Componenti delle regole del criterio firewall

Questo documento descrive i componenti di una regola della policy del firewall che configuri in una policy del firewall gerarchica, globale o regionale che si applica a una rete Virtual Private Cloud (VPC) regolare. Questi componenti includono direzione, origine, destinazione e caratteristiche di livello 4, come protocollo e porta di destinazione (se il protocollo utilizza porte).

Le regole delle policy del firewall in Google Cloud ti consentono di controllare il traffico per migliorare la sicurezza e l'efficienza operativa. Quando crei una regola della policy del firewall, specifichi i componenti che definiscono l'azione della regola. Ogni regola della policy del firewall si applica alle connessioni in entrata o in uscita, ma non a entrambe.

Per i profili di rete specializzati e ad alte prestazioni, come Remote Direct Memory Access (RDMA) su Converged Ethernet (RoCE), le funzionalità e le configurazioni delle regole delle policy del firewall differiscono da quelle delle reti normali. Per informazioni dettagliate sulle regole firewall per i profili di rete RDMA, consulta Cloud NGFW per le reti VPC RoCE.

Questo documento è rivolto agli amministratori di rete e agli ingegneri della sicurezza che configurano e gestiscono le regole delle policy del firewall.

Priorità

Ogni regola di una policy del firewall deve avere una priorità univoca.

Per l'assegnazione di una priorità a una regola della policy del firewall, considera le linee guida riportate di seguito:

  • La priorità è un numero intero compreso tra 0 e 2,147,483,547 inclusi.
  • In una policy del firewall, ogni regola deve avere un numero di priorità univoco. Le regole delle policy del firewall non hanno nomi.
  • Il numero di priorità 0 è la priorità più alta e 2,147,483,547 è la più bassa. La priorità diminuisce all'aumentare del numero. In una policy del firewall, se un pacchetto corrisponde a più regole, viene applicata solo la regola corrispondente con la priorità più alta.

Considera il seguente esempio in cui esistono due regole della policy del firewall in una policy del firewall di rete globale associata alla tua rete VPC:

  • Una regola in entrata dalle origini 0.0.0.0/0 (qualsiasi indirizzo IPv4) applicabile a tutte le destinazioni, a tutti i protocolli e a tutte le porte di destinazione, con un'azione deny e una priorità 1000.

  • Una regola in entrata dalle origini 0.0.0.0/0 (qualsiasi indirizzo IPv4) applicabile a target specifici con il tag sicuro tagKeys/123/tagValues/456 (chiave tag shortName role e valore tag webserver), per il traffico su TCP 80, con un'azione allow.

La priorità della seconda regola determina se il traffico TCP sulla porta 80 è consentito per i target webserver:

  • Se la priorità della seconda regola è impostata su un numero maggiore di 1000, ha una priorità inferiore, quindi si applica la prima regola che nega tutto il traffico.

  • Se la priorità della seconda regola è impostata su un numero inferiore a 1000, ha una priorità più alta. Un pacchetto in arrivo per webserver su TCP 80 corrisponde prima alla seconda regola. Il traffico è consentito e il firewall interrompe la ricerca di altre regole. La prima regola non viene mai controllata per questo pacchetto specifico.

L'esempio precedente mostra come utilizzare le priorità per creare regole allow selettive e regole deny globali per implementare una best practice di sicurezza con privilegio minimo.

Azione in caso di corrispondenza

Una regola in una policy del firewall può avere una delle seguenti azioni:

Parametro azione Descrizione
allow

Consente i pacchetti per una nuova connessione. Interrompe la valutazione delle regole nella policy del firewall che contiene la regola corrispondente. Non valuta altre regole firewall.

Indipendentemente dalla direzione della regola, se il protocollo del pacchetto e il tipo di policy del firewall supportano il monitoraggio delle connessioni, una regola "allow" crea una voce nella tabella di monitoraggio delle connessioni del firewall che consente i pacchetti sia in entrata sia in uscita.
deny

Non consente i pacchetti per una nuova connessione. Interrompe la valutazione delle regole nella policy del firewall che contiene la regola corrispondente. Non valuta altre regole firewall.

Cloud NGFW verifica sempre la presenza di una voce nella tabella di monitoraggio della connessione del firewall prima di valutare le regole del firewall. Di conseguenza, se una regola di autorizzazione ha creato una voce della tabella di monitoraggio della connessione, questa voce ha la precedenza.
apply_security_profile_group

Intercetta i pacchetti per una nuova connessione, inviandoli a un endpoint firewall o a un gruppo di endpoint di intercettazione. Interrompe la valutazione delle regole nella policy del firewall che contiene la regola corrispondente. Non valuta altre regole firewall.

Indipendentemente dalla direzione della regola, se il protocollo del pacchetto e il tipo di policy del firewall supportano il monitoraggio delle connessioni, una regola con l'azione apply_security_profile_group crea una voce della tabella di monitoraggio delle connessioni del firewall in modo che i pacchetti in entrata e in uscita vengano intercettati dall'endpoint firewall o dal gruppo di endpoint di intercettazione.

Non puoi utilizzare l'azione apply_security_profile_group nelle policy del firewall di rete regionale o nelle policy del firewall di sistema regionale.

L'azione apply_security_profile_group ha alcuni requisiti speciali a seconda del tipo di targeting della regola. Per saperne di più, consulta Target.
goto_next

Interrompe la valutazione di altre regole nella policy del firewall e valuta le regole nel passaggio successivo dell' ordine di valutazione delle regole e delle policy del firewall.

Il passaggio successivo dell'ordine di valutazione delle policy e delle regole del firewall potrebbe essere la valutazione delle regole in un'altra policy del firewall o delle regole firewall implicite.

Applicazione

Puoi scegliere se una regola della policy del firewall viene applicata impostando il relativo stato su abilitato o disabilitato. Lo stato di applicazione viene impostato quando crei o aggiorni una regola.

Se non imposti uno stato di applicazione quando crei una nuova regola firewall, la regola firewall viene attivata automaticamente.

Protocolli e porte

Una regola della policy del firewall memorizza i vincoli di protocollo e porta nel suo elenco di configurazioni di livello 4. Se ometti le informazioni di configurazione di livello 4, la regola della policy del firewall si applica a tutti i protocolli e a tutte le porte di destinazione.

Ogni configurazione di livello 4 nell'elenco può specificare uno dei seguenti elementi:

  • Un nome di protocollo IP, ad esempio tcp, o un numero di protocollo IP IANA, ad esempio 17, senza alcuna porta di destinazione:

    • Puoi utilizzare i seguenti nomi di protocolli IP: tcp, udp, icmp (per IPv4 ICMP), esp, ah, sctp e ipip.
    • Per tutti gli altri protocolli, utilizza un numero di protocollo IANA. La maggior parte dei protocolli utilizza lo stesso nome e numero sia in IPv4 che in IPv6, ma alcuni protocolli, come ICMP, non lo fanno. Per specificare ICMP IPv4, utilizza icmp o il numero di protocollo 1. Per specificare ICMP IPv6, utilizza il numero di protocollo 58. Le regole della policy del firewall non supportano il protocollo IPv6 Hop-by-Hop.

  • Una combinazione di un nome di protocollo IP valido e di informazioni sulla porta di destinazione:

    • I protocolli IP validi sono quelli che utilizzano porte di destinazione, come tcp e udp.
    • Per specificare le porte di destinazione, devi includere un singolo nome di protocollo. Puoi specificare un nome di protocollo con un singolo numero di porta di destinazione o un intervallo di porte di destinazione.

Le configurazioni di livello 4 non supportano quanto segue:

  • Informazioni sulla porta di origine per i protocolli che utilizzano porte di origine, come tcp e udp

  • Tipi e codici ICMP.

Quando imposti il tipo di targeting di una regola della policy del firewall su INTERNAL_MANAGED_LB, si applicano le seguenti limitazioni aggiuntive:

  • Devi specificare solo il protocollo TCP (tcp o il numero di protocollo IP IANA 6).
  • Devi omettere le informazioni sulla porta di destinazione perché la regola di forwarding del bilanciatore del carico definisce la porta di destinazione.

Logging

Il logging per le regole delle policy del firewall funziona allo stesso modo del logging delle regole firewall VPC, ad eccezione di quanto segue:

  • Il campo di riferimento include l'ID della policy del firewall e un numero che indica il livello della risorsa a cui è collegata la policy. Ad esempio, 0 indica che la policy viene applicata a un'organizzazione e 1 indica che la policy viene applicata a una cartella di primo livello nell'organizzazione.

  • I log per le regole della policy del firewall includono un campo target_resource che identifica le reti VPC a cui si applica la regola.

  • Il logging può essere attivato solo per le regole allow, deny e apply_security_profile_group; non può essere attivato per le regole goto_next.

  • Quando abiliti il logging per una regola che utilizza l'azione apply_security_profile_group, Cloud NGFW genera una singola voce di log quando intercetta una sessione di traffico e reindirizza il traffico all'endpoint firewall per l'ispezione approfondita dei pacchetti. Questa voce di log conferma che la regola firewall corrispondeva al traffico e lo ha reindirizzato correttamente all'endpoint firewall. Per saperne di più, consulta la panoramica del logging delle regole delle policy del firewall.

  • L'endpoint firewall esegue l'ispezione approfondita dei pacchetti, ad esempio il servizio di rilevamento delle intrusioni e prevenzione e il servizio di filtro degli URL, e genera il proprio set di log. Questi log forniscono informazioni dettagliate sulle connessioni all'interno della sessione intercettata, elencando eventuali minacce rilevate o azioni di filtro degli URL. Questi log di deep packet inspection possono generare più voci di log per sessione.

Target, origine, destinazione

I parametri di destinazione, origine e destinazione interagiscono per determinare l'ambito di una regola firewall.

  • Parametri di destinazione: identificano le risorse a cui si applica la regola firewall.

  • Parametri di origine e destinazione: definiscono i criteri del traffico. Puoi specificare entrambi per le regole in entrata e in uscita. Le opzioni valide per i parametri di origine e destinazione dipendono dai parametri di destinazione e dalla direzione della regola firewall.

Destinazioni

Il parametro target type e uno o più parametri target definiscono i target di una regola firewall. Queste destinazioni di una regola firewall sono le risorse protette dalla regola firewall.

  • Se il tipo di destinazione viene omesso o è impostato su INSTANCES, la regola firewall si applica alle interfacce di rete delle istanze Compute Engine, inclusi i nodi Google Kubernetes Engine (GKE) e le istanze dell'ambiente flessibile di App Engine. Sono supportate sia le regole in entrata che quelle in uscita.

    Per specificare le interfacce di rete delle VM a cui si applica la regola firewall, utilizza i parametri target:

  • Se imposti il tipo di target su INTERNAL_MANAGED_LB, la regola firewall si applica ai proxy Envoy gestiti che gestiscono il traffico per i bilanciatori del carico delle applicazioni interni e i bilanciatori del carico di rete proxy interni.

    • Se ometti il parametro regole di forwarding di destinazione, la regola firewall si applica ai target del bilanciatore del carico più ampi.

    • Per limitare la regola firewall a un singolo bilanciatore del carico, utilizza il parametro delle regole di forwarding di destinazione. Non puoi utilizzare altri parametri target specifici, come tag sicuri o service account. Per saperne di più, consulta Target specifici e Formato delle regole di forwarding di destinazione.

      Se una regola in una policy del firewall di rete globale ha il tipo di targeting impostato su INTERNAL_MANAGED_LB e l'azione impostata su apply_security_profile_group, devi utilizzare il parametro delle regole di forwarding di destinazione per limitare la regola a un singolo bilanciatore del carico delle applicazioni interno tra regioni.

    • Le regole firewall con tipo di destinazione impostato su INTERNAL_MANAGED_LB presentano le seguenti limitazioni:

      • La regola deve essere una regola in entrata.

      • Devi omettere il parametro di destinazione della regola perché l'indirizzo IP di destinazione è definito dalla regola di forwarding del bilanciatore del carico.

      • Nelle configurazioni di livello 4 della regola, devi specificare solo il protocollo TCP (tcp o numero di protocollo IP IANA 6). Devi omettere le porte di destinazione perché la regola di forwarding del bilanciatore del carico definisce la porta di destinazione.

      • Puoi eliminare una regola di forwarding di un bilanciatore del carico delle applicazioni interno o di un bilanciatore del carico di rete proxy interno senza rimuovere la regola firewall che la ha come target. Le regole di forwarding di destinazione sono associate alla regola firewall tramite il relativo ID, non tramite il nome. Se crei una nuova regola di forwarding con lo stesso nome, la regola firewall non viene associata automaticamente alla nuova regola di forwarding. Per applicare nuovamente la regola firewall, devi aggiornarla in modo che faccia riferimento alla nuova regola di forwarding.

Target di istanze più ampi

I target di istanza più ampi dipendono dal tipo di policy del firewall:

  • Target di istanze più ampi per una regola in una policy del firewall gerarchica: tutte le interfacce di rete delle VM in una subnet in qualsiasi regione di qualsiasi rete VPC che si trova in un progetto nel nodo di Resource Manager (cartella o organizzazione) associato alla policy del firewall gerarchica.

  • Target di istanza più ampi per una regola in una policy del firewall di rete globale: tutte le interfacce di rete delle VM in una subnet in qualsiasi regione della rete VPC associata alla policy del firewall di rete globale.

  • Target di istanza più ampi per una regola nella policy del firewall di rete regionale: tutte le interfacce di rete delle VM in una subnet all'interno della regione e della rete VPC associate alla policy del firewall di rete regionale.

Target del bilanciatore del carico più ampi

I target più ampi del bilanciatore del carico dipendono dai seguenti tipi di policy del firewall:

  • Target del bilanciatore del carico più ampi per una regola in una policy del firewall di rete globale: tutte le regole di forwarding per i bilanciatori del carico delle applicazioni interni e i bilanciatori del carico di rete proxy interni in una subnet in qualsiasi regione della rete VPC associata alla policy del firewall di rete globale.

  • Target del bilanciatore del carico più ampi per una regola in una policy del firewall di rete regionale: tutte le regole di forwarding per i bilanciatori del carico delle applicazioni interni e i bilanciatori del carico di rete proxy interni in una subnet all'interno della regione e della rete VPC associata alla policy del firewall di rete regionale.

Target specifici

La tabella seguente elenca i parametri di destinazione, le policy del firewall che supportano le regole con ciascun parametro e i tipi di destinazione delle regole supportati. Se non specifichi un parametro di destinazione, la regola utilizza i target di istanza più ampi o i target del bilanciatore del carico più ampi, in base al tipo di target della regola. Il segno di spunta indica che il parametro è supportato, mentre il simbolo indica che il parametro non è supportato.

Parametro target Supporto delle policy del firewall Supporto dei tipi di target delle regole
Gerarchico Rete globale Rete regionale INSTANCES INTERNAL_MANAGED_LB
Risorse di rete VPC di destinazione

Un elenco di una o più reti VPC specificate utilizzando il parametro target-resources. Questo elenco restringe i target di istanza più ampi alle interfacce di rete VM che si trovano in almeno una delle reti VPC specificate.
Service account di destinazione

Un elenco di uno o più service account specificati utilizzando il parametro target-service-accounts. Questo elenco restringe i target di istanza più ampi alle interfacce di rete VM che appartengono alle istanze VM associate ad almeno uno dei service account specificati.
Scegli come target i valori dei tag sicuri da una chiave tag con dati sullo scopo della rete

Una regola che utilizza il parametro target-secure-tags contenente un elenco di uno o più valori di tag di una chiave di tag il cui purpose-data specifica una singola rete VPC.

Questo elenco restringe i target di istanza più ampi alle interfacce di rete delle VM che soddisfano entrambi i seguenti criteri:

  • L'interfaccia si trova nella rete VPC che corrisponde a purpose-data della chiave tag.
  • L'interfaccia appartiene a una VM associata al valore del tag.

Per saperne di più, consulta Tag sicuri per i firewall.
Scegli come target i valori dei tag sicuri da una chiave tag con dati relativi allo scopo dell'organizzazione

Una regola che utilizza il parametro target-secure-tags contenente un elenco di uno o più valori di tag di una chiave di tag il cui purpose-data è organization=auto.

Questo elenco restringe i target di istanza più ampi alle interfacce di rete delle VM che soddisfano entrambi i seguenti criteri:

  • L'interfaccia si trova in qualsiasi rete VPC dell'organizzazione.
  • L'interfaccia appartiene a una VM associata al valore del tag.

Per saperne di più, consulta Tag sicuri per i firewall.
Regole di forwarding di destinazione

Una singola regola di forwarding per un bilanciatore del carico delle applicazioni interno o un bilanciatore del carico di rete proxy interno specificato nel formato delle regole di forwarding di destinazione. Questo parametro restringe i target più ampi del bilanciatore del carico a un bilanciatore del carico delle applicazioni interno o a un bilanciatore del carico di rete proxy interno specifico.

Combinazioni di target specifiche

Le regole che supportano il parametro target-resources possono combinarlo con un altro parametro target per creare una combinazione di parametri target. La tabella seguente elenca le combinazioni di parametri di destinazione supportate, le policy del firewall che supportano le regole con ciascun parametro e i tipi di destinazione delle regole supportati. Se non specifichi un parametro target, la regola utilizza i target di istanza più ampi o i target del bilanciatore del carico più ampi, in base al tipo di target della regola.

Il segno di spunta indica che il parametro è supportato, mentre il simbolo indica che il parametro non è supportato.

Combinazione di parametri target Supporto delle policy del firewall Supporto dei tipi di target delle regole
Gerarchico Rete globale Rete regionale INSTANCES INTERNAL_MANAGED_LB
Combinazione di risorse di rete VPC di destinazione e service account di destinazione

Una regola che utilizza entrambi i parametri target-resources e target-service-accounts.

Questa combinazione restringe i target di istanza più ampi alle interfacce di rete delle VM che soddisfano entrambi i seguenti criteri:

  • L'interfaccia si trova in almeno una delle reti VPC specificate in target-resources.
  • L'interfaccia appartiene a un'istanza VM associata ad almeno uno dei service account specificati.
Combinazione di risorse di rete VPC di destinazione e valori dei tag sicuri di destinazione

Una regola che utilizza entrambi i parametri target-resources e target-secure-tags. I valori dei tag devono provenire da una chiave tag il cui purpose-data è organization=auto.

Questa combinazione restringe i target di istanza più ampi alle interfacce di rete delle VM che soddisfano entrambi i seguenti criteri:

  • L'interfaccia si trova in almeno una delle reti VPC specificate in target-resources.
  • L'interfaccia appartiene a una VM associata al valore del tag.

Formato delle regole di forwarding di destinazione

Quando imposti il tipo di destinazione per una regola firewall su INTERNAL_MANAGED_LB, il parametro target-forwarding-rules accetta valori nei seguenti formati:

  • Per i bilanciatori del carico delle applicazioni interni regionali e i bilanciatori del carico di rete proxy interni regionali:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • Per i bilanciatori del carico delle applicazioni interni tra regioni e i bilanciatori del carico di rete proxy interni tra regioni:

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

Target e indirizzi IP per le regole in entrata

Quando il tipo di target di una regola firewall viene omesso o impostato su INSTANCES, la regola si applica ai pacchetti instradati alle interfacce di rete delle VM target.

  • Se la regola firewall in entrata include un intervallo di indirizzi IP di destinazione, la destinazione del pacchetto deve rientrare in uno degli intervalli di indirizzi IP di destinazione definiti esplicitamente.

  • Se la regola firewall in entrata non include un intervallo di indirizzi IP di destinazione, la destinazione del pacchetto deve corrispondere a uno dei seguenti indirizzi IP di ogni VM di destinazione:

    • L'indirizzo IPv4 interno principale assegnato alla NIC dell'istanza.

    • Eventuali intervalli di indirizzi IP alias configurati sulla NIC dell'istanza.

    • L'indirizzo IPv4 esterno associato alla NIC dell'istanza.

    • Se IPv6 è configurato nella subnet, uno qualsiasi degli indirizzi IPv6 assegnati alla NIC.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzata per il bilanciamento del carico passthrough, in cui l'istanza è un backend per un bilanciatore del carico di rete passthrough interno o un bilanciatore del carico di rete passthrough esterno.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzata per il forwarding del protocollo, in cui l'istanza è indicata da un'istanza target.

    • Un indirizzo IP compreso nell'intervallo di destinazione di una route statica personalizzata che utilizza l'istanza (next-hop-instance o next-hop-address) come VM di hop successivo.

    • Un indirizzo IP compreso nell'intervallo di destinazione di una route statica personalizzata che utilizza un bilanciatore del carico di rete passthrough interno (next-hop-ilb) come hop successivo se la VM è un backend per quel bilanciatore del carico.

Se imposti il tipo di destinazione di una regola firewall su INTERNAL_MANAGED_LB, devi omettere il parametro di destinazione. La regola di forwarding del bilanciatore del carico delle applicazioni interno o del bilanciatore del carico di rete proxy interno definisce l'indirizzo IP di destinazione.

Target e indirizzi IP per le regole in uscita

Quando il tipo di target di una regola firewall viene omesso o impostato su INSTANCES, la regola si applica ai pacchetti emessi dalle interfacce di rete delle VM target.

  • Se nella VM di destinazione il forwarding IP è disattivato (impostazione predefinita), la VM può emettere pacchetti solo con le seguenti origini:

    • L'indirizzo IPv4 interno principale della NIC di un'istanza.

    • Qualsiasi intervallo di indirizzi IP alias configurato sulla NIC di un'istanza.

    • Se IPv6 è configurato nella subnet, uno qualsiasi degli indirizzi IPv6 assegnati alla NIC.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding, per il bilanciamento del carico passthrough o il forwarding del protocollo. Questo è valido se l'istanza è un backend per un bilanciatore del carico di rete passthrough interno, un bilanciatore del carico di rete passthrough esterno o se è presente un riferimento da un'istanza target.

    Se la regola firewall in uscita include intervalli di indirizzi IP di origine, le VM di destinazione sono comunque limitate agli indirizzi IP di origine menzionati in precedenza, ma è possibile utilizzare un parametro di origine per perfezionare le origini. L'utilizzo di un parametro di origine senza abilitare l'IP forwarding non espande mai l'insieme di possibili indirizzi di origine dei pacchetti.

    Se la regola firewall in uscita non include un intervallo di indirizzi IP di origine, sono consentiti tutti gli indirizzi IP di origine menzionati in precedenza.

  • Se la VM di destinazione ha l'IP forwarding abilitato, può emettere pacchetti con indirizzi di origine arbitrari. Puoi utilizzare il parametro source per definire in modo più preciso l'insieme di origini dei pacchetti consentite.

Fonti

I valori dei parametri di origine dipendono dalla direzione della regola firewall.

Origini per le regole in entrata

Questa tabella elenca i parametri di origine per le regole in entrata, le policy del firewall che supportano ciascun parametro e i tipi di target delle regole compatibili con ciascun parametro. Devi specificare almeno un parametro di origine. Il segno di spunta indica che il parametro è supportato, mentre il simbolo indica che il parametro non è supportato.

Parametro di origine della regola in entrata Supporto delle policy del firewall Supporto dei tipi di target delle regole
Gerarchico Rete globale Rete regionale INSTANCES INTERNAL_MANAGED_LB
Intervalli di indirizzi IP di origine

Un elenco composto da indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. L'elenco è memorizzato all'interno della regola della policy del firewall stessa.
Gruppi di indirizzi di origine

Raccolte riutilizzabili di indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. La regola firewall fa riferimento alla raccolta. Per saperne di più, consulta Gruppi di indirizzi per le policy del firewall.
Recupera i valori dei tag sicuri da una chiave tag con dati di scopo della rete

Un elenco di uno o più valori di tag di una chiave tag i cui dati di scopo specificano una singola rete VPC. Per ulteriori informazioni, consulta Tag sicuri per i firewall e In che modo i tag sicuri di origine implicano le origini dei pacchetti.
Genera i valori dei tag sicuri da una chiave tag con dati di scopo dell'organizzazione

Un elenco di uno o più valori di tag di una chiave tag i cui dati di scopo sono organization=auto. Per ulteriori informazioni, consulta Tag sicuri per i firewall e In che modo i tag sicuri di origine implicano le origini dei pacchetti.
Localizzazioni di origine

Un elenco di una o più posizioni geografiche di origine specificate come codici paese o regione di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione
Elenchi di Google Threat Intelligence di origine

Un elenco di uno o più nomi di elenchi Google Threat Intelligence predefiniti. Per saperne di più, consulta Google Threat Intelligence per le regole delle policy del firewall.
Contesto della rete di origine

Un vincolo che definisce un confine di sicurezza. I valori validi dipendono dal tipo di target della regola. Per saperne di più, consulta Contesti di rete.
Combinazioni di origini delle regole in entrata

In una singola regola in entrata, puoi utilizzare due o più parametri di origine per produrre una combinazione di origini. Cloud NGFW applica i seguenti vincoli alle combinazioni di origini di ogni regola in entrata:

  • Gli intervalli di indirizzi IP di origine devono contenere CIDR IPv4 o IPv6, non una combinazione di entrambi.
  • Un gruppo di indirizzi di origine che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv6.
  • Un intervallo di indirizzi IP di origine che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv6.
  • Un intervallo di indirizzi IP di origine che contiene CIDR IPv6 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv4.
  • Il contesto di rete internet non può essere utilizzato con i tag sicuri di origine.
  • Il contesto non internet, il contesto delle reti VPC e il contesto tra VPC non possono essere utilizzati con gli elenchi di Google Threat Intelligence di origine o con le posizioni geografiche di origine .

Cloud NGFW applica la seguente logica per abbinare i pacchetti a una regola in entrata che utilizza una combinazione di origini:

  • Se la combinazione di origini non include un contesto di rete di origine, i pacchetti corrispondono alla regola in entrata se corrispondono ad almeno un parametro di origine nella combinazione di origini.

  • Se la combinazione di origini include un contesto di rete di origine, i pacchetti corrispondono alla regola in entrata se corrispondono al contesto di rete di origine e ad almeno uno degli altri parametri di origine nella combinazione di origini.

In che modo i tag di origine protetti implicano le origini dei pacchetti

Una regola firewall in entrata può utilizzare i valori dei tag sicuri di origine quando il tipo di destinazione viene omesso o impostato su INSTANCES. I valori dei tag sicuri identificano le interfacce di rete, non le caratteristiche dei pacchetti come gli indirizzi IP.

I pacchetti inviati da un'interfaccia di rete di un'istanza VM corrispondono a una regola in entrata che utilizza un valore di tag sicuro di origine in base alle seguenti regole:

  • Se la regola in entrata si trova in una policy di rete regionale, l'istanza VM deve trovarsi in una zona della stessa regione della policy del firewall di rete regionale. In caso contrario, l'istanza VM può trovarsi in qualsiasi zona.

  • L'istanza VM deve essere associata allo stesso valore del tag sicuro utilizzato come tag sicuro di origine in una regola firewall in entrata.

  • Il valore del tag sicuro associato all'istanza VM e utilizzato dalla regola firewall in entrata deve provenire da una chiave tag il cui attributo purpose-data identifica almeno una rete VPC che contiene un'interfaccia di rete dell'istanza VM:

    • Se i dati relativi allo scopo della chiave di tag specificano una singola rete VPC, le regole firewall in entrata che utilizzano il valore del tag sicuro di origine si applicano alle interfacce di rete dell'istanza VM che si trovano in quella rete VPC.

    • Se i dati relativi allo scopo della chiave di tag specificano l'organizzazione, le regole firewall in entrata che utilizzano il valore del tag sicuro di origine si applicano alle interfacce di rete dell'istanza VM che si trovano in qualsiasi rete VPC dell'organizzazione.

  • L'interfaccia di rete della VM identificata deve soddisfare uno dei seguenti criteri:

    • L'interfaccia di rete della VM si trova nella stessa rete VPC della rete VPC a cui si applica la policy del firewall.

    • L'interfaccia di rete della VM si trova in una rete VPC connessa, tramite il peering di rete VPC, alla rete VPC a cui si applica la policy del firewall.

    • La rete VPC utilizzata dall'interfaccia di rete della VM e la rete VPC a cui si applica la policy del firewall sono entrambe spoke VPC sullo stesso hub di Network Connectivity Center.

Per saperne di più sui tag sicuri per i firewall, consulta Specifiche.

Origini per le regole in uscita

Puoi utilizzare le seguenti origini per le regole in uscita sia nelle policy del firewall gerarchiche sia nelle policy del firewall di rete:

  • Predefinito: implicito nel target. Se ometti il parametro di origine da una regola in uscita, le origini dei pacchetti vengono definite in modo implicito, come descritto in Target e indirizzi IP per le regole in uscita.

  • Intervalli di indirizzi IPv4 di origine: un elenco di indirizzi IPv4 in formato CIDR.

  • Intervalli di indirizzi IPv6 di origine: un elenco di indirizzi IPv6 in formato CIDR.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di origine per le regole in uscita:

  • Se a un'interfaccia di rete VM viene assegnato un indirizzo IPv4 esterno o se non ha un indirizzo IPv4 esterno, ma utilizza un gateway Cloud NAT, la valutazione del firewall in uscita avviene prima che Google Cloud modifichi l'origine del pacchetto in uscita da un indirizzo IPv4 interno a un indirizzo IPv4 esterno. Per applicare una regola firewall in uscita, devi omettere il parametro Origine o includere l'indirizzo IPv4 interno dell'interfaccia di rete della VM nel parametro Origine.

  • Se nella regola in uscita hai un intervallo di indirizzi IP di origine e parametri di destinazione, i parametri di destinazione vengono risolti nella stessa versione IP della versione IP di origine.

Destinazioni

I valori dei parametri di destinazione dipendono dalla direzione della regola firewall.

Destinazioni per le regole in entrata

Puoi utilizzare le seguenti destinazioni per le regole firewall in entrata sia nelle policy del firewall di rete che in quelle gerarchiche:

  • Predefinita: implicita nel target. Se ometti il parametro di destinazione da una regola in entrata, le destinazioni dei pacchetti vengono definite in modo implicito, come descritto in Target e indirizzi IP per le regole in entrata.

  • Intervalli di indirizzi IPv4 di destinazione: un elenco di indirizzi IPv4 in formato CIDR. Non puoi utilizzare questo parametro se imposti il tipo di targeting della regola firewall su INTERNAL_MANAGED_LB.

  • Intervalli di indirizzi IPv6 di destinazione: un elenco di indirizzi IPv6 in formato CIDR. Non puoi utilizzare questo parametro se imposti il tipo di targeting della regola firewall su INTERNAL_MANAGED_LB.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di destinazione per le regole in entrata:

  • Se a un'interfaccia di rete VM viene assegnato un indirizzo IPv4 esterno o se non ha un indirizzo IPv4 esterno, ma utilizza un gateway Cloud NAT, la valutazione del firewall in entrata avviene dopo che Google Cloud modifica la destinazione del pacchetto in entrata da un indirizzo IPv4 esterno a un indirizzo IPv4 interno. Per applicare una regola firewall in entrata, devi omettere il parametro Destinazione o includere l'indirizzo IPv4 interno dell'interfaccia di rete della VM nel parametro Destinazione.

  • Se in una regola in entrata sono definiti sia i parametri di origine che quelli di destinazione, i parametri di origine vengono risolti nella stessa versione IP della versione IP di destinazione. Per scoprire di più su come definire un'origine per le regole in entrata, consulta Origini per le regole in entrata nelle policy del firewall gerarchiche e Origini per le regole in entrata nelle policy del firewall di rete.

    Ad esempio, in una regola in entrata, hai un intervallo di indirizzi IPv6 nel parametro di destinazione e un codice paese di geolocalizzazione nel parametro di origine. Durante l'applicazione delle regole, per il codice paese di origine specificato viene utilizzato solo l'indirizzo IPv6 mappato.

Destinazioni per le regole in uscita

Questa tabella elenca i parametri di destinazione per le regole in uscita, le policy del firewall che supportano ciascun parametro e i tipi di destinazione delle regole compatibili con ciascun parametro. Devi specificare almeno un parametro di destinazione. Il segno di spunta indica che il parametro è supportato, mentre il simbolo indica che il parametro non è supportato.

Parametro di destinazione della regola in uscita Supporto delle policy del firewall Supporto dei tipi di target delle regole
Gerarchico Rete globale Rete regionale INSTANCES INTERNAL_MANAGED_LB
Intervalli di indirizzi IP di destinazione

Un elenco composto da indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. L'elenco è memorizzato all'interno della regola della policy del firewall stessa.
Gruppi di indirizzi di destinazione

Raccolte riutilizzabili di indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. La regola della policy del firewall fa riferimento alla raccolta. Per saperne di più, consulta Gruppi di indirizzi per le policy del firewall.
Posizioni geografiche di destinazione

Un elenco di una o più posizioni geografiche di origine specificate come codici paese o regione di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione.
Elenchi di Google Threat Intelligence di destinazione

Un elenco di uno o più nomi di elenchi Google Threat Intelligence predefiniti. Per saperne di più, consulta Google Threat Intelligence per le regole delle policy del firewall.
Contesto della rete di destinazione

Un vincolo che definisce un confine di sicurezza.
Combinazioni di destinazioni delle regole in uscita

In una singola regola in uscita, puoi utilizzare due o più parametri di destinazione per produrre una combinazione di destinazioni. Cloud NGFW applica i seguenti vincoli alle combinazioni di destinazioni di ogni regola in uscita:

  • Gli intervalli di indirizzi IP di destinazione devono contenere CIDR IPv4 o IPv6, non una combinazione di entrambi.
  • Non puoi utilizzare un gruppo di indirizzi di destinazione che contiene CIDR IPv4 con un gruppo di indirizzi di destinazione che contiene CIDR IPv6.
  • Non puoi utilizzare un intervallo di indirizzi IP di destinazione che contiene CIDR IPv4 con un gruppo di indirizzi di destinazione che contiene CIDR IPv6.
  • Non puoi utilizzare un intervallo di indirizzi IP di destinazione che contiene CIDR IPv6 con un gruppo di indirizzi di destinazione che contiene CIDR IPv4.
  • Non puoi utilizzare gli elenchi di Google Threat Intelligence di destinazione o le geolocalizzazioni di destinazione con il contesto di rete non internet di destinazione.

Cloud NGFW applica la seguente logica per abbinare i pacchetti a una regola in uscita che utilizza una combinazione di destinazioni:

  • Se la combinazione di destinazioni non include un contesto di rete di destinazione, i pacchetti corrispondono alla regola in uscita se corrispondono ad almeno un parametro di destinazione nella combinazione di destinazioni.

  • Se la combinazione di destinazioni include un contesto di rete di destinazione, i pacchetti corrispondono alla regola in uscita se corrispondono al contesto di rete di destinazione e ad almeno uno degli altri parametri di destinazione nella combinazione di destinazioni.

Passaggi successivi