Criar e gerenciar associações de endpoint de firewall

Nesta página, explicamos como criar e gerenciar associações de endpoints de firewall usando o console do Google Cloud e a CLI do Google Cloud.

Ao associar um endpoint de firewall a uma ou mais redes de nuvem privada virtual (VPC), você cria a associação na mesma zona do endpoint de firewall. Também é possível associar endpoints de firewall em zonas diferentes a uma rede VPC.

Antes de começar

• Você precisa de uma rede VPC e uma sub-rede.

• É necessário ativar a API Compute Engine no projeto do Google Cloud.

• É necessário ativar a API Network Security no projeto do Google Cloud.

• É necessário ativar a API Certificate Authority Service no projeto do Google Cloud.

• Instale a CLI gcloud se você quiser executar os exemplos de linhas de comando gcloud neste guia.

• Você precisa de um endpoint de firewall.

Papéis

Para ter as permissões necessárias para criar, visualizar, atualizar ou excluir associações de endpoint de firewall, solicite ao administrador para conceder a você os papéis do IAM na sua organização e no seu projeto. Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

Cotas

Para conferir as cotas das associações de endpoints de firewall, consulte Cotas e limites.

Criar associações de endpoint de firewall

Com o console do Google Cloud, é possível criar associações de endpoints de firewall para qualquer um dos seguintes itens:

• Uma rede VPC específica
• Um endpoint de firewall específico
• Um projeto

Todas essas opções criam a mesma associação. A única diferença entre as associações criadas no console do Google Cloud é onde você inicia o processo de criação. Para associações criadas usando a gcloud CLI, o processo é o mesmo para todas as associações de endpoint de firewall.

Observação: o Cloud NGFW pode levar até 15 minutos para criar uma associação de endpoint de firewall.

Criar associações de endpoint de firewall em uma rede VPC

É possível associar um ou mais endpoints de firewall a uma rede VPC específica. Cada um dos endpoints de firewall associados pertence a uma zona diferente na rede VPC.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use na organização em que o endpoint firewall foi criado.

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique no nome de uma rede VPC para mostrar a página Detalhes da rede VPC.

3. Selecione a guia Endpoints de firewall.

4. Clique em Criar associação de endpoint.

5. Na lista Região, selecione a região em que você quer criar a associação de endpoint do firewall.

6. Na lista Zona, selecione a zona em que você quer criar a associação de endpoint do firewall.

7. Na lista Endpoint de firewall, selecione o endpoint de firewall que você quer associar à rede VPC.

8. Na lista Política de inspeção da TLS, selecione a política que você quer adicionar a essa rede VPC.

9. Clique em Criar.

gcloud

Para criar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations create:

gcloud network-security firewall-endpoint-associations \
   create NAME \
   --endpoint organization/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
   --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
   --zone ZONE \
   --project PROJECT_ID \
   --tls-inspection-policy  projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.

  Não inclua informações sensíveis, como informações de identificação pessoal ou dados de segurança, no nome da associação do endpoint do firewall
  .

• ORGANIZATION_ID: o identificador da organização em que o endpoint de firewall foi criado.

• ZONE: a zona do endpoint de firewall.

• FIREWALL_ENDPOINT_NAME: o nome do endpoint de firewall.

• PROJECT_NAME: o nome do projeto do Google Cloud da rede.

• NETWORK_NAME: o nome da rede.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

  Esta política é usada para a inspeção da TLS do tráfego criptografado na rede especificada. Esse é um argumento opcional.

Criar associações de endpoints de firewall em um endpoint de firewall

É possível associar uma ou mais redes VPC a um endpoint de firewall específico na mesma zona.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use na organização em que o endpoint firewall foi criado.

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, selecione sua organização.

3. Clique no endpoint do firewall para ver os detalhes.

4. Clique em Criar associação de endpoint.

5. Clique em Adicionar associação de endpoints.

6. Na lista Projeto, selecione o projeto do Google Cloud em que você quer criar a associação de endpoint de firewall.

   Se as APIs Compute Engine e Network Security não estiverem ativadas no projeto do Google Cloud, clique em Ativar.

7. Na lista Rede, selecione a rede que você quer associar ao endpoint do firewall.

8. Na lista Política de inspeção da TLS, selecione a política que você quer adicionar a essa rede VPC.

9. Para adicionar outra associação, clique em Adicionar associação de endpoint.

10. Clique em Criar.

gcloud

Para criar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations create:

gcloud network-security firewall-endpoint-associations \
   create NAME \
   --endpoint organization/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
   --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
   --zone ZONE \
   --project PROJECT_ID \
   --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.
  Não inclua informações sensíveis, como informações de identificação pessoal ou dados de segurança, no nome da associação do endpoint do firewall
  .

• ORGANIZATION_ID: o identificador da organização em que o endpoint de firewall foi criado.

• ZONE: a zona do endpoint de firewall.

• FIREWALL_ENDPOINT_NAME: o nome do endpoint de firewall.

• PROJECT_NAME: o nome do projeto do Google Cloud da rede.

• NETWORK_NAME: o nome da rede.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

  Esta política é usada para a inspeção da TLS do tráfego criptografado na rede especificada. Esse é um argumento opcional.

Criar associações de endpoints de firewall em um projeto

É possível adicionar várias associações de endpoints de firewall a um projeto específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.create
• networksecurity.firewallEndpoints.use na organização em que o endpoint firewall foi criado.

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, escolha seu projeto do Google Cloud.

3. Clique em Criar associação de endpoint.

4. Na lista Região, selecione a região em que você quer criar a associação de endpoint do firewall.

5. Na lista Zona, selecione a zona em que você quer criar a associação de endpoint do firewall.

6. Na lista Endpoint de firewall, selecione o endpoint que você quer adicionar à associação.

7. Na lista Rede, selecione a rede que você quer adicionar à associação.

8. Em Política de inspeção da TLS, selecione a política de inspeção da TLS que você quer adicionar a essa associação.

9. Clique em Criar.

gcloud

Para criar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations create:

gcloud network-security firewall-endpoint-associations \
   create NAME \
   --endpoint organization/ORGANIZATION_ID/locations/ZONE/firewallEndpoints/FIREWALL_ENDPOINT_NAME \
   --network projects/PROJECT_NAME/global/networks/NETWORK_NAME \
   --zone ZONE \
   --project PROJECT_ID \
   --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ORGANIZATION_ID: o identificador da organização em que o endpoint de firewall foi criado.

• ZONE: a zona do endpoint de firewall.

• FIREWALL_ENDPOINT_NAME: o nome do endpoint de firewall.

• PROJECT_NAME: o nome do projeto do Google Cloud da rede.

• NETWORK_NAME: o nome da rede.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

  Esta política é usada para a inspeção da TLS do tráfego criptografado na rede especificada. Esse é um argumento opcional.

Visualizar uma associação de endpoint de firewall

É possível visualizar os detalhes de uma associação de endpoint de firewall específica em uma zona.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.get

Papéis

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

gcloud

gcloud network-security firewall-endpoint-associations \
   describe NAME \
   --zone ZONE \
   --project PROJECT_ID

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud da associação de endpoint do firewall.

Listar associações de endpoints de firewall

É possível listar as associações de endpoints de firewall para uma rede, um projeto ou um endpoint de firewall.

Listar todas as associações de endpoint de firewall de uma rede VPC

É possível listar todas as associações de endpoint de firewall de uma rede VPC específica.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.list

Papéis

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

Console

1. No Console do Google Cloud, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique no nome de uma rede VPC para mostrar a página Detalhes da rede VPC.

3. Selecione a guia Endpoints de firewall. A guia mostra uma lista de associações de endpoints de firewall configurados.

gcloud

Para listar as associações de endpoints de firewall de uma rede específica, use o comando gcloud network-security firewall-endpoint-associations list com a sinalização --filter:

gcloud network-security firewall-endpoint-associations list \
   --filter network:NETWORK_NAME \
   --project PROJECT_ID

Substitua:

• NETWORK_NAME: o nome da rede VPC.
• PROJECT_ID: o ID do projeto do Google Cloud da associação de endpoint do firewall.

Listar todas as associações de endpoints de firewall de um endpoint de firewall

É possível listar todas as associações de um endpoint de firewall específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.firewallEndpointAssociations.list

Papéis

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, selecione sua organização.

3. Clique no endpoint do firewall para ver os detalhes.

   Na página Detalhes do endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas.

gcloud

Para listar as associações de endpoints de firewall, use o comando gcloud network-security firewall-endpoint-associations list com a sinalização --zone:

gcloud network-security firewall-endpoint-associations list \
   --zone ZONE \
   --project PROJECT_ID

Substitua:

• ZONE: a zona do endpoint de firewall. Para listar as associações de endpoint de firewall em todas as zonas, use -.
• PROJECT_ID: o ID do projeto do Google Cloud da associação de endpoint do firewall.

Listar todas as associações de endpoints de firewall em um projeto

É possível listar todas as associações de endpoints de firewall em um projeto específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.list

Papéis

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, escolha seu projeto do Google Cloud.

   Na seção Associações de endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas para este projeto.

gcloud

Para listar as associações de endpoints de firewall em um projeto, use o comando gcloud network-security firewall-endpoint-associations list:

gcloud network-security firewall-endpoint-associations list \
   --project PROJECT_ID

Substitua:

• PROJECT_ID: o ID do projeto do Google Cloud da associação de endpoint do firewall.

Editar associações de endpoint de firewall

O console do Google Cloud permite editar as associações de endpoints de firewall para uma rede, um projeto ou um endpoint de firewall. As instruções da gcloud CLI para editar associações de endpoint de firewall são as mesmas para todas essas opções.

Editar uma associação de endpoint de firewall em uma rede VPC

É possível editar uma associação de endpoint de firewall para uma zona específica em uma rede VPC.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.update

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique no nome de uma rede VPC para mostrar a página Detalhes da rede VPC.

3. Selecione a guia Endpoints de firewall. A guia mostra uma lista de associações de endpoints de firewall configurados.

4. Clique em Editar ao lado da associação de endpoint de firewall que você quer atualizar.

5. Para desativar a associação de endpoint de firewall, desmarque a caixa de seleção Ativar associação.

6. Para atualizar a política de inspeção da TLS, selecione uma nova política na lista Política de inspeção da TLS.

7. Clique em Salvar.

gcloud

Para atualizar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations update:

gcloud network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    --disabled \
    --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

Editar uma associação de endpoint de firewall em um endpoint de firewall

É possível editar uma associação em um endpoint de firewall específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.firewallEndpointAssociations.update

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, selecione sua organização.

3. Clique no endpoint do firewall para ver os detalhes.

   Na página Detalhes do endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas.

4. Clique em Editar ao lado da associação de endpoint de firewall que você quer atualizar.

5. Para desativar a associação de endpoint de firewall, desmarque a caixa de seleção Ativar associação.

6. Para atualizar a política de inspeção da TLS, selecione uma nova política na lista Política de inspeção da TLS.

7. Clique em Salvar.

gcloud

Para atualizar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations update:

gcloud network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    --disabled \
    --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

Editar uma associação de endpoint de firewall em um projeto

É possível editar uma associação de endpoint de firewall em um projeto específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.update

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, escolha seu projeto do Google Cloud.

   Na seção Associações de endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas para este projeto.

3. Ao lado da associação de endpoint de firewall que você quer atualizar, clique em Editar.

4. Para desativar a associação de endpoint de firewall, desmarque a caixa de seleção Ativar associação.

5. Para atualizar a política de inspeção da TLS, selecione uma nova política na lista Política de inspeção da TLS.

6. Clique em Salvar.

gcloud

Para atualizar uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations update:

gcloud network-security firewall-endpoint-associations
    update NAME \
    --zone ZONE \
    --project PROJECT_ID \
    --disabled \
    --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

• TLS_PROJECT_NAME: o nome do projeto do Google Cloud da política de inspeção da TLS.

• REGION_NAME: o nome da região da política de inspeção da TLS.

• TLS_POLICY_NAME: o nome da política de inspeção da TLS.

Excluir uma associação de endpoint de firewall

O console do Google Cloud permite excluir as associações de endpoints de firewall de uma rede, projeto ou endpoint de firewall. As instruções da gcloud CLI para excluir associações de endpoints de firewall são as mesmas para todas essas opções.

Excluir uma associação de endpoint de firewall em uma rede VPC

É possível excluir uma associação de endpoint de firewall em uma zona específica em uma rede VPC.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.delete

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Redes VPC.

   Acessar redes VPC

2. Clique no nome de uma rede VPC para mostrar a página Detalhes da rede VPC.

3. Selecione a guia Endpoints de firewall. A guia mostra uma lista de associações de endpoints de firewall configurados.

4. Selecione a associação de endpoint do firewall e clique em Excluir.

5. Clique em Excluir novamente para confirmar.

gcloud

Para excluir uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations delete:

gcloud network-security firewall-endpoint-associations \
   delete NAME \
   --zone ZONE \
   --project PROJECT_ID

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

Excluir uma associação de endpoint de firewall em um endpoint de firewall

É possível excluir uma associação em um endpoint de firewall específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.firewallEndpointAssociations.delete

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, selecione sua organização.

3. Clique no endpoint do firewall para ver os detalhes.

   Na página Detalhes do endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas.

4. Selecione a associação de endpoint do firewall e clique em Excluir.

5. Clique em Excluir novamente para confirmar.

gcloud

Para excluir uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations delete:

gcloud network-security firewall-endpoint-associations \
   delete NAME \
   --zone ZONE \
   --project PROJECT_ID

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

Excluir uma associação de endpoint de firewall em um projeto

É possível excluir uma associação de endpoint de firewall em um projeto específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.firewallEndpointAssociations.delete

Papéis

• compute.networkAdmin

Console

1. No Console do Google Cloud, acesse a página Endpoints de firewall.

   Acessar endpoints de firewall

2. No menu do seletor de projetos, escolha seu projeto do Google Cloud.

   Na seção Associações de endpoint de firewall, a tabela lista todas as associações de endpoint de firewall configuradas para este projeto.

3. Selecione a associação de endpoint do firewall e clique em Excluir.

4. Clique em Excluir novamente para confirmar.

gcloud

Para excluir uma associação de endpoint de firewall, use o comando gcloud network-security firewall-endpoint-associations delete:

gcloud network-security firewall-endpoint-associations \
   delete NAME \
   --zone ZONE \
   --project PROJECT_ID

Substitua:

• NAME: o nome da associação do endpoint de firewall.

• ZONE: a zona da associação do endpoint de firewall.

• PROJECT_ID: o ID do projeto do Google Cloud em que a associação foi criada.

A seguir

• Usar políticas e regras hierárquicas de firewall
• Usar políticas e regras globais de firewall de rede