L'endpoint firewall è una risorsa firewall di Cloud Next Generation che abilita funzionalità di protezione avanzate di livello 7, come la prevenzione delle intrusioni, nella tua rete.
Questa pagina fornisce una panoramica dettagliata degli endpoint firewall e delle loro funzionalità.
Specifiche
Un endpoint firewall è una risorsa organizzativa creata a livello di zona.
Gli endpoint firewall eseguono l'ispezione del firewall di livello 7 sul traffico intercettato.
Il firewall Cloud Next Generation utilizza la tecnologia di intercettazione dei pacchetti di Google Cloud per reindirizzare in modo trasparente il traffico dai carichi di lavoro di Google Cloud in una rete VPC (Virtual Private Cloud) agli endpoint firewall.
L'intercettazione dei pacchetti è una funzionalità di Google Cloud che inserisce in modo trasparente le appliance di rete nel percorso del traffico di rete selezionato senza modificare i criteri di routing esistenti.
Cloud NGFW reindirizza il traffico dei carichi di lavoro in una rete VPC all'endpoint firewall solo se l'ispezione di livello 7 è configurata per essere applicata a questo flusso.
Cloud NGFW aggiunge un identificatore di rete VPC a ogni pacchetto reindirizzato all'endpoint firewall per l'ispezione di livello 7. Se disponi di più reti VPC con intervalli di indirizzi IP sovrapposti, questo identificatore di rete contribuisce ad assicurare che ogni pacchetto reindirizzato sia associato correttamente alla rispettiva rete VPC.
Puoi creare un endpoint firewall in una zona e collegarlo a una o più reti VPC per monitorare i carichi di lavoro nella stessa zona. Se la rete VPC comprende più zone, puoi collegare un endpoint firewall in ogni zona. Se non colleghi un endpoint firewall a una rete VPC in una zona specifica, non viene eseguita alcuna ispezione di livello 7 sul traffico del carico di lavoro per quella zona.
Puoi utilizzare l'associazione di endpoint firewall per collegare un endpoint firewall a una rete VPC.
L'endpoint e i carichi di lavoro per i quali vuoi abilitare l'ispezione di livello 7 devono trovarsi nella stessa zona. La creazione dell'endpoint firewall nella stessa zona dei carichi di lavoro offre i seguenti vantaggi:
Bassa latenza. Poiché gli endpoint firewall possono intercettare, ispezionare e reinserire il traffico nella rete, la latenza è inferiore a quella degli endpoint firewall in zone diverse.
Nessun traffico tra zone. Mantenere il traffico all'interno della stessa zona garantisce costi inferiori.
Traffico più affidabile. Mantenere il traffico all'interno della stessa zona elimina il rischio di interruzioni tra zone.
Gli endpoint firewall possono elaborare fino a 2 Gbps di traffico con l'ispezione TLS (Transport Layer Security) e fino a 10 Gbps di traffico senza ispezione TLS. L'invio di più traffico può causare la perdita di pacchetti. Per monitorare l'utilizzo della capacità dell'endpoint firewall, consulta le metriche degli endpoint firewall.
Puoi eliminare un endpoint firewall solo se non è associato a reti VPC.
Google gestisce l'infrastruttura, il bilanciamento del carico, la scalabilità automatica e il ciclo di vita degli endpoint firewall. Quando crei un endpoint firewall, Google fornisce un insieme di istanze di macchine virtuali (VM) dedicate, che assicurano affidabilità, prestazioni e isolamento della sicurezza per il traffico, oltre alla gestione dei certificati.
Google fornisce alta disponibilità utilizzando meccanismi di failover adeguati per gli endpoint firewall, in modo da garantire una protezione firewall affidabile per tutte le istanze VM coperte all'interno della rete VPC collegata.
Associazioni di endpoint firewall
L'associazione degli endpoint firewall collega un endpoint firewall a una rete VPC nella stessa zona. Dopo aver definito questa associazione, Cloud NGFW inoltra il traffico dei carichi di lavoro di zona nella rete VPC che richiede l'ispezione di livello 7 all'endpoint del firewall collegato.
Ruoli di Identity and Access Management
I ruoli di Identity and Access Management (IAM) regolano le seguenti azioni per la gestione degli endpoint firewall:
- Creazione di un endpoint firewall in un'organizzazione
- Modifica o eliminazione di un endpoint firewall
- Visualizzazione dei dettagli di un endpoint firewall
- Visualizzazione di tutti gli endpoint firewall configurati in un'organizzazione
La tabella seguente descrive i ruoli necessari per ogni passaggio.
| Abilità | Ruolo necessario |
|---|---|
| Crea un nuovo endpoint firewall | Ruolo compute.networkAdmin nell'organizzazione in cui viene creato l'endpoint firewall. |
| Modifica un endpoint firewall esistente | compute.networkAdmin nell'organizzazione. |
| Visualizzare i dettagli sull'endpoint firewall in un'organizzazione | Uno dei seguenti ruoli per l'organizzazione: compute.networkAdmin compute.networkUser compute.networkViewer |
| Visualizzare tutti gli endpoint firewall in un'organizzazione | Uno dei seguenti ruoli per l'organizzazione: compute.networkAdmin compute.networkUser compute.networkViewer |
I ruoli IAM controllano le seguenti azioni per le associazioni di endpoint firewall:
- Creazione di un'associazione di endpoint firewall in un progetto
- Modifica o eliminazione dell'associazione di un endpoint firewall
- Visualizzazione dei dettagli dell'associazione di un endpoint firewall
- Visualizzazione di tutte le associazioni di endpoint firewall configurate in un progetto
La tabella seguente descrive i ruoli necessari per ogni passaggio.
| Abilità | Ruolo necessario |
|---|---|
| Crea un'associazione di endpoint firewall |
Ruolo compute.networkAdmin per il progetto in cui viene creata l'associazione dell'endpoint firewall. compute.networkUser nell'organizzazione, che rappresenta le autorizzazioni per associare il VPC (di cui l'utente è amministratore) all'endpoint (che è una risorsa di proprietà dell'organizzazione, non necessariamente del proprietario del VPC). |
| Modificare (aggiornare o eliminare) le associazioni di endpoint firewall | Ruolo compute.networkAdmin sul progetto in cui si trova la rete VPC. |
| Visualizza i dettagli sull'associazione degli endpoint firewall in un progetto | Uno dei seguenti ruoli per l'organizzazione: compute.networkAdmin compute.networkViewer compute.networkUser |
| Visualizza tutte le associazioni di endpoint firewall in un progetto | Uno dei seguenti ruoli per l'organizzazione: compute.networkAdmin compute.networkViewer compute.networkUser |
Quote
Per visualizzare le quote associate agli endpoint firewall, consulta Quote e limiti.
Prezzi
I prezzi degli endpoint firewall sono descritti nei prezzi di Cloud Next Generation Firewall Enterprise.
Passaggi successivi
- Configura il servizio di prevenzione delle intrusioni
- Crea e gestisci gli endpoint firewall
- Creare e gestire le associazioni di endpoint firewall