방화벽 엔드포인트는 네트워크에 침입 방지와 같은 레이어 7 고급 보호 기능을 사용 설정하는 Cloud Next Generation Firewall 리소스입니다.
이 페이지에서는 방화벽 엔드포인트 개요와 해당 기능을 자세히 설명합니다.
사양
방화벽 엔드포인트는 영역 수준에서 생성된 조직 리소스입니다.
방화벽 엔드포인트는 가로채기된 트래픽에서 레이어 7 방화벽 검사를 수행합니다.
Cloud Next Generation Firewall은 Google Cloud의 패킷 가로채기 기술을 사용하여 Virtual Private Cloud (VPC) 네트워크의 Google Cloud 워크로드에서 방화벽 엔드포인트로 트래픽을 투명하게 리디렉션합니다.
패킷 가로채기는 기존 라우팅 정책을 수정하지 않고 선택된 네트워크 트래픽 경로에 네트워크 어플라이언스를 투명하게 삽입하는 Google Cloud 기능입니다.
Cloud NGFW는 레이어 7 검사가 이 흐름에 적용되도록 구성된 경우에만 VPC 네트워크의 워크로드 트래픽을 방화벽 엔드포인트로 리디렉션합니다.
Cloud NGFW는 레이어 7 검사를 위해 방화벽 엔드포인트에 리디렉션된 각 패킷에 VPC 네트워크 식별자를 추가합니다. IP 주소 범위가 겹치는 VPC 네트워크가 여러 개 있는 경우 이 네트워크 식별자는 리디렉션된 각 패킷이 해당 VPC 네트워크에 올바르게 연결되도록 보장합니다.
영역에서 방화벽 엔드포인트를 만들고 VPC 네트워크 하나 이상에 연결하여 동일한 영역의 워크로드를 모니터링할 수 있습니다. VPC 네트워크가 여러 영역에 걸쳐 있으면 영역마다 방화벽 엔드포인트 하나를 연결할 수 있습니다. 특정 영역의 VPC 네트워크에 방화벽 엔드포인트를 연결하지 않으면 해당 영역의 워크로드 트래픽에 대한 레이어 7 검사가 수행되지 않습니다.
레이어 7 검사를 사용 설정하려는 엔드포인트와 워크로드가 같은 영역에 있어야 합니다. 워크로드와 동일한 영역에 방화벽 엔드포인트를 만들면 다음과 같은 이점이 있습니다.
짧은 지연 시간. 방화벽 엔드포인트는 트래픽을 가로채서 검사하고 네트워크로 다시 삽입할 수 있으므로 지연 시간이 다른 영역의 방화벽 엔드포인트보다 짧습니다.
영역 간 트래픽 없음. 트래픽을 같은 영역 내에 유지하면 비용이 절감됩니다.
보다 안정적인 트래픽. 트래픽을 같은 영역 내에 유지하면 영역 간 중단 위험이 사라집니다.
방화벽 엔드포인트는 전송 계층 보안(TLS) 검사를 사용하여 트래픽을 최대 2Gbps까지 처리하고 TLS 검사 없이는 트래픽을 10Gbps까지 처리할 수 있습니다.
더 많은 트래픽을 전송하면 패킷이 손실될 수 있습니다. 방화벽 엔드포인트의 용량 이용률을 모니터링하려면 방화벽 엔드포인트 측정항목을 참조하세요.
연결된 VPC 네트워크가 없는 경우에만 방화벽 엔드포인트를 삭제할 수 있습니다.
Google은 방화벽 엔드포인트의 인프라, 부하 분산, 자동 확장, 수명 주기를 관리합니다. 방화벽 엔드포인트를 만들 때 Google은 인증서 관리와 함께 트래픽의 안정성, 성능, 보안 격리를 보장하는 전용 가상 머신(VM) 인스턴스 집합을 제공합니다.
Google은 방화벽 엔드포인트에 적절한 장애 조치 메커니즘을 사용하여 고가용성을 제공하므로 연결된 VPC 네트워크 내에 있는 모든 VM 인스턴스에서 안정적인 방화벽 보호가 보장됩니다.
방화벽 엔드포인트 연결
방화벽 엔드포인트 연결은 방화벽 영역을 같은 영역의 VPC 네트워크에 연결합니다. 이 연결을 정의하면 Cloud NGFW에서 레이어 7 검사가 필요한 VPC 네트워크의 영역 워크로드 트래픽을 연결된 방화벽 엔드포인트로 전달합니다.
Identity and Access Management 역할
Identity and Access Management(IAM) 역할은 방화벽 엔드포인트를 관리할 수 있도록 다음 작업을 제어합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-04-30(UTC)"],[[["\u003cp\u003eFirewall endpoints are zonal resources that provide Layer 7 advanced protection capabilities, such as intrusion prevention, to traffic within your network.\u003c/p\u003e\n"],["\u003cp\u003eCloud Next Generation Firewall (NGFW) utilizes packet intercept technology to redirect traffic from Virtual Private Cloud (VPC) networks to firewall endpoints for Layer 7 inspection, ensuring that only traffic with the appropriate configuration is intercepted.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints are created and managed in the same zone as the workloads they monitor to minimize latency, reduce costs, and ensure traffic reliability by avoiding cross-zonal traffic.\u003c/p\u003e\n"],["\u003cp\u003eIAM roles are necessary for managing firewall endpoints and their associations, with specific permissions required for creating, modifying, viewing, and deleting endpoints and associations within organizations and projects.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints have a capacity of up to 2 Gbps for traffic with Transport Layer Security (TLS) inspection and 10 Gbps for traffic without, and Google manages the underlying infrastructure, including load balancing, autoscaling, and lifecycle management.\u003c/p\u003e\n"]]],[],null,["# Firewall endpoint overview\n\nFirewall endpoint is a Cloud Next Generation Firewall resource that enables Layer 7\nadvanced protection capabilities, such as intrusion detection and prevention service, in your network.\n\nThis page provides a detailed overview of firewall endpoints and their\ncapabilities.\n\nSpecifications\n--------------\n\n- A firewall endpoint is an organizational resource created at the zonal level.\n\n- Firewall endpoints perform Layer 7 firewall inspection on the intercepted\n traffic.\n\n- Cloud Next Generation Firewall uses Google Cloud's packet intercept technology to\n transparently redirect traffic from the Google Cloud workloads in a\n Virtual Private Cloud (VPC) network to the firewall endpoints.\n\n Packet intercept is a Google Cloud capability that transparently inserts\n network appliances in the path of selected network traffic without\n modifying their existing routing policies.\n- Cloud NGFW redirects the workload traffic in a\n VPC network to the firewall endpoint only if the Layer 7\n inspection is configured to be applied to this flow.\n\n- Cloud NGFW adds a VPC network identifier to each\n packet redirected to the firewall endpoint for Layer 7 inspection. If you have\n multiple VPC networks with overlapping IP address ranges,\n this network identifier helps to ensure that each redirected packet is correctly\n associated with its VPC network.\n\n- You can create a firewall endpoint in a zone and attach it to one or more\n VPC networks to monitor workloads in the same zone. If your\n VPC network spans multiple zones, you can attach one firewall\n endpoint in each zone. If you don't attach a firewall endpoint to a\n VPC network in a specific zone, no Layer 7\n inspection is performed on the workload traffic for that zone.\n\n You use [firewall endpoint association](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association)\n to attach a firewall endpoint to a VPC network.\n- The endpoint and the workloads for which you want to enable Layer 7 inspection\n must be in the same zone. Creating the firewall endpoint in the same\n zone as workloads has the following benefits:\n\n - Lower latency. Because firewall endpoints can intercept, inspect, and\n reinject the traffic back into the network, latency is lower than that\n of firewall endpoints in different zones.\n\n - No cross-zonal traffic. Keeping traffic within the same zone\n ensures lower costs.\n\n - More reliable traffic. Keeping traffic within the same zone removes\n the risk of cross-zonal outages.\n\n- Firewall endpoints can process up to 2 Gbps of traffic with Transport Layer\n Security (TLS) inspection, and 10 Gbps of traffic without TLS inspection.\n Sending more traffic can result in packet loss. To monitor the firewall\n endpoint's capacity utilization, see\n [firewall endpoint metrics](/monitoring/api/metrics_gcp_i_o#gcp-networksecurity).\n\n- Firewall endpoints can have a per-connection throughput maximum of 250 Mbps of\n traffic with TLS inspection and 1.25 Gbps of traffic without TLS inspection.\n\n- You can delete a firewall endpoint only when there are no VPC\n networks associated with it.\n\n- Google manages the infrastructure, load balancing, autoscaling, and\n lifecycle of the firewall endpoints. When you create a firewall endpoint,\n Google provides a set of dedicated virtual machine (VM) instances, which\n ensures reliability, performance, and security isolation for your traffic,\n along with certificate management.\n\n- Google provides high availability by using proper failover mechanisms for\n the firewall endpoints, which ensures reliable firewall protection for all\n VM instances covered within the attached VPC network.\n\nFirewall endpoint associations\n------------------------------\n\nFirewall endpoint association links a firewall endpoint to a\nVPC network in the same zone. After you define this association,\nCloud NGFW forwards the zonal workload traffic in your\nVPC network that requires Layer 7 inspection to the attached\nfirewall endpoint.\n\nIdentity and Access Management roles\n------------------------------------\n\nIdentity and Access Management (IAM) roles govern the following actions for managing the\nfirewall endpoints:\n\n- Creating a firewall endpoint in an organization\n- Modifying or deleting a firewall endpoint\n- Viewing details of a firewall endpoint\n- Viewing all the firewall endpoints configured in an organization\n\nThe following table describes the roles that are necessary for each step.\n\nIAM roles govern the following actions for the\nfirewall endpoint associations:\n\n- Creating a firewall endpoint association in a project\n- Modifying or deleting a firewall endpoint association\n- Viewing details of a firewall endpoint association\n- Viewing all the firewall endpoint associations configured in a project\n\nThe following table describes the roles that are necessary for each step.\n\nQuotas\n------\n\nTo view quotas associated with firewall endpoints, see [Quotas and limits](/firewall/docs/quotas).\n\nPricing\n-------\n\nPricing for firewall endpoints is described in the [Cloud NGFW pricing](/firewall/pricing).\n\nWhat's next\n-----------\n\n- [Configure intrusion detection and prevention service](/firewall/docs/configure-intrusion-prevention)\n- [Create and manage firewall endpoints](/firewall/docs/configure-firewall-endpoints)\n- [Create and manage firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations)"]]
