Alcune o tutte le informazioni in questa pagina potrebbero non essere applicabili a Trusted Cloud di S3NS. Per ulteriori dettagli, consulta la sezione Differenze rispetto a Google Cloud.

Questa pagina è stata tradotta dall'API Cloud Translation.

Esegui la migrazione delle regole firewall VPC che non utilizzano tag di rete e account di servizio

Se le regole firewall Virtual Private Cloud (VPC) non utilizzano tag di rete o account di servizio, esegui le seguenti attività per eseguire la migrazione delle regole firewall VPC a un criterio firewall di rete globale:

Valuta il tuo ambiente.
Esegui la migrazione delle regole firewall VPC.
Esamina la nuova policy del firewall di rete globale.
Completa le attività post-migrazione.

Prima di iniziare

In the Trusted Cloud console, on the project selector page, select or create a Trusted Cloud project.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector
Verify that billing is enabled for your Trusted Cloud project.
Enable the Compute Engine API.
Enable the API

Install the Google Cloud CLI.

Nota:se hai installato gcloud CLI in precedenza, assicurati di avere l'ultima versione eseguendo gcloud components update.
Configura gcloud CLI per utilizzare la tua identità federata.

Per ulteriori informazioni, vedi Accedere a gcloud CLI con la tua identità federata.
Per inizializzare gcloud CLI, esegui questo comando:
```
gcloud init
```
Assicurati di disporre del ruolo Compute Security Admin (roles/compute.securityAdmin).

Valutare l'ambiente

Identifica il numero di regole firewall VPC esistenti nella tua rete.
Prendi nota delle priorità associate a ogni regola firewall VPC.
Assicurati di disporre dei ruoli e delle autorizzazioni di Identity and Access Management (IAM) necessari per creare, associare, modificare e visualizzare le policy del firewall di rete globali.

Esegui la migrazione delle regole firewall VPC

Dopo aver valutato il tuo ambiente, esegui la migrazione delle regole firewall VPC a un criterio firewall di rete globale utilizzando il comando compute firewall-rules migrate.

gcloud beta compute firewall-rules migrate \
    --source-network=NETWORK_NAME \
    --target-firewall-policy=POLICY_NAME

Sostituisci quanto segue:

NETWORK_NAME: il nome della rete VPC contenente le regole firewall VPC che vuoi migrare.
POLICY_NAME: il nome della policy di firewall di rete globale da creare durante la migrazione.

Escludere le regole firewall dalla migrazione

Per escludere regole firewall specifiche dalla migrazione, utilizza il comando gcloud beta compute firewall-rules migrate con il flag --exclusion-patterns-file:

gcloud beta compute firewall-rules migrate \
    --source-network=NETWORK_NAME \
    --target-firewall-policy=POLICY_NAME \
    --exclusion-patterns-file=EXCLUSION_PATTERNS_FILE

Sostituisci quanto segue:

NETWORK_NAME: il nome della rete VPC che contiene le regole firewall VPC che vuoi migrare.
POLICY_NAME: il nome della policy di firewall di rete globale da creare durante la migrazione.
EXCLUSION_PATTERNS_FILE: il nome del file che contiene le espressioni regolari che definiscono i pattern di denominazione del firewall VPC da escludere dalla migrazione. Assicurati di specificare il percorso completo del file. Le regole firewall che corrispondono ai pattern specificati vengono ignorate.

Quando definisci i pattern di esclusione, tieni presente quanto segue:
- Ogni espressione regolare deve trovarsi su una riga separata e rappresentare un singolo pattern di denominazione del firewall.
- Le espressioni regolari non contengono spazi iniziali o finali.

Visualizzare le regole firewall escluse

In base ai pattern di denominazione delle regole firewall escluse, lo strumento di migrazione non migra alcune regole firewall, ad esempio le regole firewall di Google Kubernetes Engine (GKE). Per esportare l'elenco dei pattern di denominazione delle regole firewall esclusi, utilizza il comando gcloud beta compute firewall-rules migrate con i flag --export-exclusion-patterns e --exclusion-patterns-file.

gcloud beta compute firewall-rules migrate \
    --source-network=NETWORK_NAME \
    --target-firewall-policy=POLICY_NAME \
    --exclusion-patterns-file=EXCLUSION_PATTERNS_FILE \
    --export-exclusion-patterns

Sostituisci quanto segue:

NETWORK_NAME: il nome della rete VPC che contiene le regole firewall VPC che vuoi migrare.
POLICY_NAME: il nome della policy di firewall di rete globale da creare durante la migrazione.

EXCLUSION_PATTERNS_FILE: il percorso del file in cui vengono esportati i seguenti pattern di denominazione delle regole firewall escluse.

gke-(.+)-ipv6-all
gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd))
k8s-fw-(l7-)?(.+)
k8s-(.+)-((node)|(http)|(node-http))-hc
(.+)-hc
k8s2-(.+)-(.+)-(.+)-(.+)(-fw)?
k8s2-(.+)-l4-shared-hc-fw
gke((gw)|(mcg))1-l7-(.+)-(.+)

Per eseguire la migrazione delle regole firewall escluse che corrispondono a un pattern specifico, rimuovi il pattern dall'elenco esportato ed esegui il comando gcloud beta compute firewall-rules migrate con il flag --exclusion-patterns-file.

Forzare la migrazione preservando l'ordine di valutazione

Durante la migrazione, se l'ordine di valutazione di una regola firewall esclusa rientra tra gli ordini di valutazione delle regole firewall specificate dall'utente, la migrazione non va a buon fine.Ciò accade perché le regole firewall escluse non vengono migrate e lo strumento di migrazione non può conservare l'ordine di valutazione originale delle regole definite dall'utente nel nuovo criterio firewall di rete.

Ad esempio, se le regole firewall hanno le seguenti priorità, la migrazione non va a buon fine.

Una regola specificata dall'utente con priorità 100
Una regola esclusa con priorità 200
Una regola specificata dall'utente con priorità 300

Per forzare lo strumento di migrazione a eseguire la migrazione delle regole specificate dall'utente preservando l'ordine di valutazione originale e ignorando le regole del firewall escluse, utilizza il comando gcloud beta compute firewall-rules migrate con il flag --force.

gcloud beta compute firewall-rules migrate \
    --source-network=NETWORK_NAME \
    --target-firewall-policy=POLICY_NAME \
    --force

Sostituisci quanto segue:

NETWORK_NAME: il nome della rete VPC che contiene le regole firewall VPC che vuoi migrare.
POLICY_NAME: il nome della policy di firewall di rete globale da creare durante la migrazione.

Esamina la nuova policy firewall di rete globale

Prima di collegare i nuovi criteri firewall di rete globali a una rete VPC, Google consiglia di esaminarli per assicurarsi che la procedura di migrazione sia stata completata correttamente.

Verifica la configurazione delle regole delle norme firewall e controlla se i seguenti componenti delle regole sono migrati correttamente per ogni regola:

Priorità relativa
Direzione del traffico
Azione in caso di corrispondenza
Impostazioni log
Parametri target
Parametri di origine (per le regole in entrata)
Parametri di destinazione (per le regole in uscita)
Vincoli di protocollo e porta

Per ulteriori informazioni sui componenti di una regola dei criteri firewall, vedi Regole dei criteri firewall.

Attività post-migrazione

Per attivare e utilizzare la policy firewall di rete globale, devi completare le attività post-migrazione descritte nelle sezioni seguenti.

Associa la policy firewall di rete globale alla tua rete

Lo strumento di migrazione crea la policy del firewall di rete globale in base alle regole firewall VPC esistenti. Devi associare manualmente il criterio alla rete VPC richiesta per attivare le regole del criterio per tutte le VM all'interno di quella rete. Per associare la policy firewall di rete globale, utilizza il comando compute network-firewall-policies associations create.

gcloud compute network-firewall-policies associations create \
    --firewall-policy=POLICY_NAME \
    --network=NETWORK_NAME \
    --global-firewall-policy
    --replace-association-on-target

Sostituisci quanto segue:

POLICY_NAME: il nome della policy di rete globale che vuoi associare alla tua rete VPC.
NETWORK_NAME: il nome della tua rete VPC.

Per ulteriori informazioni sull'associazione di una policy firewall di rete globale a una rete VPC, vedi Associare una policy alla rete.

Modificare l'ordine di valutazione delle norme e delle regole

Per impostazione predefinita, Cloud Next Generation Firewall valuta le regole firewall VPC prima di valutare una policy firewall di rete globale. Per assicurarti che le policy globali del firewall di rete abbiano la precedenza sulle regole firewall VPC, utilizza il comando compute networks update per modificare l'ordine di valutazione delle regole.

gcloud compute networks update NETWORK-NAME \
    --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

Sostituisci NETWORK_NAME con il nome della tua rete VPC.

Per verificare se la policy firewall di rete globale viene valutata prima delle regole firewall VPC, utilizza il comando compute networks get-effective-firewalls.

gcloud compute networks get-effective-firewalls NETWORK_NAME

Nell'output del comando precedente, se TYPE: network-firewall-policy viene visualizzato prima di TYPE: network-firewall, viene valutato per primo il criterio firewall di rete globale.

Per ulteriori informazioni sull'ordine di valutazione delle norme e delle regole in evoluzione, consulta Modificare l'ordine di valutazione delle norme e delle regole.

Abilita la registrazione delle regole firewall

Il logging ti aiuta a determinare se una regola firewall funziona come previsto. Lo strumento di migrazione conserva lo stato di logging delle regole firewall VPC esistenti quando crea la nuova policy firewall di rete globale. Assicurati che la registrazione sia abilitata per le regole all'interno della policy del firewall di rete globale. Per attivare la registrazione per le regole delle policy firewall, utilizza il comando compute network-firewall-policies rules update.

gcloud compute network-firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --enable-logging
    --global-firewall-policy

Sostituisci quanto segue:

PRIORITY: la priorità della regola da aggiornare.
POLICY_NAME: il nome della policy di firewall di rete globale di cui vuoi aggiornare la regola.

Testa la policy del firewall di rete globale

Prima di eliminare le regole firewall VPC, testa i criteri firewall di rete globali per verificare se le regole dei criteri funzionano in base alle tue aspettative per qualsiasi traffico che corrisponde alle regole.

Segui questi passaggi:

Assicurati di aver abilitato la registrazione nelle regole firewall VPC e nel criterio firewall di rete globale.
Modifica l'ordine di valutazione delle regole in modo che il criterio di firewall di rete globale venga valutato prima delle regole firewall VPC.
Monitora i log per verificare che la policy del firewall di rete globale abbia conteggi di hit e che le regole firewall VPC siano in shadowing.

Elimina le regole firewall VPC dalla tua rete

Google consiglia di disattivare prima le regole firewall VPC prima di eliminarle completamente. Puoi ripristinare queste regole se i criteri firewall di rete globali creati dallo strumento di migrazione non forniscono i risultati previsti.

Per disattivare una regola firewall VPC, utilizza il comando compute firewall-rules update.

gcloud compute firewall-rules update RULE_NAME --disabled

Sostituisci RULE_NAME con il nome della regola firewall VPC da disattivare.

Per eliminare una regola firewall VPC, utilizza il comando compute firewall-rules delete.

gcloud compute firewall-rules delete RULE_NAME

Passaggi successivi

Scopri di più sulla migrazione delle regole firewall VPC.
Esegui la migrazione delle regole firewall VPC con dipendenze.