יצירה של כללים ומדיניות אזורית לחומת אש ברשת

כדי לנהל את התנועה ברשת באזור ספציפי של רשת VPC, מגדירים כללים ומדיניות של חומת אש ברשת האזורית. בדף הזה מוסבר איך יוצרים מדיניות אזורית של חומת אש לרשת, משייכים אותה לרשת VPC ולאזור ספציפיים, ואז מגדירים כללים. הכללים האלה שולטים בתעבורת הנתונים הנכנסת (ingress) והיוצאת (egress) של מכונות וירטואליות (VM) ומאזני עומסים פנימיים.

לפני שאתם קוראים את הדף הזה, ודאו שאתם מכירים את המושגים שמתוארים במאמר כללי מדיניות אזוריים של חומת אש לרשת.

יצירת מדיניות חומת אש אזורית ברשת

כשיוצרים מדיניות אזורית של חומת אש לרשת באמצעות מסוף Cloud de Confiance , אפשר לשייך את המדיניות לאזור ולרשת VPC במהלך היצירה. אם אתם יוצרים את המדיניות באמצעות Google Cloud CLI, אחרי שאתם יוצרים את המדיניות אתם צריכים לשייך אותה לאזור ולרשת.

רשת ה-VPC שמשויכת למדיניות חומת האש של הרשת האזורית צריכה להיות באותו פרויקט שבו נמצאת מדיניות חומת האש של הרשת האזורית.

המסוף

  1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט בארגון.

  3. לוחצים על יצירת מדיניות חומת אש.

  4. בשדה Policy name, כותבים את השם של המדיניות.

  5. בשדה Policy type, בוחרים באפשרות VPC policy או RDMA RoCE policy.

  6. בשדה Deployment scope, בוחרים באפשרות Regional. בוחרים את האזור שבו רוצים ליצור את מדיניות חומת האש.

  7. כדי ליצור כללים למדיניות, לוחצים על המשך.

  8. בקטע Add rules, לוחצים על Create firewall rule. למידע נוסף על יצירת כללים של חומת האש:

  9. אם רוצים לשייך את המדיניות לרשת, לוחצים על Continue.

  10. בקטע Associate policy with networks, לוחצים על Associate.

    מידע נוסף זמין במאמר שיוך מדיניות לרשת.

  11. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --region=REGION_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NETWORK_FIREWALL_POLICY_NAME: שם למדיניות
  • ‫DESCRIPTION: תיאור המדיניות
  • ‫POLICY_TYPE: סוג המדיניות של חומת האש ברשת. מידע נוסף זמין בקטע מפרטים.
  • ‫REGION_NAME: האזור של המדיניות

שיוך מדיניות לרשת

אתם יכולים לשייך מדיניות אזורית של חומת אש לרשת לאזור של רשת VPC, ולהחיל את הכללים שבמדיניות על האזור הזה ברשת.

המסוף

  1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שמכיל את המדיניות.

  3. לוחצים על הפוליסה.

  4. לוחצים על הכרטיסייה שיוכים.

  5. לוחצים על הוספת שיוך.

  6. בוחרים את הרשתות בפרויקט.

  7. לוחצים על שיוך.

gcloud 

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫POLICY_NAME: השם המקוצר או השם שנוצר על ידי המערכת של המדיניות.
  • ‫POLICY_REGION: האזור של המדיניות שמכילה את הכלל.
  • ‫NETWORK_NAME: השם של הרשת המשויכת.
  • ‫ASSOCIATION_NAME: שם אופציונלי לשיוך. אם לא מציינים שם, השם שמוגדר הוא network-NETWORK_NAME.

הוספת כללים למדיניות חומת אש אזורית ברשת

בקטע הזה מוסבר איך מוסיפים כללים למדיניות אזורית של חומת אש ברשת.

יצירת כלל תעבורת נתונים נכנסת (ingress) ליעדים של מכונות וירטואליות

בקטע הזה מוסבר איך ליצור כלל תעבורת נתונים נכנסת שחל על ממשקי רשת של מכונות Compute Engine.

המסוף

  1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש לרשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: מוסיפים תיאור (אופציונלי).

    3. Target type: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

    4. יעד: בוחרים אחת מהאפשרויות הבאות:

      • החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
      • חשבונות שירות: מצמצמים את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שמשתמשות בחשבון השירות שציינתם:

        • בקטע Service account scope, בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט שבו נמצאת מדיניות חומת האש של הרשת האזורית.
        • בקטע Service account scope, בוחרים באפשרות In another project > Target service account. כדי לציין חשבון שירות בפרויקט שירות של VPC משותף.
      • תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

    5. Direction of traffic: בוחרים באפשרות Ingress.

    6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.

    7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.

    8. ‫Source network context: מציינים הקשר רשת:

    9. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של המקור ביחד, וההקשר של רשת המקור שתבחרו מגביל את הפרמטרים של המקור שבהם תוכלו להשתמש. למידע נוסף, קראו את המאמרים מקורות לכללי תעבורת נתונים נכנסת ושילובים של מקורות לכללי תעבורת נתונים נכנסת.

      • כדי לסנן תנועה נכנסת לפי טווחי IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל מקור IPv4.
      • כדי לסנן תנועה נכנסת לפי טווחי IPv6 של מקורות, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל מקור IPv6.
      • כדי לסנן תנועה נכנסת לפי ערכי תגים מאובטחים של מקור, בוחרים באפשרות Select scope for tags בקטע Secure tags. אחר כך, מספקים את המפתחות והערכים של התגים. כדי להוסיף עוד ערכי תגים, לוחצים על Add tag.
      • כדי לסנן תנועה נכנסת לפי FQDN של מקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
      • כדי לסנן תנועה נכנסת לפי המיקום הגיאוגרפי של המקור, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
      • כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. מידע נוסף זמין במאמר קבוצות של כתובות למדיניות של חומת אש.

    10. יעד: מציינים פרמטרים אופציונליים של היעד. מידע נוסף זמין במאמר יעדים לכללי תעבורת נתונים נכנסת.

      • כדי לדלג על סינון התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות None.
      • כדי לסנן את התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של המקור.

    11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.

    12. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:

      • מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש של הרשת האזורית.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא תציינו את הדגלים --target-secure-tags ו---target-service-accounts, Cloud NGFW ישתמש ביעדי המכונות הרחבים ביותר.
    • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
    • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

  • ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:

    • שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
    • שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
    • שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).

    למידע נוסף, ראו פרוטוקולים ויציאות.

  • מציינים מקור לכלל התעבורה הנכנסת. שילובים של מקורות לכללי תעבורת נתונים נכנסת:

    • ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשת מקור שמשמשים בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקורות. הערכים התקינים כשהשדה --target-type=INSTANCES מוגדר הם: INTERNET,‏ NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר הקשרים של רשתות.
    • ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שמצוינות לפי מזהי כתובות ה-URL שלהן. ציינו את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
    • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
    • ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל רק כתובות IPv4 או רק כתובות IPv6, ולא שילוב של שתיהן.
    • ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
    • ‫SRC_SECURE_TAGS: רשימה מופרדת בפסיקים של תגים. אי אפשר להשתמש בדגל --src-secure-tags אם הערך של --src-network-context הוא INTERNET.
    • ‫SRC_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי. אי אפשר להשתמש בדגל --src-region-codes אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
  • אפשר גם לציין יעד לכלל התעבורה הנכנסת:

    • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

יצירת כלל תעבורת נתונים נכנסת ליעדים של מאזן עומסים פנימי

כדי להגביל את הגישה לכלל העברה אחד או יותר של מאזן עומסים פנימי של אפליקציות (ALB) או של מאזן עומסי רשת פנימי לשרת proxy, צריך ליצור לפחות שני כללי תעבורת נתונים נכנסת שמשתמשים במאזני עומסים פנימיים כיעדים. הסיבה לכך היא שהפעולה המשתמעת של יעדי מאזן העומסים הפנימי של אפליקציות ומאזן עומסי הרשת הפנימי לשרת proxy מאפשרת תעבורת נתונים נכנסת. הכללים שנדרשים כדי להגביל את הגישה הם:

  • כלל חומת אש לדחיית תעבורת נתונים נכנסת בעדיפות נמוכה יותר עם --src-ip-ranges=0.0.0.0/0.
  • כלל חומת אש שמאפשר תעבורת נתונים נכנסת בעדיפות גבוהה יותר, עם פרמטרים של מקור שאתם מציינים.

בקטע הזה מוסבר איך ליצור כלל תעבורת נתונים נכנסת למאזני עומסים פנימיים של אפליקציות ולמאזני עומסי רשת פנימיים של שרתי proxy.

המסוף

  1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש לרשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: מוסיפים תיאור (אופציונלי).

    3. ‫Target type: בוחרים באפשרות Internal load balancers.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במאזני עומסים פנימיים של אפליקציות (ALB) ובמאזני עומסי רשת פנימיים של שרתי proxy בתור היעד.

    4. יעד: בוחרים אחת מהאפשרויות הבאות:

      • החלה על הכול: Cloud NGFW משתמש ביעדים הרחבים ביותר של מאזן העומסים.
      • ‫Forwarding rule: כדי לבחור את כלל ההעברה, מבצעים את הפעולות הבאות:
        1. לוחצים על Select project ובוחרים פרויקט.
        2. בקטע Load balancer type, בוחרים את סוג מאזן העומסים.
        3. בשדה Load balancer, בוחרים את מאזן העומסים.
        4. בשדה Forwarding rule, בוחרים את כלל ההעברה.

    5. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.

    6. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.

    7. ‫Source network context: מציינים הקשר רשת:

      • כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות All network contexts.
      • כדי לסנן תנועה נכנסת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
      • בתוך VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשת בתוך VPC.
      • רשתות VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשתות VPC. צריך לבחור לפחות רשת VPC אחת:
        • Select current project: מאפשרת להוסיף רשת VPC אחת או יותר מהפרויקט שמכיל את מדיניות חומת האש.
        • Manually enter network: מאפשר להזין ידנית פרויקט ורשת VPC.
        • ‫Select project: בחירת פרויקט שממנו אפשר לבחור רשת VPC.

    8. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של המקור ביחד, וההקשר של רשת המקור שתבחרו מגביל את הפרמטרים של המקור שבהם תוכלו להשתמש. למידע נוסף, קראו את המאמרים מקורות לכללי תעבורת נתונים נכנסת ושילובים של מקורות לכללי תעבורת נתונים נכנסת.

      • כדי לסנן תנועה נכנסת לפי טווחי IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל מקור IPv4.
      • כדי לסנן תנועה נכנסת לפי טווחי IPv6 של מקורות, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל מקור IPv6.
      • כדי לסנן תנועה נכנסת לפי FQDN של מקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
      • כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. מידע נוסף זמין במאמר קבוצות של כתובות למדיניות של חומת אש.

    9. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:

      • מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש של הרשת האזורית.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא משתמשים בדגל --target-forwarding-rules, ‏Cloud NGFW משתמש ביעדים הרחבים ביותר של מאזן העומסים.
    • ‫TARGET_FORWARDING_RULES: כלל העברה יחיד למאזן עומסים פנימי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy, שצוין בפורמט של כללי העברה לטירגוט. הפרמטר הזה מצמצם את היעדים הרחבים ביותר של מאזן העומסים למאזן עומסים פנימי ספציפי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy.
  • ‫LAYER_4_CONFIGS: מציינים את tcp או את מספר הפרוטוקול של IANA‏ 6. כללי חומת אש שמטרגטים מאזני עומסים פנימיים (INTERNAL_MANAGED_LB) תומכים רק בפרוטוקול TCP. אל תציינו יציאות יעד או טווחי יציאות. הסינון חל על כל התנועה שמופנית לכלל ההעברה של מאזן העומסים.
  • מציינים מקור לכלל התעבורה הנכנסת. שילובים של מקורות לכללי תעבורת נתונים נכנסת:

    • ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשת מקור שמשמשים בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקורות. הערכים התקינים כשהשדה --target-type=INTERNAL_MANAGED_LB מוגדר הם VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר הקשרים של רשתות.
    • ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שמצוינות לפי מזהי כתובות ה-URL שלהן. ציינו את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
    • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
    • ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל רק כתובות IPv4 או רק כתובות IPv6, ולא שילוב של שתיהן.
    • ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.

יצירת כלל לתעבורת נתונים יוצאת (egress) ליעדים של מכונות וירטואליות

כך יוצרים כלל תעבורת נתונים יוצאת: כללי תעבורת נתונים יוצאת חלים רק על יעדים שהם ממשקי רשת של מכונות Compute Engine.

המסוף

  1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

    כניסה לדף Firewall policies

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש לרשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: מוסיפים תיאור (אופציונלי).

    3. Target type: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

    4. יעד: בוחרים אחת מהאפשרויות הבאות:

      • החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
      • חשבונות שירות: מצמצמים את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שמשתמשות בחשבון השירות שציינתם:

        • בקטע Service account scope, בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט שבו נמצאת מדיניות חומת האש של הרשת האזורית.
        • בקטע Service account scope, בוחרים באפשרות In another project > Target service account. כדי לציין חשבון שירות בפרויקט שירות של VPC משותף.
      • תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

    5. Direction of traffic: בוחרים באפשרות Egress.

    6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.

    7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.

    8. הקשר של רשת היעד: מציינים הקשר של רשת:

    9. מסנני יעדים: מציינים פרמטרים נוספים של יעדים. אי אפשר להשתמש בחלק מהפרמטרים של היעד ביחד, והבחירה שלכם בהקשר של רשת היעד מגבילה את מסנני היעד שבהם אתם יכולים להשתמש. למידע נוסף, קראו את המאמרים יעדים לכללי תעבורת נתונים יוצאת ושילובים של יעדים לכללי תעבורת נתונים יוצאת.

      • כדי לסנן תנועה יוצאת לפי טווחי IPv4 של היעד, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל יעד IPv4.
      • כדי לסנן תנועה יוצאת לפי טווחי IPv6 של היעד, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל יעד IPv6.
      • כדי לסנן תנועה יוצאת לפי FQDN של היעד, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
      • כדי לסנן תנועה יוצאת לפי מיקום גיאוגרפי של היעד, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
      • כדי לסנן תנועה יוצאת לפי קבוצת כתובות יעד, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. למידע נוסף, קראו את המאמר קבוצות של כתובות לכללי מדיניות של חומת אש.

    10. מקור: מציינים פרמטרים אופציונליים של מקור. מידע נוסף זמין במאמר מקורות לכללי תעבורת נתונים יוצאת.

      • כדי לדלג על סינון התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות ללא.
      • כדי לסנן את התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של היעד.

    11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.

    12. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:

      • מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית של הרשת שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש של הרשת האזורית.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא תציינו את הדגלים --target-secure-tags ו---target-service-accounts, Cloud NGFW ישתמש ביעדי המכונות הרחבים ביותר.
    • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
    • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

  • ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:

    • שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
    • שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
    • שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).

    למידע נוסף, ראו פרוטוקולים ויציאות.

המאמרים הבאים