Crear y gestionar endpoints de cortafuegos

En esta página se explica cómo configurar y gestionar un endpoint de cortafuegos, así como asociarlo a una red de nube privada virtual (VPC) mediante laGoogle Cloud consola y la CLI de Google Cloud.

Crea un endpoint de cortafuegos a nivel de zona y, a continuación, asócialo a una o varias redes de VPC de la misma zona. Si has habilitado la inspección de la capa 7 en la política de cortafuegos asociada a tu red VPC, el tráfico coincidente se intercepta de forma transparente y se reenvía al endpoint del cortafuegos.

Nota: Para comprobar el progreso de las operaciones que se indican en esta página, asegúrate de que tu rol de usuario tenga los siguientes permisos del rol de usuario de red de Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Antes de empezar

• Necesitas una red de VPC y una subred.

• Debes habilitar la API Compute Engine en tu proyecto Google Cloud .

• Debes habilitar la API Network Security en el Google Cloud proyecto que quieras usar para la facturación.

• Debes habilitar la API Certificate Authority Service en tu Google Cloud proyecto.

• Instala la CLI de gcloud si quieres ejecutar los ejemplos de línea de comandos gcloud de esta guía.

Roles

Para obtener los permisos que necesitas para crear, ver, actualizar o eliminar endpoints de firewall, pide a tu administrador que te conceda los roles de gestión de identidades y accesos necesarios en tu organización. Para obtener más información sobre cómo conceder roles, consulta el artículo sobre cómo gestionar el acceso.

Cuotas

Para ver las cuotas de los endpoints y las asociaciones de cortafuegos, consulta Cuotas y límites.

Crear un endpoint de cortafuegos

Crea un endpoint de cortafuegos en una zona específica.

Nota: Cloud NGFW puede tardar hasta 20 minutos en crear un endpoint de firewall y 15 minutos más en crear asociaciones de endpoints de firewall.

Permisos que se necesitan para completar esta tarea

Para llevar a cabo esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de gestión de identidades y accesos en tu organización.

Permisos

• networksecurity.firewallEndpoints.create

Roles

• compute.networkAdmin
• networksecurity.FirewallEndpointAdmin

Consola

1. En la Google Cloud consola, ve a la página Endpoints de cortafuegos.

   Ir a los endpoints del cortafuegos

2. En el menú de selección de proyectos, selecciona tu organización.

3. Haz clic en Crear.

4. En la lista Región, selecciona la región en la que quieras crear el endpoint de firewall.

5. En la lista Zona, selecciona la zona en la que quieras crear el endpoint de firewall.

6. Escribe un nombre en el campo Nombre.

   No incluyas información sensible, como información personal identificable o datos de seguridad, en el nombre del endpoint del cortafuegos.

7. En la lista Proyecto de facturación, selecciona el Google Cloud proyecto que quieras usar para facturar el endpoint de firewall.

8. Haz clic en Continuar.

9. Si quieres añadir una asociación de endpoint de firewall, haz clic en Añadir asociación de endpoint. De lo contrario, omite este paso.

   1. En la lista Proyecto, selecciona el Google Cloud proyecto en el que quieras crear la asociación de endpoint de firewall.
   2. Si las APIs Compute Engine o Network Security no están habilitadas en el proyecto Google Cloud , haz clic en Habilitar.
   3. En la lista Red, selecciona la red que quieras asociar al endpoint del cortafuegos.
   4. En la lista Política de inspección TLS, selecciona la política de inspección TLS que quieras añadir a esta asociación.
   5. Para añadir otra asociación, haz clic en Añadir asociación de endpoint.

10. Haz clic en Crear.

gcloud

Para crear un endpoint de cortafuegos, usa el gcloud network-security firewall-endpoints create comando:

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Haz los cambios siguientes:

• NAME: el nombre del endpoint del cortafuegos.

  No incluyas información sensible, como información personal identificable o datos de seguridad, en el nombre del endpoint del cortafuegos.

• ORGANIZATION_ID: la organización en la que se activa el endpoint.

• ZONE: la zona en la que se activa el endpoint.

• BILLING_PROJECT_ID: un ID de proyecto que se usará para facturar el endpoint del cortafuegos. Google Cloud

Para asociar el endpoint de cortafuegos a una red de VPC, consulta Crear asociaciones de endpoints de cortafuegos.

Ver un endpoint de cortafuegos

Puedes ver los detalles de un endpoint de cortafuegos específico.

Permisos que se necesitan para completar esta tarea

Para llevar a cabo esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de gestión de identidades y accesos en tu organización.

Permisos

• networksecurity.firewallEndpoints.get

Roles

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer
• networksecurity.FirewallEndpointAdmin

Consola

1. En la Google Cloud consola, ve a la página Endpoints de cortafuegos.

   Ir a los endpoints del cortafuegos

2. En el menú de selección de proyectos, selecciona tu organización.

   En la página Endpoints de cortafuegos se muestran todos los endpoints de cortafuegos configurados en la organización.

3. Haga clic en el nombre del endpoint de firewall para ver sus detalles.

gcloud

Para ver los detalles de un endpoint de cortafuegos, usa el comando gcloud network-security firewall-endpoints describe:

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

Haz los cambios siguientes:

• NAME: el nombre del endpoint del cortafuegos.

• ORGANIZATION_ID: la organización en la que se activa el endpoint.

• ZONE: la zona en la que se activa el endpoint.

Mostrar endpoints de firewall

Puedes enumerar todos los endpoints de cortafuegos de una organización.

Permisos que se necesitan para completar esta tarea

Para llevar a cabo esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de gestión de identidades y accesos en tu organización.

Permisos

• networksecurity.firewallEndpoints.list

Roles

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer
• networksecurity.FirewallEndpointAdmin

Consola

1. En la Google Cloud consola, ve a la página Endpoints de cortafuegos.

   Ir a los endpoints del cortafuegos

2. En la página Endpoints de cortafuegos se muestran todos los endpoints de cortafuegos configurados en la organización.

gcloud

Para obtener una lista de todos los endpoints de cortafuegos, usa el gcloud network-security firewall-endpoints list comando:

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Haz los cambios siguientes:

• ORGANIZATION_ID: la organización en la que se activa el endpoint.

• ZONE: la zona en la que se activa el endpoint. Para listar los endpoints de todas las zonas, usa -.

• BILLING_PROJECT_ID: ID de proyecto opcionalGoogle Cloud al que se le cobrará la cuota de la operación.

Editar un endpoint de cortafuegos

Puedes actualizar el proyecto de facturación de un endpoint de cortafuegos de una organización.

Permisos que se necesitan para completar esta tarea

Para llevar a cabo esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de gestión de identidades y accesos en tu organización.

Permisos

• networksecurity.firewallEndpoints.get

Roles

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer
• networksecurity.FirewallEndpointAdmin

Consola

1. En la Google Cloud consola, ve a la página Endpoints de cortafuegos.

   Ir a los endpoints del cortafuegos

2. En el menú de selección de proyectos, selecciona tu organización.

   En la página Endpoints de cortafuegos se muestran todos los endpoints de cortafuegos configurados en la organización.

3. Haga clic en el nombre del endpoint de firewall para ver sus detalles.

4. Haz clic en Editar.

5. En la lista Proyecto de facturación, selecciona el Google Cloud proyecto que quieras usar para facturar el endpoint de firewall.

6. Haz clic en Guardar.

gcloud

Para editar un endpoint de cortafuegos, usa el gcloud network-security firewall-endpoints edit comando:

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

Haz los cambios siguientes:

• NAME: el nombre del endpoint del cortafuegos.

• ORGANIZATION_ID: la organización en la que se activan los endpoints.

• ZONE: la zona en la que se activa el endpoint.

• BILLING_PROJECT_ID: el Google Cloud ID de proyecto que quieres asociar a este endpoint de cortafuegos para la facturación.

Eliminar un endpoint de cortafuegos

Para eliminar un endpoint de cortafuegos, especifica su nombre, zona y organización.

Nota: Solo puedes eliminar un endpoint de firewall si no está asociado a ninguna red de VPC.

Permisos que se necesitan para completar esta tarea

Para llevar a cabo esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de gestión de identidades y accesos en tu organización.

Permisos

• networksecurity.firewallEndpoints.delete

Roles

• compute.networkAdmin
• networksecurity.FirewallEndpointAdmin

Consola

1. En la Google Cloud consola, ve a la página Endpoints de cortafuegos.

   Ir a los endpoints del cortafuegos

2. Seleccione el endpoint del cortafuegos y, a continuación, haga clic en Eliminar.

3. Haz clic en Eliminar de nuevo para confirmar la acción.

gcloud

Para eliminar un endpoint de cortafuegos, usa el gcloud network-security firewall-endpoints deletecomando:

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

Haz los cambios siguientes:

• NAME: el nombre del endpoint del cortafuegos.

• ORGANIZATION_ID: la organización en la que se activa el endpoint.

• ZONE: la zona en la que se activa el endpoint.

Siguientes pasos

• Crear y gestionar asociaciones de endpoints de cortafuegos
• Utilizar reglas y políticas de cortafuegos jerárquicas
• Usar reglas y políticas de cortafuegos de red globales