Crea criteri e regole firewall gerarchici

Questa pagina descrive come controllare il traffico di rete nella tua organizzazione e nelle tue cartelleCloud de Confiance by S3NS utilizzando regole e policy firewall gerarchiche. Scopri come definire le policy a livello di organizzazione o cartella, quindi associarle a risorse specifiche.

Prima di leggere questa pagina, assicurati di conoscere i concetti descritti nella panoramica delle policy del firewall gerarchiche. Per visualizzare esempi di implementazioni di policy del firewall gerarchiche, consulta Esempi di policy del firewall gerarchiche.

Limitazioni

  • Le regole dei criteri firewall gerarchici non supportano l'utilizzo di tag di rete per definire le destinazioni. Devi invece utilizzare una rete Virtual Private Cloud (VPC) di destinazione o account di servizio di destinazione.
  • I criteri firewall possono essere applicati a livello di cartella e organizzazione, ma non a livello di rete VPC. Le regole firewall VPC regolari sono supportate per le reti VPC.
  • A una risorsa (cartella o organizzazione) può essere associata una sola policy del firewall, anche se le istanze di macchine virtuali (VM) in una cartella possono ereditare le regole dall'intera gerarchia di risorse sopra la VM.
  • Il logging delle regole delle policy del firewall è supportato per le regole allow e deny, ma non per le regole goto_next.
  • Il protocollo IPv6 Hop-by-Hop non è supportato nelle regole firewall.

Attività relative alle policy del firewall

Questa sezione descrive come creare e associare policy firewall gerarchiche.

Crea una policy firewall

Quando crei una policy del firewall gerarchica, puoi impostare il relativo elemento padre sull'organizzazione o su una cartella all'interno dell'organizzazione. Dopo aver creato il criterio, puoi associarlo all'organizzazione o a una cartella dell'organizzazione.

Console

  1. Nella console Cloud de Confiance , vai alla pagina Policy del firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore dei progetti, seleziona l'ID organizzazione o una cartella all'interno dell'organizzazione.

  3. Fai clic su Crea criterio firewall.

  4. Nel campo Nome policy, inserisci un nome per la policy.

  5. (Facoltativo) Se vuoi creare regole per la tua policy, fai clic su Continua.

  6. Nella sezione Aggiungi regole, fai clic su Crea regola firewall. Per saperne di più sulla creazione di regole firewall, consulta quanto segue:

  7. (Facoltativo) Se vuoi associare la policy a una risorsa, fai clic su Continua.

  8. Nella sezione Associa criterio alle risorse, fai clic su Aggiungi.

    Per saperne di più, consulta Associare una policy all'organizzazione o alla cartella.

  9. Fai clic su Crea.

gcloud

Esegui questi comandi per creare una policy del firewall gerarchica la cui organizzazione è il parent:

gcloud compute firewall-policies create \
    --organization ORG_ID \
    --short-name SHORT_NAME

Esegui questi comandi per creare una policy del firewall gerarchica la cui risorsa padre è una cartella all'interno di un'organizzazione:

gcloud compute firewall-policies create \
    --folder FOLDER_ID \
    --short-name SHORT_NAME

Sostituisci quanto segue:

  • ORG_ID: l'ID della tua organizzazione

    Specifica un ID organizzazione per creare una policy la cui organizzazione principale è un'organizzazione. Il criterio può essere associato all'organizzazione o a una cartella all'interno dell'organizzazione.

  • SHORT_NAME: un nome per la policy

    Una policy creata utilizzando Google Cloud CLI ha due nomi: un nome generato dal sistema e un nome breve fornito da te. Quando utilizzi gcloud CLI per aggiornare una policy esistente, puoi fornire il nome generato dal sistema o il nome breve e l'ID organizzazione. Quando utilizzi l'API per aggiornare la policy, devi fornire il nome generato dal sistema.

  • FOLDER_ID: l'ID di una cartella

    Specifica un ID cartella per creare una policy la cui risorsa principale è una cartella. Il criterio può essere associato all'organizzazione che contiene la cartella o a qualsiasi cartella all'interno di questa organizzazione.

Associa un criterio all'organizzazione o alla cartella

Quando associ una policy del firewall gerarchica a un'organizzazione o a una cartella in un'organizzazione, le regole della policy del firewall, ad eccezione delle regole disattivate e in base alla destinazione di ogni regola, si applicano alle risorse nelle reti VPC nei progetti dell'organizzazione o della cartella associata.

Console

  1. Nella console Cloud de Confiance , vai alla pagina Policy del firewall.

    Vai a Criteri firewall

  2. Nel menu del selettore di progetti, seleziona l'ID organizzazione o la cartella che contiene la policy.

  3. Fai clic sulla policy.

  4. Fai clic sulla scheda Associazioni.

  5. Fai clic su Aggiungi associazione.

  6. Seleziona la radice dell'organizzazione o le cartelle all'interno dell'organizzazione.

  7. Fai clic su Aggiungi.

gcloud

Per impostazione predefinita, se tenti di inserire un'associazione a un'organizzazione o a una cartella che ha già un'associazione, il metodo non riesce. Se specifichi il flag --replace-association-on-target, l'associazione esistente viene eliminata contemporaneamente alla creazione della nuova associazione. In questo modo si evita che la risorsa rimanga senza policy durante la transizione.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Sostituisci quanto segue:

  • POLICY_NAME: il nome breve o il nome generato dal sistema della policy
  • ORG_ID: l'ID della tua organizzazione
  • FOLDER_ID: se stai associando la policy a una cartella, specificala qui; omettila se stai associando la policy a livello di organizzazione
  • ASSOCIATION_NAME: un nome facoltativo per l'associazione; se non specificato, il nome viene impostato su "organizzazione ORG_ID" o "cartella FOLDER_ID"

Attività delle regole dei criteri del firewall

Questa sezione descrive come creare regole dei criteri del firewall gerarchici.

Crea una regola in entrata per le VM di destinazione

Questa sezione descrive come creare una regola di ingresso che si applica alle interfacce di rete delle istanze Compute Engine.

Console

  1. Nella console Cloud de Confiance , vai alla pagina Policy del firewall.

    Vai a Criteri firewall

  2. Nell'elenco del selettore di progetti, seleziona un'organizzazione o una cartella che contiene una policy del firewall gerarchica.

  3. Se necessario, seleziona una cartella secondaria nella sezione Indice gerarchico.

  4. Nella sezione Policy del firewall, fai clic sul nome di una policy del firewall gerarchica in cui vuoi creare una regola.

  5. Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:

    1. Priorità: l'ordine di valutazione numerico della regola.

      Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.

    2. Descrizione: fornisci una descrizione facoltativa.

    3. Direzione del traffico: seleziona In entrata.

    4. Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:

      • Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
      • Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
      • Vai al passaggio successivo: per continuare la procedura di valutazione della regola firewall.
      • Applica gruppo di profili di sicurezza: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione in base allo scopo che selezioni.
        • Per inviare pacchetti a un endpoint firewall Cloud NGFW, seleziona Cloud NGFW Enterprise, quindi seleziona un gruppo di profili di sicurezza. Per abilitare l'ispezione TLS dei pacchetti, seleziona Abilita ispezione TLS.
        • Per inviare pacchetti a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda, seleziona NSI in banda, quindi seleziona un gruppo di profili di sicurezza.

    5. Log: seleziona On per attivare la registrazione dei log delle regole firewall o Off per disattivarla per questa regola.

    6. Reti di destinazione: facoltativamente, per applicare la policy del firewall alle destinazioni in reti VPC specifiche, fai clic su Aggiungi rete e poi seleziona il progetto e la rete.

    7. Target: seleziona una delle seguenti opzioni:

      • Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
      • Service account: restringe i target delle istanze più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato in Service account di destinazione.
      • Tag sicuri: restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da corrispondere. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.

    8. Contesto della rete di origine: specifica un contesto di rete:

      • Per ignorare il filtro del traffico in entrata in base al contesto di rete, seleziona Tutti i contesti di rete.
      • Per filtrare il traffico in entrata in un contesto di rete specifico, seleziona Contesto di rete specifico e poi un contesto di rete:

    9. Filtri di origine: specifica parametri di origine aggiuntivi. Alcuni parametri di origine non possono essere utilizzati insieme e il contesto della rete di origine limita i parametri di origine che puoi utilizzare. Per maggiori informazioni, consulta Origini per le regole in entrata e Combinazioni di origini delle regole in entrata.

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6 e poi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi origine IPv6.
      • Per filtrare il traffico in entrata in base ai valori dei tag sicuri di origine, seleziona Seleziona ambito per i tag nella sezione Tag sicuri. Poi, fornisci chiavi e valori dei tag. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.
      • Per filtrare il traffico in entrata in base al nome di dominio completo di origine, inserisci i nomi di dominio completi nel campo Nomi di dominio completi. Per ulteriori informazioni, consulta Oggetti FQDN.
      • Per filtrare il traffico in entrata in base alla geolocalizzazione della sorgente, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
      • Per filtrare il traffico in entrata in base al gruppo di indirizzi di origine, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per le norme firewall.

    10. Destinazione: specifica i parametri di destinazione facoltativi. Per ulteriori informazioni, consulta Destinazioni per le regole in entrata.

      • Per ignorare il filtro del traffico in entrata in base all'indirizzo IP di destinazione, seleziona Nessuno.
      • Per filtrare il traffico in entrata in base all'indirizzo IP di destinazione, seleziona IPv4 o IPv6 e poi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di origine o gli intervalli IPv6 di origine.

    11. Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico in modo che corrispondano alla regola. Per ulteriori informazioni, consulta Protocolli e porte.

    12. Applicazione: specifica se la regola firewall viene applicata o meno:

      • Attivata: crea la regola e inizia ad applicarla alle nuove connessioni.
      • Disattivata: crea la regola, ma non la applica alle nuove connessioni.

  6. Fai clic su Crea.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall gerarchica in cui vuoi creare la regola.
  • ORG_ID: l'ID dell'organizzazione che contiene la policy del firewall gerarchica, se il relativo elemento padre è un'organizzazione.
  • FOLDER_ID: l'ID della cartella che contiene la policy del firewall gerarchica, se il relativo elemento principale è una cartella.
  • DESCRIPTION: una descrizione facoltativa per la nuova regola.
  • ACTION: specifica una delle seguenti azioni:

    • apply_security_profile_group: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione.
      • Quando l'azione è apply_security_profile_group, devi includere --security-profile-group SECURITY_PROFILE_GROUP, dove SECURITY_PROFILE_GROUP è il nome di un gruppo di profili di sicurezza.
      • Il profilo di sicurezza del gruppo di profili di sicurezza può fare riferimento a un endpoint firewall Cloud NGFW o a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda.
      • Se il profilo di sicurezza del gruppo di profili di sicurezza fa riferimento a un endpoint firewall Cloud NGFW, includi --tls-inspect o --no-tls-inspect per attivare o disattivare l'ispezione TLS.
  • I flag --enable-logging e --no-enable-logging attivano o disattivano la registrazione delle regole firewall VPC.
  • I flag --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:

    • Se ometti i flag --target-resources, --target-secure-tags e --target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi.
    • TARGET_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi URL delle risorse di rete nel formato https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. Il flag --target-resources può essere utilizzato da solo o in combinazione con un altro flag di destinazione. Per saperne di più, vedi Combinazioni di target specifiche.
    • TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag sicuri che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri.
    • TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano uno dei service account.
  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:
    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati da due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
  • Specifica un'origine per la regola di ingresso. Per saperne di più sulle combinazioni di origini delle regole in entrata:

    • SRC_NETWORK_CONTEXT: definisce i contesti di rete di origine da utilizzare in combinazione con un altro parametro di origine supportato per produrre una combinazione di origine. I valori validi quando --target-type=INSTANCES sono: INTERNET, NON_INTERNET, VPC_NETWORKS o INTRA_VPC. Per saperne di più, consulta Contesti di rete.
    • SRC_VPC_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi identificatori URL. Specifica questo flag solo quando --src-network-context è VPC_NETWORKS.
    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • SRC_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci. I gruppi di indirizzi nell'elenco devono contenere tutti gli indirizzi IPv4 o tutti gli indirizzi IPv6, non una combinazione di entrambi.
    • SRC_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • SRC_SECURE_TAGS: un elenco separato da virgole di tag. Non puoi utilizzare il flag --src-secure-tags se --src-network-context è INTERNET.
    • SRC_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione. Non puoi utilizzare il flag --src-region-codes se --src-network-context è NON_INTERNET, VPC_NETWORKS o INTRA_VPC.
  • (Facoltativo) specifica una destinazione per la regola in entrata:

    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.

Crea una regola in uscita per le VM di destinazione

Le indicazioni riportate di seguito mostrano come creare una regola in uscita. Le regole di uscita si applicano solo ai target che sono interfacce di rete delle istanze Compute Engine.

Console

  1. Nella console Cloud de Confiance , vai alla pagina Policy del firewall.

    Vai a Criteri firewall

  2. Nell'elenco del selettore di progetti, seleziona un'organizzazione o una cartella che contiene una policy del firewall gerarchica.

  3. Se necessario, seleziona una cartella secondaria nella sezione Indice gerarchico.

  4. Nella sezione Policy del firewall, fai clic sul nome di una policy del firewall gerarchica in cui vuoi creare una regola.

  5. Nella sezione Regole firewall, fai clic su Crea regola firewall e specifica i seguenti parametri di configurazione:

    1. Priorità: l'ordine di valutazione numerico della regola.

      Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.

    2. Descrizione: fornisci una descrizione facoltativa.

    3. Direzione del traffico: seleziona In uscita.

    4. Azione in caso di corrispondenza: seleziona una delle seguenti opzioni:

      • Consenti: per consentire le connessioni che corrispondono ai parametri della regola.
      • Nega: per bloccare le connessioni che corrispondono ai parametri della regola.
      • Vai al passaggio successivo: per continuare la procedura di valutazione della regola firewall.
      • Applica gruppo di profili di sicurezza: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione in base allo scopo che selezioni.
        • Per inviare pacchetti a un endpoint firewall Cloud NGFW, seleziona Cloud NGFW Enterprise, quindi seleziona un gruppo di profili di sicurezza. Per abilitare l'ispezione TLS dei pacchetti, seleziona Abilita ispezione TLS.
        • Per inviare pacchetti a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda, seleziona NSI in banda, quindi seleziona un gruppo di profili di sicurezza.

    5. Log: seleziona On per attivare la registrazione dei log delle regole firewall o Off per disattivarla per questa regola.

    6. Reti di destinazione: facoltativamente, per applicare la policy del firewall alle destinazioni in reti VPC specifiche, fai clic su Aggiungi rete e poi seleziona il progetto e la rete.

    7. Target: seleziona una delle seguenti opzioni:

      • Applica a tutti: Cloud NGFW utilizza i target di istanza più ampi.
      • Service account: restringe i target delle istanze più ampi alle interfacce di rete delle istanze VM che utilizzano il account di servizio specificato in Service account di destinazione.
      • Tag sicuri: restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri specificati. Fai clic su Seleziona ambito per i tag e seleziona l'organizzazione o il progetto che contiene i valori dei tag da corrispondere. Per aggiungere altri valori dei tag, fai clic su Aggiungi tag.

    8. Contesto della rete di destinazione: specifica un contesto di rete:

    9. Filtri di destinazione: specifica parametri di destinazione aggiuntivi. Alcuni parametri di destinazione non possono essere utilizzati insieme e la scelta del contesto di rete di destinazione limita i filtri di destinazione che puoi utilizzare. Per saperne di più, consulta Destinazioni per le regole in uscita e Combinazioni di destinazioni delle regole in uscita.

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4 e poi inserisci i blocchi CIDR nel campo Intervalli IP. Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6 e poi inserisci i blocchi CIDR nel campo Intervalli IPv6. Utilizza ::/0 per qualsiasi destinazione IPv6.
      • Per filtrare il traffico in uscita in base al nome di dominio completo di destinazione, inserisci i nomi di dominio completi nel campo Nomi di dominio completi. Per ulteriori informazioni, consulta Oggetti FQDN.
      • Per filtrare il traffico in uscita in base alla geolocalizzazione di destinazione, seleziona una o più località dal campo Geolocalizzazioni. Per saperne di più, consulta Oggetti di geolocalizzazione.
      • Per filtrare il traffico in uscita in base al gruppo di indirizzi di destinazione, seleziona uno o più gruppi di indirizzi dal campo Gruppi di indirizzi. Per saperne di più, consulta Gruppi di indirizzi per i criteri firewall.

    10. Origine: specifica i parametri di origine facoltativi. Per saperne di più, consulta Origini per le regole in uscita.

      • Per saltare il filtro del traffico in uscita in base all'indirizzo IP di origine, seleziona Nessuno.
      • Per filtrare il traffico in uscita in base all'indirizzo IP di origine, seleziona IPv4 o IPv6 e poi inserisci uno o più CIDR utilizzando lo stesso formato utilizzato per gli intervalli IPv4 di destinazione o gli intervalli IPv6 di destinazione.

    11. Protocolli e porte: specifica i protocolli e le porte di destinazione per il traffico in modo che corrispondano alla regola. Per ulteriori informazioni, consulta Protocolli e porte.

    12. Applicazione: specifica se la regola firewall viene applicata o meno:

      • Attivata: crea la regola e inizia ad applicarla alle nuove connessioni.
      • Disattivata: crea la regola, ma non la applica alle nuove connessioni.

  6. Fai clic su Crea.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID | --folder=FOLDER_ID \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-resources=TARGET_NETWORKS] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerico della regola all'interno della policy. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta. Le priorità devono essere univoche per ogni regola. Ti consigliamo di separare i valori di priorità delle regole con una differenza superiore a uno (ad esempio, 100, 200, 300) in modo da poter creare nuove regole tra quelle esistenti in un secondo momento.
  • POLICY_NAME: il nome della policy del firewall gerarchica in cui vuoi creare la regola.
  • ORG_ID: l'ID dell'organizzazione che contiene la policy del firewall gerarchica, se il relativo elemento padre è un'organizzazione.
  • FOLDER_ID: l'ID della cartella che contiene la policy del firewall gerarchica, se il relativo elemento principale è una cartella.
  • DESCRIPTION: una descrizione facoltativa per la nuova regola.
  • ACTION: specifica una delle seguenti azioni:

    • apply_security_profile_group: invia i pacchetti a un endpoint firewall o a un gruppo di endpoint di intercettazione.
      • Quando l'azione è apply_security_profile_group, devi includere --security-profile-group SECURITY_PROFILE_GROUP, dove SECURITY_PROFILE_GROUP è il nome di un gruppo di profili di sicurezza.
      • Il profilo di sicurezza del gruppo di profili di sicurezza può fare riferimento a un endpoint firewall Cloud NGFW o a un gruppo di endpoint di intercettazione di Network Security Integration per l'integrazione in banda.
      • Se il profilo di sicurezza del gruppo di profili di sicurezza fa riferimento a un endpoint firewall Cloud NGFW, includi --tls-inspect o --no-tls-inspect per attivare o disattivare l'ispezione TLS.
  • I flag --enable-logging e --no-enable-logging attivano o disattivano la registrazione delle regole firewall VPC.
  • I flag --disabled e --no-disabled controllano se la regola è disattivata (non applicata) o attivata (applicata).
  • Specifica un target:

    • Se ometti i flag --target-resources, --target-secure-tags e --target-service-accounts, Cloud NGFW utilizza i target di istanza più ampi.
    • TARGET_NETWORKS: un elenco separato da virgole di reti VPC specificate dai relativi URL delle risorse di rete nel formato https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME. Il flag --target-resources può essere utilizzato da solo o in combinazione con un altro flag di destinazione. Per saperne di più, vedi Combinazioni di target specifiche.
    • TARGET_SECURE_TAGS: un elenco separato da virgole di valori di tag sicuri che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM associate ad almeno uno dei valori dei tag sicuri.
    • TARGET_SERVICE_ACCOUNTS: un elenco separato da virgole di service account che restringono i target di istanza più ampi alle interfacce di rete delle istanze VM che utilizzano uno dei service account.
  • LAYER_4_CONFIGS: un elenco separato da virgole di configurazioni di livello 4. Ogni configurazione di livello 4 può essere una delle seguenti:
    • Un nome di protocollo IP (tcp) o un numero di protocollo IP IANA (17) senza alcuna porta di destinazione.
    • Un nome di protocollo IP e una porta di destinazione separati da due punti (tcp:80).
    • Un nome di protocollo IP e un intervallo di porte di destinazione separati da due punti con un trattino per separare le porte di destinazione iniziale e finale (tcp:5000-6000). Per ulteriori informazioni, consulta Protocolli e porte.
  • Specifica una destinazione per la regola in uscita. Per saperne di più, consulta Combinazioni di destinazioni delle regole in uscita:

    • DEST_NETWORK_CONTEXT: definisce un contesto di rete di destinazione da utilizzare in combinazione con un altro parametro di destinazione supportato per produrre una combinazione di destinazioni. I valori validi sono INTERNET e NON_INTERNET. Per maggiori informazioni, vedi Contesti di rete.
    • DEST_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.
    • DEST_ADDRESS_GROUPS: un elenco separato da virgole di gruppi di indirizzi specificati dai relativi identificatori URL univoci.
    • DEST_DOMAIN_NAMES: un elenco separato da virgole di oggetti FQDN specificati nel formato del nome di dominio.
    • DEST_COUNTRY_CODES: un elenco separato da virgole di codici paese di due lettere. Per saperne di più, consulta Oggetti di geolocalizzazione.
  • (Facoltativo) Specifica un'origine per la regola in uscita:

    • SRC_IP_RANGES: un elenco separato da virgole di intervalli di indirizzi IP in formato CIDR. Gli intervalli nell'elenco devono essere tutti CIDR IPv4 o CIDR IPv6, non una combinazione di entrambi.

Passaggi successivi