סקירה כללית של מדיניות וכללים של חומת אש

כללי מדיניות של חומת אש מאפשרים לקבץ כמה כללים של חומת אש ושיקוף, כך שאפשר לעדכן את כולם בבת אחת. הכללים האלה נשלטים ביעילות על ידי תפקידים ב-IAM (המערכת לניהול הזהויות והרשאות הגישה). מידע נוסף על מדיניות חומת האש

כללים של מדיניות חומת אש מאפשרים לכם לאסור או לאשר חיבורים באופן מפורש, בעוד שכללי שיקוף מאפשרים לכם לסנן את התעבורה שאתם רוצים לשקף.

במאמר הזה מתוארת מדיניות חומת האש שיש לה כללי שיקוף והרכיבים שלה.

יצירת כללי מדיניות לחומת אש

אפשר ליצור כלל שיקוף במדיניות גלובלית של חומת אש ברשת. מדיניות חומת אש בין רשתות גלובלית מכילה כללי שיקוף שיכולים לשקף במפורש את התעבורה המוגדרת או לא לשקף אותה. למידע נוסף על יצירת כללי המדיניות האלה ושיוכם לרשת, אפשר לעיין במאמר שימוש בכללים ובמדיניות גלובליים של חומת אש ברשת.

מדיניות חומת אש יכולה לכלול גם כללים לחומת אש וגם כללים לרפליקציה של חבילות נתונים. עם זאת, הכללים האלה הם עצמאיים ומוערכים בנפרד. כלומר, לכללי חומת אש ולכללי רפליקציה של חבילות נתונים יכולה להיות אותה עדיפות. מידע נוסף על סדר ההערכה של כללים ומדיניות לכללי שיקוף

כללי שיקוף

‫Packet Mirroring, שירות Network Security Integration מחוץ לפס, משתמש בכללי רפליקציה של חבילות נתונים כדי לציין איזו תעבורה משוכפלת ברשת הצרכן. התנועה המשוכפלת הזו נשלחת לקבוצת הפריסה ברשת של היצרן. כדי לשכפל תנועה, צריך קודם ליצור כלל לשכפול מנות נתונים במדיניות גלובלית של חומת אש ברשת.

רכיבים של כללי שיקוף

כללי שיקוף פועלים בדרך כלל כמו מדיניות חומת האש, אבל יש כמה הבדלים כפי שמתואר בקטעים הבאים.

עדיפות

העדיפות של כלל שיקוף היא מספר שלם בין 0 ל-2,147,483,547, כולל. מספרים שלמים נמוכים יותר מציינים עדיפות גבוהה יותר. העדיפות של כלל שיקוף דומה לעדיפות של כלל חומת אש.

פעולה במקרה של התאמה

כללי הרפליקציה קובעים אם חבילות נתונים נכנסות (ingress) או יוצאות (egress) ישוכפלו. כלל שיקוף יכול לכלול אחת מהפעולות הבאות:

  1. בכלל של רפליקציה של חבילות נתונים, הפעולות הבאות נתמכות:

    • ‫MIRROR: תעבורה תואמת משוכפלת ומועברת לקבוצת הפריסה.

    • ‫DO_NOT_MIRROR: תעבורה תואמת לא משוכפלת וההערכה של כללי חומת אש נוספים של רפליקציה של חבילות נתונים מדלגת. DO_NOT_MIRROR משתמשים בכללים כדי לסנן בצורה מדויקת זרימות שלא צריך לשכפל.

    • ‫GOTO_NEXT: פעולה שאפשר להשתמש בה כדי להעביר את הערכת החיבור לרמות נמוכות יותר. כלל השיקוף מאפשר עיבוד של כללים עוקבים אם מתקיים אחד מהתנאים הבאים:

      • אם הפעולה היא goto_next, ההערכה ממשיכה לכלל הבא. לכן, כמה כללי goto_next לא משפיעים על ההתנהגות של כל אחד מהם.
      • אם התנועה הנכנסת לא תואמת לאף כלל קיים, המערכת תפעל לפי פעולת ברירת המחדל goto_next. המשמעות היא שלא נמצאה פעולה רלוונטית ברמת המדיניות הנוכחית, ולכן ההערכה ממשיכה לרמה הנמוכה הבאה.

  2. כלל שיקוף עם פעולה מסוג mirror חייב להפנות לקבוצת פרופילים של אבטחה שמכילה פרופיל אבטחה מסוג CUSTOM_MIRRORING.

כלל יציאה עם פעולת אישור מאפשר למופע לשלוח תעבורה ליעדים שצוינו בכלל. יכול להיות שכללי חומת אש עם עדיפות גבוהה יותר ימנעו יציאה. Google Cloud הם גם חוסמים או מגבילים סוגים מסוימים של תנועה.

אחרי שמוסיפים את כלל השיקוף למדיניות, משייכים את כלל השיקוף לרשת כדי להחיל את הכלל שנוצר. מידע נוסף על יצירה ושיוך של כלל שיקוף זמין במאמר בנושא יצירה וניהול של כללי שיקוף.

פרוטוקולים ויציאות

בדומה לכללים של חומת האש, כשיוצרים כלל לרפליקציה צריך לציין מגבלות של פרוטוקול ויציאה. כשמציינים TCP או UDP בכלל שיקוף, אפשר לציין את הפרוטוקול, את הפרוטוקול ואת יציאת היעד, או את הפרוטוקול ואת טווח יציאות היעד. אי אפשר לציין רק יציאה או טווח יציאות. בנוסף, אפשר לציין רק יציאות יעד. אין תמיכה בכללים שמבוססים על יציאות מקור.

אפשר להשתמש בשמות הפרוטוקולים הבאים בכללי שיקוף: tcp, udp, icmp (for IPv4 ICMP), esp, ah, sctp, and ipip. לכל שאר הפרוטוקולים, משתמשים במספרי הפרוטוקולים של IANA. הרבה פרוטוקולים משתמשים באותו שם ובאותו מספר גם ב-IPv4 וגם ב-IPv6, אבל יש פרוטוקולים, כמו ICMP, שלא משתמשים באותו שם ובאותו מספר. כדי לציין IPv4 ICMP, משתמשים ב-icmp או במספר הפרוטוקול אחד (1). ל-IPv6 ICMP, משתמשים במספר הפרוטוקול 58.

כללי שיקוף לא תומכים בציון סוגים וקודים של ICMP, אלא רק בפרוטוקול. אין תמיכה בפרוטוקול IPv6 Hop-by-Hop בכללי שיקוף. אם לא מציינים פרמטרים של פרוטוקול ויציאה, הכלל חל על כל הפרוטוקולים ויציאות היעד.

כיוון

הכיוון שבו חל כלל השיקוף. הערך יכול להיות INGRESS או EGRESS.

  • ‫INGRESS: כיוון הכניסה מתייחס לחיבורים הנכנסים שנשלחים ממקורות ספציפיים ליעדים של Google Cloud . כללי תעבורת נתונים נכנסת (ingress) חלים על מנות נתונים נכנסות, שבהן היעד של מנות הנתונים הוא היעד.

    כלל כניסה עם פעולת דחייה מגן על כל המכונות על ידי חסימת חיבורים נכנסים אליהן. כלל עם עדיפות גבוהה יותר עשוי לאפשר גישה נכנסת. רשת ברירת מחדל שנוצרת באופן אוטומטי כוללת כמה כללי חומת אש של ענן וירטואלי פרטי (VPC) שמולאו מראש, שמאפשרים תעבורת נתונים נכנסת לסוגים מסוימים של תעבורה.

  • ‫EGRESS: כיוון תעבורת הנתונים היוצאת (egress) מתייחס לתעבורת הנתונים היוצאת שנשלחת מיעד ליעד. כללי תעבורת נתונים יוצאת (egress) חלים על מנות של חיבורים חדשים, שבהם המקור של המנה הוא היעד.

המאמרים הבאים