Alcune o tutte le informazioni in questa pagina potrebbero non essere applicabili a Cloud de Confiance by S3NS. Per maggiori dettagli, consulta Differenze rispetto a Google Cloud.

Questa pagina è stata tradotta dall'API Cloud Translation.

Configura una policy del firewall di rete globale per abilitare il traffico in entrata

In una rete Virtual Private Cloud (VPC) personalizzata con più subnet, per impostazione predefinita il traffico in uscita è consentito, ma il traffico in entrata è negato. Per abilitare il traffico in entrata e consentire alle istanze VM in subnet diverse di comunicare tra loro, puoi creare una policy firewall di rete globale in Cloud Next Generation Firewall sulla rete VPC, che consente il traffico in entrata da un intervallo di indirizzi IP specifico della subnet.

Questo tutorial descrive come configurare una policy del firewall di rete globale per consentire il traffico interno tra le subnet VM in una rete VPC personalizzata.

Crea una rete VPC personalizzata con subnet

In questa sezione, creerai una rete VPC in modalità personalizzata con due subnet IPv4.

Console

Nella console Cloud de Confiance , vai alla pagina Reti VPC.

Vai a Reti VPC
Fai clic su Crea rete VPC.
In Nome, inserisci vpc-fw-rules.
In Descrizione, inserisci VPC network for the firewall rules tutorial.
In Modalità di creazione subnet, seleziona Personalizzata.
Nella sezione Nuova subnet, specifica i seguenti parametri di configurazione per una subnet:
- Nome: subnet-fw-rules-server
- Regione: us-central1 (Iowa)
- Intervallo IPv4: 10.0.0.0/24
- Accesso privato Google: On
Fai clic su Fine.
Fai clic su Aggiungi subnet e specifica i seguenti parametri di configurazione:
- Nome: subnet-fw-rules-client
- Regione: us-central1 (Iowa)
- Intervallo IPv4: 192.168.10.0/24
- Accesso privato Google: On
Fai clic su Fine.
Fai clic su Crea.

gcloud

Per creare una rete VPC, esegui questo comando:

gcloud compute networks create vpc-fw-rules \
  --subnet-mode=custom \
  --description="VPC network for the firewall rules tutorial"

(Facoltativo) Nella finestra di dialogo Autorizza Cloud Shell, fai clic su Autorizza.

Per creare una subnet, esegui questo comando:

gcloud compute networks subnets create subnet-fw-rules-server \
  --network=vpc-fw-rules \
  --region=us-central1 \
  --range=10.0.0.0/24 \
  --enable-private-ip-google-access

Per creare un'altra subnet, esegui questo comando:

gcloud compute networks subnets create subnet-fw-rules-client \
  --network=vpc-fw-rules \
  --region=us-central1 \
  --range=192.168.10.0/24 \
  --enable-private-ip-google-access

Per impostazione predefinita, la rete VPC ha due regole IPv4 implicite:

Una regola di uscita allow con destinazione 0.0.0.0/0 e priorità più bassa possibile (65535) che consente a qualsiasi istanza di inviare traffico a qualsiasi destinazione, ad eccezione del traffico bloccato da Cloud de Confiance by S3NS.
Un deny in entrata con origine 0.0.0.0/0 e la priorità più bassa possibile (65535) che protegge tutte le istanze bloccando le connessioni in entrata.

Per ulteriori informazioni, vedi Regole implicite.

Crea VM client e server

In questa sezione, crei due VM Linux senza indirizzi IP esterni nelle subnet della rete VPC che hai creato nella sezione precedente.

Crea la VM server

Console

Per creare la VM server, segui questi passaggi:

Nella console Cloud de Confiance , vai alla pagina Crea un'istanza.

Vai a Crea un'istanza
Nel riquadro Configurazione macchina, segui questi passaggi:
1. In Nome, inserisci vm-fw-rules-server.
2. In Regione, seleziona us-central1 (Iowa).
Nel menu di navigazione, fai clic su Networking.
1. Nella sezione Interfacce di rete, fai clic su default e specifica i seguenti parametri di configurazione:
  - Rete: vpc-fw-rules
  - Subnet: subnet-fw-rules-server IPv4 (10.0.0.0/24)
  - Indirizzo IPv4 esterno: Nessuno
2. Fai clic su Fine.
Fai clic su Crea.

gcloud

Per creare la VM server, esegui questo comando:

gcloud compute instances create vm-fw-rules-server \
    --network=vpc-fw-rules \
    --zone=us-central1-a \
    --subnet=subnet-fw-rules-server \
    --stack-type=IPV4_ONLY \
    --no-address

Crea la VM client

Console

Per creare la VM client:

Nella console Cloud de Confiance , vai alla pagina Crea un'istanza.

Vai a Crea un'istanza
Nel riquadro Configurazione macchina, segui questi passaggi:
1. In Nome, inserisci vm-fw-rules-client.
2. In Regione, seleziona us-central1 (Iowa).
Nel menu di navigazione, fai clic su Networking.
1. Nella sezione Interfacce di rete, fai clic su default e specifica i seguenti parametri di configurazione:
  - Rete: vpc-fw-rules
  - Subnet: subnet-fw-rules-client IPv4 (192.168.10.0/24)
  - Indirizzo IPv4 esterno: Nessuno
2. Fai clic su Fine.
Fai clic su Crea.

gcloud

Per creare la VM client, esegui questo comando:

gcloud compute instances create vm-fw-rules-client \
    --network=vpc-fw-rules \
    --zone=us-central1-a \
    --subnet=subnet-fw-rules-client \
    --stack-type=IPV4_ONLY \
    --no-address

Crea un router Cloud e un gateway Cloud NAT

Nella sezione precedente hai creato due VM Linux senza indirizzi IPv4 pubblici. Per consentire a queste VM di accedere a internet pubblico, crea un router Cloud e un gateway Cloud NAT.

Console

Nella Cloud de Confiance console, vai alla pagina Cloud NAT.

Vai a Cloud NAT
Fai clic su Inizia o Crea gateway Cloud NAT.
In Nome gateway, inserisci gateway-fw-rules.
In Tipo NAT, seleziona Pubblico.
Nella sezione Seleziona Cloud Router, specifica i seguenti parametri di configurazione:
- Rete: vpc-fw-rules
- Regione: us-central1
- Router Cloud: Crea nuovo router.
  1. In Nome, inserisci router-fw-rules.
  2. Fai clic su Crea.
Fai clic su Crea.

gcloud

Per creare un router Cloud, esegui questo comando:

gcloud compute routers create router-fw-rules \
  --network=vpc-fw-rules \
  --region=us-central1

Per creare un gateway Cloud NAT, esegui questo comando:

gcloud compute routers nats create gateway-fw-rules \
  --router=router-fw-rules \
  --region=us-central1 \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges

Crea una policy del firewall di rete globale

In questa sezione, crea una policy del firewall di rete globale con quanto segue:

Una regola di uscita con 0.0.0.0./0 come destinazione.
Logging abilitato. Il logging delle regole del firewall consente di controllare, verificare e analizzare gli effetti delle regole del firewall.

Console

Nella console Cloud de Confiance , vai alla pagina Policy firewall.

Vai a Criteri firewall
Fai clic su Crea criterio firewall.
Nella sezione Configura policy, per Nome della policy, inserisci fw-policy.
In Ambito di deployment, seleziona Globale e fai clic su Continua.
Per creare regole per il criterio, nella sezione Aggiungi regole, fai clic su Aggiungi regola.
1. In Priorità, inserisci 65534.
2. In Direzione del traffico, seleziona In uscita.
3. Per Log, seleziona On.
4. Nella sezione Target, per Tipo di target, seleziona Tutte le istanze nella rete.
5. Nella sezione Destinazione, per Intervalli IP, inserisci 0.0.0.0/0.
6. Nella sezione Protocollo e porte, seleziona Consenti tutto.
7. Fai clic su Crea.
Fai clic su Continua.
Per associare una rete VPC alla policy, fai clic su Associa nella sezione Associa policy a reti VPC.
Seleziona la casella di controllo di vpc-fw-rules e fai clic su Associa.
Fai clic su Continua.
Fai clic su Crea.

gcloud

Per creare una policy firewall, esegui questo comando:

gcloud compute network-firewall-policies create fw-policy \
    --global

Per creare una regola firewall che consenta il traffico verso tutte le destinazioni e abiliti i log, esegui questo comando:

gcloud compute network-firewall-policies rules create 65534 \
    --firewall-policy=fw-policy \
    --direction=EGRESS \
    --action=ALLOW \
    --dest-ip-ranges=0.0.0.0/0 \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Per associare la policy firewall alla rete VPC, esegui questo comando:

gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy \
    --network=vpc-fw-rules \
    --name=pol-association-fw-rules \
    --global-firewall-policy

Aggiungere una regola firewall per IAP

Nella sezione precedente hai creato VM Linux senza indirizzi IP esterni. In questa sezione, abiliti Identity-Aware Proxy (IAP) per consentire l'accesso amministrativo alle istanze VM che non dispongono di indirizzi IP esterni.

Per consentire a IAP di connettersi alle tue istanze VM, crea una regola firewall che:

Si applichi a tutte le istanze VM a cui vuoi accedere tramite IAP.
Consenta il traffico in entrata dall'intervallo IP 35.235.240.0/20. Questo intervallo contiene tutti gli indirizzi IP che utilizzati da IAP per l'inoltro TCP.
Per le VM IPv6, utilizza il seguente intervallo IP: 2600:2d00:1:7::/64.
Consenta le connessioni a tutte le porte che vuoi rendere accessibili utilizzando l'inoltro TCP di IAP, ad esempio la porta 22 per SSH e la porta 3389 per RDP.

Console

Per consentire l'accesso RDP e SSH a tutte le istanze VM della rete vpc-fw-rules, procedi nel seguente modo:

Nella console Cloud de Confiance , vai alla pagina Policy firewall.

Vai a Criteri firewall
Nella sezione Criteri firewall di rete, fai clic su fw-policy.
Fai clic su Crea regola.
In Priorità, inserisci 500.
Per Direzione del traffico, seleziona In entrata.
Per Log, seleziona On.
Nella sezione Target, per Tipo di target, seleziona Tutte le istanze nella rete.
Nella sezione Origine, per Intervalli IP, inserisci 35.235.240.0/20.
Nella sezione Protocolli e porte, seleziona Protocolli e porte specificati.
Seleziona la casella di controllo TCP e, per Porte, inserisci 22 e 3389 separati da una virgola.
Fai clic su Crea.

gcloud

Per consentire l'accesso RDP e SSH a tutte le istanze VM nella rete vpc-fw-rules, esegui questo comando:

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=35.235.240.0/20 \
    --global-firewall-policy \
    --layer4-configs tcp:22,tcp:3389 \
    --enable-logging

Installare il server Apache

In questa sezione, installi il server Apache sulla VM server.

Nella console Cloud de Confiance , vai alla pagina Istanze VM.

Vai a Istanze VM
Nella colonna Connetti della VM vm-fw-rules-server, fai clic su SSH.
Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che la connessione venga stabilita.
Per installare il pacchetto apache2, al prompt dei comandi, esegui il seguente comando:
```
sudo apt update && sudo apt -y install apache2
```
Dopo aver installato Apache, il sistema operativo avvia automaticamente il server Apache.
Per verificare che Apache sia in esecuzione, esegui questo comando:
```
sudo systemctl status apache2 --no-pager
```

Per sovrascrivere la pagina web predefinita del server web Apache, esegui questo comando:

echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html

Chiudi la finestra di dialogo SSH nel browser.

Testa la connessione

Dopo aver installato il server Apache sulla VM server, connettiti alla VM server dalla VM client utilizzando l'indirizzo IP interno della VM server.

Nella console Cloud de Confiance , vai alla pagina Istanze VM.

Vai a Istanze VM
Dalla colonna IP interno della VM vm-fw-rules-server, copia l'indirizzo IP interno della VM.
Nella colonna Connetti della VM vm-fw-rules-client, fai clic su SSH.
Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che la connessione venga stabilita.
Per verificare la connessione, esegui questo comando:
```
curl INTERNAL_IP -m 2
```
Sostituisci INTERNAL_IP con l'indirizzo IP della VM vm-fw-rules-server.

Il messaggio Connection timed out è previsto perché ogni VM crea una regola firewall di ingresso implicita che nega tutto il traffico. Per consentire il traffico, aggiungi una regola in entrata al criterio firewall.
Chiudi la finestra di dialogo SSH nel browser.

Aggiorna la policy del firewall di rete globale per consentire il traffico interno

In questa sezione, aggiorna il criterio firewall di rete globale per consentire il traffico interno dalla subnet della VM client.

Console

Nella console Cloud de Confiance , vai alla pagina Policy firewall.

Vai a Criteri firewall
Nella sezione Criteri firewall di rete, fai clic su fw-policy.
Fai clic su Crea regola.
In Priorità, inserisci 501.
Per Direzione del traffico, seleziona In entrata.
Per Log, seleziona On.
Nella sezione Target, per Tipo di target, seleziona Tutte le istanze nella rete.
Nella sezione Origine, per Intervalli IP, inserisci 192.168.10.0/24.

Ricorda che l'intervallo IP 192.168.10.0/24 è assegnato a subnet-fw-rules-client.
Nella sezione Destinazione, seleziona IPv4 per Tipo di IP. In Intervalli IP, specifica 10.0.0.0/24.

Ricorda che l'intervallo IP 10.0.0.0/24 è assegnato a subnet-fw-rules-server.
Fai clic su Crea.

gcloud

Per aggiornare la policy firewall, esegui questo comando:

gcloud compute network-firewall-policies rules create 501 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=192.168.10.0/24 \
    --dest-ip-ranges=10.0.0.0/24 \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Testa la connessione

Dopo aver creato il criterio firewall, connettiti alla VM server dalla VM client utilizzando l'indirizzo IP interno della VM server.

Nella console Cloud de Confiance , vai alla pagina Istanze VM.

Vai a Istanze VM
Dalla colonna IP interno della VM vm-fw-rules-server, copia l'indirizzo IP interno della VM.
Nella colonna Connetti della VM vm-fw-rules-client, fai clic su SSH.
Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che la connessione venga stabilita.
Per verificare la connessione, esegui questo comando:
```
curl INTERNAL_IP -m 2
```
Sostituisci INTERNAL_IP con l'indirizzo IP della VM vm-fw-rules-server.

Il messaggio previsto è <!doctype html><html><body><h1>Hello World!</h1></body></html>.
Chiudi la finestra di dialogo SSH nel browser.

Per visualizzare i log firewall, consulta Visualizzare i log.