Hierarchische Firewallrichtlinien und -regeln verwenden

Auf dieser Seite wird davon ausgegangen, dass Sie mit den Konzepten vertraut sind, die im Überblick über hierarchische Firewallrichtlinien beschrieben werden. Beispiele für die Implementierung hierarchischer Firewallrichtlinien finden Sie unter Beispiele für hierarchische Firewallrichtlinien.

Beschränkungen

  • Regeln für hierarchische Firewallrichtlinien unterstützen für die Definition von Zielen keine Netzwerk-Tags. Stattdessen müssen Sie ein Ziel-VPC-Netzwerk (Virtual Private Cloud) oder ein Zieldienstkonto verwenden.
  • Firewallrichtlinien können auf Ordner- und Organisationsebene angewendet werden, jedoch nicht auf VPC-Netzwerkebene. Für VPC-Netzwerke werden reguläre VPC-Firewallregeln unterstützt.
  • Einer Ressource (Ordner oder Organisation) kann jeweils nur eine Firewallrichtlinie zugeordnet werden. Die VM-Instanzen in einem Ordner können jedoch die Regeln aus der gesamten Ressourcenhierarchie übernehmen, die der VM übergeordnet ist.
  • Logging von Firewallregeln wird für die Regeln allow und deny unterstützt, nicht aber für goto_next-Regeln.
  • Das IPv6-Hop-by-Hop-Protokoll wird in Firewallregeln nicht unterstützt.

Aufgaben im Zusammenhang mit Firewallrichtlinien

In diesem Abschnitt wird beschrieben, wie Sie hierarchische Firewallrichtlinien erstellen und verwalten.

Wenn Sie den Fortschritt eines Vorgangs prüfen möchten, der sich aus einer Aufgabe in diesem Abschnitt ergibt, muss Ihr IAM-Hauptkonto zusätzlich zu den für die einzelnen Aufgaben erforderlichen Berechtigungen oder Rollen die folgenden Berechtigungen oder Rollen haben.

Firewallrichtlinie erstellen

Wenn Sie eine hierarchische Firewallrichtlinie erstellen, können Sie als übergeordnete Ressource entweder die Organisation oder einen Ordner innerhalb der Organisation festlegen. Nachdem Sie die Richtlinie erstellt haben, können Sie sie mit der Organisation oder einem Ordner in der Organisation verknüpfen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder einen Ordner innerhalb Ihrer Organisation aus.

  3. Klicken Sie auf Firewallrichtlinie erstellen.

  4. Geben Sie im Feld Richtlinienname einen Namen für die Richtlinie ein.

  5. Optional: Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Weiter.

  6. Klicken Sie im Bereich Regeln hinzufügen auf Firewallregel erstellen.

    Weitere Informationen finden Sie unter Regel erstellen.

  7. Optional: Wenn Sie die Richtlinie mit einer Ressource verknüpfen möchten, klicken Sie auf Weiter.

  8. Klicken Sie im Abschnitt Richtlinie mit Ressourcen verknüpfen auf Hinzufügen.

    Weitere Informationen finden Sie unter Richtlinie mit der Organisation oder dem Ordner verknüpfen.

  9. Klicken Sie auf Erstellen.

gcloud

Führen Sie diese Befehle aus, um eine hierarchische Firewallrichtlinie zu erstellen, deren übergeordnete Einheit eine Organisation ist:

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

Führen Sie diese Befehle aus, um eine hierarchische Firewallrichtlinie zu erstellen, deren übergeordnetes Element ein Ordner in einer Organisation ist:

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

Ersetzen Sie Folgendes:

  • ORG_ID: ID Ihrer Organisation

    Geben Sie eine Organisations-ID an, um eine Richtlinie zu erstellen, deren übergeordnete Ressource eine Organisation ist. Die Richtlinie kann mit der Organisation oder einem Ordner innerhalb der Organisation verknüpft werden.

  • SHORT_NAME: ein Name für die Richtlinie

    Eine Richtlinie, die mithilfe der Google Cloud CLI erstellt wird, hat zwei Namen: einen vom System generierten Namen und einen Kurznamen, den Sie selbst festlegen. Wenn Sie eine vorhandene Richtlinie über die gcloud CLI aktualisieren, können Sie entweder den vom System generierten Namen oder den Kurznamen und die Organisations-ID angeben. Wenn Sie die API zum Aktualisieren der Richtlinie verwenden, müssen Sie den vom System generierten Namen angeben.

  • FOLDER_ID: die ID eines Ordners

    Geben Sie eine Ordner-ID an, um eine Richtlinie zu erstellen, deren übergeordnetes Element ein Ordner ist. Die Richtlinie kann mit der Organisation, die den Ordner enthält, oder mit einem beliebigen Ordner in dieser Organisation verknüpft werden.

Richtlinie mit der Organisation oder dem Ordner verknüpfen

Wenn Sie eine hierarchische Firewallrichtlinie mit einer Organisation oder einem Ordner in einer Organisation verknüpfen, gelten die Regeln der Firewallrichtlinie (mit Ausnahme deaktivierter Regeln und vorbehaltlich des Ziels jeder Regel) für Ressourcen in VPC-Netzwerken in Projekten der verknüpften Organisation oder des verknüpften Ordners.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner aus, der die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Klicken Sie auf Verknüpfung hinzufügen.

  6. Wählen Sie den Organisationsstamm oder die Ordner innerhalb der Organisation aus.

  7. Klicken Sie auf Hinzufügen.

gcloud

Normalerweise schlägt der Vorgang fehl, wenn Sie versuchen, eine Richtlinie mit einer Ressource auf Organisations- oder Ordnerebene zu verknüpfen, für die bereits eine Verknüpfung besteht. Wenn Sie das Flag --replace-association-on-target angeben, wird die vorhandene Verknüpfung gelöscht, sobald Sie die neue Verknüpfung erstellen. Dadurch wird verhindert, dass die Ressource während der Umstellung keine Richtlinie hat.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Ersetzen Sie Folgendes:

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie
  • ORG_ID: ID Ihrer Organisation
  • FOLDER_ID: Wenn Sie die Richtlinie mit einem Ordner verknüpfen, geben Sie diesen hier an. Lassen Sie den Platzhalter unverändert, wenn Sie die Richtlinie auf Organisationsebene verknüpfen
  • ASSOCIATION_NAME: Optionaler Name für die Verknüpfung. Wenn nicht angegeben, wird der Name "Organisation ORG_ID" oder "Ordner FOLDER_ID" festgelegt.

Richtlinie von einer Ressource in eine andere verschieben

Wenn Sie eine Richtlinie verschieben, wird nur das übergeordnete Element der Richtlinie geändert. Wenn Sie das übergeordnete Element der Richtlinie ändern, kann sich ändern, welche IAM-Hauptkonten Regeln in der Richtlinie erstellen und aktualisieren können und welche IAM-Hauptkonten zukünftige Zuordnungen erstellen können.

Das Verschieben einer Richtlinie wirkt sich nicht auf vorhandene Richtlinienverknüpfungen oder die Auswertung von Regeln in der Richtlinie aus.

Console

Verwenden Sie für dieses Verfahren die Google Cloud CLI.

gcloud

Führen Sie diese Befehle aus, um die hierarchische Firewallrichtlinie in eine Organisation zu verschieben:

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID

Führen Sie diese Befehle aus, um die hierarchische Firewallrichtlinie in einen Ordner in einer Organisation zu verschieben:

gcloud compute firewall-policies move POLICY_NAME \
    --folder FOLDER_ID

Ersetzen Sie Folgendes:

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie, die Sie verschieben
  • ORG_ID: die Organisations-ID, in die die Richtlinie verschoben wird
  • FOLDER_ID: Die Ordner-ID, in die die Richtlinie verschoben wird.

Richtlinienbeschreibung aktualisieren

Das einzige Richtlinienfeld, das aktualisiert werden kann, ist das Feld Beschreibung.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf Bearbeiten.

  5. Ändern Sie die Beschreibung.

  6. Klicken Sie auf Speichern.

gcloud

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

Listenrichtlinien

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

    Für eine Organisation werden im Bereich Mit dieser Organisation verknüpfte Firewallrichtlinien die verknüpften Richtlinien angezeigt. Im Bereich Firewallrichtlinien in dieser Organisation werden die Richtlinien aufgeführt, die der Organisation gehören.

    Für einen Ordner werden im Bereich Mit diesem Ordner verknüpfte oder von diesem Ordner übernommene Firewallrichtlinien die Richtlinien angezeigt, die mit dem Ordner verknüpft sind oder von diesem übernommen wurden. Im Bereich Firewallrichtlinien in diesem Ordner werden Richtlinien aufgeführt, die dem Ordner gehören.

gcloud 

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

Richtlinie beschreiben

Sie können Details zu einer hierarchischen Firewallrichtlinie aufrufen, einschließlich der Richtlinienregeln und der zugehörigen Regelattribute. Alle diese Regelattribute werden auf das Kontingent für Regelattribute angerechnet. Weitere Informationen finden Sie in der Tabelle Pro Firewallrichtlinie unter „Regelattribute pro hierarchischer Firewallrichtlinie“.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

gcloud

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

Richtlinie löschen

Bevor Sie eine hierarchische Firewallrichtlinie löschen können, müssen Sie alle zugehörigen Verknüpfungen löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie, die Sie löschen möchten.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie alle Verknüpfungen aus.

  6. Klicken Sie auf Verknüpfung entfernen.

  7. Nachdem Sie alle Verknüpfungen entfernt haben, klicken Sie auf Löschen.

gcloud

Verwenden Sie den folgenden Befehl, um die Richtlinie zu löschen:

gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

Verknüpfungen für eine Ressource auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Für die ausgewählte Ressource (Organisation oder Ordner) wird eine Liste der zugehörigen und übernommenen Richtlinien angezeigt.

gcloud 

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

Verknüpfung löschen

Wenn Sie die hierarchische Firewallrichtlinie ändern müssen, die mit einer Organisation oder einem Ordner verknüpft ist, empfehlen wir, eine neue Richtlinie zu verknüpfen, anstatt eine vorhandene verknüpfte Richtlinie zu löschen. Sie können eine neue Richtlinie in einem Schritt verknüpfen. So wird dafür gesorgt, dass immer eine hierarchische Firewallrichtlinie mit der Organisation oder dem Ordner verknüpft ist.

Wenn Sie eine Verknüpfung zwischen einer hierarchischen Firewallrichtlinie und einer Organisation oder einem Ordner löschen möchten, folgen Sie der Anleitung in diesem Abschnitt. Regeln in der hierarchischen Firewallrichtlinie werden nicht auf neue Verbindungen angewendet, nachdem die zugehörige Verknüpfung gelöscht wurde.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie die Verknüpfung aus, die Sie löschen möchten.

  6. Klicken Sie auf Verknüpfung entfernen.

gcloud 

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

Aufgaben im Zusammenhang mit Firewallregeln

In diesem Abschnitt wird beschrieben, wie Sie Regeln für hierarchische Firewallrichtlinien erstellen und verwalten.

Regel erstellen

Regeln für hierarchische Firewallrichtlinien müssen in einer hierarchischen Firewallrichtlinie erstellt werden. Die Regeln sind erst aktiv, wenn Sie die zugehörige Richtlinie einer Ressource zuordnen.

Jede hierarchische Firewallrichtlinienregel kann entweder IPv4- oder IPv6-Bereiche enthalten, aber nicht beides.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner aus, der die Richtlinie enthält.

  3. Klicken Sie auf den Namen Ihrer Richtlinie.

  4. Klicken Sie auf Firewallregel erstellen.

  5. Füllen Sie die Regelfelder aus:

    1. Priorität: die numerische Auswertungsreihenfolge der Regel. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte von Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen bestehenden Regeln erstellen können.
    2. Schalten Sie die Erfassung der Logs Ein oder Aus.
    3. Geben Sie unter Traffic-Richtung an, ob diese Regel für eingehenden Traffic oder ausgehenden Traffic gilt.
    4. Wählen Sie unter Aktion bei Übereinstimmung eine der folgenden Optionen aus:
      1. Zulassen: Ermöglicht die Verbindungen, die der Regel entsprechen.
      2. Ablehnen: Die Verbindungen, die der Regel entsprechen, werden abgelehnt.
      3. Zu nächster: Die Auswertung der Verbindung wird an die nächst niedrigere Firewallregel in der Hierarchie übergeben.
      4. Sicherheitsprofilgruppe anwenden: Die Pakete werden zur Layer-7-Prüfung an den konfigurierten Firewallendpunkt gesendet.
        • Wählen Sie in der Liste Sicherheitsprofilgruppe den Namen einer Sicherheitsprofilgruppe aus.
        • Wählen Sie TLS-Prüfung aktivieren aus, um die TLS-Prüfung der Pakete zu aktivieren. Weitere Informationen dazu, wie Regeln und entsprechende Aktionen für jede Netzwerkschnittstelle der VM ausgewertet werden, finden Sie unter Reihenfolge der Richtlinien- und Regelauswertungen.
    5. Optional: Sie können die Regel auf bestimmte Netzwerke beschränken, indem Sie diese im Feld Zielnetzwerke angeben. Klicken Sie auf Netzwerk hinzufügen und wählen Sie dann das Projekt und das Netzwerk aus. Sie können einer Regel mehrere Zielnetzwerke hinzufügen.
    6. Optional: Sie können die Regel auf VMs einschränken, die mit Zugriff auf bestimmte Dienstkonten ausgeführt werden. Dazu geben Sie die Konten im Feld Zieldienstkonten an.

    7. Optional: Sie können Sichere Tags auswählen, um Quellen für Regeln für eingehenden Traffic und Ziele für Regeln für eingehenden oder ausgehenden Traffic in einer Richtlinie anzugeben. Weitere Informationen finden Sie unter Sichere Tags erstellen und verwalten.

    8. Geben Sie für Eingangsregeln den Quellnetzwerktyp an:

      • Wenn Sie eingehenden Traffic filtern möchten, der zu einem beliebigen Netzwerktyp gehört, wählen Sie Alle Netzwerktypen aus.
      • Wenn Sie eingehenden Traffic nach einem bestimmten Netzwerktyp filtern möchten, wählen Sie Bestimmter Netzwerktyp aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „Internet“ (INTERNET) gehört, wählen Sie Internet aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „Nicht-Internet“ (NON-INTERNET) gehört, wählen Sie Nicht-Internet aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zum Netzwerktyp „VPC-intern“ (INTRA_VPC) gehört, wählen Sie VPC-intern aus.
        • Wenn Sie eingehenden Traffic filtern möchten, der zu VPC-Netzwerken (VPC_NETWORKS) gehört, wählen Sie VPC-Netzwerke aus und geben Sie dann ein oder mehrere Netzwerke mit der folgenden Schaltfläche an:
          • Aktuelles Projekt auswählen: Damit können Sie ein oder mehrere Netzwerke aus dem aktuellen Projekt hinzufügen.
          • Netzwerk manuell eingeben: Hier können Sie ein Projekt und ein Netzwerk manuell eingeben.
          • Projekt auswählen: Hier können Sie ein Projekt auswählen, aus dem Sie ein Netzwerk auswählen können. Weitere Informationen zu den Netzwerktypen finden Sie unter Netzwerktypen.

    9. Geben Sie für eine Ausgangsregel den Zielnetzwerktyp an:

      • Wenn Sie ausgehenden Traffic filtern möchten, der zu einem beliebigen Netzwerktyp gehört, wählen Sie Alle Netzwerktypen aus.
      • Wenn Sie ausgehenden Traffic filtern möchten, der zu einem bestimmten Netzwerktyp gehört, wählen Sie Bestimmter Netzwerktyp aus.
        • Wenn Sie ausgehenden Traffic des Netzwerktyps INTERNET herausfiltern möchten, wählen Sie Internet aus.
        • Wenn Sie ausgehenden Traffic filtern möchten, der zum Netzwerktyp „Nicht-Internet“ (NON-INTERNET) gehört, wählen Sie Nicht-Internet aus. Weitere Informationen zu den Netzwerktypen finden Sie unter Netzwerktypen.

    10. Geben Sie den Quellfilter für eine Regel für eingehenden Traffic an:

      • Wenn Sie eingehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie eingehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jede IPv6-Quelle.

    11. Geben Sie den Zielfilter für eine Regel für ausgehenden Traffic an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie ausgehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel.

    12. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, geben Sie die Quell-FQDNs an, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Ziel-FQDNs aus, für die diese Regel gelten soll. Weitere Informationen zu Domainnamenobjekten finden Sie unter FQDN-Objekte.

    13. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quellstandorte aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Zielstandorte aus, für die diese Regel gelten soll. Weitere Informationen zu Standortobjekten finden Sie unter Standortobjekte.

    14. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quelladressgruppen aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Zieladressgruppen aus, für die diese Regel gelten soll. Weitere Informationen zu Adressgruppen finden Sie unter Adressgruppen für Firewallrichtlinien.

    15. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Quelllisten aus, für die diese Regel gilt. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Ziellisten aus, für die diese Regel gilt. Weitere Informationen zu Google Threat Intelligence finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.

    16. Optional: Geben Sie für eine Regel für eingehenden Traffic die Zielfilter an:

      • Wenn Sie eingehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie eingehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6-Bereiche aus und geben Sie die CIDR-Blöcke in das Feld IPv6-Zielbereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel. Weitere Informationen finden Sie unter Ziele für Regeln für eingehenden Traffic.

    17. Optional: Geben Sie für eine Regel für ausgehenden Traffic den Quellfilter an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereiche ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie ausgehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IPv6-Bereiche ein. Verwenden Sie ::/0 für jede IPv6-Quelle. Weitere Informationen finden Sie unter Quellen für Regeln für ausgehenden Traffic.

    18. Geben Sie für Protokolle und Ports entweder an, dass die Regel für alle Protokolle und Zielports gilt, oder legen Sie fest, für welche Protokolle und Zielports sie gilt.

      Verwenden Sie icmp oder die Protokollnummer 1, um IPv4 ICMP anzugeben. Verwenden Sie die Protokollnummer 58, um IPv6 ICMP anzugeben. Weitere Informationen zu Protokollen finden Sie unter Protokolle und Ports.

    19. Klicken Sie auf Erstellen.

  6. Klicken Sie auf Firewallregel erstellen, um eine weitere Regel hinzuzufügen.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel für eingehenden Traffic zu erstellen:

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    --description DESCRIPTION \
    --direction INGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources TARGET_NETWORKS] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--src-address-groups SRC_ADDRESS_GROUPS] \
    [--src-fqdns SRC_DOMAIN_NAMES] \
    [--src-secure-tags SRC_SECURE_TAGS] \
    [--src-region-codes SRC_COUNTRY_CODES] \
    [--src-threat-intelligence SRC_THREAT_LIST_NAMES] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK] \
    [--dest-ip-ranges DEST_IP_RANGES]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte von Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der hierarchischen Netzwerk-Firewallrichtlinie, die die neue Regel enthält.
  • ORG_ID: Die Organisations-ID, die die hierarchische Firewallrichtlinie enthält.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel
  • ACTION: Geben Sie eine der folgenden Aktionen an:
    • allow: Ermöglicht die Verbindungen, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • apply_security_profile_group: sendet die Pakete transparent für die Layer-7-Prüfung an den konfigurierten Firewallendpunkt Wenn die Aktion apply_security_profile_group ist:
      • Sie müssen --security-profile-group SECURITY_PROFILE_GROUP einfügen, wobei SECURITY_PROFILE_GROUP der Name einer Sicherheitsprofilgruppe ist, die für die Layer-7-Prüfung verwendet wird.
      • Fügen Sie entweder --tls-inspect oder --no-tls-inspect ein, um die TLS-Prüfung zu aktivieren oder zu deaktivieren.
    • goto_next: Fährt mit dem nächsten Schritt des Firewallregel-Auswertungsprozesses fort.
  • Mit den Parametern --enable-logging und --no-enable-logging wird das Logging von Firewallregeln aktiviert oder deaktiviert.
  • Mit den Parametern --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:
    • TARGET_NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre Netzwerkressourcen-URLs im Format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME angegeben werden.
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste sicherer Tags. Sichere Ziel-Tag-Werte müssen von einem sicheren Tag-Schlüssel mit Daten zum Organisationszweck stammen.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten.
    • Wenn Sie die Parameter target-resources, --target-secure-tags und --target-service-accounts weglassen, wird die Regel auf das breiteste Ziel angewendet.
  • LAYER_4_CONFIGS: Eine durch Kommas getrennte Liste von Layer 4-Konfigurationen. Jede Layer 4-Konfiguration kann eine der folgenden sein:
    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (17) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind. Der Start- und Endport des Zielports werden durch einen Bindestrich getrennt (tcp:5000-6000). Weitere Informationen finden Sie unter Protokolle und Ports.
  • Geben Sie eine Quelle für die Eingangsregel an:
    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, nicht eine Kombination aus beidem.
    • SRC_ADDRESS_GROUPS: Eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden. Adressgruppen in der Liste müssen entweder alle IPv4-Adressen oder alle IPv6-Adressen enthalten, nicht eine Kombination aus beidem.
    • SRC_DOMAIN_NAMES: Eine durch Kommas getrennte Liste von FQDN-Objekten im Domainnamenformat.
    • SRC_SECURE_TAGS: eine durch Kommas getrennte Liste von Tags. Sie können den Parameter --src-secure-tags nicht verwenden, wenn --src-network-typeINTERNET ist.
    • SRC_COUNTRY_CODES: Eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes. Weitere Informationen finden Sie unter Standortobjekte. Der Parameter --src-region-codes kann nicht verwendet werden, wenn --src-network-type gleich NON_INTERNET, VPC_NETWORK oder INTRA_VPC ist.
    • SRC_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln. Sie können den Parameter --src-threat-intelligence nicht verwenden, wenn --src-network-type NON_INTERNET, VPC_NETWORK oder INTRA_VPC ist.
    • SRC_NETWORK_TYPE: Definiert Quellnetzwerktypen, die in Verbindung mit einem anderen unterstützten Zielparameter verwendet werden, um eine bestimmte Zielkombination zu erstellen. Gültige Werte sind INTERNET, NON_INTERNET, VPC_NETWORK oder INTRA_VPC. Weitere Informationen finden Sie unter Netzwerktypen.
    • SRC_VPC_NETWORK: Eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre URL-IDs angegeben werden. Geben Sie diesen Parameter nur an, wenn --src-network-type VPC_NETWORKS ist.
  • Optional können Sie ein Ziel für die Eingangsregel angeben:
    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, aber keine Kombination aus beidem.

Verwenden Sie den folgenden Befehl, um eine Egress-Regel zu erstellen:

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    --description DESCRIPTION \
    --direction EGRESS \
    --action ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources TARGET_NETWORKS] \
    [--target-secure-tags TARGET_SECURE_TAGS] \
    [--target-service-accounts TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs LAYER_4_CONFIGS] \
    [--src-ip-ranges SRC_IP_RANGES] \
    [--dest-ip-ranges DEST_IP_RANGES] \
    [--dest-address-groups DEST_ADDRESS_GROUPS] \
    [--dest-fqdns DEST_DOMAIN_NAMES] \
    [--dest-region-codes DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence DEST_THREAT_LIST_NAMES] \
    [--dest-network-type DEST_NETWORK_TYPE]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel innerhalb der Richtlinie. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Wir empfehlen, die Prioritätswerte von Regeln um mehr als nur eins zu unterscheiden (z. B. 100, 200, 300), damit Sie später neue Regeln zwischen den vorhandenen Regeln erstellen können.
  • POLICY_NAME: der Name der hierarchischen Netzwerk-Firewallrichtlinie, die die neue Regel enthält.
  • ORG_ID: Die Organisations-ID, die die hierarchische Firewallrichtlinie enthält.
  • DESCRIPTION: eine optionale Beschreibung für die neue Regel
  • ACTION: Geben Sie eine der folgenden Aktionen an:
    • allow: Ermöglicht die Verbindungen, die der Regel entsprechen.
    • deny: lehnt Verbindungen ab, die der Regel entsprechen.
    • apply_security_profile_group: sendet die Pakete transparent für die Layer-7-Prüfung an den konfigurierten Firewallendpunkt Wenn die Aktion apply_security_profile_group ist:
      • Sie müssen --security-profile-group SECURITY_PROFILE_GROUP einfügen, wobei SECURITY_PROFILE_GROUP der Name einer Sicherheitsprofilgruppe ist, die für die Layer-7-Prüfung verwendet wird.
      • Fügen Sie entweder --tls-inspect oder --no-tls-inspect ein, um die TLS-Prüfung zu aktivieren oder zu deaktivieren.
    • goto_next: Fährt mit dem nächsten Schritt des Firewallregel-Auswertungsprozesses fort.
  • Mit den Parametern --enable-logging und --no-enable-logging wird das Logging von Firewallregeln aktiviert oder deaktiviert.
  • Mit den Parametern --disabled und --no-disabled wird gesteuert, ob die Regel deaktiviert (nicht erzwungen) oder aktiviert (erzwungen) ist.
  • Geben Sie ein Ziel an:
    • TARGET_NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerken, die durch ihre Netzwerkressourcen-URLs im Format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME angegeben werden.
    • TARGET_SECURE_TAGS: eine durch Kommas getrennte Liste sicherer Tags. Sichere Ziel-Tag-Werte müssen von einem sicheren Tag-Schlüssel mit Daten zum Organisationszweck stammen.
    • TARGET_SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten.
    • Wenn Sie die Parameter target-resources, --target-secure-tags und --target-service-accounts weglassen, wird die Regel auf das breiteste Ziel angewendet.
  • LAYER_4_CONFIGS: Eine durch Kommas getrennte Liste von Layer 4-Konfigurationen. Jede Layer 4-Konfiguration kann eine der folgenden sein:
    • Ein IP-Protokollname (tcp) oder eine IANA-IP-Protokollnummer (17) ohne Zielport.
    • Ein IP-Protokollname und ein Zielport, getrennt durch einen Doppelpunkt (tcp:80).
    • Ein IP-Protokollname und ein Zielportbereich, die durch einen Doppelpunkt getrennt sind. Der Start- und Endport des Zielports werden durch einen Bindestrich getrennt (tcp:5000-6000). Weitere Informationen finden Sie unter Protokolle und Ports.
  • Optional: Geben Sie eine Quelle für die Ausgangsregel an:
    • SRC_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder alle IPv4-CIDRs oder alle IPv6-CIDRs sein, nicht eine Kombination aus beidem.
  • Geben Sie ein Ziel für die Ausgangsregel an:
    • DEST_IP_RANGES: eine durch Kommas getrennte Liste von IP-Adressbereichen im CIDR-Format. Die Bereiche in der Liste müssen entweder IPv4-CIDRs oder IPv6-CIDRs sein, aber keine Kombination aus beidem.
    • DEST_ADDRESS_GROUPS: Eine durch Kommas getrennte Liste von Adressgruppen, die durch ihre eindeutigen URL-IDs angegeben werden.
    • DEST_DOMAIN_NAMES: Eine durch Kommas getrennte Liste von FQDN-Objekten im Domainnamenformat.
    • DEST_COUNTRY_CODES: Eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes. Weitere Informationen finden Sie unter Standortobjekte.
    • DEST_THREAT_LIST_NAMES: Eine durch Kommas getrennte Liste von Namen von Google Threat Intelligence-Listen. Weitere Informationen finden Sie unter Google Threat Intelligence für Firewallrichtlinien-Regeln.
    • DEST_NETWORK_TYPE: Definiert einen Zielnetzwerktyp, der in Verbindung mit einem anderen unterstützten Zielparameter verwendet werden soll, um eine bestimmte Zielkombination zu erstellen. Gültige Werte sind INTERNET und NON_INTERNET. Weitere Informationen finden Sie unter Netzwerktypen.

Alle Regeln in einer Richtlinie auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie. Im Tab Firewallregeln sind alle Regeln aufgelistet.

gcloud

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization ORG_ID

Regel beschreiben

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Priorität der Regel, die Sie ansehen möchten. Da jede Regel eine eindeutige Priorität haben muss, identifiziert diese Einstellung eine Regel eindeutig
  • ORG_ID: ID Ihrer Organisation
  • POLICY_NAME: der Kurzname oder der vom System generierte Name der Richtlinie, die die Regel enthält

Regel aktualisieren

Feldbeschreibungen finden Sie unter Regel erstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

  5. Klicken Sie auf Bearbeiten.

  6. Ändern Sie die gewünschten Felder.

  7. Klicken Sie auf Speichern.

gcloud

gcloud compute firewall-policies rules update RULE_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [...fields you want to modify...]

Regeln von einer Richtlinie in eine andere kopieren

Alle Regeln der Zielrichtlinie werden entfernt und durch die Regeln der Quellrichtlinie ersetzt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie, aus der Sie Regeln kopieren möchten.

  4. Klicken Sie oben auf dem Bildschirm auf Klonen.

  5. Geben Sie den Namen der Zielrichtlinie an.

  6. Wenn Sie die neue Richtlinie sofort verknüpfen möchten, klicken Sie auf Weiter, um den Bereich Richtlinie mit Ressourcen verknüpfen zu öffnen.

  7. Klicken Sie auf Klonen.

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --organization ORG_ID \
    --source-firewall-policy SOURCE_POLICY

Ersetzen Sie Folgendes:

  • POLICY_NAME: Richtlinie, in die die kopierten Regeln eingefügt werden sollen
  • ORG_ID: ID Ihrer Organisation
  • SOURCE_POLICY: Richtlinie, aus der die Regeln kopiert werden sollen; muss die URL der Ressource sein

Regel löschen

Wenn Sie eine Regel aus einer Richtlinie löschen, wird sie nicht mehr auf neue Verbindungen zum oder vom Ziel der Regel angewendet.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Menü zur Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Wählen Sie die Regel aus, die Sie löschen möchten.

  5. Klicken Sie auf Löschen.

gcloud

gcloud compute firewall-policies rules delete PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Priorität der Regel, die Sie aus der Richtlinie löschen möchten
  • ORG_ID: ID Ihrer Organisation
  • POLICY_NAME: Richtlinie, die die Regel enthält

Für ein Netzwerk geltende Firewallregeln abrufen

Sie können alle Regeln für hierarchische Firewallrichtlinien, VPC-Firewallregeln und globale Netzwerk-Firewallrichtlinienregeln ansehen, die für alle Regionen eines VPC-Netzwerk gelten.

Console

  1. Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerke auf.

    Zur Seite VPC-Netzwerke

  2. Klicken Sie auf das Netzwerk, dessen Firewallrichtlinien-Regeln Sie aufrufen möchten.

  3. Klicken Sie auf Firewalls.

  4. Erweitern Sie jede Firewallrichtlinie, um die Regeln aufzurufen, die für dieses Netzwerk gelten.

gcloud 

gcloud compute networks get-effective-firewalls NETWORK_NAME

Ersetzen Sie NETWORK_NAME durch das Netzwerk, für das Sie die effektiven Regeln aufrufen möchten.

Auf der Seite Firewall können Sie auch die effektiven Firewallregeln für ein Netzwerk aufrufen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Firewallrichtlinien auf.

    Zu den Firewall-Richtlinien

  2. Die Firewallrichtlinien sind im Abschnitt Von diesem Projekt übernommene Firewallrichtlinien aufgeführt.

  3. Klicken Sie auf jede Firewallrichtlinie, um die Regeln aufzurufen, die für dieses Netzwerk gelten.

Für eine VM-Schnittstelle geltende Firewallregeln abrufen

Sie können alle Firewallregeln aus allen anwendbaren Firewallrichtlinien und VPC-Firewallregeln aufrufen, die für eine Netzwerkschnittstelle einer Compute Engine-VM gelten.

Console

  1. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.

    Zur Seite „VM-Instanzen“

  2. Wählen Sie in der Projektauswahl das Projekt aus, das die VM enthält.

  3. Klicken Sie auf die VM.

  4. Klicken Sie unter Netzwerkschnittstellen auf die Schnittstelle.

  5. Effektive Firewallregeln werden im Bereich Netzwerkkonfigurationsanalyse auf dem Tab Firewalls angezeigt.

gcloud 

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Ersetzen Sie dabei Folgendes:

  • INSTANCE_NAME: die VM, für die Sie die gültigen Regeln ansehen möchten; wenn keine Schnittstelle angegeben wurde, gibt der Befehl Regeln für die primäre Schnittstelle (nic0) zurück.
  • INTERFACE: die VM-Schnittstelle, für die Sie die gültigen Regeln anzeigen möchten; der Standardwert ist nic0.
  • ZONE: die Zone der VM; diese Zeile ist optional, wenn die gewünschte Zone bereits als Standard eingestellt ist.

Fehlerbehebung

Dieser Abschnitt enthält Erläuterungen zu möglichen Fehlermeldungen.

  • FirewallPolicy may not specify a name. One will be provided.

    Sie können keinen Richtliniennamen angeben. Die hierarchischen Firewallrichtlinien „Namen“ sind numerische IDs, die von Google Cloud beim Erstellen der Richtlinie generiert werden. Sie können aber auch einen Kurznamen angeben, der in vielen Kontexten als Alias fungiert.

  • FirewallPolicy may not specify associations on creation.

    Verknüpfungen können erst erstellt werden, nachdem hierarchische Firewallrichtlinien erstellt wurden.

  • Can not move firewall policy to a different organization.

    hierarchische Firewall-Richtlinienverschiebungen müssen innerhalb derselben Organisation erfolgen.

  • The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

    Wenn bereits eine Ressource mit einer hierarchischen Firewallrichtlinie verknüpft ist, schlägt der Anhangsvorgang fehl, es sei denn, die Option zum Ersetzen der vorhandenen Verknüpfungen ist auf „true“ gesetzt.

  • Cannot have rules with the same priorities.

    Die Prioritäten von Regeln dürfen innerhalb einer hierarchischen Firewallrichtlinie nur einmal vorkommen.

  • Direction must be specified on firewall policy rule.

    Beim Erstellen hierarchischer Firewallregeln für das direkte Senden von REST-Anfragen muss die Richtung der Regel angegeben werden. Wenn Sie die Google Cloud CLI verwenden und keine Richtung angegeben ist, ist die Standardeinstellung INGRESS.

  • Can not specify enable_logging on a goto_next rule.

    Firewall Logging ist für Regeln mit „goto_next“-Aktionen nicht zulässig, da diese verwendet werden, um die Auswertungsreihenfolge verschiedener Firewallrichtlinien darzustellen. Ebenso sind keine Terminalaktionen wie „ALLOW“ oder „DENY“ zulässig.

  • Must specify at least one destination on Firewall policy rule.

    Das Flag layer4Configs in der Firewallrichtlinienregel muss mindestens ein Protokoll oder Protokoll und Zielport angeben.

    Weitere Informationen zur Fehlerbehebung bei Firewallrichtlinien-Regeln finden Sie unter Fehlerbehebung bei VPC-Firewallregeln.

Nächste Schritte