Membuat kebijakan dan aturan firewall hierarkis

Konsol

1. Di konsol Cloud de Confiance , buka halaman Firewall policies.

   Buka Firewall policies

2. Di menu pemilih project, pilih ID organisasi Anda atau folder dalam organisasi Anda.

3. Klik Create firewall policy.

4. Di kolom Policy name, masukkan nama untuk kebijakan.

5. Opsional: Jika Anda ingin membuat aturan untuk kebijakan, klik Lanjutkan.

6. Di bagian Tambahkan aturan, klik Buat aturan firewall. Untuk mengetahui informasi selengkapnya tentang cara membuat aturan firewall, lihat artikel berikut:

   • Membuat aturan ingress untuk target VM
   • Membuat aturan keluar untuk target VM

7. Opsional: Jika Anda ingin mengaitkan kebijakan dengan resource, klik Lanjutkan.

8. Di bagian Associate policy with resources, klik Add.

   Untuk mengetahui informasi selengkapnya, lihat Mengaitkan kebijakan dengan organisasi atau folder.

9. Klik Create.

gcloud

Jalankan perintah ini untuk membuat kebijakan firewall hierarkis yang induknya adalah organisasi:

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

Jalankan perintah ini untuk membuat kebijakan firewall hierarkis yang induknya adalah folder dalam organisasi:

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

Ganti kode berikut:

• ORG_ID: ID organisasi Anda

  Tentukan ID organisasi untuk membuat kebijakan yang induknya adalah organisasi. Kebijakan dapat dikaitkan dengan organisasi atau folder dalam organisasi.

• SHORT_NAME: nama kebijakan

  Kebijakan yang dibuat menggunakan Google Cloud CLI memiliki dua nama: nama yang dibuat sistem dan nama singkat yang Anda berikan. Saat menggunakan gcloud CLI untuk mengupdate kebijakan yang ada, Anda dapat memberikan nama yang dibuat sistem atau nama pendek dan ID organisasi. Saat menggunakan API untuk memperbarui kebijakan, Anda harus memberikan nama yang dibuat sistem.

• FOLDER_ID: ID folder

  Tentukan ID folder untuk membuat kebijakan yang induknya adalah folder. Kebijakan dapat dikaitkan dengan organisasi yang berisi folder atau folder apa pun dalam organisasi tersebut.

Konsol

1. Di konsol Cloud de Confiance , buka halaman Firewall policies.

   Buka Firewall policies

2. Di menu pemilih project, pilih ID organisasi atau folder yang berisi kebijakan Anda.

3. Klik kebijakan Anda.

4. Klik tab Pengaitan.

5. Klik Tambahkan Pengaitan.

6. Pilih root organisasi atau pilih folder dalam organisasi.

7. Klik Tambahkan.

gcloud

Secara default, jika Anda mencoba menyisipkan objek atribusi ke organisasi atau folder yang sudah memiliki objek atribusi, metode akan gagal. Jika Anda menentukan tanda --replace-association-on-target, pengaitan yang ada akan dihapus pada saat yang sama dengan pembuatan pengaitan baru. Hal ini mencegah resource tidak memiliki kebijakan selama transisi.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Ganti kode berikut:

• POLICY_NAME: nama pendek atau nama yang dibuat sistem untuk kebijakan
• ORG_ID: ID organisasi Anda
• FOLDER_ID: jika Anda mengaitkan kebijakan dengan folder, tentukan di sini; hilangkan jika Anda mengaitkan kebijakan ke tingkat organisasi
• ASSOCIATION_NAME: nama opsional untuk asosiasi; jika tidak ditentukan, nama ditetapkan ke "organisasi ORG_ID" atau "folder FOLDER_ID"

Konsol

1. Di konsol Cloud de Confiance , buka halaman Firewall policies.

   Buka Firewall policies

2. Dalam daftar pemilih project, pilih organisasi atau folder yang berisi kebijakan firewall hierarkis.

3. Jika perlu, di bagian Indeks hierarki, pilih folder turunan.

4. Di bagian Firewall policies, klik nama kebijakan firewall hierarkis tempat Anda ingin membuat aturan.

5. Di bagian Firewall rules, klik Create firewall rule dan tentukan parameter konfigurasi berikut:

   1. Prioritas: urutan evaluasi numerik aturan.

      Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 adalah prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari hanya selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.

   2. Deskripsi: berikan deskripsi opsional.

   3. Direction of traffic: pilih Ingress.

   4. Action on match: pilih salah satu opsi berikut:

      • Izinkan: untuk mengizinkan koneksi yang cocok dengan parameter aturan.
      • Tolak: untuk memblokir koneksi yang cocok dengan parameter aturan.
      • Lanjutkan ke berikutnya: untuk melanjutkan proses evaluasi aturan firewall.
      • Terapkan grup profil keamanan: mengirimkan paket ke endpoint firewall atau grup endpoint pencegatan berdasarkan Tujuan yang Anda pilih.
        • Untuk mengirim paket ke endpoint firewall Cloud NGFW, pilih Cloud NGFW Enterprise, lalu pilih Grup profil keamanan. Untuk mengaktifkan pemeriksaan TLS pada paket, pilih Aktifkan pemeriksaan TLS.
        • Untuk mengirim paket ke grup endpoint pencegat Network Security Integration untuk integrasi dalam band, pilih NSI In-Band, lalu pilih Security profile group.

   5. Logs: pilih On untuk mengaktifkan logging aturan firewall atau Off untuk menonaktifkan logging aturan firewall untuk aturan ini.

   6. Jaringan target: opsional, agar kebijakan firewall berlaku untuk target di jaringan VPC tertentu, klik Tambahkan jaringan, lalu pilih Project dan Jaringan.

   7. Target: pilih salah satu opsi berikut:

      • Terapkan ke semua: Cloud NGFW menggunakan target instance terluas.
      • Akun layanan: mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan akun layanan yang Anda tentukan di Target akun layanan.
      • Tag aman: mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman yang Anda tentukan. Klik Pilih cakupan untuk tag dan pilih organisasi atau project yang berisi nilai tag yang akan dicocokkan. Untuk menambahkan lebih banyak nilai tag, klik Tambahkan tag.

   8. Konteks jaringan sumber: tentukan konteks jaringan:

      • Untuk melewati pemfilteran traffic masuk menurut konteks jaringan, pilih Semua konteks jaringan.
      • Untuk memfilter traffic masuk ke konteks jaringan tertentu, pilih Konteks jaringan tertentu, lalu pilih konteks jaringan:
        • Internet: traffic masuk harus cocok dengan konteks jaringan Internet untuk paket masuk.
        • Non-internet: traffic masuk harus cocok dengan konteks jaringan Non-internet untuk paket masuk.
        • Intra VPC: traffic masuk harus cocok dengan Kriteria untuk konteks jaringan intra-VPC.
        • Jaringan VPC: traffic masuk harus cocok dengan Kriteria untuk konteks jaringan VPC. Anda harus memilih minimal satu jaringan VPC:
          • Pilih project saat ini: memungkinkan Anda menambahkan satu atau beberapa jaringan VPC dari project yang berisi kebijakan firewall.
          • Masukkan jaringan secara manual: memungkinkan Anda memasukkan project dan jaringan VPC secara manual.
          • Pilih project: memungkinkan Anda memilih project yang akan digunakan untuk memilih jaringan VPC.

   9. Filter sumber: tentukan parameter sumber tambahan. Beberapa parameter sumber tidak dapat digunakan bersama, dan pilihan konteks jaringan sumber membatasi parameter sumber yang dapat Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan ingress dan Kombinasi sumber aturan ingress.

      • Untuk memfilter traffic masuk menurut rentang IPv4 sumber, pilih IPv4, lalu masukkan blok CIDR di kolom Rentang IP. Gunakan 0.0.0.0/0 untuk sumber IPv4 apa pun.
      • Untuk memfilter traffic masuk menurut rentang IPv6 sumber, pilih IPv6, lalu masukkan blok CIDR ke kolom IPv6 ranges. Gunakan ::/0 untuk sumber IPv6 apa pun.
      • Untuk memfilter traffic masuk menurut nilai tag aman sumber, pilih Pilih cakupan untuk tag di bagian Tag aman. Kemudian, berikan kunci tag dan nilai tag. Untuk menambahkan lebih banyak nilai tag, klik Tambahkan tag.
      • Untuk memfilter traffic masuk menurut FQDN sumber, masukkan FQDN di kolom FQDNs. Untuk mengetahui informasi selengkapnya, lihat objek FQDN.
      • Untuk memfilter traffic masuk menurut geolokasi sumber, pilih satu atau beberapa lokasi dari kolom Geolokasi. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
      • Untuk memfilter traffic masuk menurut grup alamat sumber, pilih satu atau beberapa grup alamat dari kolom Grup alamat. Untuk mengetahui informasi selengkapnya, lihat Grup alamat untuk kebijakan firewall.

   10. Tujuan: tentukan parameter tujuan opsional. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan ingress.

       • Untuk melewati pemfilteran traffic masuk menurut alamat IP tujuan, pilih Tidak ada.
       • Untuk memfilter traffic masuk berdasarkan alamat IP tujuan, pilih IPv4 atau IPv6, lalu masukkan satu atau beberapa CIDR menggunakan format yang sama dengan yang digunakan untuk rentang IPv4 sumber atau rentang IPv6 sumber.

   11. Protocols and ports: tentukan protokol dan port tujuan untuk traffic yang cocok dengan aturan. Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

   12. Penerapan: tentukan apakah aturan firewall diterapkan atau tidak:

       • Diaktifkan: membuat aturan dan mulai menerapkan aturan pada koneksi baru.
       • Dinonaktifkan: membuat aturan, tetapi tidak menerapkan aturan pada koneksi baru.

6. Klik Create.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Ganti kode berikut:

• PRIORITY: urutan evaluasi numerik aturan dalam kebijakan. Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 adalah prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.
• POLICY_NAME: nama kebijakan firewall hierarkis tempat Anda ingin membuat aturan.
• ORG_ID: ID organisasi yang berisi kebijakan firewall hierarkis, jika induknya adalah organisasi.
• FOLDER_ID: ID folder yang berisi kebijakan firewall hierarkis, jika induknya adalah folder.
• DESCRIPTION: deskripsi opsional untuk aturan baru.
• ACTION: tentukan salah satu tindakan berikut:
  • allow: mengizinkan koneksi yang cocok dengan aturan.
  • deny: menolak koneksi yang cocok dengan aturan.
  • goto_next: melanjutkan proses evaluasi aturan firewall.
  • apply_security_profile_group: mengirim paket ke endpoint firewall atau grup endpoint intersepsi.
    • Jika tindakan adalah apply_security_profile_group, Anda harus menyertakan --security-profile-group SECURITY_PROFILE_GROUP, dengan SECURITY_PROFILE_GROUP adalah nama grup profil keamanan.
    • Profil keamanan grup profil keamanan dapat mereferensikan endpoint firewall Cloud NGFW atau grup endpoint pencegat Integrasi Keamanan Jaringan untuk integrasi dalam band.
    • Jika profil keamanan grup profil keamanan mereferensikan endpoint firewall Cloud NGFW, sertakan --tls-inspect atau --no-tls-inspect untuk mengaktifkan atau menonaktifkan pemeriksaan TLS.
• Flag --enable-logging dan --no-enable-logging mengaktifkan atau menonaktifkan logging aturan firewall VPC.
• Flag --disabled dan --no-disabled mengontrol apakah aturan dinonaktifkan (tidak diterapkan) atau diaktifkan (diterapkan).
• Tentukan target:
  • Jika Anda menghapus flag --target-resources, --target-secure-tags, dan --target-service-accounts, Cloud NGFW akan menggunakan target instance terluas.
  • TARGET_NETWORKS: daftar jaringan VPC yang dipisahkan koma yang ditentukan oleh URL resource jaringan dalam bentuk https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. Flag --target-resources dapat digunakan sendiri atau bersama dengan satu flag target lainnya. Untuk mengetahui informasi selengkapnya, lihat Kombinasi target tertentu.
  • TARGET_SECURE_TAGS: daftar nilai tag aman yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman.
  • TARGET_SERVICE_ACCOUNTS: daftar akun layanan yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan salah satu akun layanan.
• LAYER_4_CONFIGS: daftar konfigurasi Layer 4 yang dipisahkan koma. Setiap konfigurasi Lapisan 4 dapat berupa salah satu hal berikut:
  • Nama protokol IP (tcp) atau nomor protokol IP IANA (17) tanpa port tujuan.
  • Nama protokol IP dan port tujuan yang dipisahkan dengan titik dua (tcp:80).
  • Nama protokol IP dan rentang port tujuan yang dipisahkan dengan titik dua menggunakan tanda hubung untuk memisahkan port tujuan awal dan akhir (tcp:5000-6000). Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.
• Tentukan sumber untuk aturan ingress. Untuk mengetahui informasi selengkapnya, lihat Kombinasi sumber aturan ingress:
  • SRC_NETWORK_CONTEXT: menentukan konteks jaringan sumber yang akan digunakan bersama dengan parameter sumber lain yang didukung untuk menghasilkan kombinasi sumber. Nilai yang valid saat --target-type=INSTANCES adalah: INTERNET, NON_INTERNET, VPC_NETWORKS, atau INTRA_VPC. Untuk mengetahui informasi selengkapnya, lihat Konteks jaringan.
  • SRC_VPC_NETWORKS: daftar jaringan VPC yang dipisahkan koma yang ditentukan oleh ID URL-nya. Tentukan flag ini hanya jika --src-network-context adalah VPC_NETWORKS.
  • SRC_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Semua rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.
  • SRC_ADDRESS_GROUPS: daftar grup alamat yang dipisahkan koma yang ditentukan oleh ID URL uniknya. Grup alamat dalam daftar harus berisi semua alamat IPv4 atau semua alamat IPv6, bukan kombinasi keduanya.
  • SRC_DOMAIN_NAMES: daftar objek FQDN yang dipisahkan koma yang ditentukan dalam nama domain format.
  • SRC_SECURE_TAGS: daftar Tag yang dipisahkan koma. Anda tidak dapat menggunakan flag --src-secure-tags jika --src-network-context adalah INTERNET.
  • SRC_COUNTRY_CODES: daftar kode negara dua huruf yang dipisahkan koma. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi. Anda tidak dapat menggunakan flag --src-region-codes jika --src-network-context adalah NON_INTERNET, VPC_NETWORKS, atau INTRA_VPC.
• Secara opsional, tentukan tujuan untuk aturan ingress:
  • DEST_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Semua rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.

Konsol

1. Di konsol Cloud de Confiance , buka halaman Firewall policies.

   Buka Firewall policies

2. Dalam daftar pemilih project, pilih organisasi atau folder yang berisi kebijakan firewall hierarkis.

3. Jika perlu, di bagian Indeks hierarki, pilih folder turunan.

4. Di bagian Firewall policies, klik nama kebijakan firewall hierarkis tempat Anda ingin membuat aturan.

5. Di bagian Firewall rules, klik Create firewall rule dan tentukan parameter konfigurasi berikut:

   1. Prioritas: urutan evaluasi numerik aturan.

      Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 adalah prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari hanya selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.

   2. Deskripsi: berikan deskripsi opsional.

   3. Direction of traffic: pilih Egress.

   4. Action on match: pilih salah satu opsi berikut:

      • Izinkan: untuk mengizinkan koneksi yang cocok dengan parameter aturan.
      • Tolak: untuk memblokir koneksi yang cocok dengan parameter aturan.
      • Lanjutkan ke berikutnya: untuk melanjutkan proses evaluasi aturan firewall.
      • Terapkan grup profil keamanan: mengirimkan paket ke endpoint firewall atau grup endpoint pencegatan berdasarkan Tujuan yang Anda pilih.
        • Untuk mengirim paket ke endpoint firewall Cloud NGFW, pilih Cloud NGFW Enterprise, lalu pilih Grup profil keamanan. Untuk mengaktifkan pemeriksaan TLS pada paket, pilih Aktifkan pemeriksaan TLS.
        • Untuk mengirim paket ke grup endpoint pencegat Network Security Integration untuk integrasi dalam band, pilih NSI In-Band, lalu pilih Security profile group.

   5. Logs: pilih On untuk mengaktifkan logging aturan firewall atau Off untuk menonaktifkan logging aturan firewall untuk aturan ini.

   6. Jaringan target: opsional, agar kebijakan firewall berlaku untuk target di jaringan VPC tertentu, klik Tambahkan jaringan, lalu pilih Project dan Jaringan.

   7. Target: pilih salah satu opsi berikut:

      • Terapkan ke semua: Cloud NGFW menggunakan target instance terluas.
      • Akun layanan: mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan akun layanan yang Anda tentukan di Target akun layanan.
      • Tag aman: mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman yang Anda tentukan. Klik Pilih cakupan untuk tag dan pilih organisasi atau project yang berisi nilai tag yang akan dicocokkan. Untuk menambahkan lebih banyak nilai tag, klik Tambahkan tag.

   8. Konteks jaringan tujuan: tentukan konteks jaringan:

      • Untuk melewati pemfilteran traffic keluar menurut konteks jaringan, pilih Semua konteks jaringan.
      • Untuk memfilter traffic keluar ke konteks jaringan tertentu, pilih Konteks jaringan tertentu, lalu pilih konteks jaringan:
        • Internet: traffic keluar harus cocok dengan konteks jaringan Internet untuk paket keluar.
        • Non-internet: traffic keluar harus cocok dengan Konteks jaringan non-internet untuk paket keluar.

   9. Filter tujuan: tentukan parameter tujuan tambahan. Beberapa parameter tujuan tidak dapat digunakan bersama, dan pilihan konteks jaringan tujuan membatasi filter tujuan yang dapat Anda gunakan. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan egress dan Kombinasi tujuan aturan egress.

      • Untuk memfilter traffic keluar menurut rentang IPv4 tujuan, pilih IPv4, lalu masukkan blok CIDR di kolom Rentang IP. Gunakan 0.0.0.0/0 untuk tujuan IPv4 apa pun.
      • Untuk memfilter traffic keluar menurut rentang IPv6 tujuan, pilih IPv6, lalu masukkan blok CIDR ke kolom IPv6 ranges. Gunakan ::/0 untuk tujuan IPv6 apa pun.
      • Untuk memfilter traffic keluar menurut FQDN tujuan, masukkan FQDN di kolom FQDN. Untuk mengetahui informasi selengkapnya, lihat objek FQDN.
      • Untuk memfilter traffic keluar menurut geolokasi tujuan, pilih satu atau beberapa lokasi dari kolom Geolokasi. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
      • Untuk memfilter traffic keluar menurut grup alamat tujuan, pilih satu atau beberapa grup alamat dari kolom Grup alamat. Untuk mengetahui informasi selengkapnya, lihat Grup alamat untuk kebijakan firewall.

   10. Sumber: tentukan parameter sumber opsional. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan egress.

       • Untuk melewati pemfilteran traffic keluar menurut alamat IP sumber, pilih Tidak Ada.
       • Untuk memfilter traffic keluar menurut alamat IP sumber, pilih IPv4 atau IPv6, lalu masukkan satu atau beberapa CIDR menggunakan format yang sama dengan yang digunakan untuk rentang IPv4 tujuan atau rentang IPv6 tujuan.

   11. Protocols and ports: tentukan protokol dan port tujuan untuk traffic yang cocok dengan aturan. Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.

   12. Penerapan: tentukan apakah aturan firewall diterapkan atau tidak:

       • Diaktifkan: membuat aturan dan mulai menerapkan aturan pada koneksi baru.
       • Dinonaktifkan: membuat aturan, tetapi tidak menerapkan aturan pada koneksi baru.

6. Klik Create.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Ganti kode berikut:

• PRIORITY: urutan evaluasi numerik aturan dalam kebijakan. Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 adalah prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Sebaiknya pisahkan nilai prioritas aturan dengan lebih dari sekadar selisih satu (misalnya, 100, 200, 300) sehingga Anda dapat membuat aturan baru di antara aturan yang ada nanti.
• POLICY_NAME: nama kebijakan firewall hierarkis tempat Anda ingin membuat aturan.
• ORG_ID: ID organisasi yang berisi kebijakan firewall hierarkis, jika induknya adalah organisasi.
• FOLDER_ID: ID folder yang berisi kebijakan firewall hierarkis, jika induknya adalah folder.
• DESCRIPTION: deskripsi opsional untuk aturan baru.
• ACTION: tentukan salah satu tindakan berikut:
  • allow: mengizinkan koneksi yang cocok dengan aturan.
  • deny: menolak koneksi yang cocok dengan aturan.
  • goto_next: melanjutkan proses evaluasi aturan firewall.
  • apply_security_profile_group: mengirim paket ke endpoint firewall atau grup endpoint intersepsi.
    • Jika tindakan adalah apply_security_profile_group, Anda harus menyertakan --security-profile-group SECURITY_PROFILE_GROUP, dengan SECURITY_PROFILE_GROUP adalah nama grup profil keamanan.
    • Profil keamanan grup profil keamanan dapat mereferensikan endpoint firewall Cloud NGFW atau grup endpoint pencegat Integrasi Keamanan Jaringan untuk integrasi dalam band.
    • Jika profil keamanan grup profil keamanan mereferensikan endpoint firewall Cloud NGFW, sertakan --tls-inspect atau --no-tls-inspect untuk mengaktifkan atau menonaktifkan pemeriksaan TLS.
• Flag --enable-logging dan --no-enable-logging mengaktifkan atau menonaktifkan logging aturan firewall VPC.
• Flag --disabled dan --no-disabled mengontrol apakah aturan dinonaktifkan (tidak diterapkan) atau diaktifkan (diterapkan).
• Tentukan target:
  • Jika Anda menghapus flag --target-resources, --target-secure-tags, dan --target-service-accounts, Cloud NGFW akan menggunakan target instance terluas.
  • TARGET_NETWORKS: daftar jaringan VPC yang dipisahkan koma yang ditentukan oleh URL resource jaringan dalam bentuk https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. Flag --target-resources dapat digunakan sendiri atau bersama dengan satu flag target lainnya. Untuk mengetahui informasi selengkapnya, lihat Kombinasi target tertentu.
  • TARGET_SECURE_TAGS: daftar nilai tag aman yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang terikat ke setidaknya salah satu nilai tag aman.
  • TARGET_SERVICE_ACCOUNTS: daftar akun layanan yang dipisahkan koma yang mempersempit target instance terluas ke antarmuka jaringan instance VM yang menggunakan salah satu akun layanan.
• LAYER_4_CONFIGS: daftar konfigurasi Layer 4 yang dipisahkan koma. Setiap konfigurasi Lapisan 4 dapat berupa salah satu hal berikut:
  • Nama protokol IP (tcp) atau nomor protokol IP IANA (17) tanpa port tujuan.
  • Nama protokol IP dan port tujuan yang dipisahkan dengan titik dua (tcp:80).
  • Nama protokol IP dan rentang port tujuan yang dipisahkan dengan titik dua menggunakan tanda hubung untuk memisahkan port tujuan awal dan akhir (tcp:5000-6000). Untuk mengetahui informasi selengkapnya, lihat Protokol dan port.
• Tentukan tujuan untuk aturan keluar. Untuk mengetahui informasi selengkapnya, lihat Kombinasi tujuan aturan egress:
  • DEST_NETWORK_CONTEXT: menentukan konteks jaringan tujuan yang akan digunakan bersama dengan parameter tujuan lain yang didukung untuk menghasilkan kombinasi tujuan. Nilai yang valid adalah INTERNET dan NON_INTERNET. Untuk mengetahui informasi selengkapnya, lihat Konteks jaringan.
  • DEST_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Semua rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.
  • DEST_ADDRESS_GROUPS: daftar grup alamat yang dipisahkan koma yang ditentukan oleh ID URL uniknya.
  • DEST_DOMAIN_NAMES: daftar objek FQDN yang dipisahkan koma yang ditentukan dalam nama domain format.
  • DEST_COUNTRY_CODES: daftar kode negara dua huruf yang dipisahkan koma. Untuk mengetahui informasi selengkapnya, lihat Objek geolokasi.
• Secara opsional, tentukan sumber untuk aturan keluar:
  • SRC_IP_RANGES: daftar rentang alamat IP yang dipisahkan koma dalam format CIDR. Semua rentang dalam daftar harus berupa CIDR IPv4 atau CIDR IPv6, bukan kombinasi keduanya.