Cloud Next Generation Firewall 리전 네트워크 방화벽 정책은 통합 이더넷 (RoCE)을 통한 원격 직접 메모리 액세스 (RDMA) 네트워크 프로필이 연결된 가상 프라이빗 클라우드 (VPC) 네트워크에서 사용할 수 있습니다. RoCE VPC 네트워크는 RDMA RoCE 네트워크 프로필로 생성된 네트워크입니다.
RoCE VPC 네트워크는 Google Cloud의 AI 워크로드를 비롯한 고성능 컴퓨팅의 영역 워크로드를 지원합니다.
이 페이지에서는 RoCE VPC 네트워크에 대한 Cloud NGFW 지원의 주요 차이점을 설명합니다.
사양
다음 방화벽 사양은 RoCE VPC 네트워크에 적용됩니다.
지원되는 방화벽 규칙 및 정책: RoCE VPC 네트워크는 리전 네트워크 방화벽 정책의 방화벽 규칙만 지원합니다. 전역 네트워크 방화벽 정책, 계층식 방화벽 정책 또는 VPC 방화벽 규칙은 지원하지 않습니다.
리전 및 정책 유형: RoCE VPC 네트워크에서 리전 네트워크 방화벽 정책을 사용하려면 다음 속성으로 정책을 만들어야 합니다.
방화벽 정책의 리전에는 RoCE VPC 네트워크의 RoCE 네트워크 프로필에서 사용하는 영역이 포함되어야 합니다.
방화벽 정책의 방화벽 정책 유형을 RDMA_ROCE_POLICY로 설정해야 합니다.
따라서 리전 네트워크 방화벽 정책은 특정 리전의 RoCE VPC 네트워크에서만 사용할 수 있습니다. 리전 네트워크 방화벽 정책은 RoCE VPC 네트워크와 일반 VPC 네트워크에서 모두 사용할 수 없습니다.
RoCE 방화벽 정책은 상태 비저장임: RoCE 방화벽 정책은 각 패킷을 독립적인 단위로 처리하며 진행 중인 연결을 추적하지 않습니다.
따라서 두 가상 머신 (VM)이 통신할 수 있도록 양방향으로 인그레스 허용 규칙을 만들어야 합니다.
암시적 방화벽 규칙
RoCE VPC 네트워크는 일반 VPC 네트워크에서 사용하는 묵시적 방화벽 규칙과 다른 다음 묵시적 방화벽 규칙을 사용합니다.
묵시적 이그레스 허용
묵시적 인그레스 허용
연결된 리전 네트워크 방화벽 정책에 규칙이 없는 RoCE VPC 네트워크는 모든 송신 및 수신 트래픽을 허용합니다.
이러한 암시적 방화벽 규칙은 방화벽 규칙 로깅을 지원하지 않습니다.
규칙 사양
정책 유형이 RDMA_ROCE_POLICY인 리전 네트워크 방화벽 정책의 규칙은 다음 요구사항을 충족해야 합니다.
인그레스 방향만: 규칙의 방향은 인그레스여야 합니다.
정책 유형이 RDMA_ROCE_POLICY인 리전 네트워크 방화벽 정책에서는 이그레스 방화벽 규칙을 만들 수 없습니다.
소스 IP 주소 범위 (src-ip-ranges)가 지원되지만 유효한 값은 0.0.0.0/0뿐입니다.
소스 보안 태그 (src-secure-tags)는 완전히 지원됩니다. 보안 태그를 사용하는 것이 동일한 RoCE VPC 네트워크에 있는 워크로드를 세분화하는 데 권장되는 방법입니다.
소스 보안 태그와 소스 IP 주소 범위는 상호 배타적입니다.
예를 들어 src-ip-ranges=0.0.0.0/0로 규칙을 만드는 경우 소스 보안 태그(src-secure-tags)를 사용할 수 없습니다. Cloud NGFW Standard에 포함된 기타 소스 매개변수(소스 주소 그룹, 소스 도메인 이름, 소스 지리적 위치, 소스 Google 위협 인텔리전스 목록)는 지원되지 않습니다.
작업 매개변수: 허용 및 거부 작업이 모두 지원되며 다음 제약 조건이 적용됩니다.
src-ip-ranges=0.0.0.0/0가 있는 인그레스 규칙은 ALLOW 또는 DENY 작업을 사용할 수 있습니다.
소스 보안 태그가 있는 인그레스 규칙은 ALLOW 작업만 사용할 수 있습니다.
프로토콜 및 포트 매개변수: 지원되는 유일한 프로토콜은 all(--layer4-configs=all)입니다. 특정 프로토콜 또는 포트에 적용되는 규칙은 허용되지 않습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["| **Preview**\n|\n|\n| This feature is subject to the \"Pre-GA Offerings Terms\" in the General Service Terms section\n| of the [Service Specific Terms](/terms/service-terms#1).\n|\n| Pre-GA features are available \"as is\" and might have limited support.\n|\n| For more information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n\nCloud Next Generation Firewall regional network firewall policies\ncan be used by Virtual Private Cloud (VPC) networks that have an associated\nRemote Direct Memory Access (RDMA) over converged ethernet (RoCE) network\nprofile. *RoCE VPC networks* are those that are\ncreated with an [RDMA RoCE network profile](/vpc/docs/rdma-network-profiles).\n\nRoCE VPC networks enable zonal workloads for\nhigh performance computing, including AI workloads in Google Cloud.\nThis page describes key differences in Cloud NGFW support\nfor RoCE VPC networks.\n\nSpecifications\n\nThe following firewall specifications apply to RoCE VPC\nnetworks:\n\n- **Supported firewall rules and policies** : RoCE VPC networks\n *only* support firewall rules in regional network firewall policies. They\n don't support global network firewall policies, hierarchical firewall\n policies, or VPC firewall rules.\n\n- **Region and policy type**: to use a regional network firewall policy\n with an RoCE VPC network, you must create the policy\n with the following attributes:\n\n - The region of the firewall policy must contain the zone used by the RoCE\n network profile of the RoCE VPC network.\n\n - You must set the firewall policy type of the firewall policy to\n `RDMA_ROCE_POLICY`.\n\n Consequently, a regional network firewall policy can *only* be used by RoCE\n VPC networks in a particular region. A regional network firewall\n policy can't be used by both RoCE VPC networks and regular\n VPC networks.\n- **RoCE firewall policy is stateless**: RoCE firewall policy processes each\n packet as an independent unit and doesn't keep track of ongoing connections.\n Therefore, to ensure two virtual machines (VMs) can communicate, you must\n create an allow ingress rule in both directions.\n\nImplied firewall rules\n\nRoCE VPC networks use the following implied firewall rules, which\nare different from the implied firewall rules used by regular VPC\nnetworks:\n\n- Implied allow egress\n- Implied allow ingress\n\nAn RoCE VPC network without any rules in an associated\nregional network firewall policy allows all egress and ingress traffic.\nThese implied firewall rules don't support\n[Firewall Rules Logging](/firewall/docs/firewall-rules-logging).\n\nRule specifications\n\nRules in a regional network firewall policy with the policy type\n`RDMA_ROCE_POLICY` must meet the following requirements:\n\n- **Ingress direction only** : the rule's direction must be ingress.\n You can't create egress firewall rules in a regional network firewall\n policy whose policy type is `RDMA_ROCE_POLICY`.\n\n- **Target parameter**: target secure tags are supported, but target\n service accounts are not.\n\n- **Source parameter** : only two of the following\n [source parameter values](/firewall/docs/firewall-policies-rule-details#sources)\n are supported:\n\n - Source IP address ranges (`src-ip-ranges`) are supported, but the only\n valid value is `0.0.0.0/0`.\n\n - Source secure tags (`src-secure-tags`) are fully supported. Using secure\n tags is the suggested way to segment workloads that are in the same RoCE\n VPC network.\n\n Source secure tags and source IP address ranges are mutually exclusive.\n For example, if you create a rule with `src-ip-ranges=0.0.0.0/0`, then you\n can't use source secure tags (`src-secure-tags`). Other source parameters that\n are part of\n [Cloud NGFW Standard](/firewall/docs/about-firewalls#firewall-standard)---source\n address groups, source domain names, source geolocations, source Google Threat Intelligence\n lists---aren't supported.\n | **Note:** Target secure tags and source secure tags apply to the VM network interfaces that send packets. For more information, see [Specifications](/firewall/docs/tags-firewalls-overview#specifications).\n- **Action parameter**: both allow and deny actions are supported, with the\n following constraints:\n\n - An ingress rule with `src-ip-ranges=0.0.0.0/0` can use either the `ALLOW`\n or `DENY` action.\n\n - An ingress rule with a source secure tag can only use the `ALLOW` action.\n\n- **Protocol and port parameters** : the only supported protocol is `all`\n (`--layer4-configs=all`). Rules that apply to specific protocols or ports\n aren't allowed.\n\nMonitoring and logging\n\n[Firewall Rules Logging](/firewall/docs/firewall-rules-logging) is\nsupported with the following constraints:\n\n- Logs for ingress allow firewall rules are published once per tunnel\n establishment and provide 2-tuple packet information.\n\n- Logs for ingress deny firewall rules are published as sampled packets and\n provide 5-tuple packet information. Logs are published at a maximum rate\n of once every 5 seconds, and all firewall logs are limited to 4,000 packets\n per 5 seconds.\n\nUnsupported features\n\nThe following features are unsupported:\n\n- [Security profiles](/firewall/docs/about-security-profiles) and\n [firewall endpoints](/firewall/docs/about-firewall-endpoints)\n\n- [Mirroring rules](/network-security-integration/docs/out-of-band/firewall-policies-overview#mirroring-rules)\n\nConfigure RoCE VPC networks\n\nTo create firewall rules for an RoCE VPC network, use these\nguidelines and resources:\n\n- The rules in a regional network firewall policy that an RoCE\n VPC network uses depend on target and source secure tags.\n Therefore, ensure that you are familiar with\n [create and manage secure tags](/firewall/docs/use-tags-for-firewalls) and\n [bind secure tags to VM instances](/firewall/docs/use-tags-for-firewalls#bind_secure_tags_to_vm_instances).\n\n- To create RoCE VPC networks and regional network\n firewall policies for RoCE VPC networks, see\n [Create and manage firewall rules for RoCE VPC networks](/firewall/docs/create-manage-roce-vpcs).\n\n- To control ingress traffic and segment your workloads when you create\n ingress rules in a regional network firewall policy, use the following steps:\n\n - Create an ingress deny firewall rule that specifies\n `src-ip-ranges=0.0.0.0/0` and applies to all VMs in the RoCE\n VPC network.\n\n - Create higher-priority ingress allow firewall rules that specify target\n secure tags and source secure tags.\n\n- To determine which firewall rules apply to a VM network interface or to view\n firewall rule logs, see\n [Get effective firewall rules for a VM interface](/firewall/docs/use-network-firewall-policies#get_effective_firewall_rules_for_a_vm_interface)\n and [Use Firewall Rules Logging](/firewall/docs/using-firewall-rules-logging).\n\nWhat's next\n\n- [RDMA RoCE network profile](/vpc/docs/rdma-network-profiles)\n- [Create and manage firewall rules for RoCE VPC networks](/firewall/docs/create-manage-roce-vpcs)"]]
