グローバルおよびリージョン ネットワーク ファイアウォール ポリシーの例

このページでは、グローバル ネットワーク ファイアウォール ポリシーとリージョン ネットワーク ファイアウォール ポリシーの実装例を示します。ここでは、グローバル ネットワーク ファイアウォール ポリシーとリージョン ネットワーク ファイアウォール ポリシーに記載されているコンセプトに精通していることを前提としています。

1 つのグローバル ネットワーク ファイアウォール ポリシーと複数のリージョン ネットワーク ファイアウォール ポリシーを Virtual Private Cloud（VPC）ネットワークに接続できます。グローバル ネットワーク ファイアウォール ポリシーは、VPC ネットワークのすべてのリージョン内のすべてのサブネットワークに適用されます。リージョン ネットワーク ファイアウォール ポリシーは、ターゲット リージョン内の VPC ネットワークのサブネットワークにのみ適用されます。

図 1 は、VPC ネットワーク内のグローバル ネットワーク ファイアウォール ポリシーとリージョン ネットワーク ファイアウォール ポリシーのスコープを示しています。

図 1. グローバルおよびリージョン ネットワーク ファイアウォール ポリシーのスコープ。

例: 特定のポートへの接続を除き、すべての外部接続を拒否する

このユースケースでは、グローバル ネットワーク ファイアウォール ポリシーによって、宛先ポート 80、443、22 での接続を除き、外部インターネット ソースからのすべての接続がブロックされます。80、443、22 以外のポートでの上り（内向き）インターネット接続はブロックされます。ルールの適用は、ポート 80、443、22 での任意の接続のリージョン ネットワーク ファイアウォール ポリシーに委任されます。

この例では、リージョン ネットワーク ファイアウォール ポリシーが region-a に適用され、送信元 10.2.0.0/16 からの内部トラフィックと、任意の送信元からポート 443 および 80 への上り（内向き）トラフィックが許可されます。図 2 は、このユースケースの構成を示しています。

図 2. 特定の宛先ポートへの接続を除き、すべての外部接続を拒否します。

VM に適用される有効なポリシー

このセクションでは、階層全体のルールを評価した後、この例に適用できる有効なネットワーク ファイアウォール ポリシーについて説明します。

上り（内向き）接続

• 10.0.0.0/8 からの上り（内向き）接続は、優先度の最も高いグローバル ネットワーク ファイアウォール ポリシー ルール delegate-internal-traffic と一致し、グローバル ネットワーク ファイアウォール ポリシーの残りのルールをバイパスします。リージョン ネットワーク ファイアウォール ポリシー ルールでは、10.2.0.0/16 からの上り（内向き）接続が許可され、残りの接続は暗黙の上り（内向き）deny ルールに対して評価されます。

• 送信元 IP 範囲が 10.0.0.0/8 で、宛先ポート 22、80、443 の上り（内向き）接続は、リージョン ネットワーク ファイアウォール ポリシー ルール レベルに委任されます。リージョン ネットワーク ファイアウォール ポリシー ルールでは、ポート 80 と 443 は許可されますが、ポート 22 は許可されません。

下り（外向き）接続

• グローバル ネットワーク ファイアウォール ポリシールールに一致するものはありません。このため、暗黙的なシステムルールが適用され、下り（外向き）接続が許可されます。

構成方法

1. 次のルールを含むグローバル ネットワーク ファイアウォール ポリシーを作成します。

   gcloud compute network-firewall-policies create \
       "example-firewall-policy-global" --global \
       --description "Global network firewall policy with rules that apply to all VMs in the VPC network"
   

2. ポリシーを VPC ネットワークに関連付けます。

   gcloud compute network-firewall-policies associations create \
       --firewall-policy example-firewall-policy-global \
       --network my-example-vpc \
       --global-firewall-policy
   

3. 10.0.0.0/8 からの上り（内向き）接続に一致するルールを追加します。

   gcloud compute network-firewall-policies rules create 1000 \
       --action goto_next \
       --description "delegate-internal-traffic" \
       --layer4-configs all \
       --firewall-policy example-firewall-policy-global \
       --src-ip-ranges 10.0.0.0/8 \
       --global-firewall-policy
   

4. 特定のポートから外部トラフィックを委任するルールを追加します。

   gcloud compute network-firewall-policies rules create 2000 \
       --action goto_next \
       --description "delegate-external-traffic-spec-ports" \
       --layer4-configs tcp:80,tcp:443,tcp:22 \
       --firewall-policy example-firewall-policy-global \
       --src-ip-ranges 0.0.0.0/0 \
       --global-firewall-policy
   

5. 残りのすべての上り（内向き）トラフィックをブロックするルールを追加します。

   gcloud compute network-firewall-policies rules create 3000 \
       --action deny \
       --description "block-external-traffic-spec-ports" \
       --firewall-policy example-firewall-policy-global \
       --src-ip-ranges 0.0.0.0/0 \
       --layer4-configs all \
       --global-firewall-policy
   

6. リージョン ネットワーク ファイアウォール ポリシーを作成します。

   gcloud compute network-firewall-policies create \
       example-firewall-policy-regional --region=region-a \
       --description "Regional network firewall policy with rules that apply to all VMs in region-a"
   

7. リージョン ネットワーク ファイアウォール ポリシーを VPC ネットワークに関連付け、特定のリージョンのネットワーク内の任意の VM のポリシールールを有効にします。

   gcloud compute network-firewall-policies associations create \
       --firewall-policy example-firewall-policy-regional \
       --network my-example-vpc \
       --firewall-policy-region=region-a  
   

8. リージョン ネットワーク ファイアウォール ポリシーの内部トラフィックを許可するルールを追加します。

   gcloud compute network-firewall-policies rules create 1000 \
       --action allow \
       --firewall-policy example-firewall-policy-regional \
       --description allow-internal-traffic \
       --direction INGRESS \
       --src-ip-ranges 10.2.0.0/16 \
       --layer4-configs all \
       --firewall-policy-region=region-a 
   

9. 特定のポートからの外部トラフィックを許可するルールを追加します。

   gcloud compute network-firewall-policies rules create 2000 \
       --action allow \
       --firewall-policy example-firewall-policy-regional \
       --description allow-external-traffic-spec-ports \
       --direction INGRESS \
       --layer4-configs=tcp:80,tcp:443 \
       --src-ip-ranges 0.0.0.0/0 \
       --firewall-policy-region=region-a
   

次のステップ

• グローバル ネットワーク ファイアウォール ポリシーとルールを作成および変更する。グローバル ネットワーク ファイアウォール ポリシーとルールを使用するをご覧ください。

• リージョン ネットワーク ファイアウォール ポリシーとルールを作成および変更する。リージョン ネットワーク ファイアウォール ポリシーとルールを使用するをご覧ください。