内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサで使用されるマネージド Envoy プロキシに適用される Cloud Next Generation Firewall（Cloud NGFW）ファイアウォール ポリシーでルールを構成できます。これらのプロキシは、プロキシ専用サブネットで実行されます。
内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサには、次のファイアウォール ルールの要件とオプションがあります。
ロードバランサのバックエンドに適用されるファイアウォール ルール: インスタンス グループまたは
GCE_VM_IP_PORTゾーン ネットワーク エンドポイント グループ（NEG）バックエンドを使用する場合は、マネージド Envoy プロキシがバックエンド VM に接続できるようにするファイアウォール ルールを構成する必要があります。マネージド Envoy プロキシに適用されるファイアウォール ルール: これらのファイアウォール ルールは、マネージド Envoy プロキシに適用されます。このルールは、ロードバランサの転送ルールへのアクセス制御（オプション）を提供します。これは、ロードバランサがリージョン インターネット NEG または Private Service Connect NEG を使用する場合に便利です。
このドキュメントでは、マネージド Envoy プロキシに適用されるファイアウォール ルールを設定する方法について説明します。
ロード バランシング リソースを作成する
ファイアウォール ルールとポリシーを構成する前に、Virtual Private Cloud（VPC）ネットワーク、サブネット、バックエンドと転送ルールを含むロードバランサ、接続をテストするためのクライアント VM インスタンスなどのロード バランシング リソースを設定します。
選択したロードバランサのリソースを作成して構成するには、次のドキュメントをご覧ください。
- VM インスタンス グループのバックエンドを使用してクロスリージョン内部アプリケーション ロードバランサを設定する
- VM インスタンス グループのバックエンドを使用してリージョン内部アプリケーション ロードバランサを設定する
- VM インスタンス グループのバックエンドを使用してクロスリージョン内部プロキシ ネットワーク ロードバランサを設定する
- VM インスタンス グループのバックエンドを使用してリージョン内部プロキシ ネットワーク ロードバランサを設定する
リソースを作成したら、次の詳細を記録します。これらの詳細は、このドキュメントで後述するファイアウォール ルールとポリシーの構成に使用します。
- ロードバランサのリージョン
- 転送ルールの名前と IP アドレス
- VPC ネットワークの名前
- ロードバランサの接続をテストするために作成したクライアント VM インスタンスの名前、ゾーン、IP アドレス
Cloud NGFW リソースを作成する
ロードバランサと同じリージョンにリージョン ネットワーク ファイアウォール ポリシーを作成します。詳細については、リージョン ネットワーク ファイアウォール ポリシーを作成するをご覧ください。
ファイアウォール ポリシーを VPC ネットワークに関連付けます。
ファイアウォール ポリシーのルールをロードバランサの転送ルールに適用するには、その転送ルールが存在する VPC ネットワークにポリシーを関連付ける必要があります。この関連付けにより、VPC ネットワークでファイアウォール ポリシーのルールが有効になります。
ロードバランサに到達するトラフィックを制御するには、リージョン ネットワーク ファイアウォール ポリシーで上り（内向き）ファイアウォール ルールを作成します。VM ターゲットとは異なり、内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサで使用されるマネージド Envoy プロキシにファイアウォール ルールが適用されない場合、上り（内向き）は許可されます。1 つ以上のロードバランサ転送ルールへのアクセスを制限するには、
--target-type=INTERNAL_MANAGED_LBパラメータを使用して上り（内向き）ファイアウォール ルールを作成する必要があります。--src-ip-ranges=0.0.0.0/0を含む優先度の低い内向きdenyファイアウォール ルール。これにより、すべての受信トラフィックを拒否するベースラインが設定されます。次の範囲を含む
--src-ip-rangesを持つ、優先度の高い 1 つ以上の上り（内向き）allowファイアウォール ルール:承認済みクライアントの IP アドレス。
Google ヘルスチェック プローブの IP アドレス。詳細については、ヘルスチェックの概要の一部のマネージド Envoy ベースのロードバランサ フロントエンドのプローブ IP 範囲をご覧ください。
特定の転送ルールをターゲットにするには、
--target-forwarding-rulesをサポートされている形式の単一のロードバランサ転送ルールに設定します。ファイアウォール ポリシーとそのルールを VPC ネットワークの内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサに適用する場合は、--target-forwarding-rulesフラグを指定しないでください。ファイアウォール ログを表示します。詳細については、ログの表示をご覧ください。