Visão geral dos grupos de endereços

Um grupo de endereços contém vários endereços IP, intervalos de endereços IP no CIDR ou ambos. Cada grupo de endereços pode ser usado por vários recursos, como regras em políticas de firewall do Cloud NGFW ou regras em políticas de segurança do Google Cloud Armor.

As atualizações em um grupo de endereços são propagadas automaticamente para os recursos o grupo de endereços. Por exemplo, é possível criar um grupo de endereços que contenha um conjunto de endereços IP confiáveis. Para mudar o conjunto de IPs confiáveis você atualiza o grupo de endereços. Suas atualizações no grupo de endereços são refletidas automaticamente em cada recurso associado.

Especificações

Os recursos do grupo de endereços têm as seguintes características:

  • Cada grupo de endereços é identificado exclusivamente por um URL com os seguintes elementos:
    • Tipo de contêiner: determina o tipo de grupo de endereços: organization ou project.
    • ID do contêiner:ID da organização ou do projeto.
    • Local: especifica se o grupo de endereços é um global ou recurso regional (como europe-west).
    • Nome: é o nome do grupo de endereços com o seguinte formato:
      • Uma string com 1 a 63 caracteres
      • Inclui apenas caracteres alfanuméricos
      • Não pode começar com um número

  • Você pode criar um identificador de URL exclusivo para um grupo de endereços no seguinte formato:

    <containerType>/<containerId>/locations/<location>/addressGroups/<address-group-name>

    Por exemplo, um grupo de endereços global example-address-group no projeto myproject tem o seguinte identificador exclusivo de quatro tuplas:

    projects/myproject/locations/global/addressGroups/example-address-group

  • Cada grupo de endereços tem um tipo associado que pode ser IPv4 ou IPv6, mas não ambos. O tipo de grupo de endereços não poderá ser alterado posteriormente.

  • Cada endereço IP ou intervalo de IPs em um grupo de endereços é conhecido como item. O número de itens que você pode adicionar a um grupo de endereços depende da capacidade dele. É possível definir a capacidade do item durante a criação do grupo de endereços. Não é possível alterar essa capacidade depois. A capacidade máxima que você pode configurar para um grupo de endereços varia de acordo com o produto com que você usa o grupo de endereços.

  • É necessário especificar a capacidade e o tipo ao criar um grupo de endereços. Além disso, ao usar o Google Cloud Armor, defina os campos purpose como CLOUD_ARMOR.

  • Quando você cria um grupo de endereços com uma finalidade que não é CLOUD_ARMOR, o grupo de endereços tem uma capacidade máxima de 1.000 endereços IP.

Tipos de grupos de endereços

Os grupos de endereços são classificados com base no escopo. O escopo identifica o nível em que o grupo de endereços é aplicável na hierarquia de recursos. Os grupos de endereços são categorizados nos seguintes tipos:

Um grupo de endereços pode ser definido no escopo do projeto ou da organização, mas não ambos.

Grupos de endereços com escopo do projeto

Use grupos de endereços com escopo de projeto quando quiser definir sua própria lista de endereços IP a serem usados dentro de um projeto ou uma rede para bloquear ou permitir uma lista de endereços IP variáveis. Por exemplo, se você quiser definir sua própria lista de inteligência de ameaças e adicioná-la a uma regra, crie um grupo de endereços com os endereços IP obrigatórios.

O tipo de contêiner para grupos de endereços com escopo do projeto é sempre definido como project. Para mais informações sobre como criar e modificar grupos de endereços com escopo de projeto, consulte Configurar grupos de endereços.

Grupos de endereços no escopo da organização

O Google Cloud Armor não oferece suporte a grupos de endereços no escopo da organização.

Como os grupos de endereços funcionam com as políticas de segurança

Os grupos de endereços simplificam a configuração e a manutenção das políticas de segurança, porque é possível compartilhar cada lista de endereços IP em várias políticas de segurança. Considere as seguintes especificações adicionais ao usar grupos de endereços com as políticas de segurança:

  • Os grupos de endereços só estão disponíveis para políticas de segurança de back-end.
  • A capacidade de um grupo de endereços é adicionada à contagem total de atributos da política de segurança em que o grupo de endereços é usado. Certifique-se de definir a capacidade a um valor apropriado com base no caso de uso.
  • Para usar grupos de endereços, seu projeto precisa estar inscrito Cloud Armor Enterprise: Se você fizer downgrade para o faturamento padrão, não pode criar novos grupos de endereços nem visualizar ou modificar grupos de endereços existentes. Também não será possível criar regras que façam referência a um grupo de endereços existente. Além disso, sua que fazem referência a grupos de endereços são congeladas. Isso significa que eles ainda estão ativos, mas a única ação que você pode realizar neles é delete.

Recomendamos que você confira as cotas e os limites dos grupos de endereços.

Exemplo

Imagine que você tem uma configuração de rede com três back-ends do Google, cada um com uma política de segurança. Além disso, você tem uma lista de endereços IP que sejam reconhecidamente maliciosos. Ao criar uma regra deny em cada política de segurança, é possível criar um grupo de endereços e usá-lo com as três políticas de segurança em vez de adicionar a lista de endereços IP a cada política de segurança. Em seguida, sempre que você criar uma nova política de segurança, poderá usar o grupo de endereços novamente para criar novas regras.

A seguir