במאמר הזה מוסבר איך מנהלי רשת יכולים לפרוס מדיניות של חומת אש ברשת כדי לשלוט בתעבורה ברשתות של ענן וירטואלי פרטי (VPC). הדוגמה עוזרת לכם לבצע אופטימיזציה של כללים לבקרות אבטחה.
לפני שמשתמשים בדוגמה הזו, כדאי לעיין במושגים של מדיניות חומת אש גלובלית לרשת ושל מדיניות חומת אש אזורית לרשת.
בתרשים הבא מתואר ההיקף של מדיניות חומת אש בין רשתות גלובלית ומדיניות חומת אש בין רשתות אזורית ברשת VPC. מדיניות חומת אש בין רשתות גלובלית חלה על כל רשתות המשנה בכל האזורים. מדיניות אזורית של חומת אש ברשת חלה רק על רשתות המשנה באזור היעד.
דוגמה: דחיית כל החיבורים החיצוניים חוץ מחיבורים ליציאות ספציפיות
בתרחיש השימוש הזה, מדיניות חומת אש גלובלית ברשת חוסמת את כל החיבורים ממקורות אינטרנט חיצוניים, למעט חיבורים ביציאות היעד 80, 443 ו-22. חיבור אינטרנט נכנס ביציאות שאינן 80, 443 או 22 נחסם. אכיפת הכללים מואצלת למדיניות חומת האש האזורית ברשת לכל חיבור ביציאות 80, 443 או 22.
בדוגמה הזו, מדיניות חומת אש אזורית ברשת חלה על region-a, שמאפשרת תעבורה פנימית ממקור 10.2.0.0/16 ותעבורת נתונים נכנסת (ingress) ליציאות 443 ו-80 מכל מקור. איור 2 מתאר את הגדרת התצורה לתרחיש השימוש הזה.
המדיניות שבתוקף שחלה על מכונות וירטואליות
בקטע הזה מוסבר מהי מדיניות חומת האש האפקטיבית ברשת שחלה בדוגמה הזו אחרי הערכת הכללים בהיררכיה.
חיבורים של תעבורת נתונים נכנסת (ingress)
כל חיבור נכנס מ-
10.0.0.0/8תואם לכלל מדיניות חומת האש בין רשתות גלובלית בעדיפות הכי גבוההdelegate-internal-trafficועוקף את שאר הכללים במדיניות חומת האש בין רשתות גלובלית. בכלל המדיניות האזורי של חומת האש ברשת, מותרים חיבורים נכנסים מ-10.2.0.0/16, ושאר החיבורים מוערכים לפי הכלל המשתמע של חיבורים נכנסיםdeny.חיבורים נכנסים עם טווח כתובות IP של מקור שאינו
10.0.0.0/8, ויציאות יעד22,80ו-443, מוקצים לרמה של כלל מדיניות חומת האש ברשת האזורית. בכלל של מדיניות חומת האש ברשת האזורית, היציאות80ו-443מותרות, אבל היציאה22לא מותרת.
חיבור יציאה
- אין התאמה בין הכללים של מדיניות חומת האש בין רשתות גלובלית. לכן, חלים כללי המערכת המשתמעים, שמאפשרים חיבורים יוצאים.
איך מגדירים
יוצרים מדיניות חומת אש בין רשתות גלובלית שמכילה את הכלל הבא:
gcloud compute network-firewall-policies create \ "example-firewall-policy-global" --global \ --description "Global network firewall policy with rules that apply to all VMs in the VPC network"משייכים את המדיניות לרשת ה-VPC:
gcloud compute network-firewall-policies associations create \ --firewall-policy example-firewall-policy-global \ --network my-example-vpc \ --global-firewall-policyמוסיפים כלל להתאמה של חיבורי כניסה מ-
10.0.0.0/8:gcloud compute network-firewall-policies rules create 1000 \ --action goto_next \ --description "delegate-internal-traffic" \ --layer4-configs all \ --firewall-policy example-firewall-policy-global \ --src-ip-ranges 10.0.0.0/8 \ --global-firewall-policyמוסיפים כלל להקצאת תעבורה חיצונית מיציאות ספציפיות:
gcloud compute network-firewall-policies rules create 2000 \ --action goto_next \ --description "delegate-external-traffic-spec-ports" \ --layer4-configs tcp:80,tcp:443,tcp:22 \ --firewall-policy example-firewall-policy-global \ --src-ip-ranges 0.0.0.0/0 \ --global-firewall-policyמוסיפים כלל לחסימת כל תעבורת נתונים נכנסת (ingress) שנותרה:
gcloud compute network-firewall-policies rules create 3000 \ --action deny \ --description "block-external-traffic-spec-ports" \ --firewall-policy example-firewall-policy-global \ --src-ip-ranges 0.0.0.0/0 \ --layer4-configs all \ --global-firewall-policyיוצרים מדיניות אזורית של חומת אש ברשת:
gcloud compute network-firewall-policies create \ example-firewall-policy-regional --region=region-a \ --description "Regional network firewall policy with rules that apply to all VMs in region-a"משייכים את מדיניות חומת האש האזורית לרשת VPC כדי להפעיל את כללי המדיניות לכל המכונות הווירטואליות ברשת הזו באזור ספציפי:
gcloud compute network-firewall-policies associations create \ --firewall-policy example-firewall-policy-regional \ --network my-example-vpc \ --firewall-policy-region=region-aמוסיפים כלל שמאפשר תנועה פנימית למדיניות חומת האש האזורית ברשת:
gcloud compute network-firewall-policies rules create 1000 \ --action allow \ --firewall-policy example-firewall-policy-regional \ --description allow-internal-traffic \ --direction INGRESS \ --src-ip-ranges 10.2.0.0/16 \ --layer4-configs all \ --firewall-policy-region=region-aמוסיפים כלל שמאפשר תעבורה חיצונית מיציאות ספציפיות:
gcloud compute network-firewall-policies rules create 2000 \ --action allow \ --firewall-policy example-firewall-policy-regional \ --description allow-external-traffic-spec-ports \ --direction INGRESS \ --layer4-configs=tcp:80,tcp:443 \ --src-ip-ranges 0.0.0.0/0 \ --firewall-policy-region=region-a
המאמרים הבאים
יצירת כללים ומדיניות גלובלית של חומת אש בין רשתות וניהול מדיניות גלובלית של חומת אש בין רשתות.
יצירה של כללי מדיניות וכללים אזוריים של חומת אש ברשת וניהול של כללי מדיניות אזוריים של חומת אש ברשת.