Kebijakan firewall

Kebijakan firewall memungkinkan Anda mengelompokkan beberapa aturan firewall, sehingga Anda dapat memperbarui semuanya sekaligus, yang dikontrol secara efektif oleh peran Identity and Access Management (IAM). Kebijakan ini berisi aturan yang dapat secara eksplisit menolak atau mengizinkan koneksi, seperti aturan firewall Virtual Private Cloud (VPC).

Kebijakan firewall hierarkis

Kebijakan firewall hierarkis memungkinkan Anda mengelompokkan aturan ke dalam objek kebijakan yang dapat diterapkan ke banyak jaringan VPC dalam satu atau beberapa project. Anda dapat mengaitkan kebijakan firewall hierarkis dengan seluruh organisasi atau folder individual.

Untuk mengetahui spesifikasi dan detail kebijakan firewall hierarkis, baca Kebijakan firewall hierarkis.

Kebijakan firewall jaringan global

Kebijakan firewall jaringan global memungkinkan Anda mengelompokkan aturan ke dalam objek kebijakan yang berlaku untuk semua wilayah (global). Setelah Anda mengaitkan kebijakan firewall jaringan global dengan jaringan VPC, aturan dalam kebijakan tersebut dapat diterapkan ke resource dalam jaringan VPC.

Untuk spesifikasi dan detail kebijakan firewall jaringan global, lihat Kebijakan firewall jaringan global.

Kebijakan firewall jaringan regional

Kebijakan firewall jaringan regional memungkinkan Anda mengelompokkan aturan ke dalam objek kebijakan yang berlaku untuk region tertentu. Setelah Anda mengaitkan kebijakan firewall jaringan regional dengan jaringan VPC, aturan dalam kebijakan tersebut dapat berlaku untuk resource dalam region jaringan VPC tersebut.

Untuk mengetahui spesifikasi dan detail kebijakan firewall regional, lihat Kebijakan firewall jaringan regional.

Urutan evaluasi kebijakan dan aturan

Aturan dalam kebijakan firewall hierarkis, kebijakan firewall jaringan global, kebijakan firewall jaringan regional, dan aturan firewall VPC diterapkan sebagai bagian dari pemrosesan paket VM dari stack virtualisasi jaringan Andromeda. Aturan dievaluasi untuk setiap antarmuka jaringan (NIC) VM.

Pemberlakuan aturan tidak bergantung pada kekhususan protokol dan konfigurasi port. Misalnya, aturan izinkan dengan prioritas yang lebih tinggi untuk semua protokol lebih diutamakan daripada aturan penolakan berprioritas lebih rendah khusus untuk port 22 TCP.

Selain itu, pemberlakuan aturan tidak bergantung pada kekhususan parameter target. Misalnya, aturan izinkan dengan prioritas yang lebih tinggi untuk semua VM (semua target) lebih diutamakan meskipun ada aturan penolakan prioritas yang lebih rendah dengan parameter target yang lebih spesifik; misalnya, akun atau tag layanan tertentu.

Secara default, dan jika networkFirewallPolicyEnforcementOrder jaringan VPC yang digunakan oleh NIC VM adalah AFTER_CLASSIC_FIREWALL, Google Cloud akan mengevaluasi aturan yang berlaku untuk NIC VM dalam urutan berikut:

1. Jika kebijakan firewall hierarkis dikaitkan dengan organisasi yang berisi project VM, Google Cloud akan mengevaluasi semua aturan yang berlaku dalam kebijakan firewall hierarkis. Karena aturan dalam kebijakan firewall hierarkis harus unik, aturan prioritas tertinggi yang sesuai dengan arah traffic dan karakteristik Lapisan 4 akan menentukan cara traffic diproses:
   • Aturan tersebut dapat mengizinkan traffic. Proses evaluasi berhenti.
   • Aturan tersebut dapat menolak traffic. Proses evaluasi berhenti.
   • Aturan ini dapat mengirim traffic untuk pemeriksaan lapisan 7 (apply_security_profile_group) ke endpoint firewall. Keputusan untuk mengizinkan atau menghapus paket bergantung pada endpoint firewall dan profil keamanan yang dikonfigurasi. Pada kedua kasus tersebut, proses evaluasi aturan akan berhenti.
   • Aturan ini dapat mengizinkan pemrosesan aturan yang ditentukan seperti yang dijelaskan dalam langkah berikutnya jika salah satu kondisi berikut terpenuhi:
     • Aturan dengan tindakan goto_next cocok dengan traffic.
     • Tidak ada aturan yang cocok dengan traffic. Dalam hal ini, aturan goto_next tersirat berlaku.
2. Jika kebijakan firewall hierarkis dikaitkan dengan ancestor folder paling jauh (teratas) dari project VM, Google Cloud akan mengevaluasi semua aturan yang berlaku dalam kebijakan firewall hierarkis untuk folder tersebut. Karena aturan dalam kebijakan firewall hierarkis harus unik, aturan prioritas tertinggi yang sesuai dengan arah traffic dan karakteristik Lapisan 4 menentukan cara traffic diproses, yaitu allow, deny, apply_security_profile_group, atau goto_next, seperti yang dijelaskan pada langkah pertama.
3. Google Cloud mengulangi tindakan di langkah sebelumnya untuk kebijakan firewall hierarkis yang terkait dengan folder berikutnya yang lebih dekat dengan project VM di hierarki resource. Pertama-tama, Google Cloud mengevaluasi aturan pada kebijakan firewall hierarkis yang terkait dengan ancestor folder paling jauh (terdekat dengan node organisasi), lalu mengevaluasi aturan dalam kebijakan firewall hierarkis yang terkait dengan folder (turunan) berikutnya yang lebih dekat dengan project VM.

4. Jika aturan firewall VPC ada di jaringan VPC yang digunakan oleh NIC VM, Google Cloud akan mengevaluasi semua aturan firewall VPC yang berlaku.

   Berbeda dengan aturan dalam kebijakan firewall:

   • Aturan firewall VPC tidak memiliki tindakan goto_next atau apply_security_profile_group eksplisit. Aturan firewall VPC hanya dapat dikonfigurasi untuk mengizinkan atau menolak traffic.

   • Dua aturan firewall VPC atau lebih dalam jaringan VPC dapat memiliki nomor prioritas yang sama. Dalam situasi tersebut, aturan penolakan lebih diutamakan daripada aturan izinkan. Untuk mengetahui detail tambahan tentang prioritas aturan firewall VPC, lihat Prioritas dalam dokumentasi aturan firewall VPC.

   Jika tidak ada aturan firewall VPC yang berlaku untuk traffic, Google Cloud akan melanjutkan ke langkah berikutnya—tersirat goto_next.

5. Jika kebijakan firewall jaringan global dikaitkan dengan jaringan VPC NIC VM, Google Cloud akan mengevaluasi semua aturan yang berlaku dalam kebijakan firewall. Karena aturan dalam kebijakan firewall harus unik, aturan prioritas tertinggi yang sesuai dengan arah karakteristik traffic dan Lapisan 4 menentukan cara traffic diproses—allow, deny, apply_security_profile_group, atau goto_next—seperti yang dijelaskan pada langkah pertama.

6. Jika kebijakan firewall jaringan regional dikaitkan dengan jaringan VPC NIC VM dan region VM, Google Cloud akan mengevaluasi semua aturan yang berlaku dalam kebijakan firewall. Karena aturan dalam kebijakan firewall harus unik, aturan prioritas tertinggi yang sesuai dengan arah traffic dan karakteristik Lapisan 4 menentukan cara traffic diproses—allow, deny, atau goto_next—seperti yang dijelaskan pada langkah pertama.

7. Sebagai langkah terakhir dalam evaluasi, Google Cloud menerapkan aturan firewall izinkan traffic keluar yang tersirat dan tolak masuk tersirat.

Diagram berikut menunjukkan alur resolusi untuk aturan firewall.

Gambar 1. Alur resolusi aturan firewall (klik untuk memperbesar).

Ubah kebijakan dan urutan evaluasi aturan

Google Cloud menyediakan opsi untuk mengubah proses evaluasi aturan default dengan menukar urutan aturan firewall VPC dengan kebijakan firewall jaringan (baik global maupun regional). Saat Anda melakukan pertukaran ini, kebijakan firewall jaringan global (langkah 5) dan kebijakan firewall jaringan regional (langkah 6) dievaluasi sebelum aturan firewall VPC (langkah 4) dalam urutan evaluasi aturan.

Untuk mengubah urutan evaluasi aturan, jalankan perintah berikut untuk menetapkan atribut networkFirewallPolicyEnforcementOrder jaringan VPC ke BEFORE_CLASSIC_FIREWALL:

gcloud compute networks update VPC-NETWORK-NAME \
    --network-firewall-policy-enforcement-order BEFORE_CLASSIC_FIREWALL

Untuk mengetahui informasi selengkapnya, lihat metode networks.patch.

Aturan firewall yang efektif

Aturan kebijakan firewall hierarkis, aturan firewall VPC, serta aturan kebijakan firewall jaringan global dan regional mengontrol koneksi. Anda mungkin sebaiknya melihat semua aturan firewall yang memengaruhi setiap jaringan atau antarmuka VM.

Aturan firewall efektif jaringan

Anda dapat melihat semua aturan firewall yang diterapkan pada jaringan VPC. Daftar tersebut mencakup semua jenis aturan berikut:

• Aturan yang diwarisi dari kebijakan firewall hierarkis
• Aturan firewall VPC
• Aturan diterapkan dari kebijakan firewall jaringan global dan regional

Aturan firewall efektif instance

Anda dapat melihat semua aturan firewall yang diterapkan ke antarmuka jaringan VM. Daftar tersebut mencakup semua jenis aturan berikut:

• Aturan yang diwarisi dari kebijakan firewall hierarkis
• Aturan diterapkan dari firewall VPC antarmuka
• Aturan diterapkan dari kebijakan firewall jaringan global dan regional

Aturan ini akan diurutkan dari tingkat organisasi hingga ke jaringan VPC. Hanya aturan yang berlaku untuk antarmuka VM yang ditampilkan. Aturan dalam kebijakan lain tidak ditampilkan.

Untuk melihat aturan kebijakan firewall yang efektif dalam suatu region, lihat Mendapatkan kebijakan firewall yang efektif untuk jaringan.

Aturan yang telah ditetapkan

Saat Anda membuat kebijakan firewall hierarkis, kebijakan firewall jaringan global, atau kebijakan firewall jaringan regional, Cloud NGFW akan menambahkan aturan yang telah ditetapkan ke kebijakan tersebut. Aturan standar yang ditambahkan Cloud NGFW ke kebijakan bergantung pada cara Anda membuat kebijakan.

Jika Anda membuat kebijakan firewall menggunakan Konsol Google Cloud, Cloud NGFW akan menambahkan aturan berikut ke kebijakan baru:

1. Aturan buka berikutnya untuk rentang IPv4 pribadi
2. Aturan penolakan Threat Intelligence yang telah ditetapkan
3. Aturan penolakan geolokasi yang telah ditetapkan
4. Aturan goto-next prioritas serendah mungkin

Jika Anda membuat kebijakan firewall menggunakan Google Cloud CLI atau API, Cloud NGFW hanya akan menambahkan aturan go to-next prioritas terendah ke kebijakan.

Catatan: Aturan yang telah ditetapkan dalam kebijakan firewall ini berbeda dengan aturan firewall VPC yang tersirat dan terisi otomatis.

Semua aturan yang telah ditetapkan dalam kebijakan firewall baru dengan sengaja menggunakan prioritas rendah (angka prioritas besar) sehingga Anda dapat menggantinya dengan membuat aturan dengan prioritas yang lebih tinggi. Kecuali untuk aturan goto-next prioritas terendah yang mungkin, Anda juga dapat menyesuaikan aturan yang telah ditentukan sebelumnya.

Aturan berikutnya untuk rentang IPv4 pribadi

• Aturan keluar dengan rentang IPv4 tujuan 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, prioritas 1000, dan tindakan goto_next.

• Aturan masuk dengan rentang IPv4 sumber 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, prioritas 1001, dan tindakan goto_next.

Aturan penolakan Kecerdasan Ancaman yang telah ditetapkan

• Aturan masuk dengan daftar Threat Intelligence sumber iplist-tor-exit-nodes, prioritas 1002, dan tindakan deny.

• Aturan masuk dengan daftar Threat Intelligence sumber iplist-known-malicious-ips, prioritas 1003, dan tindakan deny.

• Aturan keluar dengan daftar Threat Intelligence tujuan iplist-known-malicious-ips, prioritas 1004, dan tindakan deny.

Untuk mempelajari Kecerdasan Ancaman lebih lanjut, lihat Kecerdasan Ancaman untuk aturan kebijakan firewall.

Aturan penolakan geolokasi yang telah ditetapkan

• Aturan masuk dengan sumber yang cocok dengan geolokasi CU,IR, KP, SY, XC, dan XD, prioritas 1005, dan tindakan deny.

Untuk mempelajari geolokasi lebih lanjut, lihat Objek geolokasi.

Aturan goto-next prioritas serendah mungkin

Anda tidak dapat mengubah atau menghapus aturan berikut:

• Aturan traffic keluar dengan rentang IPv6 tujuan ::/0, prioritas 2147483644, dan tindakan goto_next.

• Aturan masuk dengan rentang IPv6 sumber ::/0, prioritas 2147483645, dan tindakan goto_next.

• Aturan keluar dengan rentang IPv4 tujuan 0.0.0.0/0, prioritas 2147483646, dan tindakan goto_next.

• Aturan masuk dengan rentang IPv4 sumber 0.0.0.0/0, prioritas 2147483647, dan tindakan goto_next.

Langkah selanjutnya

• Untuk membuat dan mengubah kebijakan dan aturan firewall hierarkis, baca Menggunakan kebijakan firewall hierarkis.
• Untuk melihat contoh penerapan kebijakan firewall hierarkis, lihat Contoh kebijakan firewall hierarkis.
• Untuk membuat dan mengubah kebijakan dan aturan firewall jaringan global, lihat Menggunakan kebijakan firewall jaringan global.
• Untuk membuat dan mengubah kebijakan dan aturan firewall jaringan regional, lihat Menggunakan kebijakan firewall jaringan regional.