Usa políticas de firewall de red regionales para proteger los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red del proxy internos

Puedes configurar reglas en las políticas de firewall de Cloud Next Generation Firewall (Cloud NGFW) que se aplican a los proxies de Envoy administrados que usan el balanceador de cargas de aplicaciones interno y el balanceador de cargas de red del proxy interno. Estos proxies se ejecutan en una subred de solo proxy.

Los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red del proxy internos tienen los siguientes requisitos y opciones de reglas de firewall:

• Reglas de firewall que se aplican a los backends del balanceador de cargas: Si usas backends de grupos de instancias o de grupos de extremos de red (NEG) zonales GCE_VM_IP_PORT, debes configurar reglas de firewall que permitan que los proxies de Envoy administrados se conecten a las VMs de backend.

• Reglas de firewall que se aplican a los proxies de Envoy administrados: Estas reglas de firewall se aplican a los proxies de Envoy administrados. Las reglas proporcionan control de acceso opcional a las reglas de reenvío del balanceador de cargas, lo que es útil cuando el balanceador de cargas usa NEGs de Internet regionales o NEGs de Private Service Connect.

En este documento, se describe cómo configurar las reglas de firewall que se aplican a los proxies de Envoy administrados.

Crea los recursos de balanceo de cargas

Antes de configurar las reglas y políticas de firewall, configura los recursos de balanceo de cargas, como una red de nube privada virtual (VPC), subredes, un balanceador de cargas con sus backends y una regla de reenvío, y una instancia de VM cliente para probar la conectividad.

Para crear y configurar los recursos del balanceador de cargas elegido, consulta los siguientes documentos:

• Configura un balanceador de cargas de aplicaciones interno entre regiones con backends de grupos de instancias de VM
• Configura un balanceador de cargas de aplicaciones interno regional con backends de grupos de instancias de VM.
• Configura un balanceador de cargas de red de proxy interno entre regiones con backends de grupos de instancias de VM
• Configura un balanceador de cargas de red de proxy interno regional con backends de grupos de instancias de VM

Después de crear los recursos, registra los siguientes detalles. Usarás estos detalles para configurar las reglas y políticas de firewall más adelante en este documento:

• La región del balanceador de cargas
• El nombre y la dirección IP de la regla de reenvío
• El nombre de la red de VPC
• El nombre, la zona y la dirección IP de la instancia de VM cliente que creaste para probar la conectividad del balanceador de cargas

Crea recursos de Cloud NGFW

1. Crea una política de firewall de red regional en la misma región que el balanceador de cargas. Para obtener más información, consulta Crea una política de firewall de red regional.

2. Asocia la política de firewall con la red de VPC.

   Para que las reglas de una política de firewall se apliquen a una regla de reenvío del balanceador de cargas, debes asociar la política con la red de VPC en la que existe esa regla de reenvío. Esta asociación activa las reglas de la política de firewall en la red de VPC.

3. Para controlar el tráfico que llega al balanceador de cargas, crea reglas de firewall de entrada en una política de firewall de red regional policy. A diferencia de los destinos de VM, se permite la entrada cuando no se aplican reglas de firewall a los proxies de Envoy administrados que usan los balanceadores de cargas de aplicaciones internos y los balanceadores de cargas de red del proxy internos. Para restringir el acceso a una o más reglas de reenvío del balanceador de cargas, debes crear reglas de firewall de entrada con el parámetro --target-type=INTERNAL_MANAGED_LB:

   • Una regla de firewall de entrada deny de menor prioridad con --src-ip-ranges=0.0.0.0/0. Esto establece una línea de base que deniega todo el tráfico entrante.

   • Una o más reglas de firewall de entrada allow de mayor prioridad con --src-ip-ranges que incluyen los siguientes rangos:

     • Las direcciones IP de los clientes aprobados

     • Las direcciones IP de los sondeos de verificación de estado de Google Para obtener más información, consulta Rangos de IP del sondeo para frontends de balanceador de cargas basados en Envoy administrados seleccionados en la descripción general de las verificaciones de estado.

   Para segmentar una regla de reenvío específica, establece --target-forwarding-rules en una sola regla de reenvío del balanceador de cargas en el formato compatible. Si deseas aplicar la política de firewall y sus reglas a los balanceadores de cargas de aplicaciones internos y a los balanceadores de cargas de red del proxy internos de una red de VPC, no especifiques la marca --target-forwarding-rules.

4. Visualiza los registros de firewall. Para obtener más información, consulta Visualiza registros.