Globale Netzwerk-Firewallrichtlinien zum Schutz von Envoy-basierten Load Balancern verwenden

Wenn Sie den Traffic zu den verwalteten Envoy-Proxys in einem Nur-Proxy-Subnetz einschränken möchten, können Sie globale Netzwerk-Firewallrichtlinien konfigurieren, um interne Application Load Balancer und interne Proxy-Network Load Balancer zu schützen.

In diesem Dokument wird beschrieben, wie Sie eine globale Netzwerk-Firewallrichtlinienregel einrichten, die für interne Application Load Balancer und interne Proxy-Network Load Balancer gilt.

Für interne Application Load Balancer und interne Proxy-Network Load Balancer gelten die folgenden Anforderungen und Optionen für Firewallregeln:

  • Firewallregeln, die für die Load Balancer-Back-Ends gelten: Wenn Sie Instanzgruppen oder GCE_VM_IP_PORT zonale Network Endpoint Groups (NEGs) -Back-Ends verwenden, müssen Sie Firewallregeln konfigurieren, die es den verwalteten Envoy -Proxys ermöglichen, eine Verbindung zu den Backend-VMs herzustellen.

  • Firewallregeln, die für die verwalteten Envoy-Proxys gelten: Diese Regeln bieten eine optionale Zugriffs steuerung für Weiterleitungsregeln für Load Balancer. Das ist nützlich, wenn der Load Balancer regionale Internet NEGs oder Private Service Connect NEGs verwendet.

Load-Balancing-Ressourcen erstellen

Bevor Sie Firewallregeln und ‑richtlinien konfigurieren, richten Sie die erforderlichen Load-Balancing-Ressourcen ein. Zu diesen Ressourcen gehören ein VPC-Netzwerk (Virtual Private Cloud), Subnetze, ein Load Balancer mit Back-Ends und einer Weiterleitungsregel sowie eine Client-VM-Instanz zum Testen der Konnektivität.

Informationen zum Erstellen und Konfigurieren der Ressourcen für den ausgewählten Load Balancer finden Sie in den folgenden Dokumenten:

Notieren Sie sich nach dem Erstellen der Ressourcen die folgenden Details. Verwenden Sie diese Details, um später auf dieser Seite Firewallregeln und ‑richtlinien zu konfigurieren:

  • Name und IP-Adresse der Weiterleitungsregel
  • Name des VPC-Netzwerk
  • Die Quell-IP-Adresse, die eine Verbindung zum Load Balancer herstellt. Zum Testen kann diese Adresse die IP-Adresse der Test-VM-Instanz sein, die Sie erstellt haben, um die Konnektivität mit dem Load Balancer zu überprüfen.

Cloud NGFW-Ressourcen erstellen

  1. Erstellen Sie eine globale Netzwerk-Firewallrichtlinie. Weitere Informationen finden Sie unter Globale Netzwerk-Firewallrichtlinie erstellen.

  2. Verknüpfen Sie die Firewallrichtlinie mit dem VPC-Netzwerk.

    Wenn Sie Firewallrichtlinienregeln auf eine Weiterleitungsregel für einen Load Balancer anwenden möchten, müssen Sie die Richtlinie mit dem VPC-Netzwerk verknüpfen, das die Weiterleitungsregel enthält. Durch das Verknüpfen der Richtlinie werden die Regeln in diesem Netzwerk aktiviert.

  3. Wenn Sie den Traffic steuern möchten, der den Load Balancer erreicht, erstellen Sie Firewallregeln für eingehenden Traffic in einer globalen Netzwerk-Firewallrichtlinie. Im Gegensatz zu VM-Zielen ist eingehender Traffic zulässig, wenn keine Firewallregeln auf die verwalteten Envoy-Proxys angewendet werden, die von internen Application Load Balancern und internen Proxy-Network Load Balancern verwendet werden. Wenn Sie den Zugriff auf eine oder mehrere Weiterleitungsregeln für Load Balancer einschränken möchten, müssen Sie Firewallregeln für eingehenden Traffic mit dem Parameter --target-type=INTERNAL_MANAGED_LB erstellen:

    • Eine Firewallregel für eingehenden Traffic mit niedrigerer Priorität deny mit --src-ip-ranges=0.0.0.0/0. Dadurch wird eine Baseline festgelegt, die den gesamten eingehenden Traffic ablehnt.

    • Eine oder mehrere Firewallregeln für eingehenden Traffic mit höherer Priorität und --src-ip-ranges die die folgenden Bereiche enthalten:allow

    Wenn Sie eine bestimmte Weiterleitungsregel verwenden möchten, legen Sie --target-forwarding-rules auf eine einzelne Weiterleitungsregel für Load Balancer im unterstützten Format fest. Wenn Sie die Firewallrichtlinie und ihre Regeln auf interne Application Load Balancer und interne Proxy-Network Load Balancer eines VPC-Netzwerk anwenden möchten, geben Sie das Flag --target-forwarding-rules nicht an.

  4. Firewall-Logs ansehen. Weitere Informationen finden Sie unter Logs ansehen.