Use regras e políticas de firewall hierárquicas

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou uma pasta na sua organização.

3. Clique em Criar política de firewall.

4. No campo Nome, introduza um nome para a política.

5. Se quiser criar regras para a sua política, clique em Continuar > Adicionar regra.

   Para mais informações, consulte o artigo Crie regras de firewall.

6. Se quiser associar a política a um recurso, clique em Continuar > Associar política a recursos.

   Para mais informações, consulte o artigo Associe uma política à organização ou à pasta.

7. Clique em Criar.

gcloud

gcloud compute firewall-policies create \
    [--organization ORG_ID] | --folder FOLDER_ID] \
    --short-name SHORT_NAME

Substitua o seguinte:

• ORG_ID: o ID da sua organização

  Especifique este ID se estiver a criar a política ao nível da organização. Este ID indica apenas onde a política reside. Não associa automaticamente a política ao recurso da organização.

• FOLDER_ID: o ID de uma pasta

  Especifique este ID se estiver a criar a política numa determinada pasta. Este ID indica apenas onde a política reside. Não associa automaticamente a política a essa pasta.

• SHORT_NAME: um nome para a política

  Uma política criada através da CLI do Google Cloud tem dois nomes: um nome gerado pelo sistema e um nome abreviado fornecido por si. Quando usar a CLI gcloud para atualizar uma política existente, pode fornecer o nome gerado pelo sistema ou o nome abreviado e o ID da organização. Quando usar a API para atualizar a política, tem de indicar o nome gerado pelo sistema.

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a sua política.

3. Clique no nome da política.

4. Clique em Adicionar regra.

5. Preencha os campos da regra:

   1. Prioridade: a ordem de avaliação numérica da regra. As regras são avaliadas da prioridade mais elevada para a mais baixa, em que 0 é a prioridade mais elevada. As prioridades têm de ser únicas para cada regra. Uma boa prática é atribuir números de prioridade às regras que permitam a inserção posterior (como 100, 200 e 300).
   2. Defina a recolha de Registos como Ativada ou Desativada.
   3. Para Direção do tráfego, especifique se esta regra é uma regra de entrada ou de saída.
   4. Em Ação na correspondência, escolha uma das seguintes opções:
      1. Permitir: permite as ligações que correspondem à regra.
      2. Recusar: recusa as ligações que correspondem à regra.
      3. Ir para seguinte: passa a avaliação da ligação para a regra de firewall inferior seguinte na hierarquia. Para mais informações sobre como as regras e as ações correspondentes são avaliadas para cada interface de rede da VM, consulte o artigo Ordem de avaliação das políticas e regras.
   5. Opcional: pode restringir a regra a determinadas redes especificando-as no campo Redes de destino. Clique em ADICIONAR REDE e, de seguida, selecione o Projeto e a Rede. Pode adicionar várias redes de destino a uma regra.
   6. Opcional: pode restringir a regra a VMs que estão a ser executadas com acesso a determinadas contas de serviço especificando as contas no campo Contas de serviço de destino.

   7. Para uma regra de entrada, especifique o filtro de origem:

      • Para filtrar o tráfego de entrada por intervalos IPv4 de origem, selecione IPv4 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
      • Para filtrar o tráfego de entrada por intervalos IPv6 de origem, selecione IPv6 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use ::/0 para qualquer origem IPv6.

   8. Para uma regra de saída, especifique o filtro de destino:

      • Para filtrar o tráfego de saída por intervalos IPv4 de destino, selecione IPv4 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use 0.0.0.0/0 para qualquer destino IPv4.
      • Para filtrar o tráfego de saída por intervalos IPv6 de destino, selecione IPv6 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use ::/0 para qualquer destino IPv6.

   9. Opcional: se estiver a criar uma regra de entrada, especifique os FQDNs de origem aos quais esta regra se aplica. Se estiver a criar uma regra de saída, selecione os FQDNs de destino aos quais esta regra se aplica. Para mais informações sobre objetos de nomes de domínios, consulte os objetos FQDN.

   10. Opcional: se estiver a criar uma regra de entrada, selecione as geolocalizações de origem às quais esta regra se aplica. Se estiver a criar uma regra de saída, selecione as geolocalizações de destino às quais esta regra se aplica. Para mais informações sobre objetos de geolocalização, consulte o artigo Objetos de geolocalização.

   11. Opcional: se estiver a criar uma regra de entrada, selecione os grupos de endereços de origem aos quais esta regra se aplica. Se estiver a criar uma regra de saída, selecione os grupos de endereços de destino aos quais esta regra se aplica. Para mais informações sobre grupos de endereços, consulte o artigo Grupos de endereços para políticas de firewall.

   12. Opcional: para uma regra de entrada, especifique os filtros de destino:

       • Para filtrar o tráfego de entrada por intervalos IPv4 de destino, selecione IPv4 e introduza os blocos CIDR no campo Intervalo de IP. Use 0.0.0.0/0 para qualquer destino IPv4.
       • Para filtrar o tráfego de entrada por intervalos IPv6 de destino, selecione Intervalos IPv6 e introduza os blocos CIDR no campo Intervalos IPv6 de destino. Use ::/0 para qualquer destino IPv6. Para mais informações, consulte o artigo Destinos para regras de entrada.

   13. Opcional: para uma regra de Saída, especifique o filtro Origem:

       • Para filtrar o tráfego de saída por intervalos IPv4 de origem, selecione IPv4 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use 0.0.0.0/0 para qualquer origem IPv4.
       • Para filtrar o tráfego de saída por intervalos IPv6 de origem, selecione IPv6 e, de seguida, introduza os blocos CIDR no campo Intervalo de IP. Use ::/0 para qualquer origem IPv6. Para mais informações, consulte o artigo Fontes para regras de saída.

   14. Para Protocolos e portas, especifique que a regra se aplica a todos os protocolos e a todas as portas de destino ou especifique a que protocolos e portas de destino a regra se aplica.

       Para especificar o ICMP IPv4, use icmp ou o número do protocolo 1. Para especificar o ICMP IPv6, use o número do protocolo 58. Para mais informações acerca dos protocolos, consulte o artigo Protocolos e portas.

   15. Clique em Criar.

6. Clique em Adicionar regra para adicionar outra regra.

7. Clique em Continuar > Associar política a recursos para associar a política a recursos ou clique em Criar para criar a política.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    [--organization ORG_ID] \
    --firewall-policy POLICY_NAME \
    [--direction DIRECTION] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK[,SRC_VPC_NETWORK,...]] \
    [--dest-network-type DEST_NETWORK_TYPE] \
    [--src-ip-ranges IP_RANGES] \
    [--dest-ip-ranges IP_RANGES ] \
    [--src-region-codes COUNTRY_CODE[,COUNTRY_CODE,...]] \
    [--dest-region-codes COUNTRY_CODE[,COUNTRY_CODE,...]] \
    [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \
    [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \
    [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] \
    [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] \
    --action ACTION \
    [--layer4-configs PROTOCOL_PORT] \
    [--target-resources NETWORKS] \
    [--target-service-accounts SERVICE_ACCOUNTS] \
    [--enable-logging | --no-enable-logging] \
    [--disabled]

Substitua o seguinte:

• PRIORITY: a ordem de avaliação numérica da regra

  As regras são avaliadas da prioridade mais elevada para a mais baixa, em que 0 é a prioridade mais elevada. As prioridades têm de ser únicas para cada regra. Uma boa prática é atribuir números de prioridade às regras que permitam a inserção posterior (como 100, 200 e 300).

• ORG_ID: o ID da sua organização

• POLICY_NAME: o diminutivo ou o nome gerado pelo sistema da política

• DIRECTION: indica se a regra é uma regra INGRESS (a predefinição) ou EGRESS

  • Inclua --src-ip-ranges para especificar intervalos de IP para a origem do tráfego.
  • Inclua --dest-ip-ranges para especificar intervalos de IP para o destino do tráfego.

  Para mais informações, consulte os alvos, as origens e os destinos.

• SRC_NETWORK_TYPE: indica o tipo de tráfego de rede de origem ao qual a regra de entrada é aplicada. Pode definir este argumento para um dos seguintes valores:

  • INTERNET
  • NON_INTERNET
  • VPC_NETWORKS
  • INTRA_VPC

  Para limpar o valor deste argumento, use uma string vazia. Um valor vazio indica todos os tipos de rede. Para mais informações, consulte o artigo Tipos de redes.

• SRC_VPC_NETWORK: uma lista separada por vírgulas de redes VPC

  Só pode usar o --src-networks quando o --src-network-type estiver definido como VPC_NETWORKS.

• DEST_NETWORK_TYPE: indica o tipo de tráfego de rede de destino ao qual a regra de saída é aplicada. Pode definir este argumento para um dos seguintes valores:

  • INTERNET
  • NON_INTERNET

  Para limpar o valor deste argumento, use uma string vazia. Um valor vazio indica todos os tipos de rede. Para mais informações, consulte o artigo Tipos de redes.

• IP_RANGES: uma lista separada por vírgulas de intervalos de IP formatados em CIDR, todos os intervalos IPv4 ou todos os intervalos IPv6. Exemplos:

  --src-ip-ranges=10.100.0.1/32,10.200.0.0/24
--src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96

• COUNTRY_CODE: uma lista separada por vírgulas de códigos de países de duas letras

  • Para a direção de entrada, especifique os códigos de países de origem na flag --src-region-code. Não pode usar a flag --src-region-code para a direção de saída nem quando o --src-network-type está definido como NON_INTERNET, VPC_NETWORK ou INTRA_VPC.
  • Para a direção de saída, especifique os códigos dos países de destino na flag --dest-region-code. Não pode usar a flag --dest-region-code para a direção de entrada.

• ADDR_GRP_URL: um identificador de URL exclusivo para o grupo de moradas

  • Para a direção de entrada, especifique os grupos de endereços de origem na flag --src-address-groups; não pode usar a flag --src-address-groups para a direção de saída
  • Para a direção de saída, especifique os grupos de endereços de destino no parâmetro --dest-address-groups. Não pode usar o parâmetro --dest-address-groups para a direção de entrada

• DOMAIN_NAME: uma lista de nomes de domínios separados por vírgulas no formato descrito em Formato do nome de domínio

  • Para a direção de entrada, especifique os nomes dos domínios de origem na flag --src-fqdns. Não pode usar a flag --src-fqdns para a direção de saída
  • Para a direção de saída, especifique os grupos de endereços de destino no parâmetro --dest-fqdns. Não pode usar o parâmetro --dest-fqdns para a direção de entrada

• ACTION: uma das seguintes ações:

  • allow: permite ligações que correspondem à regra
  • deny: nega associações que correspondam à regra
  • goto_next: passa a avaliação da associação para o nível seguinte na hierarquia, que pode ser uma pasta ou a rede

  Para mais informações sobre como as regras e as ações correspondentes são avaliadas para cada interface de rede da VM, consulte Ordem de avaliação de políticas e regras.

• PROTOCOL_PORT: uma lista separada por vírgulas de nomes ou números de protocolos (tcp,17), protocolos e portas de destino (tcp:80) ou protocolos e intervalos de portas de destino (tcp:5000-6000)

  Não pode especificar uma porta ou um intervalo de portas sem um protocolo. Para o ICMP, não pode especificar uma porta nem um intervalo de portas. Por exemplo: --layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp.

  Para especificar o ICMP IPv4, use icmp ou o número do protocolo 1. Para especificar o ICMP IPv6, use o número do protocolo 58. Para mais informações, consulte o artigo Protocolos e portas.

• NETWORKS: uma lista separada por vírgulas de URLs de recursos de rede VPC no formato https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME.

  Substitua o seguinte:

  • PROJECT_ID: o ID do projeto que contém a rede VPC
  • NETWORK_NAME: o nome da rede; se for omitido, a regra aplica-se a todas as redes VPC no recurso

  Para mais informações, consulte a secção Alvos.

• SERVICE_ACCOUNTS: uma lista de contas de serviço separadas por vírgulas; a regra é aplicada apenas a VMs que estão a ser executadas com acesso à conta de serviço especificada

  Para mais informações, consulte a secção Alvos.

• --enable-logging e --no-enable-logging: ativa ou desativa o registo de regras de firewall para a regra especificada

• --disabled: indica que a regra de firewall, embora exista, não deve ser considerada ao processar ligações; omitir esta flag ativa a regra ou pode especificar --no-disabled

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a sua política.

3. Clique na sua política.

4. Clique no separador Associações.

5. Clique em Adicionar associação.

6. Selecione a raiz da organização ou selecione pastas na organização.

7. Clique em Adicionar.

gcloud

Por predefinição, se tentar inserir uma associação a uma organização ou uma pasta que já tenha uma associação, o método falha. Se especificar a flag --replace-association-on-target, a associação existente é eliminada ao mesmo tempo que a nova associação é criada. Isto impede que o recurso fique sem uma política durante a transição.

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Substitua o seguinte:

• POLICY_NAME: o diminutivo ou o nome gerado pelo sistema da política
• ORG_ID: o ID da sua organização
• FOLDER_ID: se estiver a associar a política a uma pasta, especifique-a aqui; omita se estiver a associar a política ao nível da organização
• ASSOCIATION_NAME: um nome opcional para a associação; se não for especificado, o nome é definido como "organização ORG_ID" ou "pasta FOLDER_ID"

Consola

Use a Google Cloud CLI para este procedimento.

gcloud

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID \
    [--folder FOLDER_ID]

Substitua o seguinte:

• POLICY_NAME: o diminutivo ou o nome gerado pelo sistema da política que está a mover
• ORG_ID: o ID da sua organização. Se estiver a mover a política para a organização, especifique este ID, mas não especifique uma pasta
• FOLDER_ID: se estiver a associar a política a uma pasta, especifique-a aqui; omita se estiver a associar a política à organização

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Clique em Edit.

5. Modifique a descrição.

6. Clique em Guardar.

gcloud

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

   Para uma organização, a secção Políticas de firewall associadas a esta organização mostra as políticas associadas. A secção Políticas de firewall localizadas nesta organização apresenta uma lista de políticas detidas pela organização.

   Para uma pasta, a secção Políticas de firewall associadas a esta pasta ou herdadas por esta pasta mostra as políticas associadas ou herdadas pela pasta. A secção Políticas de firewall localizadas nesta pasta lista as políticas que são propriedade da pasta.

gcloud

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

gcloud

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na política que quer eliminar.

4. Clique no separador Associações.

5. Selecione todas as associações.

6. Clique em Remover associações.

7. Depois de remover todas as associações, clique em Eliminar.

gcloud

1. Liste todos os recursos associados a uma política de firewall:

   gcloud compute firewall-policies describe POLICY_NAME \
       --organization ORG_ID
   

2. Elimine associações individuais. Para remover a associação, tem de ter a função de administrador de recursos da organização do Compute (roles/compute.orgSecurityResourceAdmin) no recurso associado ou no ancestral desse recurso.

   gcloud compute firewall-policies associations delete RESOURCE_NAME \
       --organization ORG_ID \
       --firewall-policy POLICY_NAME
   

3. Elimine a política:

   gcloud compute firewall-policies delete POLICY_NAME \
       --organization ORG_ID
   

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Para o recurso selecionado (organização ou pasta), é apresentada uma lista das políticas associadas e herdadas.

gcloud

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Clique no separador Associações.

5. As associações são apresentadas na tabela.

gcloud

gcloud compute firewall-policies describe POLICY_ID

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Clique no separador Associações.

5. Selecione a associação que quer eliminar.

6. Clique em Remover associações.

gcloud

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política. As regras são apresentadas no separador Regras de firewall.

gcloud

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization ORG_ID

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Clique na prioridade da regra.

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Substitua o seguinte:

• PRIORITY: a prioridade da regra que quer ver. Uma vez que cada regra tem de ter uma prioridade única, esta definição identifica uma regra de forma exclusiva
• ORG_ID: o ID da sua organização
• POLICY_NAME: o nome abreviado ou o nome gerado pelo sistema da política que contém a regra

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Clique na prioridade da regra.

5. Clique em Edit.

6. Modifique os campos que quer alterar.

7. Clique em Guardar.

gcloud

gcloud compute firewall-policies rules update RULE_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [...fields you want to modify...]

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na política da qual quer copiar regras.

4. Clique em Clonar na parte superior do ecrã.

5. Indique o nome de uma política de segmentação.

6. Clique em Continuar > Associar política a recursos se quiser associar a nova política imediatamente.

7. Clique em Clonar.

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --organization ORG_ID \
    --source-firewall-policy SOURCE_POLICY

Substitua o seguinte:

• POLICY_NAME: a política para receber as regras copiadas
• ORG_ID: o ID da sua organização
• SOURCE_POLICY: a política a partir da qual copiar as regras; tem de ser o URL do recurso

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. No menu do seletor de projetos, selecione o ID da sua organização ou a pasta que contém a política.

3. Clique na sua política.

4. Selecione a regra que quer eliminar.

5. Clique em Eliminar.

gcloud

gcloud compute firewall-policies rules delete PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Substitua o seguinte:

• PRIORITY: a prioridade da regra que quer eliminar da política
• ORG_ID: o ID da sua organização
• POLICY_NAME: a política que contém a regra

Consola

1. Na Trusted Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Clique na rede para a qual quer ver as regras da política de firewall.

3. Clique em Políticas de firewall.

4. Expanda cada política de firewall para ver as regras que se aplicam a esta rede.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

Substitua o seguinte:

• NETWORK_NAME: a rede para obter regras eficazes

Consola

1. Na Trusted Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. As políticas de firewall são apresentadas na secção Políticas de firewall herdadas por este projeto.

3. Clique em cada política de firewall para ver as regras que se aplicam a esta rede.

Consola

1. Na Trusted Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. No menu do seletor de projetos, selecione o projeto que contém a VM.

3. Clique na VM.

4. Para Interfaces de rede, clique na interface.

5. As regras de firewall eficazes aparecem em Detalhes de firewall e rotas.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Substitua o seguinte:

• INSTANCE_NAME: a VM para a qual obter regras eficazes; se não for especificada nenhuma interface, devolve regras para a interface principal (nic0)
• INTERFACE: a interface de VM para obter regras eficazes; o valor predefinido é nic0
• ZONE: a zona da VM; opcional se a zona escolhida já estiver definida como predefinição