Configura il criterio firewall di rete globale per negare le connessioni in uscita a località geografiche specifiche

---

Questo tutorial descrive come creare e configurare un criterio firewall di rete globale per bloccare il traffico in uscita verso posizioni geografiche specifiche della tua rete. Illustra un esempio di creazione di una rete Virtual Private Cloud (VPC) con due subnet, di configurazione di un criterio firewall con regole firewall di geolocalizzazione e di test delle regole firewall.

Obiettivi

Questo tutorial mostra come completare le seguenti attività:

• Crea una rete VPC personalizzata con due subnet in diverse regioni.
• Crea un'istanza di una macchina virtuale (VM) in ognuna delle seguenti regioni: Stati Uniti e Singapore.
• Crea un router Cloud e un Cloud NAT per consentire alla VM USA di accedere alla rete internet pubblica.
• Crea un criterio firewall di rete globale e aggiungi una regola firewall per attivare Identity-Aware Proxy (IAP).
• Installa il server Apache sulla VM Singapore.
• Aggiungi una regola firewall per bloccare il traffico verso posizioni geografiche specifiche.
• Testa la regola firewall di geolocalizzazione.

Il seguente diagramma mostra il traffico tra le VM in us-central1 e asia-southeast1 regioni all'interno di una rete VPC personalizzata. Un criterio firewall di rete globale blocca il traffico in uscita verso geolocalizzazione. La VM nella regione us-central1 utilizza Cloud Router e un Cloud NAT per l'accesso a internet, senza utilizzare un indirizzo IP esterno. La VM nella regione us-central1 utilizza l'indirizzo IP esterno della VM nella regione asia-southeast1 per testare la regola firewall.

Un criterio di firewall di rete globale che blocca il traffico in uscita da una subnet a una località geografica specifica (fai clic per ingrandire).

Prima di iniziare

• Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

• In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

  Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

  Go to project selector

• Make sure that billing is enabled for your Google Cloud project.

• In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

  Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

  Go to project selector

• Make sure that billing is enabled for your Google Cloud project.

• Assicurati di disporre del ruolo Amministratore rete Compute (roles/compute.networkAdmin).

• Enable the Compute Engine and Identity-Aware Proxy (IAP) APIs.

  Enable the APIs

• Se preferisci lavorare dalla riga di comando, installa Google Cloud CLI. Per informazioni concettuali e sull'installazione dello strumento, consulta la panoramica dell'interfaccia a riga di comando gcloud.

  Nota: se non hai mai eseguito Google Cloud CLI, inizializza la directory gcloud CLI eseguendo il comando gcloud init.

Crea una rete VPC personalizzata con subnet

Crea una rete VPC in modalità personalizzata con due subnet IPv4.

Console

1. Nella console Google Cloud, vai alla pagina Reti VPC.

   Vai a Reti VPC

2. Fai clic su Crea rete VPC.

3. In Nome, inserisci vpc-geo-location.

4. In Modalità di creazione subnet, seleziona Personalizzata.

5. Nella sezione Nuova subnet, specifica i seguenti parametri di configurazione per una subnet:

   • Nome: subnet-1-us
   • Regione: us-central1
   • Intervallo IPv4: 10.0.0.0/24

6. Fai clic su Fine.

7. Fai clic su Aggiungi subnet e specifica i seguenti parametri di configurazione:

   • Nome: subnet-2-sg
   • Regione: asia-southeast1
   • Intervallo IPv4: 192.168.200.0/24

8. Fai clic su Fine.

9. Fai clic su Crea.

gcloud

1. Per aprire il terminale, fai clic su Attiva Cloud Shell.

2. Per creare una rete VPC, esegui il comando seguente:

   gcloud compute networks create vpc-geo-location \
     --subnet-mode=custom
   

3. Nella finestra di dialogo Autorizza Cloud Shell, fai clic su Autorizza.

4. Per creare una subnet, esegui il comando seguente:

   gcloud compute networks subnets create subnet-1-us \
     --network=vpc-geo-location \
     --region=us-central1 \
     --range=10.0.0.0/24
   

5. Per creare un'altra subnet, esegui questo comando:

   gcloud compute networks subnets create subnet-2-sg \
     --network=vpc-geo-location \
     --region=asia-southeast1 \
     --range=192.168.200.0/24
   

Crea VM

In questa sezione creerai due VM nelle subnet che hai configurato precedente.

Crea una VM nella regione us-central1

Crea una VM nella regione us-central1 senza un indirizzo IP esterno.

Console

Per creare una VM nella regione us-central1:

1. Nella console Google Cloud, vai alla pagina Crea un'istanza.

   Vai a Crea un'istanza

2. In Nome, inserisci instance-1-us.

3. In Regione, seleziona us-central1 (Iowa).

4. Espandi Opzioni avanzate, quindi espandi Networking.

5. Nella sezione Interfacce di rete, espandi default e specifica la i seguenti parametri di configurazione:

   • Rete: vpc-geo-location
   • Subnet: subnet-1-us IPv4 (10.0.0.0/24)
   • Indirizzo IPv4 esterno: Nessuno

6. Fai clic su Fine.

7. Fai clic su Crea.

gcloud

Per creare una VM nella regione us-central1, esegui il seguente comando:

gcloud compute instances create instance-1-us \
     --network=vpc-geo-location \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-1-us

Crea una VM nella regione asia-southeast1

Console

Per creare una VM nella regione asia-southeast1, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Crea un'istanza.

   Vai a Crea un'istanza

2. In Nome, inserisci instance-2-sg.

3. In Regione, seleziona asia-southeast1 (Singapore).

4. Espandi Opzioni avanzate, quindi espandi Networking.

5. Nella sezione Interfacce di rete, espandi default e specifica la i seguenti parametri di configurazione:

   • Rete: vpc-geo-location
   • Subnet: subnet-2-sg IPv4 (192.168.200.0/24)

6. Fai clic su Fine.

7. Fai clic su Crea.

gcloud

Per creare una VM nella regione asia-southeast1, esegui il seguente comando:

gcloud compute instances create instance-2-sg \
    --network=vpc-geo-location \
    --zone=asia-southeast1-b \
    --subnet=subnet-2-sg \
    --stack-type=IPV4_ONLY

Crea un router Cloud e un gateway Cloud NAT

Nella sezione precedente hai creato due VM, instance-1-us e asia-southeast1. Per consentire alle VM instance-1-us di accedere alla rete internet pubblica, crea un router cloud e un gateway Cloud NAT.

Console

1. Nella console Google Cloud, vai alla pagina Cloud NAT.

   Vai a Cloud NAT

2. Fai clic su Inizia o Crea gateway Cloud NAT.

3. In Nome gateway, inserisci nat-gateway.

4. Per Tipo NAT, seleziona Pubblico.

5. Nella sezione Seleziona router Cloud, specifica i seguenti parametri di configurazione:

   • Rete: vpc-geo-location
   • Regione: us-central1
   • Cloud Router: Crea nuovo router.
     1. In Nome, inserisci router-fw-rules.
     2. Fai clic su Crea.

6. Fai clic su Crea.

7. Nella console Google Cloud, vai alla pagina Indirizzi IP.

   Vai a indirizzi IP

8. Fai clic sulla scheda Indirizzi IP esterni, quindi copia l'indirizzo IP del tuo Cloud NAT (nat-auto-ip). Questo indirizzo IP viene utilizzato quando convalidi la connessione tra la VM instance-1-us e la VM instance-2-sg.

gcloud

1. Per creare un router Cloud, esegui questo comando:

   gcloud compute routers create router-fw-rules \
     --network=vpc-geo-location \
     --region=us-central1
   

2. Per creare un gateway Cloud NAT, esegui questo comando:

   gcloud compute routers nats create nat-gateway \
     --router=router-fw-rules \
     --region=us-central1 \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

3. Per visualizzare l'indirizzo IP di Cloud NAT, esegui questo comando:

   gcloud compute routers get-nat-ip-info \
     router-fw-rules \
     --region=us-central1
   

   Ricordati di copiare l'indirizzo IP di Cloud NAT (natIp). Questo indirizzo IP viene utilizzato quando convalidi la connessione tra la VM instance-1-us e la VM instance-2-sg.

Crea un criterio firewall di rete globale per abilitare IAP

In questa sezione, creerai un criterio firewall di rete globale e aggiungerai un regola firewall per abilitare IAP. IAP consente l'accesso amministrativo alle istanze VM.

La regola firewall include le seguenti caratteristiche.

• Traffico in entrata dall'intervallo IP 35.235.240.0/20. Questo intervallo contiene tutte Indirizzi IP utilizzati da IAP per l'inoltro TCP.

• Una connessione a tutte le porte che vuoi rendere accessibili utilizzando l'inoltro TCP di IAP, ad esempio la porta 22 per SSH.

Console

Per consentire l'accesso IAP a tutte le istanze VM della retevpc-geo-location:

1. Nella console Google Cloud, vai alla pagina Criteri firewall.

   Vai a Criteri firewall

2. Fai clic su Crea criterio firewall.

3. Nella sezione Configura criterio, inserisci fw-policy in Nome criterio.

4. In Ambito di deployment, seleziona Globale e fai clic su Continua.

5. Per creare regole per il criterio, fai clic su Aggiungi regola nella sezione Aggiungi regole.

   1. In Priorità, inserisci 100.
   2. Per Direzione del traffico, seleziona In entrata.
   3. Per Azione in caso di corrispondenza, seleziona Consenti.
   4. In Log, seleziona On.
   5. Nella sezione Target, per Tipo di target, seleziona Tutte le istanze nella rete.
   6. Nella sezione Origine, per Intervalli IP, inserisci 35.235.240.0/20.
   7. Nella sezione Protocollo e porte, seleziona Protocolli e porte specificati.
   8. Seleziona la casella di controllo TCP e per Porte inserisci 22.
   9. Fai clic su Crea.

6. Fai clic su Continua.

7. Per associare una rete VPC al criterio, fai clic su Associa nella sezione Associa criterio a reti VPC.

8. Seleziona la casella di controllo vpc-geo-location e fai clic su Associa.

9. Fai clic su Continua.

10. Fai clic su Crea.

gcloud

Per consentire l'accesso IAP a tutte le istanze VM nella rete vpc-geo-location, esegui il seguente comando:

1. Per creare un criterio firewall, esegui questo comando:

   gcloud compute network-firewall-policies create fw-policy \
       --global
   

2. Per creare una regola firewall che consenta il traffico verso tutte le destinazioni e abilita i log, esegui questo comando:

   gcloud compute network-firewall-policies rules create 100 \
       --firewall-policy=fw-policy \
       --direction=INGRESS \
       --action=ALLOW \
       --layer4-configs=tcp:22 \
       --src-ip-ranges=35.235.240.0/20 \
       --global-firewall-policy \
       --enable-logging
   
   

3. Per associare il criterio firewall alla rete VPC, esegui questo comando:

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy \
       --network=vpc-geo-location \
       --name=pol-association-fw-rules \
       --global-firewall-policy
   

Crea una regola firewall

In questa sezione creerai una regola firewall per consentire la connessione in entrata su la VM instance-2-sg.

Console

1. Nella console Google Cloud, vai alla pagina Criteri firewall.

   Vai a Criteri firewall

2. Nella sezione Criteri firewall di rete, fai clic su fw-policy.

3. Fai clic su Crea regola.

4. In Priority (Priorità), inserisci 500.

5. Per Direzione del traffico, seleziona In entrata.

6. Per Azione in caso di corrispondenza, seleziona Consenti.

7. In Log, seleziona On.

8. Nella sezione Target, per Tipo di destinazione, seleziona Tutte le istanze nella rete.

9. Nella sezione Origine, per Intervalli IP, inserisci NAT_IP_ADDRESS.

   Sostituisci NAT_IP_ADDRESS con l'indirizzo IP e assegnato al tuo Cloud NAT. Per ulteriori informazioni, vedi Crea un router Cloud e un gateway Cloud NAT.

10. Fai clic su Crea.

gcloud

Per aggiornare il criterio del firewall, esegui il comando seguente:

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=NAT_IP_ADDRESS \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Sostituisci NAT_IP_ADDRESS con l'indirizzo IP e assegnato al tuo Cloud NAT. Per ulteriori informazioni, vedi Crea un router Cloud e un gateway Cloud NAT.

Installa il server Apache

In questa sezione, installi il server Apache sulla VM instance-2-sg.

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Nella colonna Connetti della VM instance-2-sg, fai clic su SSH.

3. Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che connessione da stabilire.

4. Per aggiornare gli elenchi di pacchetti nella tua istanza, esegui questo comando:

   sudo apt-get update
   

   Al termine del processo, viene generato il seguente messaggio:

   Reading package lists... Done.

5. Per installare il pacchetto apache2 HTTP Server, al prompt dei comandi, esegui questo comando:

   sudo apt-get install apache2 php7.0
   

   Mentre il processo è in corso, genera il seguente messaggio:

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   Premi Y per confermare, quindi premi Invio.

6. Per sovrascrivere la pagina web predefinita del server web Apache, esegui questo comando:

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

7. Chiudi la finestra di dialogo SSH nel browser.

gcloud

1. Per utilizzare SSH per connetterti alla VM instance-2-sg, esegui seguente comando:

   gcloud compute ssh instance-2-sg \
       --zone=asia-southeast1-b \
       --tunnel-through-iap
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

   Nota: mentre la connessione SSH alla VM instance-2-sg è collegata, ignora eventuali messaggi di avviso visualizzati.

2. Per aggiornare gli elenchi di pacchetti nella tua istanza, esegui questo comando:

   sudo apt-get update
   

   Al termine del processo, viene generato il seguente messaggio:

   Reading package lists... Done.

3. Per installare il pacchetto apache2 HTTP Server, al prompt dei comandi, esegui questo comando:

   sudo apt-get install apache2 php7.0
   

   Mentre il processo è in corso, genera il seguente messaggio:

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   Premi Y per confermare, quindi premi Invio.

4. Per sovrascrivere la pagina web predefinita del server web Apache, esegui il seguente comando:

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

5. Per chiudere l'SSH nel browser, inserisci exit.

Convalida la connessione

Dopo aver installato il server Apache sulla VM instance-2-sg, connettiti alla VM instance-1-us dalla VM instance-2-sg utilizzando l'indirizzo IP esterno della VM instance-2-sg.

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Dalla colonna IP esterno della VM instance-2-sg, copia il valore all'indirizzo IP esterno della VM.

3. Nella colonna Connetti della VM instance-1-us, fai clic su SSH.

4. Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che connessione da stabilire.

5. Per verificare la connessione, esegui questo comando:

   curl EXTERNAL_IP -m 2
   

   Sostituisci EXTERNAL_IP con l'indirizzo IP della VM instance-2-sg.

   Il messaggio di risposta previsto è il seguente:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

6. Chiudi la finestra di dialogo SSH nel browser.

gcloud

1. Per visualizzare l'indirizzo IP esterno della VM instance-2-sg, esegui seguente comando:

   gcloud compute instances describe instance-2-sg \
       --zone=asia-southeast1-b \
       --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   Quando richiesto, premi Y per confermare e poi Invio. Assicurati di prendere nota dell'indirizzo IP esterno della VM instance-2-sg.

2. Per utilizzare SSH per connetterti alla VM instance-1-us, esegui questo comando:

   gcloud compute ssh instance-1-us \
       --zone=us-central1-a \
       --tunnel-through-iap
   

   Nota: mentre la connessione SSH alla VM instance-1-us è collegata, ignora eventuali messaggi di avviso visualizzati.

3. Per verificare la connessione, esegui questo comando:

     curl EXTERNAL_IP -m 2
   

   Sostituisci EXTERNAL_IP con l'indirizzo IP della VM instance-2-sg.

   Il messaggio di risposta previsto è il seguente:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

4. Per chiudere l'SSH nel browser, inserisci exit.

Aggiungere una regola firewall per bloccare il traffico verso geolocalizzazioni specifiche

In questa sezione aggiungi una regola firewall per il VPC vpc-geo-location per bloccare il traffico in uscita verso Italia, Polonia e Singapore.

Console

Per aggiungere una nuova regola nella fw-policy creata in Crea un criterio firewall di rete globale segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Criteri firewall.

   Vai a Criteri firewall

2. Nella sezione Criteri firewall di rete, fai clic su fw-policy.

3. Fai clic su Crea regola.

4. In Priorità, inserisci 200.

5. In Direzione del traffico, seleziona In uscita.

6. In Azione in caso di corrispondenza, seleziona Rifiuta.

7. In Log, seleziona On.

8. Nella sezione Destinazione, per Geolocalizzazioni, seleziona Singapore (SG), Polonia (PL) e Italia (IT).

9. Fai clic su OK.

10. Fai clic su Crea.

gcloud

Per aggiungere una nuova regola nella fw-policy creata in Crea un criterio firewall di rete globale esegui questo comando:

gcloud compute network-firewall-policies rules create 200 \
    --firewall-policy=fw-policy \
    --direction=EGRESS \
    --action=DENY \
    --dest-region-codes=SG,PL,IT \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Testare la regola firewall di geolocalizzazione

Console

Dopo aver aggiunto la regola per bloccare il traffico in uscita verso Singapore (SG), Polonia (PL) e Italia (IT), segui questi passaggi per testarla:

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Dalla colonna IP esterno della VM instance-2-sg, copia il valore all'indirizzo IP esterno della VM.

3. Nella colonna Connetti della VM instance-1-us, fai clic su SSH.

4. Nella finestra di dialogo SSH nel browser, fai clic su Autorizza e attendi che la connessione venga stabilita.

5. Per verificare che il traffico in uscita verso la VM instance-2-sg sia bloccato, esegui il seguente comando:

   curl EXTERNAL_IP -m 2
   

   Sostituisci EXTERNAL_IP con l'indirizzo IP del instance-2-sg

   Il messaggio Connection timed out è previsto perché hai creato un regola firewall per negare il traffico esterno dalla VM USA alla VM Singapore.

6. Per verificare che il traffico in uscita verso la Polonia sia bloccato, esegui il seguente comando:

     curl  `https://www.gov.pl` -m 2
   

   Il messaggio Connection timed out è previsto perché hai creato un regola firewall per negare il traffico esterno al sito web in Polonia.

   Nota: puoi utilizzare qualsiasi sito web il cui nome di dominio risolva in un indirizzo IP associato alla geolocalizzazione Polonia (PL).

7. Per verificare che il traffico in uscita verso l'Italia sia bloccato, esegui il seguente comando:

     curl  `https://www.esteri.it/it/` -m 2
   

   Il messaggio Connection timed out è previsto perché hai creato una regola firewall per negare il traffico esterno al sito web italiano.

   Nota: puoi utilizzare qualsiasi sito web il cui nome di dominio risolva in un indirizzo IP associato alla geolocalizzazione Italia (IT).

8. Chiudi la finestra di dialogo SSH nel browser.

gcloud

Dopo aver aggiunto la regola per bloccare il traffico in uscita per Singapore (SG), Polonia (PL) e Italia (IT), esegui il seguente comando per testarla:

1. Per visualizzare l'indirizzo IP esterno della VM instance-2-sg, esegui seguente comando:

   gcloud compute instances describe instance-2-sg \
      --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   Quando richiesto, premi Y per confermare, quindi premi Invio. Prendi nota dell'indirizzo IP esterno instance-2-sg VM.

2. Per utilizzare SSH per connetterti alla VM instance-1-us, esegui il seguente comando:

   gcloud compute ssh instance-1-us \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   Nota: mentre la connessione SSH alla VM instance-1-us è attiva, ignora eventuali messaggi di avviso visualizzati.

3. Per verificare che il traffico in uscita per Singapore sia bloccato, esegui questo comando:

   curl EXTERNAL_IP -m 2
   

   Sostituisci EXTERNAL_IP con l'indirizzo IP della VM instance-2-sg.

   Il messaggio Connection timed out è previsto perché hai creato un regola firewall per negare il traffico esterno dalla VM USA alla VM Singapore.

4. Per verificare che il traffico in uscita verso la Polonia sia bloccato, esegui il seguente comando:

   curl https://www.gov.pl -m 2
   

   Il messaggio Connection timed out è previsto perché hai creato un regola firewall per negare il traffico esterno dal sito web in Polonia.

   Nota: puoi utilizzare qualsiasi sito web il cui nome di dominio viene risolto in un IP indirizzo associato alla geolocalizzazione Polonia (PL).

5. Per verificare che il traffico in uscita verso l'Italia sia bloccato, esegui il seguente comando:

   curl  https://www.esteri.it/it/ -m 2
   

   Il messaggio Connection timed out è previsto perché hai creato una regola firewall per negare il traffico esterno al sito web italiano.

   Nota: puoi utilizzare qualsiasi sito web il cui nome di dominio viene risolto in un IP associato alla geolocalizzazione Italia (IT).

6. Per chiudere la finestra di dialogo SSH nel browser, inserisci exit.

Visualizza i log

Puoi verificare che le regole del firewall siano state applicate al traffico in uscita accedendo ai log. Per visualizzare i dettagli del log:

1. Nella console Google Cloud, vai alla pagina Criteri firewall.

   Vai a Criteri firewall

2. Nella sezione Criteri firewall di rete, fai clic sul nome fw-policy.

3. Fai clic su Opzioni di visualizzazione delle colonne.

4. Nella finestra di dialogo Colonne visualizzate, seleziona Conteggio hit e fai clic su OK.

5. Nella colonna Conteggio hit, seleziona il numero per la regola creata durante la procedura di creazione di un criterio firewall di rete globale. Viene visualizzata la pagina Esplora log.

6. Per visualizzare la regola firewall applicata al traffico in uscita, espandi il singolo log. Puoi visualizzare connessione, disposizione e telecomando dettagli sulla località.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse usati in questo tutorial, elimina il progetto che contiene le risorse, o mantenere il progetto ed eliminare le singole risorse.

In questa sezione elimini le risorse create in questo tutorial.

Elimina il criterio firewall

Console

1. Nella console Google Cloud, vai alla pagina Criteri firewall.

   Vai a Criteri firewall

2. Nella sezione Criteri firewall di rete, fai clic sul nome fw-policy.

3. Fai clic sulla scheda Associazioni.

4. Seleziona la casella di controllo di vpc-geo-location e fai clic su Rimuovi associazione.

5. Nella finestra di dialogo Rimuovi un'associazione dei criteri firewall, fai clic su Rimuovi.

6. Accanto al titolo fw-policy, fai clic su Elimina.

7. Nella finestra di dialogo Elimina un criterio firewall, fai clic su Elimina.

gcloud

1. Rimuovi l'associazione tra il criterio firewall e la rete VPC.

   gcloud compute network-firewall-policies associations delete \
     --name=pol-association-fw-rules \
     --firewall-policy=fw-policy \
     --global-firewall-policy
   

   Nota: se configuri l'associazione tra il criterio del firewall e la rete VPC tramite la console Google Cloud, non utilizzare il comando della riga di comando gcloud per rimuovere l'associazione. Se non ricordi come hai creato l'associazione o ricevi il messaggio di errore The network firewall policy does not have an association with pol-association-fw-rules. quando esegui il comando, utilizza la console Google Cloud per rimuovere l'associazione.

2. Elimina il criterio firewall.

   gcloud compute network-firewall-policies delete fw-policy \
       --global
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

Elimina le VM

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona le caselle di controllo delle VM instance-1-us e instance-2-sg.

3. Fai clic su Elimina.

4. Nella finestra di dialogo Eliminare 2 istanze?, fai clic su Elimina.

gcloud

1. Per eliminare la VM instance-1-us, esegui il comando seguente:

   gcloud compute instances delete instance-1-us \
       --zone=us-central1-a
   

   Quando richiesto, premi Y per confermare e poi Invio.

2. Per eliminare la VM instance-2-sg, esegui il comando seguente:

   gcloud compute instances delete instance-2-sg \
       --zone=asia-southeast1-b
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

Elimina il gateway Cloud NAT e il router Cloud

Console

1. Nella console Google Cloud, vai alla pagina Router cloud.

   Vai ai router cloud

2. Seleziona la casella di controllo router-fw-rules.

3. Fai clic su Elimina.

4. Nella finestra di dialogo Elimina router-fw-rules, fai clic su Elimina.

Quando elimini un router Cloud, viene eliminato anche il gateway Cloud NAT associato.

gcloud

Per eliminare il router cloud router-fw-rules, esegui il seguente comando:

gcloud compute routers delete router-fw-rules \
    --region=us-central1

Quando richiesto, premi Y per confermare, quindi premi Invio.

Quando elimini un router Cloud, viene eliminato anche il gateway Cloud NAT associato.

Elimina la rete VPC e le rispettive subnet

Console

1. Nella console Google Cloud, vai alla pagina Reti VPC.

   Vai alle reti VPC

2. Nella colonna Nome, fai clic su vpc-geo-location.

3. Fai clic su Elimina rete VPC.

4. Nella finestra di dialogo Elimina una rete, fai clic su Elimina.

Quando elimini una VPC, vengono eliminate anche le relative sottoreti.

gcloud

1. Per eliminare la subnet subnet-1-us della rete VPC vpc-geo-location, esegui il seguente comando:

   gcloud compute networks subnets delete subnet-1-us \
       --region=us-central1
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

2. Per eliminare la subnet subnet-2-sg della rete VPC vpc-geo-location, esegui il seguente comando:

   gcloud compute networks subnets delete subnet-2-sg \
       --region=asia-southeast1
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

3. Per eliminare la rete VPC di vpc-geo-location, esegui questo comando:

   gcloud compute networks delete vpc-geo-location
   

   Quando richiesto, premi Y per confermare, quindi premi Invio.

Passaggi successivi

• Per informazioni concettuali sui criteri firewall, consulta Criteri firewall.
• Per informazioni concettuali sulle regole dei criteri firewall, consulta Regole dei criteri firewall.
• Per creare, aggiornare, monitorare ed eliminare le regole firewall VPC, consulta Utilizzare le regole firewall VPC.
• Per determinare i costi, consulta la sezione Prezzi di Cloud NGFW.