Configure grupos de endereços para políticas de firewall

Este tutorial descreve como criar e configurar grupos de endereços para políticas de firewall na sua rede. Este artigo explica um exemplo de criação de uma rede de nuvem virtual privada (VPC) com sub-redes, criação de um grupo de endereços ao nível do projeto, configuração de uma política de firewall que usa o grupo de endereços com regras de firewall e, em seguida, teste das regras de firewall. Para mais informações, consulte o artigo Grupos de endereços para políticas de firewall.

Objetivos

Este tutorial mostra como concluir as seguintes tarefas:

• Crie duas redes VPC personalizadas com sub-redes.
• Crie três instâncias de máquinas virtuais (VMs) (duas VMs de consumidor em sub-redes separadas de uma rede VPC e uma VM de produtor numa segunda rede VPC). Todas as VMs são criadas sem um endereço IP externo.
• Instale o servidor Apache na VM do produtor.
• Crie um intercâmbio da rede da VPC.
• Crie um Cloud Router e um gateway Cloud NAT que permitam à VM produtora aceder à Internet pública.
• Crie um grupo de endereços ao nível do projeto.
• Crie uma política de firewall de rede global com as seguintes regras:
  • Permita a conetividade SSH do Identity-Aware Proxy (IAP) às VMs.
  • Permita o tráfego da VM de consumidor permitida para a VM de produtor através do grupo de endereços com âmbito do projeto.
• Teste a ligação.

O diagrama seguinte mostra o tráfego entre VMs produtoras e consumidoras na região us-central1 em duas redes VPC personalizadas. Uma política de firewall de rede global usa uma regra de grupo de endereços com âmbito do projeto para permitir o tráfego de entrada entre as VMs vm-consumer-allowed e vm-producer. O tráfego entre a VM vm-consumer-blocked e a VM vm-producer é recusado porque todas as VMs têm uma regra de firewall de entrada implícita que recusa todo o tráfego.

Uma política de firewall de rede global que permite o tráfego de entrada de uma sub-rede para uma VM de destino noutra rede VPC (clique para aumentar).

Antes de começar

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Ative a API Compute Engine para o seu projeto.
2. Certifique-se de que tem a função de administrador de rede de computação (roles/compute.networkAdmin).
3. Ative a API Identity-Aware Proxy para o seu projeto.
4. Se preferir trabalhar a partir da linha de comandos, instale a CLI do Google Cloud. Para ver informações conceptuais e de instalação sobre a ferramenta, consulte a vista geral da CLI gcloud.

   Nota: se não tiver executado a CLI gcloud anteriormente, inicialize o diretório da CLI gcloud executando o comando gcloud init.

Crie uma rede VPC de consumidor com sub-redes

Nesta secção, cria uma rede VPC de consumidor com duas sub-redes IPv4: subnet-consumer-allowed e subnet-consumer-blocked.

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Clique em Criar rede de VPC.

3. Em Nome, introduza vpc-consumer.

4. Para o Modo de criação de sub-rede, selecione Personalizado.

5. Na secção Nova sub-rede, especifique os seguintes parâmetros de configuração para uma sub-rede:

   • Nome: subnet-consumer-allowed
   • Região: us-central1
   • Intervalo IPv4: 192.168.10.0/29

6. Clique em Concluído.

7. Clique em Adicionar sub-rede e especifique os seguintes parâmetros de configuração:

   • Nome: subnet-consumer-blocked
   • Região: us-central1
   • Intervalo IPv4: 192.168.20.0/29

8. Clique em Concluído.

9. Clique em Criar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

2. Para criar uma rede VPC, execute o seguinte comando:

   gcloud compute networks create vpc-consumer \
     --subnet-mode=custom
   

3. Na caixa de diálogo Autorizar Cloud Shell, clique em Autorizar.

4. Para criar uma sub-rede, execute o seguinte comando:

   gcloud compute networks subnets create subnet-consumer-allowed \
     --network=vpc-consumer \
     --region=us-central1 \
     --range=192.168.10.0/29
   

5. Para criar outra sub-rede, execute o seguinte comando:

   gcloud compute networks subnets create subnet-consumer-blocked \
     --network=vpc-consumer \
     --region=us-central1 \
     --range=192.168.20.0/29
   

Crie uma rede de VPC do produtor com sub-rede

Nesta secção, cria uma rede de VPC do produtor com uma sub-rede IPv4.

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Clique em Criar rede de VPC.

3. Em Nome, introduza vpc-producer.

4. Para o Modo de criação de sub-rede, selecione Personalizado.

5. Na secção Nova sub-rede, especifique os seguintes parâmetros de configuração para uma sub-rede:

   • Nome: subnet-vpc-producer
   • Região: us-central1
   • Intervalo IPv4: 172.16.10.0/29

6. Clique em Concluído.

7. Clique em Criar.

gcloud

1. Para criar uma rede VPC, execute o seguinte comando:

   gcloud compute networks create vpc-producer \
     --subnet-mode=custom
   

2. Para criar a sub-rede, execute o seguinte comando:

   gcloud compute networks subnets create subnet-vpc-producer \
     --network=vpc-producer \
     --region=us-central1 \
     --range=172.16.10.0/29
   

Crie um Cloud Router e um gateway do Cloud NAT

Para permitir que a VM vm-producer aceda à Internet pública, crie um Cloud Router e um gateway Cloud NAT.

Consola

1. Na Google Cloud consola, aceda à página Cloud NAT.

   Aceda ao Cloud NAT

2. Clique em Começar ou Criar gateway de NAT da nuvem.

3. Em Nome da gateway, introduza nat-gateway-addressgrp.

4. Para Tipo de NAT, selecione Público.

5. Na secção Selecionar router na nuvem, especifique os seguintes parâmetros de configuração:

   • Rede: vpc-producer
   • Região: us-central1 (lowa)
   • Cloud Router: clique em Criar novo router.
     1. Em Nome, introduza router-addressgrp.
     2. Clique em Criar.

6. Clique em Criar.

gcloud

1. Para criar um Cloud Router, execute o seguinte comando:

   gcloud compute routers create router-addressgrp \
     --network=vpc-producer \
     --region=us-central1
   

2. Para criar um gateway NAT da Cloud, execute o seguinte comando:

   gcloud compute routers nats create nat-gateway-addressgrp \
     --router=router-addressgrp \
     --region=us-central1 \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

Crie VMs

Em cada sub-rede da rede VPC que criou na secção anterior, crie VMs sem um endereço IP externo.

Crie uma VM para a rede VPC permitida pelo consumidor

Crie uma VM na sub-rede subnet-consumer-allowed.

Consola

1. Na Google Cloud consola, aceda à página Criar uma instância.

   Aceda a Criar uma instância

2. No painel Configuração da máquina, faça o seguinte:

   1. Em Nome, introduza vm-consumer-allowed.
   2. Para Região, selecione us-central1 (Iowa).

3. No menu de navegação, clique em Rede.

   1. Na secção Interfaces de rede, clique em default e especifique os seguintes parâmetros de configuração:
      • Rede: vpc-consumer
      • Subnetwork: subnet-consumer-allowed IPv4 (192.168.10.0/29)
      • Endereço IPv4 externo: Nenhum
   2. Clique em Concluído.

4. Clique em Criar.

gcloud

gcloud compute instances create vm-consumer-allowed \
     --network=vpc-consumer \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-consumer-allowed

Crie uma VM para a rede VPC bloqueada do consumidor

Nesta secção, cria uma VM na sub-rede subnet-consumer-blocked.

Consola

1. Na Google Cloud consola, aceda à página Criar uma instância.

   Aceda a Criar uma instância

2. No painel Configuração da máquina, faça o seguinte:

   1. Em Nome, introduza vm-consumer-blocked.
   2. Para Região, selecione us-central1 (Iowa).

3. No menu de navegação, clique em Rede.

   1. Na secção Interfaces de rede, clique em default e especifique os seguintes parâmetros de configuração:
      • Rede: vpc-consumer
      • Subnetwork: subnet-consumer-blocked IPv4 (192.168.20.0/29)
      • Endereço IPv4 externo: Nenhum
   2. Clique em Concluído.

4. Clique em Criar.

gcloud

gcloud compute instances create vm-consumer-blocked \
    --network=vpc-consumer \
    --zone=us-central1-a \
    --stack-type=IPV4_ONLY \
    --no-address \
    --subnet=subnet-consumer-blocked

Crie uma VM para a rede de VPC do produtor

Crie uma VM na sub-rede subnet-vpc-producer e instale um servidor Apache na mesma.

Consola

1. Na Google Cloud consola, aceda à página Criar uma instância.

   Aceda a Criar uma instância

2. No painel Configuração da máquina, faça o seguinte:

   1. Em Nome, introduza vm-producer.
   2. Para Região, selecione us-central1 (Iowa).

3. No menu de navegação, clique em Rede.

   1. Na secção Interfaces de rede, clique em default e especifique os seguintes parâmetros de configuração:
      • Rede: vpc-producer
      • Subnetwork: subnet-vpc-producer IPv4 (172.16.10.0/29)
   2. Clique em Concluído.

4. No menu de navegação, clique em Avançadas e introduza o seguinte script no campo Script de arranque:

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     # Read VM network configuration:
     md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
     vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
     filter="{print \$NF}"
     vm_network="$(curl $md_vm/network-interfaces/0/network \
     -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
     vm_zone="$(curl $md_vm/zone \
     -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
     # Apache configuration:
     echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
     tee /var/www/html/index.html
     systemctl restart apache2
   

   O script anterior implementa e inicia um servidor Web Apache nesta VM.

5. Clique em Criar.

gcloud

Para criar uma VM de produtor, execute o seguinte comando:

  gcloud compute instances create vm-producer \
      --network=vpc-producer \
      --zone=us-central1-a \
      --stack-type=IPV4_ONLY \
      --no-address \
      --subnet=subnet-vpc-producer \
      --image-project=debian-cloud \
      --image-family=debian-10 \
      --metadata=startup-script='#! /bin/bash
        apt-get update
        apt-get install apache2 -y
        a2ensite default-ssl
        a2enmod ssl
        # Read VM network configuration:
        md_vm="http://169.254.169.254/computeMetadata/v1/instance/"
        vm_hostname="$(curl $md_vm/name -H "Metadata-Flavor:Google" )"
        filter="{print \$NF}"
        vm_network="$(curl $md_vm/network-interfaces/0/network \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        vm_zone="$(curl $md_vm/zone \
        -H "Metadata-Flavor:Google" | awk -F/ "${filter}")"
        # Apache configuration:
        echo "Page on $vm_hostname in network $vm_network zone $vm_zone" | \
        tee /var/www/html/index.html
        systemctl restart apache2'

Crie uma ligação de intercâmbio de rede da VPC

Para ligar de forma privada as redes VPC vpc-consumer e vpc-producer no mesmo projeto, use o peering de redes VPC. O intercâmbio da rede da VPC permite a conetividade de endereços IP internos em duas redes da VPC, independentemente de as redes da VPC pertencerem ao mesmo projeto ou organização.

Sincronize o dispositivo vpc-consumer com o dispositivo vpc-producer

Para estabelecer com êxito o peering de redes VPC, tem de configurar separadamente a associação de peering para as redes vpc-consumer e vpc-producer.

Consola

Para criar uma interligação de redes VPC entre a rede vpc-consumer e a rede vpc-producer, siga estes passos:

1. Na Google Cloud consola, aceda à página Interligação de redes VPC.

   Aceda ao intercâmbio da rede da VPC

2. Clique em Criar associação.

3. Clique em Continuar.

4. No campo Nome, introduza peering-cp.

5. Em A sua rede de VPC, selecione vpc-consumer.

6. Em Nome da rede de VPC, selecione vpc-producer.

7. Clique em Criar.

   Nota: neste momento, o estado de peering permanece INATIVO porque não existe uma configuração correspondente na rede vpc-producer.

gcloud

Para criar o intercâmbio da rede da VPC entre vpc-consumer e vpc-producer, execute o seguinte comando:

gcloud compute networks peerings create peering-cp \
    --network=vpc-consumer \
    --peer-network=vpc-producer \
    --stack-type=IPV4_ONLY

Nota: neste momento, o estado de peering permanece INATIVO devido à ausência de uma configuração correspondente em vpc-producer.

Estabeleça uma relação de peering entre a rede vpc-producer e a rede vpc-consumer

Consola

Para criar o intercâmbio da rede da VPC entre vpc-producer e vpc-consumer, siga estes passos:

1. Na Google Cloud consola, aceda à página Interligação de redes VPC .

   Aceda ao intercâmbio da rede da VPC

2. Clique em Criar associação.

3. Clique em Continuar.

4. No campo Nome, introduza peering-pc.

5. Em A sua rede de VPC, selecione vpc-producer.

6. Em Nome da rede de VPC, selecione vpc-consumer.

7. Clique em Criar.

   Nota: assim que a interligação passa para um estado ATIVA, são trocados os trajetos de sub-rede e os trajetos personalizados.

gcloud

Para criar o intercâmbio da rede da VPC entre vpc-producer e vpc-consumer, execute o seguinte comando:

gcloud compute networks peerings create peering-pc \
    --network=vpc-producer \
    --peer-network=vpc-consumer \
    --stack-type=IPV4_ONLY

Nota: assim que a interligação passa para o estado ATIVA, são trocados os trajetos de sub-rede e os trajetos personalizados.

Crie uma política de firewall de rede global para ativar o IAP

Para ativar o IAP, crie uma política de firewall de rede global e adicione uma regra de firewall. O IAP permite o acesso administrativo às instâncias de VM.

A regra de firewall inclui as seguintes caraterísticas.

• Tráfego de entrada do intervalo de IP 35.235.240.0/20. Este intervalo contém todos os endereços IP que o IAP usa para o encaminhamento TCP.

• Uma ligação a todas as portas às quais quer aceder através do encaminhamento TCP do IAP, por exemplo, a porta 22 para SSH.

Consola

Para permitir o acesso do IAP a todas as instâncias de VM nas redes vpc-consumer e vpc-producer, siga estes passos:

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Clique em Criar política de firewall.

3. Na secção Configurar política, em Nome da política, introduza fw-policy-addressgrp.

4. Em Âmbito de implementação, selecione Global e clique em Continuar.

5. Para criar regras para a sua política, na secção Adicionar regras, clique em Adicionar regra.

   1. Para Prioridade, introduza 100.
   2. Para Direção do tráfego, selecione Entrada.
   3. Para Ação em caso de correspondência, selecione Permitir.
   4. Na secção Segmentar, para Tipo de segmentação, selecione Todas as instâncias na rede.
   5. Na secção Origem, para Intervalos IP, introduza 35.235.240.0/20.
   6. Na secção Protocolo e portas, selecione Protocolos e portas especificados.
   7. Selecione a caixa de verificação TCP e, para Portas, introduza 22.
   8. Clique em Criar.

6. Clique em Continuar.

7. Para associar uma rede VPC à política, na secção Associar política a redes VPC, clique em Associar.

8. Selecione as caixas de verificação de vpc-producer e vpc-consumer e, de seguida, clique em Associar.

9. Clique em Continuar.

10. Clique em Criar.

gcloud

Para permitir que o IAP aceda às instâncias de VM na rede vpc-producer, execute o seguinte comando:

1. Para criar uma política de firewall, execute o seguinte comando:

   gcloud compute network-firewall-policies create fw-policy-addressgrp \
       --global
   

2. Para criar uma regra de firewall que permita o tráfego para todos os destinos e ative os registos, execute o seguinte comando:

   gcloud compute network-firewall-policies rules create 100 \
       --firewall-policy=fw-policy-addressgrp \
       --direction=INGRESS \
       --action=ALLOW \
       --layer4-configs=tcp:22 \
       --src-ip-ranges=35.235.240.0/20 \
       --global-firewall-policy
   

3. Para associar a política de firewall à rede VPC do produtor, execute o seguinte comando:

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy-addressgrp \
       --network=vpc-producer \
       --name=pol-association-vpc-producer \
       --global-firewall-policy
   

4. Para associar a política de firewall à rede VPC do consumidor, execute o seguinte comando:

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy-addressgrp \
       --network=vpc-consumer \
       --name=pol-association-vpc-consumer \
       --global-firewall-policy
   

Crie um grupo de endereços com âmbito do projeto

Crie um grupo de endereços ao nível do projeto que use o endereço IP atribuído à sub-rede da rede VPC.subnet-consumer-allowedvpc-consumer

Para mais informações sobre os grupos de endereços ao nível do projeto, consulte o artigo Use grupos de endereços em políticas de firewall.

Consola

1. Na Google Cloud consola, aceda à página Grupos de endereços.

   Aceda a Grupos de endereços

2. Clique em Criar grupo de endereços.

3. No campo Nome, introduza address-group-pc.

4. Para Âmbito, escolha Global.

5. Em Tipo, selecione IPv4.

6. No campo Capacidade, introduza 1000.

7. No campo Endereços IP, introduza 192.168.10.0/29.

8. Clique em Criar.

gcloud

1. Se estiver a usar o terminal do Cloud Shell pela primeira vez, clique em Ativar Cloud Shell na Google Cloud consola.

2. Para criar um grupo de endereços, execute o seguinte comando:

   gcloud network-security address-groups create address-group-pc \
       --type IPv4 \
       --capacity 1000 \
       --location global
   

3. Na caixa de diálogo Autorizar Cloud Shell, clique em Autorizar.

4. Para adicionar um item a um grupo de endereços, execute o seguinte comando:

   gcloud network-security address-groups add-items address-group-pc \
       --items 192.168.10.0/29 \
       --location global
   

   Lembre-se de que o intervalo de IP 192.168.10.0/29 é atribuído à sub-rede subnet-consumer-allowed da rede VPC vpc-consumer.

Adicione uma regra de firewall para permitir tráfego para um grupo de endereços

Para permitir ligações de entrada da VM vm-consumer-allowed, crie uma regra de firewall que adicione o grupo de endereços ao nível do projeto address-group-pc como o endereço IP de origem.

Consola

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique em fw-policy-addressgrp.

3. Clique em Criar regra.

4. Para Prioridade, introduza 150.

5. Para Direção do tráfego, selecione Entrada.

6. Para Ação em caso de correspondência, selecione Permitir.

7. Para Registos, selecione Ativar.

8. Na secção Segmentar, para Tipo de segmentação, selecione Todas as instâncias na rede.

9. Na secção Origem, para Grupo de endereços, selecione address-group-pc (PROJECT_ID) e clique em OK.

   Lembre-se de que o grupo de endereços IP address-group-pc tem um intervalo de IPs de 192.168.10.0/29, que é atribuído à sub-rede subnet-consumer-allowed da rede VPC do consumidor.

10. Clique em Criar.

gcloud

Para atualizar a política de firewall, execute o seguinte comando:

gcloud compute network-firewall-policies rules create 150 \
    --firewall-policy=fw-policy-addressgrp \
    --direction=INGRESS \
    --action=ALLOW \
    --src-address-groups=projects/PROJECT_ID/locations/global/addressGroups/address-group-pc \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Teste a ligação

Teste a ligação da VM vm-consumer-allowed para a VM vm-producer e da VM vm-consumer-blocked para a VM vm-producer.

Teste o tráfego da VM vm-consumer-allowed para a VM vm-producer

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Na coluna IP interno da VM vm-producer, copie o endereço IP interno da VM.

3. Na coluna Ligar da VM vm-consumer-allowed, clique em SSH.

4. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde que a ligação seja estabelecida.

5. Para validar a associação, execute o seguinte comando:

   curl INTERNAL_IP -m 2
   

   Substitua INTERNAL_IP pelo endereço IP da VM vm-producer.

   O resultado é semelhante ao seguinte:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

6. Feche a caixa de diálogo SSH no navegador.

gcloud

1. Para ver o endereço IP interno da VM vm-producer, execute o seguinte comando:

   gcloud compute instances describe vm-producer \
      --zone=us-central1-a \
      --format='get(networkInterfaces[0].networkIP)'
   

   Quando lhe for pedido, prima n para confirmar e, em seguida, prima Enter. Certifique-se de que anota o endereço IP interno da sua vm-producer VM.

2. Para usar o SSH para estabelecer ligação à VM vm-consumer-allowed, execute o seguinte comando:

   gcloud compute ssh vm-consumer-allowed \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   Nota: enquanto a ligação SSH à VM vm-consumer-allowed estiver estabelecida, ignore todas as mensagens de aviso que vir.

3. Para validar a associação, execute o seguinte comando:

   curl INTERNAL_IP -m 2
   

   Substitua INTERNAL_IP pelo endereço IP interno da VM vm-producer.

   A mensagem de resposta esperada é a seguinte:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

4. Para sair da ligação SSH, introduza exit.

Teste o tráfego da VM vm-consumer-blocked para a VM vm-producer

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Na coluna IP interno da VM vm-producer, copie o endereço IP interno da VM.

3. Na coluna Ligar da VM vm-consumer-blocked, clique em SSH.

4. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde que a ligação seja estabelecida.

5. Para validar a associação, execute o seguinte comando:

   curl INTERNAL_IP -m 2
   

   Substitua INTERNAL_IP pelo endereço IP da VM vm-producer.

   A mensagem Connection timed out é esperada porque cada VM cria uma regra de firewall de entrada implícita que nega todo o tráfego. Para permitir o tráfego, adicione uma regra de entrada à política de firewall.

6. Feche a caixa de diálogo SSH no navegador.

gcloud

1. Para ver o endereço IP interno da VM vm-producer, execute o seguinte comando:

   gcloud compute instances describe vm-producer \
      --zone=us-central1-a \
      --format='get(networkInterfaces[0].networkIP)'
   

   Quando lhe for pedido, prima n para confirmar e, em seguida, prima Enter. Certifique-se de que anota o endereço IP interno da sua vm-producer VM.

2. Para usar o SSH para estabelecer ligação à VM vm-consumer-blocked, execute o seguinte comando:

   gcloud compute ssh vm-consumer-blocked \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   Nota: enquanto a ligação SSH à VM vm-consumer-blocked estiver estabelecida, ignore todas as mensagens de aviso que vir.

3. Para validar a associação, execute o seguinte comando:

   curl INTERNAL_IP -m 2
   

   Substitua INTERNAL_IP pelo endereço IP interno da VM vm-producer.

   A mensagem Connection timed out é esperada porque cada VM cria uma regra de firewall de entrada implícita que nega todo o tráfego. Para permitir tráfego, adicione uma regra de entrada à política de firewall.

4. Para sair da ligação SSH, introduza exit.

Ver os registos

Para verificar se as regras de firewall do grupo de endereços foram aplicadas ao tráfego de entrada, aceda aos registos. Para ver os detalhes do registo, siga estes passos:

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique no nome fw-policy-addressgrp.

3. Na coluna Contagem de resultados, selecione o número da regra que criou durante o passo Adicione uma regra de firewall para permitir tráfego para um grupo de endereços. É apresentada a página Explorador de registos.

4. Para ver a regra de firewall aplicada ao tráfego de entrada, expanda o registo individual. Pode ver os detalhes da regra, a disposição e os detalhes da instância.

Limpar

Para evitar incorrer em custos na sua Google Cloud conta pelos recursos usados neste tutorial, elimine o projeto que contém os recursos ou mantenha o projeto e elimine os recursos individuais.

Para eliminar os recursos criados neste tutorial, conclua os seguintes passos.

Elimine um grupo de endereços

Consola

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique em fw-policy-addressgrp.

3. Na secção Regras da firewall, selecione a caixa de verificação da regra da firewall 150.

4. Clique em Eliminar.

5. Na Google Cloud consola, aceda à página Grupos de endereços.

   Aceda a Grupos de endereços

6. Na secção Grupos de moradas, selecione a caixa de verificação junto a address-group-pc.

7. Clique em Eliminar e, em seguida, clique novamente em Eliminar para confirmar.

gcloud

1. Para eliminar a regra de firewall associada ao grupo de endereços IP address-group-pc, execute o seguinte comando:

   gcloud compute network-firewall-policies rules delete 150 \
       --firewall-policy fw-policy-addressgrp \
       --global-firewall-policy
   

2. Para remover um item existente de um grupo de endereços, execute o seguinte comando:

   gcloud network-security address-groups remove-items address-group-pc \
       --items 192.168.10.0/29 \
       --location global
   

3. Para eliminar um grupo de endereços IP, execute o seguinte comando:

   gcloud network-security address-groups delete address-group-pc \
       --location global
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Elimine a política de firewall

Consola

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique no nome fw-policy-addressgrp.

3. Clique no separador Associações.

4. Selecione a caixa de verificação da VM vpc-producer e da VM vpc-consumer e, de seguida, clique em Remover associação.

5. Na caixa de diálogo Remova uma associação de política de firewall, clique em Remover.

6. Junto ao título fw-policy-addressgrp, clique em Eliminar.

7. Na caixa de diálogo Eliminar uma política de firewall, clique em Eliminar.

gcloud

1. Remova a associação entre a política de firewall e a rede de produção da VPC.

   gcloud compute network-firewall-policies associations delete \
     --name=pol-association-vpc-producer \
     --firewall-policy=fw-policy-addressgrp \
     --global-firewall-policy
   

   Nota: se usou a Google Cloud consola para configurar a associação entre a política de firewall e a rede VPC, não use o comando da CLI gcloud para remover a associação. Se não se lembrar de como criou a associação ou receber o erro The network firewall policy does not have an association with pol-association-vpc-consumer. quando executar o comando, use a consola Google Cloud para remover a associação.

2. Remova a associação entre a política de firewall e a rede do consumidor da VPC.

   gcloud compute network-firewall-policies associations delete \
     --name=pol-association-vpc-consumer \
     --firewall-policy=fw-policy-addressgrp \
     --global-firewall-policy
   

3. Elimine a política de firewall.

   gcloud compute network-firewall-policies delete fw-policy-addressgrp \
       --global
   

Elimine o intercâmbio de redes da VPC

Consola

1. Na Google Cloud consola, aceda à página Interligação de redes VPC.

   Aceda ao intercâmbio da rede da VPC

2. Selecione as caixas de verificação de peering-cp e peering-pc.

3. Clique em Eliminar.

4. Na caixa de diálogo Eliminar 2 relações de intercâmbio?, clique em Eliminar.

gcloud

1. Para eliminar a interligação entre a VPC do consumidor e a VPC do produtor, execute o seguinte comando:

   gcloud compute networks peerings delete peering-cp \
       --network=vpc-consumer
   

2. Para eliminar a interligação entre a VPC do produtor e a VPC do consumidor , execute o seguinte comando:

   gcloud compute networks peerings delete peering-pc \
       --network=vpc-producer
   

Elimine a gateway do Cloud NAT e o Cloud Router

Consola

1. Na Google Cloud consola, aceda à página Routers na nuvem.

   Aceda a Cloud Routers

2. Selecione a caixa de verificação router-addressgrp.

3. Clique em Eliminar.

4. Na caixa de diálogo Delete router-addressgrp, clique em Delete.

Quando elimina um Cloud Router, o gateway Cloud NAT associado também é eliminado.

gcloud

Para eliminar o router-addressgrp Cloud Router, execute o seguinte comando:

gcloud compute routers delete router-addressgrp \
    --region=us-central1

Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Quando elimina um Cloud Router, o gateway Cloud NAT associado também é eliminado.

Elimine as VMs

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Selecione as caixas de verificação das VMs vm-consumer-allowed, vm-consumer-blocked e vm-producer.

3. Clique em Eliminar.

4. Na caixa de diálogo Eliminar 3 instâncias?, clique em Eliminar.

gcloud

1. Para eliminar todas as VMs, execute o seguinte comando:

   gcloud compute instances delete vm-consumer-allowed vm-consumer-blocked vm-producer \
       --zone=us-central1-a
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Elimine a rede VPC do consumidor e as respetivas sub-redes

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Na coluna Nome, clique em vpc-consumer.

3. Clique em Eliminar rede de VPC.

4. Na caixa de diálogo Eliminar uma rede, clique em Eliminar.

Quando elimina uma VPC, as respetivas sub-redes também são eliminadas.

gcloud

1. Para eliminar as sub-redes da rede VPC, execute o seguinte comando:vpc-consumer

   gcloud compute networks subnets delete subnet-consumer-allowed subnet-consumer-blocked \
      --region=us-central1
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

2. Para eliminar a rede de VPC vpc-consumer, execute o seguinte comando:

   gcloud compute networks delete vpc-consumer
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Elimine a rede de VPC do produtor e a respetiva sub-rede

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Na coluna Nome, clique em vpc-producer.

3. Clique em Eliminar rede de VPC.

4. Na caixa de diálogo Eliminar uma rede, clique em Eliminar.

Quando elimina uma VPC, as respetivas sub-redes também são eliminadas.

gcloud

1. Para eliminar a sub-rede da rede VPC, execute o seguinte comando:vpc-producer

   gcloud compute networks subnets delete subnet-vpc-producer \
      --region=us-central1
   

   Quando lhe for pedido, prima Y para confirmar e prima Enter.

2. Para eliminar a rede de VPC vpc-producer, execute o seguinte comando:

   gcloud compute networks delete vpc-producer
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

O que se segue?

• Para informações conceptuais sobre as políticas de firewall, consulte o artigo Políticas de firewall.
• Para informações conceptuais sobre as regras de política de firewall, consulte o artigo Regras de política de firewall.
• Para criar, atualizar, monitorizar e eliminar regras de firewall de VPC, consulte o artigo Use regras de firewall de VPC.
• Para determinar os custos, consulte os preços do Cloud NGFW.