destinos de instância mais amplos para uma regra em uma política de firewall hierárquica: todas as interfaces de rede de VM em uma sub-rede em qualquer região de qualquer rede VPC localizada em um projeto no nó do Resource Manager (pasta ou organização) associado à política de firewall hierárquica.

  • Destinos de instância mais amplos para uma regra em uma política de firewall de rede global: todas as interfaces de rede de VM em uma sub-rede em qualquer região da rede VPC associada à política de firewall de rede global.

  • Metas de instância mais amplas para uma regra na política de firewall de rede regional: todas as interfaces de rede de VM em uma sub-rede dentro da região e da rede VPC associadas à política de firewall de rede regional.

Destinos de balanceador de carga mais amplos

As metas mais amplas do balanceador de carga dependem dos seguintes tipos de política de firewall:

  • Destinos de balanceador de carga mais amplos para uma regra em uma política de firewall de rede global: todas as regras de encaminhamento para balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy internos em uma sub-rede em qualquer região da rede VPC associada à política de firewall de rede global.

  • Destinos de balanceador de carga mais amplos para uma regra em uma política de firewall de rede regional: todas as regras de encaminhamento para balanceadores de carga de aplicativo internos e balanceadores de carga de rede de proxy internos em uma sub-rede dentro da região e da rede VPC associada à política de firewall de rede regional.

Segmentações específicas

A tabela a seguir lista os parâmetros de destino, as políticas de firewall que aceitam regras com cada parâmetro e os tipos de destino de regra aceitos. Se você não especificar um parâmetro de destino, a regra usará os destinos de instância mais amplos ou os destinos de balanceador de carga mais amplos, com base no tipo de destino da regra. A marca de seleção indica que o parâmetro é compatível, e o símbolo indica que o parâmetro não é compatível.

Parâmetro de meta Suporte à política de firewall Suporte a tipos de segmentação de regras
Hierárquico Rede global Rede regional INSTANCES INTERNAL_MANAGED_LB
Recursos de rede VPC de destino

Uma lista de uma ou mais redes VPC especificadas usando o parâmetro target-resources. Essa lista restringe os destinos de instância mais amplos às interfaces de rede da VM que estão em pelo menos uma das redes VPC especificadas.
Contas de serviço de destino

Uma lista de uma ou mais contas de serviço especificadas usando o parâmetro target-service-accounts. Essa lista restringe os destinos de instância mais amplos às interfaces de rede de VM que pertencem a instâncias de VM associadas a pelo menos uma das contas de serviço especificadas.
Segmentar valores de tags seguras de uma chave de tag com dados de finalidade de rede

Uma regra que usa o parâmetro target-secure-tags contendo uma lista de um ou mais valores de tag de uma chave de tag em que purpose-data especifica uma única rede VPC.

Essa lista restringe os destinos de instância mais amplos às interfaces de rede da VM que atendem aos dois critérios a seguir:

  • A interface está na rede VPC que corresponde ao purpose-data da chave de tag.
  • A interface pertence a uma VM vinculada ao valor da tag.

Para mais informações, consulte Tags seguras para firewalls.
Segmentar valores de tag segura de uma chave de tag com dados de finalidade da organização

Uma regra que usa o parâmetro target-secure-tags contendo uma lista de um ou mais valores de tag de uma chave de tag em que o purpose-data é organization=auto.

Essa lista restringe os destinos de instância mais amplos às interfaces de rede da VM que atendem aos dois critérios a seguir:

  • A interface está em qualquer rede VPC da organização.
  • A interface pertence a uma VM vinculada ao valor da tag.

Para mais informações, consulte Tags seguras para firewalls.
Regras de encaminhamento de destino

Uma única regra de encaminhamento para um balanceador de carga de aplicativo interno ou um balanceador de carga de rede de proxy interno especificado no formato de regras de encaminhamento de destino. Esse parâmetro restringe os destinos mais amplos do balanceador de carga a um balanceador de carga de aplicativo interno ou de rede de proxy interno específico.

Combinações de segmentação específicas

As regras que aceitam o parâmetro target-resources podem combiná-lo com outro parâmetro de destino para criar uma combinação de parâmetros de destino. A tabela a seguir lista as combinações de parâmetros de destino compatíveis, as políticas de firewall que aceitam regras com cada parâmetro e os tipos de destino de regra compatíveis. Se você não especificar um parâmetro de destino, a regra usará os destinos de instância mais amplos ou os destinos de balanceador de carga mais amplos, com base no tipo de destino da regra.

A marca de seleção indica que o parâmetro é compatível, e o símbolo indica que o parâmetro não é compatível.

Combinação de parâmetros de meta Suporte à política de firewall Suporte a tipos de segmentação de regras
Hierárquico Rede global Rede regional INSTANCES INTERNAL_MANAGED_LB
Combinação de recursos de rede VPC de destino e contas de serviço de destino

Uma regra que usa os parâmetros target-resources e target-service-accounts.

Essa combinação restringe os destinos de instância mais amplos às interfaces de rede de VM que atendem aos dois critérios a seguir:

  • A interface está em pelo menos uma das redes VPC especificadas em target-resources.
  • A interface pertence a uma instância de VM associada a pelo menos uma das contas de serviço especificadas.
Combinação de recursos de rede VPC de destino e valores de tag segura de destino

Uma regra que usa os parâmetros target-resources e target-secure-tags. Os valores de tag precisam vir de uma chave de tag em que purpose-data é organization=auto.

Essa combinação restringe os destinos de instância mais amplos às interfaces de rede de VM que atendem aos dois critérios a seguir:

  • A interface está em pelo menos uma das redes VPC especificadas em target-resources.
  • A interface pertence a uma VM vinculada ao valor da tag.

Formato das regras de encaminhamento de destino

Quando você define o tipo de destino de uma regra de firewall como INTERNAL_MANAGED_LB, o parâmetro target-forwarding-rules aceita valores nos seguintes formatos:

  • Para balanceadores de carga de aplicativo internos regionais e balanceadores de carga de rede de proxy interno regionais:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • Para balanceadores de carga de aplicativo internos entre regiões e balanceadores de carga de rede de proxy interno entre regiões:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

Metas e endereços IP para regras de entrada

Quando um tipo de destino de regra de firewall é omitido ou definido como INSTANCES, a regra se aplica a pacotes roteados para interfaces de rede de VMs de destino.

  • Se a regra de firewall de entrada incluir um intervalo de endereços IP de destino, o destino do pacote precisará caber em um dos intervalos de endereços IP de destino explicitamente definidos.

  • Se a regra de firewall de entrada não incluir um intervalo de endereços IP de destino, o destino do pacote precisará corresponder a um dos seguintes endereços IP de cada VM de destino:

    • O endereço IPv4 interno principal atribuído à NIC da instância.

    • Qualquer intervalo de endereços IP de alias configurado na NIC da instância.

    • O endereço IPv4 externo associado à NIC da instância.

    • Se o IPv6 estiver configurado na sub-rede, qualquer um dos endereços IPv6 atribuídos à placa de rede (NIC).

    • Um endereço IP interno ou externo associado a uma regra de encaminhamento usada para balanceamento de carga de passagem, em que a instância é um back-end para um balanceador de carga de rede de passagem interna ou um balanceador de carga de rede de passagem externa.

    • Um endereço IP interno ou externo associado a uma regra de encaminhamento usada para encaminhamento de protocolos, em que a instância é referenciada por uma instância de destino.

    • Um endereço IP dentro do intervalo de destino de uma rota estática personalizada usando a instância como uma VM de próximo salto (next-hop-instance ou next-hop-address).

    • Um endereço IP no intervalo de destino de uma rota estática personalizada que usará um balanceador de carga de rede de passagem interna (next-hop-ilb) como próximo salto se a VM for um back-end para esse balanceador de carga.

Se você definir o tipo de destino de uma regra de firewall como INTERNAL_MANAGED_LB, será necessário omitir o parâmetro de destino. A regra de encaminhamento do balanceador de carga de aplicativo interno ou do balanceador de carga de rede de proxy interno define o endereço IP de destino.

Metas e endereços IP para regras de saída

Quando um tipo de destino de regra de firewall é omitido ou definido como INSTANCES, a regra se aplica a pacotes emitidos por interfaces de rede de VMs de destino.

  • Se a VM de destino tiver o encaminhamento de IP desativado (padrão), ela só poderá emitir pacotes com as seguintes origens:

    • O endereço IPv4 interno principal da NIC de uma instância.

    • Qualquer intervalo de endereços IP de alias configurado na NIC de uma instância.

    • Se o IPv6 estiver configurado na sub-rede, qualquer um dos endereços IPv6 atribuídos à placa de rede (NIC).

    • Um endereço IP interno ou externo associado a uma regra de encaminhamento, para balanceamento de carga de passagem ou encaminhamento de protocolo. Isso será válido se a instância for um back-end para um balanceador de carga de rede de passagem interna, um balanceador de carga de rede de passagem externa ou for referenciada por uma instância de destino.

    Se a regra de firewall de saída incluir intervalos de endereços IP de origem, as VMs de destino ainda estarão limitadas aos endereços IP de origem mencionados anteriormente, mas um parâmetro de origem poderá ser usado para refinar as origens. O uso de um parâmetro de origem sem ativar o encaminhamento de IP nunca expande o conjunto de possíveis endereços de origem do pacote.

    Se a regra de firewall de saída não incluir um intervalo de endereços IP de origem, todos os endereços IP de origem mencionados anteriormente serão permitidos.

  • Se a VM de destino tiver o encaminhamento de IP ativado, ela poderá emitir pacotes com endereços de origem arbitrários. Você pode usar o parâmetro de origem para definir com mais precisão o conjunto de origens de pacotes permitidas.

Origens

Os valores de parâmetro de origem dependem da direção da regra de firewall.

Origens das regras de entrada

Nesta tabela, listamos os parâmetros de origem para regras de entrada, as políticas de firewall compatíveis com cada parâmetro e os tipos de destino de regra compatíveis com cada parâmetro. É necessário especificar pelo menos um parâmetro de origem. A marca de seleção indica que o parâmetro é compatível, e o símbolo indica que o parâmetro não é compatível.

Parâmetro de origem da regra de entrada Suporte à política de firewall Suporte a tipos de segmentação de regras
Hierárquico Rede global Rede regional INSTANCES INTERNAL_MANAGED_LB
Intervalos de endereços IP de origem

Uma lista que consiste em endereços IPv4 no formato CIDR ou endereços IPv6 no formato CIDR. A lista é armazenada na própria regra da política de firewall.
Grupos de endereços de origem

Coleções reutilizáveis de endereços IPv4 no formato CIDR ou endereços IPv6 no formato CIDR. A regra de firewall faz referência à coleção. Para mais informações, consulte Grupos de endereços para políticas de firewall.
Origem de valores de tag segura de uma chave de tag com dados de finalidade de rede

Uma lista de um ou mais valores de tag de uma chave de tag em que os dados de finalidade especificam uma única rede VPC. Para mais informações, consulte Tags seguras para firewalls e Como as tags seguras de origem implicam origens de pacotes.
Origem de valores de tag segura de uma chave de tag com dados de finalidade da organização

Uma lista de um ou mais valores de tag de uma chave de tag com dados de finalidade organization=auto. Para mais informações, consulte Tags seguras para firewalls e Como as tags seguras de origem implicam origens de pacotes.
Geolocalizações de origem

Uma lista de uma ou mais localizações geográficas de origem especificadas como códigos de país ou região de duas letras. Para mais informações, consulte Objetos de geolocalização
Listas de origem do Google Threat Intelligence

Uma lista com um ou mais nomes de listas predefinidas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.
Contexto da rede de origem

Uma restrição que define um limite de segurança. Os valores válidos dependem do tipo de segmentação da regra. Para mais informações, consulte Contextos de rede.
Combinações de origem de regras de entrada

Em uma única regra de entrada, é possível usar dois ou mais parâmetros de origem para produzir uma combinação de origem. O Cloud NGFW aplica as seguintes restrições às combinações de origem de cada regra de entrada:

  • Os intervalos de endereços IP de origem precisam conter CIDRs IPv4 ou IPv6, não uma combinação de ambos.
  • Um grupo de endereços de origem que contém CIDRs IPv4 não pode ser usado com um grupo de endereços de origem que contém CIDRs IPv6.
  • Um intervalo de endereços IP de origem que contém CIDRs IPv4 não pode ser usado com um grupo de endereços de origem que contém CIDRs IPv6.
  • Um intervalo de endereços IP de origem que contém CIDRs IPv6 não pode ser usado com um grupo de endereços de origem que contém CIDRs IPv4.
  • O contexto de rede da Internet não pode ser usado com as tags de origem seguras.
  • O contexto não relacionado à Internet, o contexto de redes VPC e o contexto entre VPCs não podem ser usados com as listas de origem do Google Threat Intelligence do ou com as geolocalizações de origem do .

O Cloud NGFW aplica a seguinte lógica para corresponder os pacotes a uma regra de entrada que usa uma combinação de origem:

  • Se a combinação de origem não incluir um contexto de rede de origem, os pacotes vão corresponder à regra de entrada se corresponderem a pelo menos um parâmetro de origem na combinação de origem.

  • Se a combinação de origem incluir um contexto de rede de origem, os pacotes vão corresponder à regra de entrada se corresponderem ao contexto de rede de origem e a pelo menos um dos outros parâmetros de origem na combinação de origem.

Como as tags de origem seguras implicam origens de pacotes

Uma regra de firewall de entrada pode usar valores de tag segura de origem quando o tipo de destino é omitido ou definido como INSTANCES. Os valores de tag segura identificam interfaces de rede, não características de pacotes, como endereços IP.

Os pacotes enviados de uma interface de rede de uma instância de VM correspondem a uma regra de entrada que usa um valor de tag segura de origem de acordo com as seguintes regras:

  • Se a regra de entrada estiver em uma política de rede regional, a instância de VM precisará estar localizada em uma zona da mesma região que a política de firewall de rede regional. Caso contrário, a instância de VM poderá estar localizada em qualquer zona.

  • A instância de VM precisa estar associada ao mesmo valor de tag segura usado como tag segura de origem em uma regra de firewall de entrada.

  • O valor da tag segura associado à instância de VM e usado pela regra de firewall de entrada precisa vir de uma chave de tag com o atributo purpose-data que identifique pelo menos uma rede VPC que contenha uma interface de rede da instância de VM:

    • Se os dados de finalidade da chave de tag especificarem uma única rede VPC, as regras de firewall de entrada que usam o valor da tag segura de origem serão aplicadas às interfaces de rede da instância de VM que estão nessa rede VPC.

    • Se os dados de finalidade da chave de tag especificarem a organização, as regras de firewall de entrada que usam o valor da tag segura de origem serão aplicadas às interfaces de rede da instância de VM que estão em qualquer rede VPC da organização.

  • A interface de rede da VM identificada precisa atender a um dos seguintes critérios:

    • A interface de rede da VM está na mesma rede VPC que a rede VPC a que a política de firewall se aplica.

    • A interface de rede da VM está em uma rede VPC conectada, usando o peering de rede VPC, à rede VPC a que a política de firewall se aplica.

    • A rede VPC usada pela interface de rede da VM e a rede VPC à qual a política de firewall se aplica são spokes VPC no mesmo hub do Network Connectivity Center.

Para mais informações sobre tags seguras para firewalls, consulte Especificações.

Origens para regras de saída

É possível usar as origens a seguir para regras de saída em políticas hierárquicas de firewall e políticas de firewall de rede:

  • Padrão - implícito pelo destino: se você omitir o parâmetro de origem de uma regra de saída, as origens de pacotes serão definidas implicitamente, conforme descrito em Destinos e endereços IP para regras de saída.

  • Intervalos de endereços IPv4 de origem: uma lista de endereços IPv4 no formato CIDR.

  • Intervalos de endereços IPv6 de origem: uma lista de endereços IPv6 no formato CIDR.

Siga estas diretrizes para adicionar intervalos de endereços IP de origem às regras de saída:

  • Se uma interface de rede de VM tiver um endereço IPv4 externo atribuído ou se não tiver um endereço IPv4 externo, mas usar um gateway do Cloud NAT, a avaliação do firewall de saída ocorrerá antes que o Google Cloud mude a origem do pacote de saída de um endereço IPv4 interno para um endereço IPv4 externo. Para aplicar uma regra de firewall de saída, omita o parâmetro Origem ou inclua o endereço IPv4 interno da interface de rede da VM no parâmetro Origem.

  • Se você tiver um intervalo de endereços IP de origem e parâmetros de destino na regra de saída, eles serão resolvidos na mesma versão do IP da versão do IP de origem.

Destinos

Os valores dos parâmetros de destino dependem da direção da regra de firewall.

Destinos para regras de entrada

É possível usar os seguintes destinos para regras de firewall de entrada em políticas de firewall hierárquicas e de rede:

  • Padrão - implícito pelo destino: se você omitir o parâmetro de destino de uma regra de entrada, os destinos de pacote serão definidos implicitamente, conforme descrito em Destinos e endereços IP para regras de entrada.

  • Intervalos de endereços IPv4 de destino: uma lista de endereços IPv4 no formato CIDR. Não será possível usar esse parâmetro se você definir o tipo de destino da regra de firewall como INTERNAL_MANAGED_LB.

  • Intervalos de endereços IPv6 de destino: uma lista de endereços IPv6 no formato CIDR. Não será possível usar esse parâmetro se você definir o tipo de destino da regra de firewall como INTERNAL_MANAGED_LB.

Siga estas diretrizes para adicionar intervalos de endereços IP de destino às regras de entrada:

  • Se uma interface de rede de VM tiver um endereço IPv4 externo atribuído ou se não tiver um endereço IPv4 externo, mas usar um gateway do Cloud NAT, a avaliação do firewall de entrada ocorrerá depois que o Google Cloud alterar o destino do pacote de entrada de um endereço IPv4 externo para um endereço IPv4 interno. Para aplicar uma regra de firewall de entrada, omita o parâmetro Destino ou inclua o endereço IPv4 interno da interface de rede da VM no parâmetro Destino.

  • Se você tiver os parâmetros de origem e de destino definidos em uma regra de entrada, eles serão resolvidos na mesma versão do IP que a versão do IP de destino. Para saber mais sobre como definir uma origem para regras de entrada, consulte Origens para regras de entrada em políticas hierárquicas de firewall e Origens para regras de entrada em políticas de firewall de rede.

    Por exemplo, em uma regra de entrada, você tem um intervalo de endereços IPv6 no parâmetro de destino e um código do país de geolocalização no parâmetro de origem. Durante a aplicação da regra, apenas o endereço IPv6 mapeado é usado para o código do país de origem especificado.

Destinos para regras de saída

Esta tabela lista os parâmetros de destino para regras de saída, as políticas de firewall que aceitam cada parâmetro e os tipos de destino de regra que são compatíveis com cada parâmetro. É necessário especificar pelo menos um parâmetro de destino. A marca de seleção indica que o parâmetro é compatível, e o símbolo indica que o parâmetro não é compatível.

Parâmetro de destino da regra de saída Suporte à política de firewall Suporte a tipos de segmentação de regras
Hierárquico Rede global Rede regional INSTANCES INTERNAL_MANAGED_LB
Intervalos de endereços IP de destino

Uma lista que consiste em endereços IPv4 no formato CIDR ou endereços IPv6 no formato CIDR. A lista é armazenada na própria regra da política de firewall.
Grupos de endereços de destino

Coleções reutilizáveis de endereços IPv4 no formato CIDR ou endereços IPv6 no formato CIDR. A regra da política de firewall faz referência à coleção. Para mais informações, consulte Grupos de endereços para políticas de firewall.
Geolocalizações de destino

Uma lista de uma ou mais localizações geográficas de origem especificadas como códigos de país ou região de duas letras. Para mais informações, consulte Objetos de geolocalização.
Listas de destino do Google Threat Intelligence

Uma lista com um ou mais nomes de listas predefinidas do Google Threat Intelligence. Para mais informações, consulte Google Threat Intelligence para regras de política de firewall.
Contexto da rede de destino

Uma restrição que define um limite de segurança.
Combinações de destino de regras de saída

Em uma única regra de saída, é possível usar dois ou mais parâmetros de destino para produzir uma combinação de destino. O Cloud NGFW aplica as seguintes restrições às combinações de destino de cada regra de saída:

  • Os intervalos de endereços IP de destino precisam conter CIDRs IPv4 ou IPv6, não uma combinação de ambos.
  • Não é possível usar um grupo de endereços de destino que contenha CIDRs IPv4 com um grupo de endereços de destino que contenha CIDRs IPv6.
  • Não é possível usar um intervalo de endereços IP de destino que contenha CIDRs IPv4 com um grupo de endereços de destino que contenha CIDRs IPv6.
  • Não é possível usar um intervalo de endereços IP de destino que contenha CIDRs IPv6 com um grupo de endereços de destino que contenha CIDRs IPv4.
  • Não é possível usar listas de destino do Google Threat Intelligence ou geolocalizações de destino com contexto de rede de destino que não seja da Internet.

O Cloud NGFW aplica a seguinte lógica para corresponder os pacotes a uma regra de saída que usa uma combinação de destino:

  • Se a combinação de destino não incluir um contexto de rede de destino, os pacotes vão corresponder à regra de saída se corresponderem a pelo menos um parâmetro de destino na combinação de destino.

  • Se a combinação de destinos incluir um contexto de rede de destino, os pacotes vão corresponder à regra de saída se corresponderem ao contexto de rede de destino e a pelo menos um dos outros parâmetros de destino na combinação de destinos.

A seguir