יצירה של כללים ומדיניות היררכית לחומת אש

המסוף

1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

   כניסה לדף Firewall policies

2. בתפריט לבחירת פרויקטים, בוחרים את מזהה הארגון או תיקייה בתוך הארגון.

3. לוחצים על יצירת מדיניות חומת אש.

4. בשדה Policy name, כותבים את השם של המדיניות.

5. אופציונלי: אם רוצים ליצור כללים למדיניות, לוחצים על Continue.

6. בקטע Add rules, לוחצים על Create firewall rule. למידע נוסף על יצירת כללים של חומת האש:

   • יצירת כלל לתעבורת נתונים נכנסת (ingress) ליעדים של מכונות וירטואליות
   • יצירת כלל לתעבורת נתונים יוצאת (egress) למכונות וירטואליות (VM)

7. אופציונלי: אם רוצים לשייך את המדיניות למשאב, לוחצים על Continue.

8. בקטע Associate policy with resources, לוחצים על Add.

   מידע נוסף זמין במאמר שיוך מדיניות לארגון או לתיקייה.

9. לוחצים על יצירה.

gcloud

כדי ליצור מדיניות היררכית של חומת אש שההורה שלה הוא ארגון, מריצים את הפקודות הבאות:

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

כדי ליצור מדיניות היררכית של חומת אש שההורה שלה הוא תיקייה בתוך ארגון, מריצים את הפקודות הבאות:

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

מחליפים את מה שכתוב בשדות הבאים:

• ‫ORG_ID: מזהה הארגון

  כדי ליצור מדיניות שההורה שלה הוא ארגון, צריך לציין את מזהה הארגון. אפשר לשייך את המדיניות לארגון או לתיקייה בתוך הארגון.

• ‫SHORT_NAME: שם למדיניות

  למדיניות שנוצרה באמצעות Google Cloud CLI יש שני שמות: שם שנוצר על ידי המערכת ושם מקוצר שאתם נותנים. כשמשתמשים ב-CLI של gcloud כדי לעדכן מדיניות קיימת, אפשר לציין את השם שנוצר על ידי המערכת או את השם המקוצר ומזהה הארגון. כשמשתמשים ב-API כדי לעדכן את המדיניות, צריך לספק את השם שנוצר על ידי המערכת.

• ‫FOLDER_ID: מזהה התיקייה

  ציינו מזהה תיקייה כדי ליצור מדיניות שההורה שלה הוא תיקייה. אפשר לשייך את המדיניות לארגון שמכיל את התיקייה, או לכל תיקייה בתוך הארגון.

המסוף

1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

   כניסה לדף Firewall policies

2. בתפריט לבחירת פרויקטים, בוחרים את מזהה הארגון או את התיקייה שמכילה את המדיניות.

3. לוחצים על הפוליסה.

4. לוחצים על הכרטיסייה שיוכים.

5. לוחצים על הוספת שיוך.

6. בוחרים את שורש הארגון או תיקיות בתוך הארגון.

7. לוחצים על הוספה.

gcloud

כברירת מחדל, אם תנסו להוסיף שיוך לארגון או לתיקייה שכבר יש להם שיוך, השיטה תיכשל. אם מציינים את הדגל --replace-association-on-target, השיוך הקיים נמחק כשיוצרים את השיוך החדש. כך המשאב לא יישאר בלי מדיניות במהלך המעבר.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

מחליפים את מה שכתוב בשדות הבאים:

• ‫POLICY_NAME: השם המקוצר או השם שנוצר על ידי המערכת של המדיניות
• ‫ORG_ID: מזהה הארגון
• ‫FOLDER_ID: אם משייכים את המדיניות לתיקייה, מציינים אותה כאן. אם משייכים את המדיניות לרמת הארגון, משמיטים את החלק הזה.
• ‫ASSOCIATION_NAME: שם אופציונלי לשיוך. אם לא מציינים שם, הוא מוגדר בתור "organization ORG_ID" או "folder FOLDER_ID".

המסוף

1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

   כניסה לדף Firewall policies

2. ברשימה של בורר הפרויקטים, בוחרים ארגון או תיקייה שמכילים מדיניות היררכית של חומת אש.

3. אם צריך, בקטע Hierarchy index בוחרים תיקיית משנה.

4. בקטע Firewall policies, לוחצים על השם של מדיניות חומת האש ההיררכית שבה רוצים ליצור כלל.

5. בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:

   1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

   2. תיאור: מוסיפים תיאור (אופציונלי).

   3. Target type: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

   4. יעד: בוחרים אחת מהאפשרויות הבאות:

      • החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
      • חשבונות שירות: מצמצם את היעדים הרחבים ביותר של המכונות לממשקי הרשת של מכונות וירטואליות שמשתמשות בחשבון השירות שציינתם ב-Target service account.
      • תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

   5. Direction of traffic: בוחרים באפשרות Ingress.

   6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.
      • ‫Apply security profile group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט, בהתאם ל-Purpose שנבחר.
        • כדי לשלוח חבילות לנקודת קצה של חומת אש ב-Cloud NGFW, בוחרים באפשרות Cloud NGFW Enterprise ואז בוחרים קבוצת פרופילי אבטחה. כדי להפעיל בדיקת TLS של חבילות הנתונים, בוחרים באפשרות הפעלת בדיקת TLS.
        • כדי לשלוח חבילות לקבוצת נקודות קצה ליירוט של Network Security Integration לשילוב בתוך התדר, בוחרים באפשרות NSI In-Band ואז בוחרים קבוצת פרופילי אבטחה.

   7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.

   8. רשתות יעד: אם רוצים להחיל את מדיניות חומת האש על יעדים ברשתות VPC ספציפיות, לוחצים על Add network ובוחרים את Project ואת Network.

   9. ‫Source network context: מציינים הקשר רשת:

      • כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות All network contexts.
      • כדי לסנן תנועה נכנסת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
        • ‫Internet: תנועה נכנסת חייבת להתאים להקשר הרשת של האינטרנט לחבילות נכנסות.
        • לא אינטרנט: תנועה נכנסת חייבת להתאים להקשר של רשת לא אינטרנטית לחבילות נכנסות.
        • בתוך VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשת בתוך VPC.
        • רשתות VPC: תעבורת הנתונים הנכנסת חייבת להתאים לקריטריונים להקשר של רשתות VPC. צריך לבחור לפחות רשת VPC אחת:
          • Select current project: מאפשרת להוסיף רשת VPC אחת או יותר מהפרויקט שמכיל את מדיניות חומת האש.
          • Manually enter network: מאפשר להזין ידנית פרויקט ורשת VPC.
          • ‫Select project: בחירת פרויקט שממנו אפשר לבחור רשת VPC.

   10. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של המקור ביחד, וההקשר של רשת המקור שתבחרו מגביל את הפרמטרים של המקור שבהם תוכלו להשתמש. למידע נוסף, קראו את המאמרים מקורות לכללי תעבורת נתונים נכנסת ושילובים של מקורות לכללי תעבורת נתונים נכנסת.

       • כדי לסנן תנועה נכנסת לפי טווחי IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל מקור IPv4.
       • כדי לסנן תנועה נכנסת לפי טווחי IPv6 של מקורות, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל מקור IPv6.
       • כדי לסנן תנועה נכנסת לפי ערכי תגים מאובטחים של מקור, בוחרים באפשרות Select scope for tags בקטע Secure tags. אחר כך, מספקים את המפתחות והערכים של התגים. כדי להוסיף עוד ערכי תגים, לוחצים על Add tag.
       • כדי לסנן תנועה נכנסת לפי FQDN של מקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
       • כדי לסנן תנועה נכנסת לפי המיקום הגיאוגרפי של המקור, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
       • כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. מידע נוסף זמין במאמר קבוצות של כתובות למדיניות של חומת אש.

   11. יעד: מציינים פרמטרים אופציונליים של היעד. מידע נוסף זמין במאמר יעדים לכללי תעבורת נתונים נכנסת.

       • כדי לדלג על סינון התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות None.
       • כדי לסנן את התנועה הנכנסת לפי כתובת ה-IP של היעד, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של המקור.

   12. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.

   13. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:

       • מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
       • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

6. לוחצים על יצירה.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

• ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
• ‫POLICY_NAME: השם של מדיניות חומת האש ההיררכית שבה רוצים ליצור את הכלל.
• ‫ORG_ID: מזהה הארגון שמכיל את מדיניות חומת האש ההיררכית, אם ההורה שלה הוא ארגון.
• ‫FOLDER_ID: מזהה התיקייה שמכילה את מדיניות חומת האש ההיררכית, אם ההורה שלה הוא תיקייה.
• ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
• ‫ACTION: מציינים אחת מהפעולות הבאות:
  • ‫allow: מאפשר חיבורים שתואמים לכלל.
  • ‫deny: דחיית חיבורים שתואמים לכלל.
  • ‫goto_next: ממשיך את תהליך ההערכה של כלל חומת האש.
  • ‫apply_security_profile_group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט.
    • כשהפעולה היא apply_security_profile_group, צריך לכלול את --security-profile-group SECURITY_PROFILE_GROUP, כאשר SECURITY_PROFILE_GROUP הוא השם של קבוצת פרופילי אבטחה.
    • פרופיל האבטחה של קבוצת פרופילי האבטחה יכול להפנות לנקודת קצה של חומת אש של Cloud NGFW או לקבוצה של נקודות קצה ליירוט של Network Security Integration, לצורך שילוב בתוך הפס.
    • אם פרופיל האבטחה של קבוצת פרופילי האבטחה מפנה לנקודת קצה של חומת אש של Cloud NGFW, צריך לכלול את --tls-inspect או את --no-tls-inspect כדי להפעיל או להשבית את בדיקת ה-TLS.
• הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
• הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
• מציינים יעד:
  • אם לא מציינים את הדגלים --target-resources,‏ --target-secure-tags ו---target-service-accounts,‏ Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
  • ‫TARGET_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שצוינו באמצעות כתובות ה-URL של משאבי הרשת שלהן בפורמט https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. אפשר להשתמש בדגל --target-resources לבד או בשילוב עם דגל יעד אחד אחר. מידע נוסף זמין במאמר שילובים ספציפיים של יעדים.
  • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
  • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

• ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:

  • שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
  • שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
  • שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).

  למידע נוסף, ראו פרוטוקולים ויציאות.

• מציינים מקור לכלל התעבורה הנכנסת. שילובים של מקורות לכללי תעבורת נתונים נכנסת:
  • ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשת מקור שמשמשים בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקורות. הערכים התקינים כשהשדה --target-type=INSTANCES מוגדר הם: INTERNET,‏ NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר הקשרים של רשתות.
  • ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שמצוינות לפי מזהי כתובות ה-URL שלהן. ציינו את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
  • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
  • ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל רק כתובות IPv4 או רק כתובות IPv6, ולא שילוב של שתיהן.
  • ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
  • ‫SRC_SECURE_TAGS: רשימה מופרדת בפסיקים של תגים. אי אפשר להשתמש בדגל --src-secure-tags אם הערך של --src-network-context הוא INTERNET.
  • ‫SRC_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי. אי אפשר להשתמש בדגל --src-region-codes אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
• אפשר גם לציין יעד לכלל התעבורה הנכנסת:
  • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

המסוף

1. במסוף Cloud de Confiance , עוברים לדף מדיניות חומת אש.

   כניסה לדף Firewall policies

2. ברשימה של בורר הפרויקטים, בוחרים ארגון או תיקייה שמכילים מדיניות היררכית של חומת אש.

3. אם צריך, בקטע Hierarchy index בוחרים תיקיית משנה.

4. בקטע Firewall policies, לוחצים על השם של מדיניות חומת האש ההיררכית שבה רוצים ליצור כלל.

5. בקטע Firewall rules, לוחצים על Create firewall rule ומציינים את פרמטרי ההגדרה הבאים:

   1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים נבדקים לפי סדר העדיפות, מהגבוהה לנמוכה, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

   2. תיאור: מוסיפים תיאור (אופציונלי).

   3. Target type: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

   4. יעד: בוחרים אחת מהאפשרויות הבאות:

      • החלה על הכול: Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
      • חשבונות שירות: מצמצם את היעדים הרחבים ביותר של המכונות לממשקי הרשת של מכונות וירטואליות שמשתמשות בחשבון השירות שציינתם ב-Target service account.
      • תגים מאובטחים: מצמצמים את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים שציינתם. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

   5. Direction of traffic: בוחרים באפשרות Egress.

   6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • אישור: כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • ‫Go to next: כדי להמשיך את תהליך ההערכה של כללי חומת האש.
      • ‫Apply security profile group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט, בהתאם ל-Purpose שנבחר.
        • כדי לשלוח חבילות לנקודת קצה של חומת אש ב-Cloud NGFW, בוחרים באפשרות Cloud NGFW Enterprise ואז בוחרים קבוצת פרופילי אבטחה. כדי להפעיל בדיקת TLS של חבילות הנתונים, בוחרים באפשרות הפעלת בדיקת TLS.
        • כדי לשלוח חבילות לקבוצת נקודות קצה ליירוט של Network Security Integration לשילוב בתוך התדר, בוחרים באפשרות NSI In-Band ואז בוחרים קבוצת פרופילי אבטחה.

   7. ‫Logs: בוחרים באפשרות On כדי להפעיל את רישום כללי חומת האש ביומן, או באפשרות Off כדי להשבית את רישום כללי חומת האש ביומן לכלל הזה.

   8. רשתות יעד: אם רוצים להחיל את מדיניות חומת האש על יעדים ברשתות VPC ספציפיות, לוחצים על Add network ובוחרים את Project ואת Network.

   9. הקשר של רשת היעד: מציינים הקשר של רשת:

      • כדי לדלג על סינון תנועה יוצאת לפי הקשר רשת, בוחרים באפשרות All network contexts.
      • כדי לסנן תנועה יוצאת להקשר רשת ספציפי, בוחרים באפשרות Specific network context ואז בוחרים הקשר רשת:
        • ‫Internet: תנועת הנתונים היוצאת צריכה להתאים להקשר הרשת של האינטרנט לחבילות נתונים יוצאות.
        • לא באינטרנט: תנועה יוצאת חייבת להתאים להקשר של רשת לא באינטרנט לחבילות יוצאות.

   10. מסנני יעדים: מציינים פרמטרים נוספים של יעדים. אי אפשר להשתמש בחלק מהפרמטרים של היעד ביחד, והבחירה שלכם בהקשר של רשת היעד מגבילה את מסנני היעד שבהם אתם יכולים להשתמש. למידע נוסף, קראו את המאמרים יעדים לכללי תעבורת נתונים יוצאת ושילובים של יעדים לכללי תעבורת נתונים יוצאת.

       • כדי לסנן תנועה יוצאת לפי טווחי IPv4 של היעד, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges. משתמשים ב-0.0.0.0/0 לכל יעד IPv4.
       • כדי לסנן תנועה יוצאת לפי טווחי IPv6 של היעד, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה IPv6 ranges. משתמשים ב-::/0 לכל יעד IPv6.
       • כדי לסנן תנועה יוצאת לפי FQDN של היעד, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף זמין במאמר אובייקטים של FQDN.
       • כדי לסנן תנועה יוצאת לפי מיקום גיאוגרפי של היעד, בוחרים מיקום אחד או יותר בשדה Geolocations. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
       • כדי לסנן תנועה יוצאת לפי קבוצת כתובות יעד, בוחרים קבוצת כתובות אחת או יותר בשדה Address groups. למידע נוסף, קראו את המאמר קבוצות של כתובות לכללי מדיניות של חומת אש.

   11. מקור: מציינים פרמטרים אופציונליים של מקור. מידע נוסף זמין במאמר מקורות לכללי תעבורת נתונים יוצאת.

       • כדי לדלג על סינון התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות ללא.
       • כדי לסנן את התנועה היוצאת לפי כתובת ה-IP של המקור, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שמשמש לטווחי IPv4 או IPv6 של היעד.

   12. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתואמת לכלל. מידע נוסף מופיע במאמר פרוטוקולים ויציאות.

   13. אכיפה: מציינים אם הכלל של חומת האש נאכף או לא:

       • מופעל: הכלל נוצר ומתחיל לפעול על חיבורים חדשים.
       • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

6. לוחצים על יצירה.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

• ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים נבדקים לפי סדר העדיפות, מהגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. לכל כלל צריכה להיות עדיפות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים בהפרש של יותר מ-1 (לדוגמה, 100, 200, 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
• ‫POLICY_NAME: השם של מדיניות חומת האש ההיררכית שבה רוצים ליצור את הכלל.
• ‫ORG_ID: מזהה הארגון שמכיל את מדיניות חומת האש ההיררכית, אם ההורה שלה הוא ארגון.
• ‫FOLDER_ID: מזהה התיקייה שמכילה את מדיניות חומת האש ההיררכית, אם ההורה שלה הוא תיקייה.
• ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
• ‫ACTION: מציינים אחת מהפעולות הבאות:
  • ‫allow: מאפשר חיבורים שתואמים לכלל.
  • ‫deny: דחיית חיבורים שתואמים לכלל.
  • ‫goto_next: ממשיך את תהליך ההערכה של כלל חומת האש.
  • ‫apply_security_profile_group: שליחת החבילות לנקודת קצה של חומת אש או לקבוצה של נקודות קצה ליירוט.
    • כשהפעולה היא apply_security_profile_group, צריך לכלול את --security-profile-group SECURITY_PROFILE_GROUP, כאשר SECURITY_PROFILE_GROUP הוא השם של קבוצת פרופילי אבטחה.
    • פרופיל האבטחה של קבוצת פרופילי האבטחה יכול להפנות לנקודת קצה של חומת אש של Cloud NGFW או לקבוצה של נקודות קצה ליירוט של Network Security Integration, לצורך שילוב בתוך הפס.
    • אם פרופיל האבטחה של קבוצת פרופילי האבטחה מפנה לנקודת קצה של חומת אש של Cloud NGFW, צריך לכלול את --tls-inspect או את --no-tls-inspect כדי להפעיל או להשבית את בדיקת ה-TLS.
• הדגלים --enable-logging ו---no-enable-logging מפעילים או משביתים את הרישום ביומן של כללי חומת האש של VPC.
• הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
• מציינים יעד:
  • אם לא מציינים את הדגלים --target-resources,‏ --target-secure-tags ו---target-service-accounts,‏ Cloud NGFW משתמש ביעדי המכונה הרחבים ביותר.
  • ‫TARGET_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC, שצוינו באמצעות כתובות ה-URL של משאבי הרשת שלהן בפורמט https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. אפשר להשתמש בדגל --target-resources לבד או בשילוב עם דגל יעד אחד אחר. מידע נוסף זמין במאמר שילובים ספציפיים של יעדים.
  • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים, שמצמצמת את היעדים הרחבים ביותר של המכונות הווירטואליות לממשקי הרשת של המכונות הווירטואליות שקשורות לפחות לאחד מערכי התגים המאובטחים.
  • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות, שמצמצמת את יעדי המכונות הרחבים ביותר לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.

• ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות שכבה 4. כל הגדרה של שכבה 4 יכולה להיות אחת מהאפשרויות הבאות:

  • שם של פרוטוקול IP‏ (tcp) או מספר של פרוטוקול IP של IANA‏ (6) בלי יציאת יעד.
  • שם של פרוטוקול IP ויציאת יעד, מופרדים בנקודתיים (tcp:80).
  • שם של פרוטוקול IP וטווח יציאות יעד שמופרדים בנקודתיים, עם מקף שמפריד בין יציאות היעד של ההתחלה והסיום (tcp:5000-6000).

  למידע נוסף, ראו פרוטוקולים ויציאות.

• מציינים יעד לכלל התעבורה היוצאת. מידע נוסף זמין במאמר שילובים של יעדים לכללי תעבורת נתונים יוצאת:
  • DEST_NETWORK_CONTEXT: מגדיר הקשרים של רשת היעד שבהם אפשר להשתמש בשילוב עם פרמטר יעד נתמך אחר כדי ליצור שילוב של יעדים. הערכים התקינים הם INTERNET ו-NON_INTERNET. מידע נוסף מופיע במאמר הקשרים של רשתות.
  • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
  • ‫DEST_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות, שמצוינות לפי מזהי כתובות ה-URL הייחודיים שלהן.
  • ‫DEST_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
  • ‫DEST_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר אובייקטים של מיקום גיאוגרפי.
• אפשר גם לציין מקור לכלל התעבורה היוצאת:
  • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.