上り（内向き）トラフィックを有効にするグローバル ネットワーク ファイアウォール ポリシーを構成する

コンソール

1. Cloud de Confiance コンソールで、[VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [VPC ネットワークを作成] をクリックします。

3. [名前] に「vpc-fw-rules」と入力します。

4. [説明] に「VPC network for the firewall rules tutorial」と入力します。

5. [サブネット作成モード] で [カスタム] を選択します。

6. [新しいサブネット] セクションで、サブネットに次の構成パラメータを指定します。

   • 名前: subnet-fw-rules-server
   • リージョン: us-central1 (Iowa)
   • IPv4 範囲: 10.0.0.0/24
   • 限定公開の Google アクセス: オン

7. [完了] をクリックします。

8. [サブネットを追加] をクリックし、次の構成パラメータを指定します。

   • 名前: subnet-fw-rules-client
   • リージョン: us-central1 (Iowa)
   • IPv4 範囲: 192.168.10.0/24
   • 限定公開の Google アクセス: オン

9. [完了] をクリックします。

10. [作成] をクリックします。

gcloud

1. VPC ネットワークを作成するには、次のコマンドを実行します。

   gcloud compute networks create vpc-fw-rules \
     --subnet-mode=custom \
     --description="VPC network for the firewall rules tutorial"
   

2. [Cloud Shell の承認] ダイアログで、[承認] をクリックします。

3. サブネットを作成するには、次のコマンドを実行します。

   gcloud compute networks subnets create subnet-fw-rules-server \
     --network=vpc-fw-rules \
     --region=us-central1 \
     --range=10.0.0.0/24 \
     --enable-private-ip-google-access
   

4. 別のサブネットを作成するには、次のコマンドを実行します。

   gcloud compute networks subnets create subnet-fw-rules-client \
     --network=vpc-fw-rules \
     --region=us-central1 \
     --range=192.168.10.0/24 \
     --enable-private-ip-google-access
   

コンソール

サーバー VM を作成する手順は次のとおりです。

1. Cloud de Confiance コンソールで [インスタンスの作成] ページに移動します。

   [インスタンスの作成] に移動

2. [マシンの構成] ペインで、次の操作を行います。

   1. [名前] に「vm-fw-rules-server」と入力します。
   2. [リージョン] で us-central1 (Iowa) を選択します。

3. ナビゲーション メニューで、[ネットワーキング] をクリックします。

   1. [ネットワーク インターフェース] セクションで、default をクリックし、次の構成パラメータを指定します。
      • ネットワーク: vpc-fw-rules
      • サブネットワーク: subnet-fw-rules-server IPv4 (10.0.0.0/24)
      • 外部 IPv4 アドレス: なし
   2. [完了] をクリックします。

4. [作成] をクリックします。

gcloud

サーバー VM を作成するには、次のコマンドを実行します。

gcloud compute instances create vm-fw-rules-server \
    --network=vpc-fw-rules \
    --zone=us-central1-a \
    --subnet=subnet-fw-rules-server \
    --stack-type=IPV4_ONLY \
    --no-address

コンソール

クライアント VM を作成する手順は次のとおりです。

1. Cloud de Confiance コンソールで [インスタンスの作成] ページに移動します。

   [インスタンスの作成] に移動

2. [マシンの構成] ペインで、次の操作を行います。

   1. [名前] に「vm-fw-rules-client」と入力します。
   2. [リージョン] で us-central1 (Iowa) を選択します。

3. ナビゲーション メニューで、[ネットワーキング] をクリックします。

   1. [ネットワーク インターフェース] セクションで、default をクリックし、次の構成パラメータを指定します。
      • ネットワーク: vpc-fw-rules
      • サブネットワーク: subnet-fw-rules-client IPv4 (192.168.10.0/24)
      • 外部 IPv4 アドレス: なし
   2. [完了] をクリックします。

4. [作成] をクリックします。

gcloud

次のコマンドを実行してクライアント VM を作成します。

gcloud compute instances create vm-fw-rules-client \
    --network=vpc-fw-rules \
    --zone=us-central1-a \
    --subnet=subnet-fw-rules-client \
    --stack-type=IPV4_ONLY \
    --no-address

コンソール

1. Cloud de Confiance コンソールで、[Cloud NAT] ページに移動します。

   [Cloud NAT] に移動

2. [開始] または [Cloud NAT ゲートウェイを作成] をクリックします。

3. [ゲートウェイ名] に「gateway-fw-rules」と入力します。

4. [NAT タイプ] で、[パブリック] を選択します。

5. [Cloud Router の選択] セクションで、次の構成パラメータを指定します。

   • ネットワーク: vpc-fw-rules
   • リージョン: us-central1
   • Cloud Router: [新しいルーターを作成] を選択します。
     1. [名前] に「router-fw-rules」と入力します。
     2. [作成] をクリックします。

6. [作成] をクリックします。

gcloud

1. Cloud Router を作成するには、次のコマンドを実行します。

   gcloud compute routers create router-fw-rules \
     --network=vpc-fw-rules \
     --region=us-central1
   

2. Cloud NAT ゲートウェイを作成するには、次のコマンドを実行します。

   gcloud compute routers nats create gateway-fw-rules \
     --router=router-fw-rules \
     --region=us-central1 \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

コンソール

1. Cloud de Confiance コンソールで、[ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ファイアウォール ポリシーを作成] をクリックします。

3. [ポリシーの構成] セクションの [ポリシー名] に「fw-policy」と入力します。

4. [デプロイのスコープ] で [グローバル] を選択し、[続行] をクリックします。

5. ポリシーのルールを作成するには、[ルールを追加] セクションで [ルールを追加] をクリックします。

   1. [優先度] に「65534」と入力します。
   2. [トラフィックの方向] に [下り（外向き）] を選択します。
   3. [ログ] で [オン] を選択します。
   4. [ターゲット] セクションの [ターゲット タイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。
   5. [送信先] セクションの [IP 範囲] に「0.0.0.0/0」と入力します。
   6. [プロトコルとポート] セクションで、[すべて許可] を選択します。
   7. [作成] をクリックします。

6. [続行] をクリックします。

7. VPC ネットワークをポリシーに関連付けるには、[ポリシーと VPC ネットワークの関連付け] セクションで [関連付け] をクリックします。

8. [vpc-fw-rules] のチェックボックスをオンにして、[関連付け] をクリックします。

9. [続行] をクリックします。

10. [作成] をクリックします。

gcloud

1. ファイアウォール ポリシーを作成するには、次のコマンドを実行します。

   gcloud compute network-firewall-policies create fw-policy \
       --global
   

2. すべての宛先へのトラフィックを許可し、ログを有効にするファイアウォール ルールを作成するには、次のコマンドを実行します。

   gcloud compute network-firewall-policies rules create 65534 \
       --firewall-policy=fw-policy \
       --direction=EGRESS \
       --action=ALLOW \
       --dest-ip-ranges=0.0.0.0/0 \
       --layer4-configs=all \
       --global-firewall-policy \
       --enable-logging
   

3. ファイアウォール ポリシーを VPC ネットワークに関連付けるには、次のコマンドを実行します。

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy \
       --network=vpc-fw-rules \
       --name=pol-association-fw-rules \
       --global-firewall-policy
   

コンソール

vpc-fw-rules ネットワーク内のすべての VM インスタンスへの RDP と SSH のアクセスを許可するには、次の操作を行います。

1. Cloud de Confiance コンソールで、[ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ネットワーク ファイアウォール ポリシー] セクションで、[fw-policy] をクリックします。

3. [ルールを作成] をクリックします。

4. [優先度] に「500」と入力します。

5. [トラフィックの方向] で [上り（内向き）] をオンにします。

6. [ログ] で [オン] を選択します。

7. [ターゲット] セクションの [ターゲット タイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。

8. [送信元] セクションの [IP 範囲] に「35.235.240.0/20」と入力します。

9. [プロトコルとポート] セクションで、[指定したプロトコルとポート] を選択します。

10. [TCP] チェックボックスをオンにし、[ポート] に「22」と「3389」をカンマで区切って入力します。

11. [作成] をクリックします。

gcloud

vpc-fw-rules ネットワーク内のすべての VM インスタンスへの RDP および SSH アクセスを許可するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=35.235.240.0/20 \
    --global-firewall-policy \
    --layer4-configs tcp:22,tcp:3389 \
    --enable-logging

コンソール

1. Cloud de Confiance コンソールで、[ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ネットワーク ファイアウォール ポリシー] セクションで、[fw-policy] をクリックします。

3. [ルールを作成] をクリックします。

4. [優先度] に「501」と入力します。

5. [トラフィックの方向] で [上り（内向き）] をオンにします。

6. [ログ] で [オン] を選択します。

7. [ターゲット] セクションの [ターゲット タイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。

8. [送信元] セクションの [IP 範囲] に「192.168.10.0/24」と入力します。

   IP 範囲 192.168.10.0/24 が subnet-fw-rules-client に割り当てられます。

9. [送信先] セクションの [IP タイプ] で、[IPv4] を選択します。[IP 範囲] で、10.0.0.0/24 を指定します。

   IP 範囲 10.0.0.0/24 は subnet-fw-rules-server に割り当てられます。

10. [作成] をクリックします。

gcloud

ファイアウォール ポリシーを更新するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 501 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=192.168.10.0/24 \
    --dest-ip-ranges=10.0.0.0/24 \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging