建立全域網路防火牆政策和規則

如要控管網路流量並強化全球網路的安全性，請使用全域網路防火牆政策和規則。全域網路防火牆政策可集中管理多個虛擬私有雲 (VPC) 網路的輸入和輸出流量。您只需定義一次政策，即可附加至一或多個網路或子網路，確保資安態勢一致，並簡化管理作業。

本頁面說明如何設定全域網路防火牆政策，方法是定義規則，指定各種流量類型的動作。您將瞭解如何根據來源、目的地、通訊協定和通訊埠，允許或拒絕連線。閱讀本頁面之前，請先熟悉「全域網路防火牆政策總覽」中說明的概念。

建立全域網路防火牆政策

使用 Cloud de Confiance 控制台建立全域網路防火牆政策時，您可以在建立期間將政策與虛擬私有雲網路建立關聯。如果使用 Google Cloud CLI 建立政策，則必須在建立政策後將政策與網路建立關聯。

與全域網路防火牆政策相關聯的虛擬私有雲網路，必須與全域網路防火牆政策位於相同專案。

控制台

  1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取組織中的專案。

  3. 按一下「建立防火牆政策」。

  4. 在「Policy name」(政策名稱) 欄位中，輸入政策名稱。

  5. 在「Policy type」(政策類型) 部分，選取「VPC policy」(虛擬私有雲政策)。

  6. 在「Deployment scope」(部署範圍) 部分，選取「Global」(全域)。

  7. 如要為政策建立規則，請按一下「繼續」。

  8. 在「新增規則」部分，按一下「建立防火牆規則」。如要進一步瞭解如何建立防火牆規則，請參閱下列文章：

  9. 如要為政策建立 Packet Mirroring 規則，請按一下「Continue」(繼續)。

  10. 在「Add mirroring rules」(新增鏡像規則) 區段中，按一下「Create mirroring rule」(建立鏡像規則)。

    詳情請參閱「建立含有鏡像規則的防火牆政策」。

  11. 如要將政策與網路建立關聯，請按一下「Continue」(繼續)。

  12. 在「Associate policy with networks」(將政策與網路建立關聯) 區段中，按一下「Associate」(建立關聯)。

    詳情請參閱「將政策與網路建立關聯」。

  13. 點選「建立」。

gcloud

gcloud compute network-firewall-policies create NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --global

更改下列內容：

  • NETWORK_FIREWALL_POLICY_NAME：政策名稱
  • DESCRIPTION：政策說明
  • POLICY_TYPE：網路防火牆政策類型。詳情請參閱「規格」。

將政策與網路建立關聯

將防火牆政策與虛擬私有雲網路建立關聯後，防火牆政策中的所有規則 (停用的規則除外) 都會套用至虛擬私有雲網路。

控制台

  1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器選單中，選取含有政策的專案。

  3. 按一下政策。

  4. 按一下「關聯項目」分頁標籤。

  5. 按一下「新增關聯」。

  6. 選取專案中的網路。

  7. 按一下「Associate」(建立關聯)。

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

更改下列內容：

  • POLICY_NAME：政策的簡稱或系統產生的名稱。
  • NETWORK_NAME：網路名稱。
  • ASSOCIATION_NAME：關聯的選用名稱；如未指定，名稱會設為 network-NETWORK_NAME。

新增防火牆政策規則

本節說明如何在全域網路防火牆政策中新增規則。

建立 VM 目標的輸入規則

本節說明如何建立適用於 Compute Engine 執行個體網路介面的輸入規則。

控制台

  1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有全域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的全域網路防火牆政策名稱。

  4. 在「Firewall rules」(防火牆規則) 區段中，按一下「Create firewall rule」(建立防火牆規則)，然後指定下列設定參數：

    1. 優先順序：規則的評估順序 (以數字表示)。

      系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。 建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，這樣日後才能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 「Target type」(目標類型)：選取「Instances」(執行個體)。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體設為目標。

    4. 目標：選取下列其中一項：

      • 套用至所有：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標，縮小至使用指定服務帳戶的 VM 執行個體網路介面：

        • 在「Service account scope」(服務帳戶範圍) 部分，依序選取「In this project」(在這項專案中) >「Target service account」(目標服務帳戶)。這是為了指定與全域網路防火牆政策位於相同專案的服務帳戶。
        • 在「Service account scope」(服務帳戶範圍) 區段中，依序選取「In another project」(在其他專案中) >「Target service account」(目標服務帳戶)。這是為了在 Shared VPC 服務專案中指定服務帳戶。
      • 安全標記：將最廣泛的執行個體目標，縮小至繫結至您指定至少一個安全標記值的 VM 執行個體網路介面。按一下「Select scope for tags」(選取標記範圍)，然後選取包含要比對標記值的組織或專案。如要新增更多標記值，請按一下「Add tag」(新增標記)。

    5. 「流量方向」：選取「輸入」。

    6. 相符時執行的動作：選取下列任一選項：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • Go to next：繼續防火牆規則評估程序。
      • 「Apply security profile group」(套用安全性設定檔群組)：根據您選取的「Purpose」(用途)，將封包傳送至防火牆端點或攔截端點群組。
        • 如要將封包傳送至 Cloud NGFW 防火牆端點，請選取「Cloud NGFW Enterprise」，然後選取「Security profile group」(安全性設定檔群組)。如要啟用封包的 TLS 檢查功能，請選取「Enable TLS inspection」(啟用 TLS 檢查)。
        • 如要將封包傳送至網路安全整合服務攔截端點群組，進行頻帶內整合，請選取「NSI In-Band」(NSI 頻帶內)，然後選取「Security profile group」(安全設定檔群組)。

    7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能，或選取「關閉」，停用這項規則的防火牆規則記錄功能。

    8. 來源網路情境：指定網路情境：

      • 如要略過依網路情境篩選傳入流量，請選取「All network contexts」(所有網路情境)。
      • 如要將傳入流量篩選至特定網路情境，請選取「Specific network context」(特定網路情境)，然後選取網路情境：

    9. 來源篩選器：指定其他來源參數。部分來源參數無法搭配使用，且您選擇的來源網路內容會限制可使用的來源參數。詳情請參閱「輸入規則的來源」和「輸入規則來源組合」。

      • 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。如要指定任何 IPv4 來源，請使用 0.0.0.0/0。
      • 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。如為任何 IPv6 來源，請使用 ::/0。
      • 如要依據來源安全標記值篩選傳入流量，請在「Secure tags」(安全標記) 專區中選取「Select scope for tags」(選取標記範圍)。接著，提供標記鍵和標記值。如要新增更多標記值，請按一下「Add tag」(新增標記)。
      • 如要依來源 FQDN 篩選傳入流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱「FQDN 物件」。
      • 如要依來源地理位置篩選傳入流量，請從「Geolocations」(地理位置) 欄位中選取一或多個位置。詳情請參閱「地理位置物件」。
      • 如要依來源位址群組篩選傳入流量，請從「Address groups」(位址群組) 欄位中選取一或多個位址群組。詳情請參閱「防火牆政策的位址群組」。

    10. 目的地：指定選用的目的地參數。詳情請參閱「輸入規則的目的地」。

      • 如要略過依目的地 IP 位址篩選傳入流量，請選取「None」(無)。
      • 如要依目的地 IP 位址篩選傳入流量，請選取「IPv4」或「IPv6」，然後輸入一或多個 CIDR，格式與來源 IPv4 範圍或來源 IPv6 範圍相同。

    11. 通訊協定和通訊埠：指定流量的通訊協定和目的地通訊埠，以符合規則。詳情請參閱「通訊協定和通訊埠」。

    12. 強制執行：指定是否強制執行防火牆規則：

      • 「Enabled」(已啟用)：建立規則，並開始對新連線強制執行規則。
      • 停用：建立規則，但不會對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，以便日後在現有規則之間建立新規則。
  • POLICY_NAME：要在其中建立規則的全域網路防火牆政策名稱。
  • PROJECT_ID：包含全域網路防火牆政策的專案 ID。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

    • apply_security_profile_group：將封包傳送至防火牆端點或攔截端點群組。
      • 如果動作是 apply_security_profile_group，則必須加入 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是安全性設定檔群組的名稱。
      • 安全性設定檔群組的安全性設定檔，可參照 Cloud NGFW 防火牆端點或網路安全整合服務攔截端點群組，進行頻內整合。
      • 如果安全性設定檔群組的安全性設定檔參照 Cloud NGFW 防火牆端點，請加入 --tls-inspect 或 --no-tls-inspect，啟用或停用 TLS 檢查。
  • --enable-logging 和 --no-enable-logging 旗標可啟用或停用虛擬私有雲防火牆規則記錄功能。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果同時省略 --target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
    • TARGET_SECURE_TAGS：以半形逗號分隔的安全標記值清單，可將最廣泛的執行個體目標範圍，縮小至繫結至至少一個安全標記值的 VM 執行個體網路介面。
    • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標，縮小至使用其中一個服務帳戶的 VM 執行個體網路介面。

  • LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：

    • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (6)，不含任何目的地通訊埠。
    • IP 通訊協定名稱和目的地通訊埠，以半形冒號 (tcp:80) 分隔。
    • IP 通訊協定名稱和目的地通訊埠範圍，中間以冒號分隔，並使用破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。

    詳情請參閱「通訊協定和通訊埠」。

  • 指定輸入規則的來源。詳情請參閱「輸入規則來源組合」：

    • SRC_NETWORK_CONTEXT：定義來源網路情境，與其他支援的來源參數搭配使用，產生來源組合。--target-type=INSTANCES 的有效值為：INTERNET、NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC。詳情請參閱「網路情境」。
    • SRC_VPC_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，這些網路是以網址 ID 指定。只有在 --src-network-context 為 VPC_NETWORKS 時，才需要指定這個旗標。
    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • SRC_ADDRESS_GROUPS：以半形逗號分隔的位址群組清單，由專屬網址識別碼指定。清單中的位址群組必須全部包含 IPv4 位址或全部包含 IPv6 位址，不得同時包含兩者。
    • SRC_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，以網域名稱格式指定。
    • SRC_SECURE_TAGS：以半形逗號分隔的標記清單。如果 --src-network-context 為 INTERNET，則無法使用 --src-secure-tags 旗標。
    • SRC_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「地理位置物件」。如果 --src-network-context 為 NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC，則無法使用 --src-region-codes 旗標。
  • (選用) 指定輸入規則的目的地：

    • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

為內部負載平衡器目標建立輸入規則

如要限制一或多個內部應用程式負載平衡器或內部 Proxy 網路負載平衡器轉送規則的存取權，請建立至少兩項以內部負載平衡器為目標的輸入規則。由於內部應用程式負載平衡器和內部 Proxy 網路負載平衡器目標的默示動作是允許輸入流量，因此您必須建立下列規則來限制存取權：

  • 優先順序較低的拒絕輸入防火牆規則，並加上 --src-ip-ranges=0.0.0.0/0 旗標。
  • 優先順序較高的允許輸入防火牆規則，並包含您指定的來源參數。

建立指定內部負載平衡器 (--target-type=INTERNAL_MANAGED_LB) 的輸入防火牆政策規則時，須遵守下列限制：

  • 您必須省略規則的目的地參數，因為負載平衡器的轉送規則會定義目的地 IP 位址。

  • 在規則的第 4 層設定中，您只能指定 TCP 通訊協定 (tcp 或 IANA IP 通訊協定編號 6)。由於負載平衡器的轉送規則會定義目的地通訊埠，因此您必須省略目的地通訊埠。

本節說明如何為內部應用程式負載平衡器和內部 Proxy 網路負載平衡器目標建立輸入規則。

控制台

  1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有全域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的全域網路防火牆政策名稱。

  4. 在「Firewall rules」(防火牆規則) 區段中，按一下「Create firewall rule」(建立防火牆規則)，然後指定下列設定參數：

    1. 優先順序：規則的評估順序 (以數字表示)。

      系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。 建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，這樣日後才能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 「Target type」(目標類型)：選取「Internal load balancers」(內部負載平衡器)。

      選取這個選項後，Cloud NGFW 會使用內部應用程式負載平衡器和內部 Proxy 網路負載平衡器做為目標。

    4. 目標：選取下列其中一項：

      • 「Apply to all」(全部套用)：Cloud NGFW 會使用最廣泛的負載平衡器目標。
      • 轉送規則：如要選取轉送規則，請按照下列步驟操作：
        1. 按一下「選取專案」，然後選取專案。
        2. 在「Load balancer type」(負載平衡器類型) 部分，選取負載平衡器類型。
        3. 在「Load balancer」(負載平衡器) 部分，選取負載平衡器。
        4. 在「Forwarding rule」(轉送規則)，選取轉送規則。

    5. 相符時執行的動作：選取下列任一選項：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • Go to next：繼續防火牆規則評估程序。

    6. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能，或選取「關閉」，停用這項規則的防火牆規則記錄功能。

    7. 來源網路情境：指定網路情境：

      • 如要略過依網路情境篩選傳入流量，請選取「All network contexts」(所有網路情境)。
      • 如要篩選特定網路情境的傳入流量，請選取「Specific network context」(特定網路情境)，然後選取網路情境：
      • 虛擬私有雲內部：傳入流量必須符合虛擬私有雲內部網路情境的條件。
      • 虛擬私有雲網路：傳入流量必須符合虛擬私有雲網路情境條件。您必須至少選取一個虛擬私有雲網路：
        • 「Select current project」(選取目前專案)：可從包含防火牆政策的專案中，新增一或多個虛擬私有雲網路。
        • 「Manually enter network」(手動輸入網路)：手動輸入專案和虛擬私有雲網路。
        • 「Select project」(選取專案)：可讓您選取專案，並從中選取虛擬私有雲網路。

    8. 來源篩選器：指定其他來源參數。部分來源參數無法搭配使用，且您選擇的來源網路內容會限制可使用的來源參數。詳情請參閱「輸入規則的來源」和「輸入規則來源組合」。

      • 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。如要指定任何 IPv4 來源，請使用 0.0.0.0/0。
      • 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。如為任何 IPv6 來源，請使用 ::/0。
      • 如要依來源 FQDN 篩選傳入流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱「FQDN 物件」。
      • 如要依來源位址群組篩選傳入流量，請從「Address groups」(位址群組) 欄位中選取一或多個位址群組。詳情請參閱「防火牆政策的位址群組」。

    9. 強制執行：指定是否強制執行防火牆規則：

      • 「Enabled」(已啟用)：建立規則，並開始對新連線強制執行規則。
      • 停用：建立規則，但不會對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，以便日後在現有規則之間建立新規則。
  • POLICY_NAME：要在其中建立規則的全域網路防火牆政策名稱。
  • PROJECT_ID：包含全域網路防火牆政策的專案 ID。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

  • --enable-logging 和 --no-enable-logging 旗標可啟用或停用虛擬私有雲防火牆規則記錄功能。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果省略 --target-forwarding-rules 旗標，Cloud NGFW 會使用最廣泛的負載平衡器目標。
    • TARGET_FORWARDING_RULES：內部應用程式負載平衡器或內部 Proxy 網路負載平衡器的單一轉送規則，以目標轉送規則格式指定。這個參數會將最廣泛的負載平衡器目標，縮小至特定內部應用程式負載平衡器或內部 Proxy 網路負載平衡器。
  • LAYER_4_CONFIGS：指定 tcp 或 IANA 通訊協定號碼 6。防火牆規則僅支援 TCP 通訊協定，且目標為內部負載平衡器 (INTERNAL_MANAGED_LB)。請勿指定目的地通訊埠或通訊埠範圍。篩選功能會套用至導向負載平衡器轉送規則的所有流量。
  • 指定輸入規則的來源。詳情請參閱「輸入規則來源組合」：

    • SRC_NETWORK_CONTEXT：定義來源網路情境，與其他支援的來源參數搭配使用，產生來源組合。--target-type=INTERNAL_MANAGED_LB 的有效值為 VPC_NETWORKS 或 INTRA_VPC。詳情請參閱「網路情境」。
    • SRC_VPC_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，這些網路是以網址 ID 指定。只有在 --src-network-context 為 VPC_NETWORKS 時，才需要指定這個旗標。
    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • SRC_ADDRESS_GROUPS：以半形逗號分隔的位址群組清單，由專屬網址識別碼指定。清單中的位址群組必須全部包含 IPv4 位址或全部包含 IPv6 位址，不得同時包含兩者。
    • SRC_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，以網域名稱格式指定。

建立輸入規則，將安全性設定檔群組套用至負載平衡器

如要將應用程式層檢查服務套用至負載平衡器流量，您可以使用 apply_security_profile_group 動作建立規則。這項規則必須指定屬於跨區域內部應用程式負載平衡器的特定轉送規則。

gcloud

如要建立防火牆規則，對特定跨區域內部應用程式負載平衡器套用應用程式層檢查，請使用 gcloud compute network-firewall-policies rules create 指令：

gcloud compute network-firewall-policies rules create PRIORITY \
   --action=apply_security_profile_group \
   --security-profile-group=SECURITY_PROFILE_GROUP_NAME \
   --firewall-policy=NETWORK_FIREWALL_POLICY_NAME \
   --global-firewall-policy \
   --direction=INGRESS \
   --target-type=INTERNAL_MANAGED_LB \
   --target-forwarding-rules=CROSS_REGION_ALB_FORWARDING_RULE

更改下列內容：

  • PRIORITY：規則的專屬優先順序。
  • SECURITY_PROFILE_GROUP_NAME：安全性設定檔群組資源的完整或部分 URI。
  • NETWORK_FIREWALL_POLICY_NAME：全域網路防火牆政策的名稱。
  • CROSS_REGION_ALB_FORWARDING_RULE：轉送規則的相對資源名稱，格式為 projects/ PROJECT_ID/global/forwardingRules/ FORWARDING_RULE_NAME。

建立 VM 目標的輸出規則

以下說明如何建立輸出規則。輸出規則僅適用於 Compute Engine 執行個體的網路介面目標。

控制台

  1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有全域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的全域網路防火牆政策名稱。

  4. 在「Firewall rules」(防火牆規則) 區段中，按一下「Create firewall rule」(建立防火牆規則)，然後指定下列設定參數：

    1. 優先順序：規則的評估順序 (以數字表示)。

      系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。 建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，這樣日後才能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 「Target type」(目標類型)：選取「Instances」(執行個體)。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體設為目標。

    4. 目標：選取下列其中一項：

      • 套用至所有：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標，縮小至使用指定服務帳戶的 VM 執行個體網路介面：

        • 在「Service account scope」(服務帳戶範圍) 部分，依序選取「In this project」(在這項專案中) >「Target service account」(目標服務帳戶)。這是為了指定與全域網路防火牆政策位於相同專案中的服務帳戶。
        • 在「Service account scope」(服務帳戶範圍) 區段中，依序選取「In another project」(在其他專案中)>「Target service account」(目標服務帳戶)。這是為了在 Shared VPC 服務專案中指定服務帳戶。
      • 安全標記：將最廣泛的執行個體目標，縮小至繫結至您指定至少一個安全標記值的 VM 執行個體網路介面。按一下「Select scope for tags」(選取標記範圍)，然後選取包含要比對標記值的組織或專案。如要新增更多標記值，請按一下「Add tag」(新增標記)。

    5. 「流量方向」：選取「輸出」。

    6. 相符時執行的動作：選取下列任一選項：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • Go to next：繼續防火牆規則評估程序。
      • 「Apply security profile group」(套用安全性設定檔群組)：根據您選取的「Purpose」(用途)，將封包傳送至防火牆端點或攔截端點群組。
        • 如要將封包傳送至 Cloud NGFW 防火牆端點，請選取「Cloud NGFW Enterprise」，然後選取「Security profile group」(安全性設定檔群組)。如要啟用封包的 TLS 檢查功能，請選取「Enable TLS inspection」(啟用 TLS 檢查)。
        • 如要將封包傳送至網路安全整合服務攔截端點群組，進行頻帶內整合，請選取「NSI In-Band」(NSI 頻帶內)，然後選取「Security profile group」(安全設定檔群組)。

    7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能，或選取「關閉」，停用這項規則的防火牆規則記錄功能。

    8. Destination network context：指定網路情境：

      • 如要略過依網路情境篩選傳出流量，請選取「All network contexts」(所有網路情境)。
      • 如要篩選傳出至特定網路情境的流量，請選取「Specific network context」(特定網路情境)，然後選取網路情境：

    9. 目的地篩選器：指定其他目的地參數。部分目的地參數無法同時使用，且目的地網路內容的選擇會限制可使用的目的地篩選器。詳情請參閱「輸出規則的目的地」和「輸出規則目的地組合」。

      • 如要依目的地 IPv4 範圍篩選傳出流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。任何 IPv4 目的地都請使用 0.0.0.0/0。
      • 如要依目的地 IPv6 範圍篩選傳出流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。任何 IPv6 目的地都請使用 ::/0。
      • 如要依目的地 FQDN 篩選傳出流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱「FQDN 物件」。
      • 如要依目的地地理位置篩選傳出流量，請從「Geolocations」(地理位置) 欄位中選取一或多個位置。詳情請參閱「地理位置物件」。
      • 如要依目的地網址群組篩選傳出流量，請從「Address groups」(網址群組) 欄位中選取一或多個網址群組。詳情請參閱「防火牆政策的位址群組」。

    10. 來源：指定選用的來源參數。詳情請參閱「輸出規則的來源」。

      • 如要略過依來源 IP 位址篩選外送流量，請選取「None」(無)。
      • 如要依來源 IP 位址篩選傳出流量，請選取「IPv4」或「IPv6」，然後輸入一或多個 CIDR，格式與目的地 IPv4 範圍或目的地 IPv6 範圍相同。

    11. 通訊協定和通訊埠：指定流量的通訊協定和目的地通訊埠，以符合規則。詳情請參閱「通訊協定和通訊埠」。

    12. 強制執行：指定是否強制執行防火牆規則：

      • 「Enabled」(已啟用)：建立規則，並開始對新連線強制執行規則。
      • 停用：建立規則，但不會對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --global-firewall-policy \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會從最高到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您將規則優先順序值分開，不要只相差一 (例如 100、200、300)，以便日後在現有規則之間建立新規則。
  • POLICY_NAME：要在其中建立規則的全域網路防火牆政策名稱。
  • PROJECT_ID：包含全域網路防火牆政策的專案 ID。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

    • apply_security_profile_group：將封包傳送至防火牆端點或攔截端點群組。
      • 如果動作是 apply_security_profile_group，則必須加入 --security-profile-group SECURITY_PROFILE_GROUP，其中 SECURITY_PROFILE_GROUP 是安全性設定檔群組的名稱。
      • 安全性設定檔群組的安全性設定檔，可參照 Cloud NGFW 防火牆端點或網路安全整合服務攔截端點群組，進行頻內整合。
      • 如果安全性設定檔群組的安全性設定檔參照 Cloud NGFW 防火牆端點，請加入 --tls-inspect 或 --no-tls-inspect，啟用或停用 TLS 檢查。
  • --enable-logging 和 --no-enable-logging 旗標可啟用或停用虛擬私有雲防火牆規則記錄功能。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果同時省略 --target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
    • TARGET_SECURE_TAGS：以半形逗號分隔的安全標記值清單，可將最廣泛的執行個體目標範圍，縮小至繫結至至少一個安全標記值的 VM 執行個體網路介面。
    • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標，縮小至使用其中一個服務帳戶的 VM 執行個體網路介面。

  • LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：

    • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (6)，不含任何目的地通訊埠。
    • IP 通訊協定名稱和目的地通訊埠，以半形冒號 (tcp:80) 分隔。
    • IP 通訊協定名稱和目的地通訊埠範圍，中間以冒號分隔，並使用破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。

    詳情請參閱「通訊協定和通訊埠」。

  • 指定輸出規則的目的地。詳情請參閱「輸出規則目的地組合」：

    • DEST_NETWORK_CONTEXT：定義目的地網路情境，與其他支援的目的地參數搭配使用，產生目的地組合。有效值為 INTERNET 和 NON_INTERNET。詳情請參閱「網路環境」。
    • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • DEST_ADDRESS_GROUPS：以半形逗號分隔的位址群組清單，由不重複網址 ID 指定。
    • DEST_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，以網域名稱格式指定。
    • DEST_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「地理位置物件」。
  • 視需要指定輸出規則的來源：

    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，採用 CIDR 格式。清單中的範圍必須全部為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

後續步驟