יצירה של כללים ומדיניות אזורית לחומת אש ברשת

כדי לנהל את תעבורת הרשת באזור מסוים של רשת ענן וירטואלי פרטי (VPC), צריך להגדיר מדיניות וכללים של חומת אש אזורית לרשת. בדף הזה מוסבר איך ליצור מדיניות אזורית של חומת אש ברשת, לשייך אותה לרשת VPC ולאזור ספציפיים, ואז להגדיר כללים. הכללים האלה שולטים בתעבורת הנתונים הנכנסת (ingress) והיוצאת (egress) למכונות וירטואליות (VM) ולמאזני עומסים פנימיים.

לפני שקוראים את הדף הזה, חשוב להכיר את המושגים שמתוארים במאמר בנושא מדיניות אזורית של חומת אש ברשת.

יצירה של מדיניות חומת אש אזורית ברשת

כשיוצרים מדיניות אזורית של חומת אש ברשת באמצעות מסוף Google Cloud , אפשר לשייך את המדיניות לאזור ולרשת VPC במהלך היצירה. אם יוצרים את המדיניות באמצעות Google Cloud CLI, צריך לשייך את המדיניות לאזור ולרשת אחרי שיוצרים אותה.

רשת ה-VPC שאליה משויכת מדיניות חומת האש האזורית צריכה להיות באותו פרויקט שבו נמצאת מדיניות חומת האש האזורית.

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    למדיניות חומת האש

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט בארגון.

  3. לוחצים על יצירת מדיניות חומת אש.

  4. בשדה Policy name, כותבים את השם של המדיניות.

  5. בקטע סוג המדיניות, בוחרים באפשרות מדיניות VPC או מדיניות RDMA RoCE.

  6. בקטע היקף הפריסה, בוחרים באפשרות אזורי. בוחרים את האזור שבו רוצים ליצור את מדיניות חומת האש.

  7. כדי ליצור כללים למדיניות, לוחצים על המשך.

  8. בקטע הוספת כללים, לוחצים על יצירת כלל חומת אש. למידע נוסף על יצירת כללים של חומת אש:

  9. אם רוצים לשייך את המדיניות לרשת, לוחצים על המשך.

  10. בקטע Associate policy with networks (שיוך מדיניות לרשתות), לוחצים על Associate (שיוך).

    מידע נוסף זמין במאמר שיוך מדיניות לרשת.

  11. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --region=REGION_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • NETWORK_FIREWALL_POLICY_NAME: שם למדיניות
  • ‫DESCRIPTION: תיאור של המדיניות
  • ‫POLICY_TYPE: סוג מדיניות חומת האש ברשת. מידע נוסף זמין במאמר בנושא מפרטים.
  • ‫REGION_NAME: האזור של המדיניות

שיוך מדיניות לרשת

אפשר לשייך מדיניות אזורית של חומת אש ברשת לאזור ברשת VPC, ולהחיל את הכללים במדיניות על האזור הזה ברשת.

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    למדיניות חומת האש

  2. בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שמכיל את המדיניות.

  3. לוחצים על המדיניות.

  4. לוחצים על הכרטיסייה שיוכים.

  5. לוחצים על הוספת שיוך.

  6. בוחרים את הרשתות בפרויקט.

  7. לוחצים על קישור.

gcloud 

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫POLICY_NAME: השם המקוצר או השם שנוצר על ידי המערכת של המדיניות.
  • ‫POLICY_REGION: האזור במדיניות שמכיל את הכלל.
  • ‫NETWORK_NAME: השם של הרשת המשויכת.
  • ‫ASSOCIATION_NAME: שם אופציונלי של הקישור. אם לא מציינים שם, השם מוגדר כ-network-NETWORK_NAME.

הוספת כללים למדיניות חומת אש אזורית ברשת

בקטע הזה מוסבר איך מוסיפים כללים למדיניות אזורית של חומת אש ברשת.

יצירת כלל תעבורת נתונים נכנסת (ingress) ליעדי מכונות וירטואליות

בקטע הזה מוסבר איך ליצור כלל תעבורה נכנסת שחל על ממשקי רשת של מכונות Compute Engine.

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    למדיניות חומת האש

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש ברשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת אש אזורית ברשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules (כללי חומת אש), לוחצים על Create firewall rule (יצירת כלל חומת אש) ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: אפשר לספק תיאור אופציונלי.

    3. סוג היעד: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

    4. טירגוט: בוחרים אחת מהאפשרויות הבאות:

      • החלה על כל: Cloud NGFW משתמש ביעדי המופעים הרחבים ביותר.
      • חשבונות שירות: מצמצם את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמשתמשות בחשבון השירות שציינתם:

        • בקטע Service account scope בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט כמו מדיניות חומת האש של הרשת האזורית.
        • בקטע Service account scope בוחרים באפשרות In another project > Target service account. הפעולה הזו נועדה להגדיר חשבון שירות בפרויקט שירות של VPC משותף.
      • תגי אבטחה: מצמצמים את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמקושרות לפחות לאחד מהערכים של תגי האבטחה שאתם מציינים. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

    5. כיוון התנועה: בוחרים באפשרות תנועה נכנסת (ingress).

    6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • Allow (הרשאה): כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • המשך: כדי להמשיך את תהליך ההערכה של כלל חומת האש.

    7. יומנים: בוחרים באפשרות מופעל כדי להפעיל את הרישום ביומן של כללי חומת האש, או באפשרות מושבת כדי להשבית את הרישום ביומן של כללי חומת האש עבור הכלל הזה.

    8. הקשר של רשת המקור: מציינים הקשר של רשת:

      • כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות כל הקשרי הרשת.
      • כדי לסנן תנועה נכנסת לפי הקשר רשת ספציפי, בוחרים באפשרות הקשר רשת ספציפי ואז בוחרים הקשר רשת:

    9. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של מקורות תנועה ביחד, וההקשר של רשת המקור מגביל את הפרמטרים של מקורות התנועה שבהם אפשר להשתמש. מידע נוסף זמין במאמרים מקורות לכללי תעבורה נכנסת ושילובים של מקורות לכללי תעבורה נכנסת.

      • כדי לסנן תנועה נכנסת לפי טווחי כתובות IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges (טווחי כתובות IP). משתמשים בערך 0.0.0.0/0 לכל מקור IPv4.
      • כדי לסנן תנועה נכנסת לפי טווחי כתובות IPv6 של המקור, בוחרים באפשרות IPv6 ואז מזינים את בלוקי ה-CIDR בשדה טווח כתובות IPv6. שימוש ב-::/0 לכל מקור IPv6.
      • כדי לסנן תנועה נכנסת לפי ערכי תגים מאובטחים של מקורות, בוחרים באפשרות בחירת היקף התגים בקטע תגים מאובטחים. לאחר מכן, מציינים את מפתחות התגים ואת ערכי התגים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.
      • כדי לסנן תנועה נכנסת לפי FQDN של המקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף מופיע במאמר בנושא אובייקטים של FQDN.
      • כדי לסנן תנועה נכנסת לפי מיקום גיאוגרפי של המקור, בוחרים מיקום אחד או יותר בשדה מיקומים גיאוגרפיים. מידע נוסף זמין במאמר בנושא אובייקטים של מיקום גיאוגרפי.
      • כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצה אחת או יותר של כתובות בשדה קבוצות כתובות. מידע נוסף זמין במאמר קבוצות כתובות לכללי מדיניות של חומת אש.
      • כדי לסנן תנועה נכנסת לפי רשימות של Google Threat Intelligence, בוחרים רשימה אחת או יותר של Google Threat Intelligence בשדה Google Cloud Threat Intelligence. מידע נוסף זמין במאמר בנושא Google Threat Intelligence לכללים של מדיניות חומת האש.

    10. יעד: מציינים פרמטרים אופציונליים של יעד. מידע נוסף זמין במאמר יעדים לכללי תעבורה נכנסת.

      • כדי לדלג על סינון התנועה הנכנסת לפי כתובת IP של היעד, בוחרים באפשרות None.
      • כדי לסנן תנועה נכנסת לפי כתובת IP של היעד, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שבו משתמשים לטווחים של כתובות IPv4 או IPv6 של המקור.

    11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שצריכים להתאים לכלל. מידע נוסף מופיע במאמר בנושא פרוטוקולים ויציאות.

    12. אכיפה: מציינים אם כלל חומת האש נאכף או לא:

      • מופעל: הכלל נוצר והמערכת מתחילה לאכוף אותו על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש האזורית ברשת.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מאפשרים להפעיל או להשבית את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא מציינים את האפשרויות --target-secure-tags ו---target-service-accounts, Cloud NGFW משתמש ביעדי המופעים הרחבים ביותר.
    • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים שמצמצמת את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מופעי מכונות וירטואליות שמשויכים לפחות לאחד מהערכים של התגים המאובטחים.
    • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות שמצמצמת את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.
  • ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות בשכבה 4. כל הגדרה בשכבה 4 יכולה להיות אחת מהאפשרויות הבאות:
    • שם פרוטוקול IP‏ (tcp) או מספר פרוטוקול IP של IANA‏ (17) ללא יציאת יעד.
    • שם פרוטוקול ה-IP ויציאת היעד, מופרדים בנקודתיים (tcp:80).
    • שם פרוטוקול IP וטווח יציאות של היעד, מופרדים באמצעות נקודתיים ומקף שמפריד בין יציאת ההתחלה ליציאת הסיום של היעד (tcp:5000-6000). מידע נוסף זמין במאמר בנושא פרוטוקולים ויציאות.
  • מציינים מקור לכלל הכניסה. מידע נוסף על שילובים של מקורות של כללי Ingress

    • ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשתות מקור לשימוש בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקור. הערכים התקפים כשמשתמשים בערך --target-type=INSTANCES הם: INTERNET,‏ NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר בנושא הקשרים של רשתות.
    • ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC שצוינו לפי מזהי כתובות ה-URL שלהן. מציינים את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
    • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
    • ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות שצוינו על ידי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל את כל כתובות IPv4 או את כל כתובות IPv6, ולא שילוב של שניהם.
    • ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
    • ‫SRC_SECURE_TAGS: רשימה מופרדת בפסיקים של תגים. אי אפשר להשתמש בדגל --src-secure-tags אם הערך של --src-network-context הוא INTERNET.
    • ‫SRC_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר בנושא אובייקטים של מיקום גיאוגרפי. אי אפשר להשתמש בדגל --src-region-codes אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
    • ‫SRC_THREAT_LIST_NAMES: רשימה מופרדת בפסיקים של שמות של רשימות של Google Threat Intelligence. מידע נוסף זמין במאמר בנושא כללים של מדיניות חומת האש ב-Google Threat Intelligence. אי אפשר להשתמש בדגל --src-threat-intelligence אם הערך של --src-network-context הוא NON_INTERNET,‏ VPC_NETWORKS או INTRA_VPC.
  • אופציונלי: מציינים יעד לכלל הכניסה:

    • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

יצירת כלל Ingress ליעדים של מאזן עומסים פנימי

כדי להגביל את הגישה לכללי העברה של מאזן עומסים של אפליקציות פנימי או של מאזן עומסי רשת פנימי לשרת proxy, צריך ליצור לפחות שני כללי כניסה שמשתמשים במאזני עומסים פנימיים כיעדים. הסיבה לכך היא שהפעולה המשתמעת ליעדים של מאזן עומסים של אפליקציות פנימי ומאזן עומסי רשת פנימי לשרת proxy מאפשרת תעבורת נתונים נכנסת. הכללים שנדרשים כדי להגביל את הגישה הם:

  • כלל חומת אש עם עדיפות נמוכה יותר לסינון תעבורה נכנסת עם --src-ip-ranges=0.0.0.0/0.
  • כלל חומת אש עם עדיפות גבוהה יותר לכניסת תנועה, עם פרמטרים של מקור שאתם מציינים.

בקטע הזה מוסבר איך ליצור כלל כניסה למאזני עומסים פנימיים של אפליקציות ולמטרות פנימיות של מאזני עומסים של רשת פרוקסי.

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    למדיניות חומת האש

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש ברשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת אש אזורית ברשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules (כללי חומת אש), לוחצים על Create firewall rule (יצירת כלל חומת אש) ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: אפשר לספק תיאור אופציונלי.

    3. סוג היעד: בוחרים באפשרות מאזני עומסים פנימיים.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במאזני עומסים פנימיים של אפליקציות ובמאזני עומסים פנימיים של רשתות proxy כיעד.

    4. טירגוט: בוחרים אחת מהאפשרויות הבאות:

      • החלה על כל: ‏Cloud NGFW משתמש ביעדים הרחבים ביותר של מאזן העומסים.
      • כלל העברה: כדי לבחור את כלל ההעברה, מבצעים את הפעולות הבאות:
        1. לוחצים על Select project (בחירת פרויקט) ובוחרים פרויקט.
        2. בקטע סוג מאזן העומסים, בוחרים את סוג מאזן העומסים.
        3. בקטע Load balancer (מאזן עומסים), בוחרים את מאזן העומסים.
        4. בקטע כלל העברה, בוחרים את כלל ההעברה.

    5. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • Allow (הרשאה): כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • המשך: כדי להמשיך את תהליך ההערכה של כלל חומת האש.

    6. יומנים: בוחרים באפשרות מופעל כדי להפעיל את הרישום ביומן של כללי חומת האש, או באפשרות מושבת כדי להשבית את הרישום ביומן של כללי חומת האש עבור הכלל הזה.

    7. הקשר של רשת המקור: מציינים הקשר של רשת:

      • כדי לדלג על סינון התנועה הנכנסת לפי הקשר הרשת, בוחרים באפשרות כל הקשרי הרשת.
      • כדי לסנן תנועה נכנסת להקשר רשת ספציפי, בוחרים באפשרות הקשר רשת ספציפי ואז בוחרים הקשר רשת:
      • תוך VPC: תעבורה נכנסת צריכה להתאים לקריטריונים של הקשר ברשת VPC.
      • רשתות VPC: תעבורת נתונים נכנסת צריכה להתאים לקריטריונים להקשר של רשתות VPC. צריך לבחור לפחות רשת VPC אחת:
        • Select current project: מאפשר להוסיף רשת VPC אחת או יותר מהפרויקט שמכיל את מדיניות חומת האש.
        • הזנה ידנית של רשת: מאפשרת להזין ידנית פרויקט ורשת VPC.
        • Select project (בחירת פרויקט): מאפשרת לבחור פרויקט שממנו אפשר לבחור רשת VPC.

    8. מסנני מקור: מציינים פרמטרים נוספים של מקור. אי אפשר להשתמש בחלק מהפרמטרים של מקורות תנועה ביחד, וההקשר של רשת המקור מגביל את הפרמטרים של מקורות התנועה שבהם אפשר להשתמש. מידע נוסף זמין במאמרים מקורות לכללי תעבורה נכנסת ושילובים של מקורות לכללי תעבורה נכנסת.

      • כדי לסנן תנועה נכנסת לפי טווחי כתובות IPv4 של המקור, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges (טווחי כתובות IP). משתמשים בערך 0.0.0.0/0 לכל מקור IPv4.
      • כדי לסנן תנועה נכנסת לפי טווחי כתובות IPv6 של המקור, בוחרים באפשרות IPv6 ואז מזינים את בלוקי ה-CIDR בשדה טווח כתובות IPv6. שימוש ב-::/0 לכל מקור IPv6.
      • כדי לסנן תנועה נכנסת לפי FQDN של המקור, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף מופיע במאמר בנושא אובייקטים של FQDN.
      • כדי לסנן תנועה נכנסת לפי קבוצת כתובות מקור, בוחרים קבוצה אחת או יותר של כתובות בשדה קבוצות כתובות. מידע נוסף זמין במאמר קבוצות כתובות לכללי מדיניות של חומת אש.

    9. יעד: מציינים פרמטרים אופציונליים של יעד. מידע נוסף זמין במאמר יעדים לכללי תעבורה נכנסת.

      • כדי לדלג על סינון התנועה הנכנסת לפי כתובת IP של היעד, בוחרים באפשרות None.
      • כדי לסנן תנועה נכנסת לפי כתובת IP של היעד, בוחרים באפשרות IPv4 או IPv6 ומזינים CIDR אחד או יותר באותו פורמט שבו משתמשים לטווחים של כתובות IPv4 או IPv6 של המקור.

    10. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שצריכים להתאים לכלל. מידע נוסף מופיע במאמר בנושא פרוטוקולים ויציאות.

    11. אכיפה: מציינים אם כלל חומת האש נאכף או לא:

      • מופעל: הכלל נוצר והמערכת מתחילה לאכוף אותו על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש האזורית ברשת.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מאפשרים להפעיל או להשבית את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא מציינים את הדגל --target-forwarding-rules, ‏ Cloud NGFW משתמש ביעדים של מאזן העומסים הרחב ביותר.
    • ‫TARGET_FORWARDING_RULES: כלל העברה יחיד למאזן עומסים פנימי של אפליקציות או למאזן עומסי רשת פנימי לשרת proxy, שצוין בפורמט של כללי העברה ליעד. הפרמטר הזה מצמצם את היעדים הרחבים ביותר של מאזן העומסים למאזן עומסים פנימי ספציפי של אפליקציות (ALB) או למאזן עומסי רשת פנימי לשרת proxy.
  • ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות בשכבה 4. כל הגדרה בשכבה 4 יכולה להיות אחת מהאפשרויות הבאות:
    • שם פרוטוקול IP‏ (tcp) או מספר פרוטוקול IP של IANA‏ (17) ללא יציאת יעד.
    • שם פרוטוקול ה-IP ויציאת היעד, מופרדים בנקודתיים (tcp:80).
    • שם פרוטוקול IP וטווח יציאות של היעד, מופרדים באמצעות נקודתיים ומקף שמפריד בין יציאת ההתחלה ליציאת הסיום של היעד (tcp:5000-6000). מידע נוסף זמין במאמר בנושא פרוטוקולים ויציאות.
  • מציינים מקור לכלל הכניסה. מידע נוסף על שילובים של מקורות של כללי Ingress

    • ‫SRC_NETWORK_CONTEXT: מגדיר הקשרים של רשתות מקור לשימוש בשילוב עם פרמטר מקור נתמך אחר כדי ליצור שילוב מקור. הערכים התקינים כש---target-type=INTERNAL_MANAGED_LB הם VPC_NETWORKS או INTRA_VPC. מידע נוסף זמין במאמר בנושא הקשרים של רשתות.
    • ‫SRC_VPC_NETWORKS: רשימה מופרדת בפסיקים של רשתות VPC שצוינו לפי מזהי כתובות ה-URL שלהן. מציינים את הדגל הזה רק אם הערך של --src-network-context הוא VPC_NETWORKS.
    • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
    • ‫SRC_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות שצוינו על ידי מזהי כתובות ה-URL הייחודיים שלהן. קבוצות הכתובות ברשימה צריכות להכיל את כל כתובות IPv4 או את כל כתובות IPv6, ולא שילוב של שניהם.
    • ‫SRC_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
  • אופציונלי: מציינים יעד לכלל הכניסה:

    • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

יצירת כלל לתעבורת נתונים יוצאת (egress) למכונות וירטואליות

בהוראות הבאות מוסבר איך ליצור כלל יציאה. כללי תעבורת נתונים יוצאת (egress) חלים רק על יעדים שהם ממשקי רשת של מכונות ב-Compute Engine.

המסוף

  1. נכנסים לדף Firewall policies במסוף Google Cloud .

    למדיניות חומת האש

  2. ברשימת הפרויקטים, בוחרים פרויקט שמכיל מדיניות אזורית של חומת אש ברשת.

  3. בקטע Network firewall policies, לוחצים על השם של מדיניות חומת אש אזורית ברשת שבה רוצים ליצור כלל.

  4. בקטע Firewall rules (כללי חומת אש), לוחצים על Create firewall rule (יצירת כלל חומת אש) ומציינים את פרמטרי ההגדרה הבאים:

    1. עדיפות: סדר ההערכה המספרי של הכלל.

      הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.

    2. תיאור: אפשר לספק תיאור אופציונלי.

    3. סוג היעד: בוחרים באפשרות Instances.

      כשבוחרים באפשרות הזו, Cloud NGFW משתמש במכונות וירטואליות כיעד.

    4. טירגוט: בוחרים אחת מהאפשרויות הבאות:

      • החלה על כל: Cloud NGFW משתמש ביעדי המופעים הרחבים ביותר.
      • חשבונות שירות: מצמצם את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמשתמשות בחשבון השירות שציינתם:

        • בקטע Service account scope בוחרים באפשרות In this project > Target service account. כדי לציין חשבון שירות באותו פרויקט כמו מדיניות חומת האש של הרשת האזורית.
        • בקטע Service account scope בוחרים באפשרות In another project > Target service account. הפעולה הזו נועדה להגדיר חשבון שירות בפרויקט שירות של VPC משותף.
      • תגי אבטחה: מצמצמים את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמקושרות לפחות לאחד מהערכים של תגי האבטחה שאתם מציינים. לוחצים על Select scope for tags ובוחרים את הארגון או הפרויקט שמכילים את ערכי התגים שרוצים להתאים. כדי להוסיף עוד ערכי תגים, לוחצים על הוספת תג.

    5. כיוון התנועה: בוחרים באפשרות יציאה.

    6. פעולה במקרה של התאמה: בוחרים אחת מהאפשרויות הבאות:

      • Allow (הרשאה): כדי לאשר חיבורים שתואמים לפרמטרים של הכלל.
      • דחייה: כדי לחסום חיבורים שתואמים לפרמטרים של הכלל.
      • המשך: כדי להמשיך את תהליך ההערכה של כלל חומת האש.

    7. יומנים: בוחרים באפשרות מופעל כדי להפעיל את הרישום ביומן של כללי חומת האש, או באפשרות מושבת כדי להשבית את הרישום ביומן של כללי חומת האש עבור הכלל הזה.

    8. הקשר של רשת היעד: מציינים הקשר של רשת:

    9. מסנני יעד: אפשר לציין פרמטרים נוספים של יעד. אי אפשר להשתמש בחלק מהפרמטרים של היעד ביחד, והבחירה שלכם בהקשר של רשת היעד מגבילה את מסנני היעד שבהם אתם יכולים להשתמש. מידע נוסף זמין במאמרים יעדים לכללי תעבורה יוצאת ושילובים של יעדים לכללי תעבורה יוצאת.

      • כדי לסנן תנועה יוצאת לפי טווחי יעד של IPv4, בוחרים באפשרות IPv4 ומזינים את בלוקי ה-CIDR בשדה IP ranges (טווחי כתובות IP). אפשר להשתמש ב-0.0.0.0/0 לכל יעד IPv4.
      • כדי לסנן תנועה יוצאת לפי טווחי IPv6 של היעד, בוחרים באפשרות IPv6 ומזינים את בלוקי ה-CIDR בשדה טווחי IPv6. שימוש ב-::/0 לכל יעד IPv6.
      • כדי לסנן תנועה יוצאת לפי FQDN של היעד, מזינים את ה-FQDN בשדה FQDNs. מידע נוסף מופיע במאמר בנושא אובייקטים של FQDN.
      • כדי לסנן את התנועה היוצאת לפי מיקום גיאוגרפי של היעד, בוחרים מיקום אחד או יותר מהשדה מיקומים גיאוגרפיים. מידע נוסף זמין במאמר בנושא אובייקטים של מיקום גיאוגרפי.
      • כדי לסנן תנועה יוצאת לפי קבוצת כתובות יעד, בוחרים קבוצה אחת או יותר של כתובות בשדה קבוצות כתובות. מידע נוסף זמין במאמר בנושא קבוצות כתובות לכללי מדיניות של חומת אש.
      • כדי לסנן תנועה יוצאת לפי רשימות של Google Threat Intelligence, בוחרים רשימה אחת או יותר של Google Threat Intelligence בשדה Google Cloud Threat Intelligence. מידע נוסף זמין במאמר בנושא Google Threat Intelligence לכללים של מדיניות חומת האש.

    10. מקור: מציינים פרמטרים אופציונליים של מקור. מידע נוסף זמין במאמר בנושא מקורות לכללי תעבורה יוצאת.

      • כדי לדלג על סינון תנועה יוצאת לפי כתובת IP של המקור, בוחרים באפשרות ללא.
      • כדי לסנן תנועה יוצאת לפי כתובת IP של המקור, בוחרים באפשרות IPv4 או IPv6 ואז מזינים CIDR אחד או יותר באותו פורמט שבו משתמשים לטווחים של כתובות IPv4 של היעד או לטווחים של כתובות IPv6 של היעד.

    11. פרוטוקולים ויציאות: מציינים את הפרוטוקולים ויציאות היעד של תעבורת הנתונים שתתאים לכלל. מידע נוסף מופיע במאמר בנושא פרוטוקולים ויציאות.

    12. אכיפה: מציינים אם כלל חומת האש נאכף או לא:

      • מופעל: הכלל נוצר והמערכת מתחילה לאכוף אותו על חיבורים חדשים.
      • מושבת: הכלל נוצר אבל לא נאכף על חיבורים חדשים.

  5. לוחצים על יצירה.

gcloud 

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PRIORITY: סדר ההערכה המספרי של הכלל במדיניות. הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר. העדיפות של כל כלל חייבת להיות ייחודית. מומלץ להפריד בין ערכי העדיפות של הכללים ביותר מאשר בהפרש של אחד (לדוגמה, 100, ‏ 200, ‏ 300) כדי שתוכלו ליצור כללים חדשים בין הכללים הקיימים בהמשך.
  • ‫POLICY_NAME: השם של מדיניות חומת האש האזורית שבה רוצים ליצור את הכלל.
  • ‫PROJECT_ID: מזהה הפרויקט שמכיל את מדיניות חומת האש האזורית ברשת.
  • ‫POLICY_REGION: האזור של המדיניות.
  • ‫DESCRIPTION: תיאור אופציונלי של הכלל החדש.
  • ‫ACTION: מציינים אחת מהפעולות הבאות:

  • הדגלים --enable-logging ו---no-enable-logging מאפשרים להפעיל או להשבית את הרישום ביומן של כללי חומת האש של VPC.
  • הדגלים --disabled ו---no-disabled קובעים אם הכלל מושבת (לא נאכף) או מופעל (נאכף).
  • מציינים יעד:

    • אם לא מציינים את האפשרויות --target-secure-tags ו---target-service-accounts, Cloud NGFW משתמש ביעדי המופעים הרחבים ביותר.
    • ‫TARGET_SECURE_TAGS: רשימה מופרדת בפסיקים של ערכי תגים מאובטחים שמצמצמת את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מופעי מכונות וירטואליות שמשויכים לפחות לאחד מהערכים של התגים המאובטחים.
    • ‫TARGET_SERVICE_ACCOUNTS: רשימה מופרדת בפסיקים של חשבונות שירות שמצמצמת את היעדים הרחבים ביותר של המופעים לממשקי הרשת של מכונות וירטואליות שמשתמשות באחד מחשבונות השירות.
  • ‫LAYER_4_CONFIGS: רשימה מופרדת בפסיקים של הגדרות בשכבה 4. כל הגדרה בשכבה 4 יכולה להיות אחת מהאפשרויות הבאות:
    • שם פרוטוקול IP‏ (tcp) או מספר פרוטוקול IP של IANA‏ (17) ללא יציאת יעד.
    • שם פרוטוקול ה-IP ויציאת היעד, מופרדים בנקודתיים (tcp:80).
    • שם פרוטוקול IP וטווח יציאות של היעד, מופרדים באמצעות נקודתיים ומקף שמפריד בין יציאת ההתחלה ליציאת הסיום של היעד (tcp:5000-6000). מידע נוסף זמין במאמר בנושא פרוטוקולים ויציאות.
  • מציינים יעד לכלל היציאה. מידע נוסף על שילובים של יעדים בכלל יציאה

    • DEST_NETWORK_CONTEXT: מגדיר הקשרים של רשת היעד לשימוש בשילוב עם פרמטר יעד נתמך אחר כדי ליצור שילוב יעד. הערכים התקפים הם INTERNET ו-NON_INTERNET. מידע נוסף זמין במאמר בנושא הקשרים של הרשת.
    • ‫DEST_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.
    • ‫DEST_ADDRESS_GROUPS: רשימה מופרדת בפסיקים של קבוצות כתובות שצוינו על ידי מזהי כתובות ה-URL הייחודיים שלהן.
    • ‫DEST_DOMAIN_NAMES: רשימה מופרדת בפסיקים של אובייקטים מסוג FQDN שצוינו בפורמט של שם דומיין.
    • ‫DEST_COUNTRY_CODES: רשימה מופרדת בפסיקים של קודי מדינות בני שתי אותיות. מידע נוסף זמין במאמר בנושא אובייקטים של מיקום גיאוגרפי.
    • ‫DEST_THREAT_LIST_NAMES: רשימה מופרדת בפסיקים של שמות של רשימות של Google Threat Intelligence. מידע נוסף זמין במאמר בנושא כללים של מדיניות חומת האש ב-Google Threat Intelligence.
  • אפשר גם לציין מקור לכלל התעבורה היוצאת:

    • ‫SRC_IP_RANGES: רשימה מופרדת בפסיקים של טווחי כתובות IP בפורמט CIDR. כל הטווחים ברשימה חייבים להיות בפורמט IPv4 CIDR או IPv6 CIDR, ולא שילוב של שניהם.

המאמרים הבאים