您可以在 Cloud Next Generation Firewall (Cloud NGFW) 防火墙政策中配置适用于内部应用负载平衡器和内部代理网络负载平衡器所使用的受管 Envoy 代理的规则。这些代理在仅代理子网中运行。
内部应用负载平衡器和内部代理网络负载平衡器具有以下防火墙规则要求和选项：
适用于负载均衡器后端的防火墙规则：如果您使用 实例组或
GCE_VM_IP_PORT区域级网络端点组 (NEG) 后端，则必须配置防火墙规则，以允许受管 Envoy 代理连接到后端虚拟机。适用于受管 Envoy 代理的防火墙规则：这些防火墙 规则适用于受管 Envoy 代理。这些规则为负载均衡器转发规则提供可选的访问权限控制，当负载均衡器使用 区域级互联网 NEG 或 Private Service Connect NEG 时，此功能非常有用。
本文档介绍了如何设置适用于受管 Envoy 代理的防火墙规则。
创建负载均衡资源
在配置防火墙规则和政策之前，请先设置负载均衡资源，例如虚拟私有云 (VPC) 网络、子网、包含后端和转发规则的负载平衡器，以及用于测试连接的客户端虚拟机实例。
如需为所选负载均衡器创建和配置资源，请参阅以下文档：
- 设置具有虚拟机实例组后端的跨区域内部应用负载平衡器
- 设置具有虚拟机实例组后端的区域级内部应用负载平衡器
- 设置具有虚拟机实例组后端的跨区域内部代理网络负载平衡器
- 设置具有虚拟机实例组后端的区域级内部代理网络负载平衡器
创建资源后，请记录以下详细信息。您将在本文档的后续部分中使用这些详细信息来配置防火墙规则和政策：
- 负载均衡器的区域
- 转发规则的名称和 IP 地址
- VPC 网络的名称
- 您为测试负载均衡器连接而创建的客户端虚拟机实例的名称、可用区和 IP 地址
创建 Cloud NGFW 资源
在负载均衡器所在的区域中创建区域级网络防火墙政策。如需了解详情，请参阅创建区域级网络 防火墙 政策。
将防火墙政策与 VPC 网络关联。
如需将防火墙政策的规则应用于负载均衡器 转发规则，您必须将该政策与存在该转发规则的 VPC 网络 关联。此关联会在 VPC 网络上激活防火墙政策的规则。
如需控制到达负载均衡器的流量，请创建入站流量 防火墙规则，并将其添加到区域级网络防火墙 政策中。与虚拟机目标不同，当没有防火墙规则应用于内部应用负载平衡器和内部代理网络负载平衡器所使用的受管 Envoy 代理时，系统会允许入站流量。如需限制对一个或多个负载均衡器转发规则的访问权限，您必须使用
--target-type=INTERNAL_MANAGED_LB参数创建入站流量防火墙规则：一条优先级较低的入站流量
deny防火墙规则，其中包含--src-ip-ranges=0.0.0.0/0。此规则会设置拒绝所有入站流量的基准。一条或多条优先级较高的入站流量
allow防火墙规则，其中包含--src-ip-ranges，包括以下范围：获批客户端的 IP 地址。
Google 健康检查探测的 IP 地址。如需了解详情，请参阅健康检查概览中的探测 IP 地址范围，了解如何选择基于受管 Envoy 的 负载均衡器 前端 。
如需以特定转发规则为目标，请将
--target-forwarding-rules设置为受支持格式的单个负载均衡器转发规则。如果您想将防火墙政策及其规则应用于 VPC 网络的内部应用负载平衡器和内部代理网络负载平衡器，请勿指定--target-forwarding-rules标志。查看防火墙日志。如需了解详情，请参阅查看 日志。