Registro de reglas de firewall

El registro de reglas de firewall te permite inspeccionar, verificar y analizar los efectos de tus reglas de firewall. Por ejemplo, puedes determinar si una regla de firewall diseñada para denegar tráfico funciona según lo previsto. Este registro también es útil si necesitas determinar cuántas conexiones se ven afectadas por una regla de firewall determinada.

Habilita el registro de las reglas de firewall de forma individual para las reglas cuyas conexiones debas registrar. El registro de las reglas de firewall es una opción que se puede aplicar a cualquier regla de firewall, sin importar la acción (allow o deny) o la dirección (entrada o salida) de la regla.

El registro de reglas de firewall registra el tráfico desde y hacia las instancias de máquina virtual (VM) de Compute Engine. Esto incluye Trusted Cloud by S3NS productos compilados en VMs de Compute Engine, como clústeres de Google Kubernetes Engine (GKE) e instancias del entorno flexible de App Engine.

Cuando habilitas el registro para una regla de firewall, Trusted Cloud by S3NS crea una entrada llamada registro de conexión cada vez que la regla permite o deniega el tráfico. Puedes ver estos registros en Cloud Logging y exportarlos a cualquier destino que admita la exportación de Cloud Logging.

Cada registro de conexión contiene las direcciones IP de origen y destino, el protocolo y los puertos, la fecha y la hora, y una referencia a la regla de firewall que se aplica al tráfico.

El registro de las reglas de firewall está disponible para las reglas de firewall de VPC y las políticas de firewall jerárquicas.

Para obtener información sobre cómo ver los registros, consulta Usa el registro de las reglas de firewall.

Especificaciones

El registro de las reglas de firewall tiene las siguientes especificaciones:

Formato de registro de firewall

Según las especificaciones, se crea una entrada de registro en Cloud Logging para cada regla de firewall que tenga habilitado el registro, siempre que esa regla se aplique al tráfico desde o hacia una instancia de VM. Los registros se incluyen en el campo de carga útil de JSON de una LogEntry de Logging.

Los registros contienen campos base, que son los campos principales de cada registro, y campos de metadatos que agregan información adicional. Puedes decidir si se incluyen los campos de metadatos. Si los omites, puedes ahorrar en costos de almacenamiento.

Algunos campos de registro admiten valores que también son campos. Estos campos pueden contener más de un dato en un campo determinado. Por ejemplo, el campo connection tiene el formato IpConnection, que contiene el puerto y la dirección IP de origen y destino, además del protocolo, en un solo campo. En las siguientes tablas, se describen estos campos.

Campo Descripción Tipo del campo: base o metadatos opcionales
connection IpConnection
5 tuplas que describen la dirección IP de origen y destino, el puerto de origen y destino, y el protocolo de IP de esta conexión.		 Base
disposition string
indica si la conexión fue ALLOWED o DENIED.		 Base
rule_details RuleDetails
Detalles de la regla que se aplicó a esta conexión.
Campo rule_details.reference Base
Otros campos de detalles de la regla Metadatos
instancia InstanceDetails
Detalles de la instancia de VM. En una configuración de VPC compartida, project_id corresponde a la del proyecto de servicio.		 Metadatos
vpc VpcDetails
Detalles de la red de VPC. En una configuración de VPC compartida, project_id corresponde a la del proyecto host.		 Metadatos
remote_instance InstanceDetails
Si el extremo remoto de la conexión es una VM ubicada en Compute Engine, este campo se propaga con los detalles de la instancia de VM.		 Metadatos
remote_vpc VpcDetails
Si el extremo remoto de la conexión es una VM ubicada en una red de VPC, este campo se propaga con los detalles de la red.		 Metadatos
remote_location GeographicDetails
Si el extremo remoto de la conexión es externo a la red de VPC, este campo se propaga con los metadatos de ubicación disponibles.		 Metadatos

IpConnection

Campo Tipo Descripción
src_ip string Dirección IP de origen. Si el origen es una VM de Compute Engine, src_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. No se muestra la dirección IP externa. En el registro, se muestra la dirección IP de la VM tal como se presenta a la VM en el encabezado del paquete, de la misma manera que si ejecutaras el volcado de TCP en la VM.
src_port número entero Puerto de origen
dest_ip string Dirección IP de destino. Si el destino es una VM de Trusted Cloud , dest_ip es la dirección IP interna principal o una dirección en un rango de alias de IP de la interfaz de red de la VM. La dirección IP externa no se muestra aunque se haya usado para establecer la conexión.
dest_port número entero Puerto de destino
protocol número entero Protocolo IP de la conexión.

RuleDetails

Campo Tipo Descripción
referencia string Referencia a la regla de firewall; formato:
"network:{network name}/firewall:{firewall_name}"
prioridad número entero La prioridad para la regla de firewall.
acción string PERMITIR o RECHAZAR
source_range[ ] string Lista de los rangos de origen a los que se aplica la regla de firewall.
destination_range[ ] string Lista de los rangos de destino a los que se aplica la regla de firewall.
ip_port_info[ ] IpPortDetails Lista de los protocolos IP y rangos de puertos aplicables a las reglas.
dirección string La dirección a la que se aplica la regla de firewall (entrada o salida).
source_tag[ ] string Lista de todas las etiquetas de origen a las que se aplica la regla de firewall.
target_tag[ ] string Lista de todas las etiquetas de destino a las que se aplica la regla de firewall.
source_service_account[ ] string Lista de todas las cuentas de servicio de origen a las que se aplica la regla de firewall.
target_service_account[ ] string Lista de todas las cuentas de servicio de destino a las que se aplica la regla de firewall.
source_region_code[ ] string Lista de todos los códigos de país de origen a los que se aplica la regla de firewall.
destination_region_code[ ] string Lista de todos los códigos de país de destino a los que se aplica la regla de firewall.
source_fqdn[ ] string Lista de todos los nombres de dominio de origen a los que se aplica la regla de firewall.
destination_fqdn[ ] string Lista de todos los nombres de dominio de destino a los que se aplica la regla de firewall.
source_address_groups[ ] string Lista de todos los grupos de direcciones de origen a los que se aplica la regla de firewall.
destination_address_groups[ ] string Lista de todos los grupos de direcciones de destino a los que se aplica la regla de firewall.

IpPortDetails

Campo Tipo Descripción
ip_protocol string El protocolo IP al que se aplica la regla de firewall. Especifica “ALL” si se aplica a todos los protocolos.
port_range[ ] string Lista de los rangos de puertos aplicables a las reglas; por ejemplo, 8080-9090.

InstanceDetails

Campo Tipo Descripción
project_id string ID del proyecto que contiene la VM.
vm_name string Nombre de la instancia de la VM.
región string Región de la VM
zona string Zona de la VM

Detalles de VPC

Campo Tipo Descripción
project_id string ID del proyecto que contiene la red.
vpc_name string Red en la que opera la VM.
subnetwork_name string Subred en la que opera la VM.

GeographicDetails

Campo Tipo Descripción
continent string Continente de los extremos externos.
País string País de los extremos externos.
región string Región de los extremos externos.
ciudad string Ciudad para los extremos externos.

¿Qué sigue?