ファイアウォールポリシーのアドレスグループを構成する

このチュートリアルでは、ネットワーク内のファイアウォールポリシーのアドレスグループを作成して構成する方法について説明します。ここでは、サブネットを持つ Virtual Private Cloud（VPC）ネットワークを作成し、プロジェクトスコープのアドレスグループを作成します。さらに、アドレスグループとファイアウォールルールを使用するファイアウォールポリシーを設定して、ファイアウォールルールをテストします。詳細については、ファイアウォールポリシーのアドレスグループをご覧ください。

目標

このチュートリアルでは、次のタスクを行う方法を説明します。

サブネットを持つ 2 つのカスタム VPC ネットワークを作成します。
3 つの仮想マシン（VM）インスタンスを作成します。1 つの VPC ネットワークの別々のサブネットに 2 つのコンシューマー VM を作成し、2 番目の VPC ネットワークにプロデューサー VM を作成します。すべての VM は外部 IP アドレスなしで作成されます。
Apache サーバーをサーバー VM にインストールします。
VPC ネットワークピアリングを作成します。
Cloud Router と Cloud NAT ゲートウェイを作成して、プロデューサー VM が公共のインターネットにアクセスできるようにします。
プロジェクトスコープのアドレスグループを作成します。
次のルールを使用してグローバルネットワークファイアウォールポリシーを作成します。
- VM との Identity-Aware Proxy（IAP）の SSH 接続を許可します。
- プロジェクトスコープのアドレスグループを使用して、許可されたコンシューマー VM からプロデューサー VM へのトラフィックを許可します。
接続をテストします。

次の図は、2 つのカスタム VPC ネットワーク内の us-central1 リージョンのプロデューサー VM とコンシューマー VM 間のトラフィックを示しています。グローバルネットワークファイアウォールポリシーは、プロジェクトスコープのアドレスグループルールを使用して、vm-consumer-allowed VM と vm-producer VM 間の上り（内向き）トラフィックを許可します。すべての VM には、すべてのトラフィックを拒否する暗黙的な上り（内向き）ファイアウォールルールがあるため、vm-consumer-blocked VM と vm-producer VM 間のトラフィックは拒否されます。

サブネットから別の VPC ネットワーク内のターゲット VM への上り（内向き）トラフィックを許可するグローバルネットワークファイアウォールポリシー。 — サブネットから別の VPC ネットワーク内のターゲット VM への上り（内向き）トラフィックを許可するグローバルネットワークファイアウォールポリシー（クリックして拡大）

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

プロジェクトで Compute Engine API を有効にします。
Compute ネットワーク管理者のロール（roles/compute.networkAdmin）があることを確認します。
プロジェクトで Identity-Aware Proxy API を有効にします。
コマンドラインから作業する場合は、Google Cloud CLI をインストールします。ツールのコンセプトとインストールについては、gcloud CLI の概要をご覧ください。

注: Google Cloud CLI を初めて実行する場合は、gcloud init コマンドを実行して gcloud CLI ディレクトリを初期化します。

サブネットを持つコンシューマー VPC ネットワークを作成する

このセクションでは、2 つの IPv4 サブネット（subnet-consumer-allowed と subnet-consumer-blocked）を持つコンシューマー VPC ネットワークを作成します。

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「vpc-consumer」と入力します。
[サブネット作成モード] で [カスタム] を選択します。
[新しいサブネット] セクションで、サブネットに次の構成パラメータを指定します。
- 名前: subnet-consumer-allowed
- リージョン: us-central1
- IPv4 範囲: 192.168.10.0/29
[完了] をクリックします。
[サブネットを追加] をクリックし、次の構成パラメータを指定します。
- 名前: subnet-consumer-blocked
- リージョン: us-central1
- IPv4 範囲: 192.168.20.0/29
[完了] をクリックします。
[作成] をクリックします。

gcloud

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell
VPC ネットワークを作成するには、次のコマンドを実行します。
```
gcloud compute networks create vpc-consumer \
  --subnet-mode=custom
```
[Cloud Shell の承認] ダイアログで、[承認] をクリックします。

サブネットを作成するには、次のコマンドを実行します。

gcloud compute networks subnets create subnet-consumer-allowed \
  --network=vpc-consumer \
  --region=us-central1 \
  --range=192.168.10.0/29

別のサブネットを作成するには、次のコマンドを実行します。

gcloud compute networks subnets create subnet-consumer-blocked \
  --network=vpc-consumer \
  --region=us-central1 \
  --range=192.168.20.0/29

サブネットを持つプロデューサー VPC ネットワークを作成する

このセクションでは、IPv4 サブネットを持つプロデューサー VPC ネットワークを作成します。

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「vpc-producer」と入力します。
[サブネット作成モード] で [カスタム] を選択します。
[新しいサブネット] セクションで、サブネットに次の構成パラメータを指定します。
- 名前: subnet-vpc-producer
- リージョン: us-central1
- IPv4 範囲: 172.16.10.0/29
[完了] をクリックします。
[作成] をクリックします。

gcloud

VPC ネットワークを作成するには、次のコマンドを実行します。
```
gcloud compute networks create vpc-producer \
  --subnet-mode=custom
```

サブネットを作成するには、次のコマンドを実行します。

gcloud compute networks subnets create subnet-vpc-producer \
  --network=vpc-producer \
  --region=us-central1 \
  --range=172.16.10.0/29

Cloud Router と Cloud NAT ゲートウェイを作成する

vm-producer VM が公共のインターネットにアクセスできるように、Cloud Router と Cloud NAT ゲートウェイを作成します。

コンソール

Google Cloud コンソールで、[Cloud NAT] ページに移動します。

[Cloud NAT] に移動
[開始] または [Cloud NAT ゲートウェイを作成] をクリックします。
[ゲートウェイ名] に「nat-gateway-addressgrp」と入力します。
[NAT タイプ] で、[パブリック] を選択します。
[Cloud Router の選択] セクションで、次の構成パラメータを指定します。
- ネットワーク: vpc-producer
- リージョン: us-central1 (lowa)
- Cloud Router: [新しいルーターを作成] をクリックします。
  1. [名前] に「router-addressgrp」と入力します。
  2. [作成] をクリックします。
[作成] をクリックします。

gcloud

Cloud Router を作成するには、次のコマンドを実行します。

gcloud compute routers create router-addressgrp \
  --network=vpc-producer \
  --region=us-central1

Cloud NAT ゲートウェイを作成するには、次のコマンドを実行します。

gcloud compute routers nats create nat-gateway-addressgrp \
  --router=router-addressgrp \
  --region=us-central1 \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges

VM を作成する

前のセクションで作成した VPC ネットワークの各サブネットに、外部 IP アドレスのない VM を作成します。

コンシューマーが許可した VPC ネットワークに VM を作成する

subnet-consumer-allowed サブネットに VM を作成します。

コンソール

Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

[インスタンスの作成] に移動
[名前] に「vm-consumer-allowed」と入力します。
[リージョン] で us-central1 (Iowa) を選択します。
[詳細オプション] を開き、[ネットワーキング] を開きます。
[ネットワークインターフェース] セクションで [default] を開き、次の構成パラメータを指定します。
- ネットワーク: vpc-consumer
- サブネットワーク: subnet-consumer-allowed IPv4 (192.168.10.0/29)
- 外部 IPv4 アドレス: なし
[完了] をクリックします。
[作成] をクリックします。

gcloud

gcloud compute instances create vm-consumer-allowed \
     --network=vpc-consumer \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-consumer-allowed

コンシューマーがブロックした VPC ネットワークに VM を作成する

このセクションでは、subnet-consumer-blocked サブネットに VM を作成します。

コンソール

Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

[インスタンスの作成] に移動
[名前] に「vm-consumer-blocked」と入力します。
[リージョン] で us-central1 (Iowa) を選択します。
[詳細オプション] を開き、[ネットワーキング] を開きます。
[ネットワークインターフェース] セクションで [default] を開き、次の構成パラメータを指定します。
- ネットワーク: vpc-consumer
- サブネットワーク: subnet-consumer-blocked IPv4 (192.168.20.0/29)
- 外部 IPv4 アドレス: なし
[完了] をクリックします。
[作成] をクリックします。

gcloud

gcloud compute instances create vm-consumer-blocked \
    --network=vpc-consumer \
    --zone=us-central1-a \
    --stack-type=IPV4_ONLY \
    --no-address \
    --subnet=subnet-consumer-blocked

プロデューサー VPC ネットワークに VM を作成する

サブネット subnet-vpc-producer に VM を作成し、Apache サーバーをインストールします。

コンソール

Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

[インスタンスの作成] に移動
[名前] に「vm-producer」と入力します。
[リージョン] で us-central1 (Iowa) を選択します。
[詳細オプション] を開き、[ネットワーキング] を開きます。
[ネットワークインターフェース] セクションで [default] を開き、次の構成パラメータを指定します。
- ネットワーク: vpc-producer
- サブネットワーク: subnet-vpc-producer IPv4 (172.16.10.0/29)
[完了] をクリックします。
[管理] セクションを開きます。

[自動化] セクションの [起動スクリプト] フィールドに、次のスクリプトを入力します。

  #! /bin/bash
  apt-get update
  apt-get install apache2 -y
  a2ensite default-ssl
  a2enmod ssl
  # Read VM network configuration:
  md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
  vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
  filter="{print \$NF}"
  vm_network="$(curl $md_vm/network-interfaces/0/network \
  -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
  vm_zone="$(curl $md_vm/zone \
  -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
  # Apache configuration:
  echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
  tee /var/www/html/index.html
  systemctl restart apache2

上記のスクリプトは、この VM に Apache ウェブサーバーをデプロイして起動します。

[作成] をクリックします。

gcloud

プロデューサー VM を作成するには、次のコマンドを実行します。

  gcloud compute instances create vm-producer \
      --network=vpc-producer \
      --zone=us-central1-a \
      --stack-type=IPV4_ONLY \
      --no-address \
      --subnet=subnet-vpc-producer \
      --image-project=debian-cloud \
      --image-family=debian-10 \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        # Read VM network configuration:
        md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
        vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
        filter="{print \$NF}"
        vm_network="$(curl $md_vm/network-interfaces/0/network \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        vm_zone="$(curl $md_vm/zone \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        # Apache configuration:
        echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
        tee /var/www/html/index.html
        systemctl restart apache2'

VPC ネットワークピアリング接続を作成する

同じプロジェクト内の vpc-consumer と vpc-producer VPC ネットワークを非公開で接続するには、VPC ネットワークピアリングを使用します。VPC ネットワークピアリングを使用すると、VPC ネットワークが同じプロジェクトまたは組織に属しているかどうかにかかわらず、2 つの VPC ネットワーク間で内部 IP アドレス接続を使用できます。

`vpc-consumer` を `vpc-producer` とピアリングする

VPC ネットワークピアリングを正常に確立するには、vpc-consumer ネットワークと vpc-producer ネットワークのピアリング関係を個別に構成する必要があります。

コンソール

vpc-consumer ネットワークと vpc-producer ネットワークの間に VPC ネットワークピアリングを作成する手順は次のとおりです。

Google Cloud コンソールで、[VPC ネットワークピアリング] ページに移動します。

[VPC ネットワークピアリング] に移動
[接続を作成] をクリックします。
[続行] をクリックします。
[名前] フィールドに「peering-cp」と入力します。
[VPC ネットワーク] で [vpc-consumer] を選択します。
[VPC ネットワークの名前] で [vpc-producer] を選択します。
[作成] をクリックします。

注: この時点では、vpc-producer ネットワークに一致する構成がないため、ピアリング状態は INACTIVE のままです。

gcloud

vpc-consumer と vpc-producer の間に VPC ネットワークピアリングを作成するには、次のコマンドを実行します。

gcloud compute networks peerings create peering-cp \
    --network=vpc-consumer \
    --peer-network=vpc-producer \
    --stack-type=IPV4_ONLY

`vpc-producer` ネットワークを `vpc-consumer` ネットワークとピアリングする

コンソール

vpc-producer と vpc-consumer の間に VPC ネットワークピアリングを作成する手順は次のとおりです。

Google Cloud コンソールで、[VPC ネットワークピアリング] ページに移動します。

[VPC ネットワークピアリング] に移動
[接続を作成] をクリックします。
[続行] をクリックします。
[名前] フィールドに「peering-pc」と入力します。
[VPC ネットワーク] で [vpc-producer] を選択します。
[VPC ネットワークの名前] で [vpc-consumer] を選択します。
[作成] をクリックします。

注: ピアリングが ACTIVE 状態になるとすぐに、サブネットルートとカスタムルートが交換されます。

gcloud

vpc-producer と vpc-consumer の間に VPC ネットワークピアリングを作成するには、次のコマンドを実行します。

gcloud compute networks peerings create peering-pc \
    --network=vpc-producer \
    --peer-network=vpc-consumer \
    --stack-type=IPV4_ONLY

グローバルネットワークファイアウォールポリシーを作成して IAP を有効にする

IAP を有効にするには、グローバルネットワークファイアウォールポリシーを作成し、ファイアウォールルールを追加します。IAP により、VM インスタンスに対する管理者権限が付与されます。

ファイアウォールルールには次の特徴があります。

IP 範囲 35.235.240.0/20 からの上り（内向き）トラフィック。この範囲には、IAP が TCP 転送に使用するすべての IP アドレスが含まれています。
IAP TCP 転送でアクセス可能にするすべてのポートへの接続（SSH の場合はポート 22 など）。

コンソール

次の手順で、IAP が vpc-consumer ネットワークと vpc-producer ネットワーク内のすべての VM インスタンスにアクセスできるようにします。

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ファイアウォールポリシーを作成] をクリックします。
[ポリシーの構成] セクションの [ポリシー名] に「fw-policy-addressgrp」と入力します。
[デプロイのスコープ] で [グローバル] を選択し、[続行] をクリックします。
ポリシーのルールを作成するには、[ルールを追加] セクションで [ルールを追加] をクリックします。
1. [優先度] に「100」と入力します。
2. [トラフィックの方向] で [上り（内向き）] をオンにします。
3. [一致したときのアクション] で [許可] をオンにします。
4. [ターゲット] セクションの [ターゲットタイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。
5. [送信元] セクションの [IP 範囲] に「35.235.240.0/20」と入力します。
6. [プロトコルとポート] セクションで、[指定したプロトコルとポート] を選択します。
7. [TCP] チェックボックスをオンにし、[ポート] に「22」と入力します。
8. [作成] をクリックします。
[続行] をクリックします。
VPC ネットワークをポリシーに関連付けるには、[ポリシーと VPC ネットワークの関連付け] セクションで [関連付け] をクリックします。
vpc-producer と vpc-consumer のチェックボックスをオンにして、[関連付け] をクリックします。
[続行] をクリックします。
[作成] をクリックします。

gcloud

IAP が vpc-producer ネットワーク内の VM インスタンスにアクセスできるようにするには、次のコマンドを実行します。

ファイアウォールポリシーを作成するには、次のコマンドを実行します。
```
gcloud compute network-firewall-policies create fw-policy-addressgrp \
    --global
```

すべての宛先へのトラフィックを許可し、ログを有効にするファイアウォールルールを作成するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 100 \
    --firewall-policy=fw-policy-addressgrp \
    --direction=INGRESS \
    --action=ALLOW \
    --layer4-configs=tcp:22 \
    --src-ip-ranges=35.235.240.0/20 \
    --global-firewall-policy

ファイアウォールポリシーをプロデューサー VPC ネットワークに関連付けるには、次のコマンドを実行します。

gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy-addressgrp \
    --network=vpc-producer \
    --name=pol-association-vpc-producer \
    --global-firewall-policy

ファイアウォールポリシーをコンシューマー VPC ネットワークに関連付けるには、次のコマンドを実行します。

gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy-addressgrp \
    --network=vpc-consumer \
    --name=pol-association-vpc-consumer \
    --global-firewall-policy

プロジェクトスコープのアドレスグループを作成する

vpc-consumer VPC ネットワークの subnet-consumer-allowed サブネットに割り当てられた IP アドレスを使用する、プロジェクトスコープのアドレスグループを作成します。

プロジェクトスコープのアドレスグループの詳細については、ファイアウォールポリシーでアドレスグループを使用するをご覧ください。

コンソール

Google Cloud コンソールで、[アドレスグループ] ページに移動します。

[アドレスグループ] に移動
[アドレスグループを作成] をクリックします。
[名前] フィールドに「address-group-pc」と入力します。
[スコープ] で [グローバル] を選択します。
[タイプ] で [IPv4] を選択します。
[容量] フィールドに「1000」と入力します。
[IP アドレス] フィールドに「192.168.10.0/29」と入力します。
[作成] をクリックします。

gcloud

Cloud Shell ターミナルを初めて使用する場合は、Google Cloud コンソールで「Cloud Shell をアクティブにする」をクリックします。

アドレスグループを作成するには、次のコマンドを実行します。

gcloud network-security address-groups create address-group-pc \
    --type IPv4 \
    --capacity 1000 \
    --location global

[Cloud Shell の承認] ダイアログで、[承認] をクリックします。
アイテムをアドレスグループに追加するには、次のコマンドを実行します。
```
gcloud network-security address-groups add-items address-group-pc \
    --items 192.168.10.0/29 \
    --location global
```
IP 範囲 192.168.10.0/29 は、vpc-consumer VPC ネットワークの subnet-consumer-allowed サブネットに割り当てられます。

アドレスグループへのトラフィックを許可するファイアウォールルールを追加する

vm-consumer-allowed VM からの上り（内向き）接続を許可するには、プロジェクトスコープのアドレスグループ address-group-pc を送信元 IP アドレスとして追加するファイアウォールルールを作成します。

コンソール

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、[fw-policy-addressgrp] をクリックします。
[ルールを作成] をクリックします。
[優先度] に「150」と入力します。
[トラフィックの方向] で [上り（内向き）] をオンにします。
[一致したときのアクション] で [許可] をオンにします。
[ログ] で [オン] を選択します。
[ターゲット] セクションの [ターゲットタイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。
[送信元] セクションの [アドレスグループ] で、[address-group-pc (PROJECT_ID)] を選択して [OK] をクリックします。

address-group-pc IP アドレスグループには、コンシューマー VPC ネットワークのサブネット subnet-consumer-allowed に割り当てられた 192.168.10.0/29 の IP 範囲が含まれます。
[作成] をクリックします。

gcloud

ファイアウォールポリシーを更新するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 150 \
    --firewall-policy=fw-policy-addressgrp \
    --direction=INGRESS \
    --action=ALLOW \
    --src-address-groups=projects/PROJECT_ID/locations/global/addressGroups/address-group-pc \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

接続をテストする

vm-consumer-allowed VM から vm-producer VM への接続と、vm-consumer-blocked VM から vm-producer VM への接続をテストします。

`vm-consumer-allowed` VM から `vm-producer` VM へのトラフィックをテストする

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
vm-producer VM の [内部 IP] 列から、VM の内部 IP アドレスをコピーします。
vm-consumer-allowed VM の [接続] 列で [SSH] をクリックします。
[ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。
接続を確認するには、次のコマンドを実行します。
```
curl INTERNAL_IP -m 2
```
INTERNAL_IP は、vm-producer VM の IP アドレスに置き換えます。

出力は次のようになります。

<!doctype html><html><body><h1>Hello World!</h1></body></html>
[ブラウザでの SSH] ダイアログを閉じます。

gcloud

vm-producer VM の内部 IP アドレスを表示するには、次のコマンドを実行します。
```
gcloud compute instances describe vm-producer \
   --zone=us-central1-a \
   --format='get(networkInterfaces[0].networkIP)'
```
プロンプトが表示されたら、n キーを押して確定し、Enter キーを押します。vm-producer VM の内部 IP アドレスをメモしてください。
SSH を使用して vm-consumer-allowed VM に接続するには、次のコマンドを実行します。
```
gcloud compute ssh vm-consumer-allowed \
   --zone=us-central1-a \
   --tunnel-through-iap
```
注: vm-consumer-allowed VM への SSH 接続が確立している間は、警告メッセージはすべて無視してください。
接続を確認するには、次のコマンドを実行します。
```
curl INTERNAL_IP -m 2
```
INTERNAL_IP は、vm-producer VM の内部 IP アドレスに置き換えます。

想定されるレスポンスメッセージは次のとおりです。

<!doctype html><html><body><h1>Hello World!</h1></body></html>
SSH 接続を終了するには、「exit」と入力します。

`vm-consumer-blocked` VM から `vm-producer` VM へのトラフィックをテストする

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
vm-producer VM の [内部 IP] 列から、VM の内部 IP アドレスをコピーします。
vm-consumer-blocked VM の [接続] 列で [SSH] をクリックします。
[ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。
接続を確認するには、次のコマンドを実行します。
```
curl INTERNAL_IP -m 2
```
INTERNAL_IP は、vm-producer VM の IP アドレスに置き換えます。

どの VM にも、すべてのトラフィックを拒否する暗黙的な上り（内向き）ファイアウォールルールが作成されるため、「Connection timed out」というメッセージが返されるのは想定の動作です。トラフィックを許可するには、ファイアウォールポリシーに上り（内向き）ルールを追加します。
[ブラウザでの SSH] ダイアログを閉じます。

gcloud

vm-producer VM の内部 IP アドレスを表示するには、次のコマンドを実行します。
```
gcloud compute instances describe vm-producer \
   --zone=us-central1-a \
   --format='get(networkInterfaces[0].networkIP)'
```
プロンプトが表示されたら、n キーを押して確定し、Enter キーを押します。vm-producer VM の内部 IP アドレスをメモしてください。
SSH を使用して vm-consumer-blocked VM に接続するには、次のコマンドを実行します。
```
gcloud compute ssh vm-consumer-blocked \
   --zone=us-central1-a \
   --tunnel-through-iap
```
注: vm-consumer-blocked VM への SSH 接続が確立している間は、警告メッセージはすべて無視してください。
接続を確認するには、次のコマンドを実行します。
```
curl INTERNAL_IP -m 2
```
INTERNAL_IP は、vm-producer VM の内部 IP アドレスに置き換えます。

どの VM にも、すべてのトラフィックを拒否する暗黙的な上り（内向き）ファイアウォールルールが作成されるため、「Connection timed out」というメッセージが返されるのは想定の動作です。トラフィックを許可するには、ファイアウォールポリシーに上り（内向き）ルールを追加します。
SSH 接続を終了するには、「exit」と入力します。

ログを確認する

アドレスグループのファイアウォールルールが上り（内向き）トラフィックに適用されたことを確認するには、ログにアクセスします。次の手順でログを確認します。

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、fw-policy-addressgrp 名をクリックします。
[ヒットカウント] 列で、アドレスグループへのトラフィックを許可するファイアウォールルールを追加するで作成したルールの数を選択します。[ログエクスプローラ] ページが開きます。
上り（内向き）トラフィックに適用されたファイアウォールルールを確認するには、個々のログを開きます。ルールの詳細、処理、インスタンスの詳細を確認できます。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

このチュートリアルで作成したリソースを削除するには、次の操作を行います。

アドレスグループを削除する

コンソール

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、[fw-policy-addressgrp] をクリックします。
[ファイアウォールルール] セクションで、ファイアウォールルール 150 のチェックボックスをオンにします。
[削除] をクリックします。
Google Cloud コンソールで、[アドレスグループ] ページに移動します。

[アドレスグループ] に移動
[アドレスグループ] セクションで、address-group-pc の横にあるチェックボックスをオンにします。
[ 削除] をクリックします。確認のため、もう一度 [削除] をクリックします。

gcloud

address-group-pc IP アドレスグループに関連付けられたファイアウォールルールを削除するには、次のコマンドを実行します。
```
gcloud compute network-firewall-policies rules delete 150 \
    --firewall-policy fw-policy-addressgrp \
    --global-firewall-policy
```

アドレスグループから既存のアイテムを削除するには、次のコマンドを実行します。

gcloud network-security address-groups remove-items address-group-pc \
    --items 192.168.10.0/29 \
    --location global

IP アドレスグループを削除するには、次のコマンドを実行します。
```
gcloud network-security address-groups delete address-group-pc \
    --location global
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

ファイアウォールポリシーを削除する

コンソール

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、fw-policy-addressgrp 名をクリックします。
[関連付け] タブをクリックします。
vpc-producer VM と vpc-consumer VM のチェックボックスをオンにして、[関連付けを削除] をクリックします。
[ファイアウォールポリシーの関連付けの削除] ダイアログで、[削除] をクリックします。
fw-policy-addressgrp の横にある [削除] をクリックします。
[ファイアウォールポリシーの削除] ダイアログで、[削除] をクリックします。

gcloud

ファイアウォールポリシーと VPC プロデューサーネットワークの関連付けを削除します。
```
gcloud compute network-firewall-policies associations delete \
  --name=pol-association-vpc-producer \
  --firewall-policy=fw-policy-addressgrp \
  --global-firewall-policy
```
注: Google Cloud コンソールを使用してファイアウォールポリシーと VPC ネットワークの関連付けを設定した場合は、gcloud CLI コマンドで関連付けを削除しないでください。関連付けの作成方法がわからない場合や、コマンドを実行したときに The network firewall policy does not have an association with pol-association-vpc-consumer. エラーが発生した場合は、Google Cloud コンソールで関連付けを削除してください。

ファイアウォールポリシーと VPC コンシューマーネットワークの関連付けを削除します。

gcloud compute network-firewall-policies associations delete \
  --name=pol-association-vpc-consumer \
  --firewall-policy=fw-policy-addressgrp \
  --global-firewall-policy

ファイアウォールポリシーを削除します。

gcloud compute network-firewall-policies delete fw-policy-addressgrp \
    --global

VPC ネットワークピアリングを削除する

コンソール

Google Cloud コンソールで、[VPC ネットワークピアリング] ページに移動します。

[VPC ネットワークピアリング] に移動
peering-cp と peering-pc のチェックボックスをオンにします。
[削除] をクリックします。
[2 個のピアリングを削除しますか？] ダイアログで、[削除] をクリックします。

gcloud

コンシューマー VPC とプロデューサー VPC の間のピアリングを削除するには、次のコマンドを実行します。
```
gcloud compute networks peerings delete peering-cp \
    --network=vpc-consumer
```
プロデューサー VPC とコンシューマー VPC の間のピアリングを削除するには、次のコマンドを実行します。
```
gcloud compute networks peerings delete peering-pc \
    --network=vpc-producer
```

Cloud NAT ゲートウェイと Cloud Router を削除する

コンソール

Google Cloud コンソールで [Cloud Router] ページに移動します。

[Cloud Router] に移動
[router-addressgrp] チェックボックスをオンにします。
[削除] をクリックします。
[Router-addressgrp の削除] ダイアログで、[削除] をクリックします。

Cloud Router を削除すると、関連する Cloud NAT ゲートウェイも削除されます。

gcloud

router-addressgrp Cloud Router を削除するには、次のコマンドを実行します。

gcloud compute routers delete router-addressgrp \
    --region=us-central1

プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

Cloud Router を削除すると、関連する Cloud NAT ゲートウェイも削除されます。

VM を削除する

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
vm-consumer-allowed VM、vm-consumer-blocked VM、vm-producer VM のチェックボックスをオンにします。
[削除] をクリックします。
[3 個のインスタンスを削除しますか？] ダイアログで、[削除] をクリックします。

gcloud

すべての VM を削除するには、次のコマンドを実行します。
```
gcloud compute instances delete vm-consumer-allowed vm-consumer-blocked vm-producer \
    --zone=us-central1-a
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

コンシューマー VPC ネットワークとそのサブネットを削除する

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[名前] 列で [vpc-consumer] をクリックします。
[VPC ネットワークの削除] をクリックします。
[ネットワークの削除] ダイアログで [削除] をクリックします。

VPC を削除すると、そのサブネットも削除されます。

gcloud

vpc-consumer VPC ネットワークのサブネットを削除するには、次のコマンドを実行します。
```
gcloud compute networks subnets delete subnet-consumer-allowed subnet-consumer-blocked \
   --region=us-central1
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。
次のコマンドを実行して、vpc-consumer VPC ネットワークを作成します。
```
gcloud compute networks delete vpc-consumer
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

プロデューサー VPC ネットワークとそのサブネットを削除する

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[名前] 列で [vpc-producer] をクリックします。
[VPC ネットワークの削除] をクリックします。
[ネットワークの削除] ダイアログで [削除] をクリックします。

VPC を削除すると、そのサブネットも削除されます。

gcloud

vpc-producer VPC ネットワークのサブネットを削除するには、次のコマンドを実行します。
```
gcloud compute networks subnets delete subnet-vpc-producer \
   --region=us-central1
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。
次のコマンドを実行して、vpc-producer VPC ネットワークを作成します。
```
gcloud compute networks delete vpc-producer
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

次のステップ

ファイアウォールポリシーのコンセプトについては、ファイアウォールポリシーをご覧ください。
ファイアウォールポリシールールのコンセプトについては、ファイアウォールポリシールールをご覧ください。
VPC ファイアウォールルールを作成、更新、モニタリング、削除するには、VPC ファイアウォールルールを使用するをご覧ください。
費用を確認するには、Cloud NGFW の料金をご覧ください。

ファイアウォール ポリシーのアドレス グループを構成する

目標

始める前に

サブネットを持つコンシューマー VPC ネットワークを作成する

コンソール

gcloud

サブネットを持つプロデューサー VPC ネットワークを作成する

コンソール

gcloud

Cloud Router と Cloud NAT ゲートウェイを作成する

コンソール

gcloud

VM を作成する

コンシューマーが許可した VPC ネットワークに VM を作成する

コンソール

gcloud

コンシューマーがブロックした VPC ネットワークに VM を作成する

コンソール

gcloud

プロデューサー VPC ネットワークに VM を作成する

コンソール

gcloud

VPC ネットワーク ピアリング接続を作成する

vpc-consumer を vpc-producer とピアリングする

コンソール

gcloud

vpc-producer ネットワークを vpc-consumer ネットワークとピアリングする

コンソール

gcloud

グローバル ネットワーク ファイアウォール ポリシーを作成して IAP を有効にする

コンソール

gcloud

プロジェクト スコープのアドレス グループを作成する

コンソール

gcloud

アドレス グループへのトラフィックを許可するファイアウォール ルールを追加する

コンソール

gcloud

接続をテストする

vm-consumer-allowed VM から vm-producer VM へのトラフィックをテストする

コンソール

gcloud

vm-consumer-blocked VM から vm-producer VM へのトラフィックをテストする

コンソール

gcloud

ログを確認する

クリーンアップ

アドレス グループを削除する

コンソール

gcloud

ファイアウォール ポリシーを削除する

コンソール

gcloud

VPC ネットワーク ピアリングを削除する

コンソール

gcloud

Cloud NAT ゲートウェイと Cloud Router を削除する

コンソール

gcloud

VM を削除する

コンソール

gcloud

コンシューマー VPC ネットワークとそのサブネットを削除する

コンソール

gcloud

プロデューサー VPC ネットワークとそのサブネットを削除する

コンソール

gcloud

次のステップ

ファイアウォールポリシーのアドレスグループを構成する

VPC ネットワークピアリング接続を作成する

`vpc-consumer` を `vpc-producer` とピアリングする

`vpc-producer` ネットワークを `vpc-consumer` ネットワークとピアリングする

グローバルネットワークファイアウォールポリシーを作成して IAP を有効にする

プロジェクトスコープのアドレスグループを作成する

アドレスグループへのトラフィックを許可するファイアウォールルールを追加する

`vm-consumer-allowed` VM から `vm-producer` VM へのトラフィックをテストする

`vm-consumer-blocked` VM から `vm-producer` VM へのトラフィックをテストする

アドレスグループを削除する

ファイアウォールポリシーを削除する

VPC ネットワークピアリングを削除する