特定の位置情報への下り（外向き）接続を拒否するグローバルネットワークファイアウォールポリシーを構成する

このチュートリアルでは、ネットワーク内の特定の位置情報への下り（外向き）トラフィックをブロックするグローバルネットワークファイアウォールポリシーを作成して構成する方法について説明します。ここでは、2 つのサブネットを持つ Virtual Private Cloud（VPC）ネットワークを作成し、位置情報ファイアウォールルールを使用してファイアウォールポリシーを設定します。さらに、ファイアウォールルールをテストします。

目標

このチュートリアルでは、次のタスクを行う方法を説明します。

異なるリージョンに 2 つのサブネットを持つカスタム VPC ネットワークを作成します。
米国とシンガポールの各リージョンに仮想マシン（VM）インスタンスを作成します。
Cloud Router と Cloud NAT ゲートウェイを作成して、米国の VM が公共のインターネットにアクセスできるようにします。
グローバルネットワークファイアウォールポリシーを作成して、Identity-Aware Proxy（IAP）を有効にするファイアウォールルールを追加します。
シンガポールの VM に Apache サーバーをインストールします。
特定の位置情報へのトラフィックをブロックするファイアウォールルールを追加します。
位置情報ファイアウォールルールをテストします。

次の図は、カスタム VPC ネットワーク内の us-central1 リージョンと asia-southeast1 リージョン内の VM 間のトラフィックを示しています。グローバルネットワークファイアウォールポリシーは、特定の位置情報への下り（外向き）トラフィックをブロックします。us-central1 リージョンの VM は、インターネットアクセスに外部 IP アドレスを使用せず、Cloud Router と Cloud NAT を使用します。us-central1 リージョンの VM は、asia-southeast1 リージョン内の VM の外部 IP アドレスを使用してファイアウォールルールをテストします。

サブネットから特定の位置情報への下り（外向き）トラフィックをブロックするグローバルネットワークファイアウォールポリシー。 — サブネットから特定の位置情報への下り（外向き）トラフィックをブロックするグローバルネットワークファイアウォールポリシー（クリックして拡大）。

始める前に

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Compute ネットワーク管理者のロール（roles/compute.networkAdmin）があることを確認します。
Enable the Compute Engine and Identity-Aware Proxy (IAP) APIs.
Enable the APIs

コマンドラインから作業する場合は、Google Cloud CLI をインストールします。ツールのコンセプトとインストールについては、gcloud CLI の概要をご覧ください。
注: Google Cloud CLI を初めて実行する場合は、gcloud init コマンドを実行して gcloud CLI ディレクトリを初期化します。

サブネットを持つカスタム VPC ネットワークを作成する

2 つの IPv4 サブネットを持つカスタムモードの VPC ネットワークを作成します。

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「vpc-geo-location」と入力します。
[サブネット作成モード] で [カスタム] を選択します。
[新しいサブネット] セクションで、サブネットに次の構成パラメータを指定します。
- 名前: subnet-1-us
- リージョン: us-central1
- IPv4 範囲: 10.0.0.0/24
[完了] をクリックします。
[サブネットを追加] をクリックし、次の構成パラメータを指定します。
- 名前: subnet-2-sg
- リージョン: asia-southeast1
- IPv4 範囲: 192.168.200.0/24
[完了] をクリックします。
[作成] をクリックします。

gcloud

ターミナルを開くには、「Cloud Shell をアクティブにする」をクリックします。
VPC ネットワークを作成するには、次のコマンドを実行します。
```
gcloud compute networks create vpc-geo-location \
  --subnet-mode=custom
```
[Cloud Shell の承認] ダイアログで、[承認] をクリックします。

サブネットを作成するには、次のコマンドを実行します。

gcloud compute networks subnets create subnet-1-us \
  --network=vpc-geo-location \
  --region=us-central1 \
  --range=10.0.0.0/24

別のサブネットを作成するには、次のコマンドを実行します。

gcloud compute networks subnets create subnet-2-sg \
  --network=vpc-geo-location \
  --region=asia-southeast1 \
  --range=192.168.200.0/24

VM を作成する

このセクションでは、前のセクションで構成したサブネットに 2 つの VM を作成します。

`us-central1` リージョンに VM を作成します。

us-central1 リージョンに外部 IP アドレスのない VM を作成します。

コンソール

次の手順で us-central1 リージョンに VM を作成します。

Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

[インスタンスの作成] に移動
[名前] に「instance-1-us」と入力します。
[リージョン] で us-central1 (Iowa) を選択します。
[詳細オプション] を開き、[ネットワーキング] を開きます。
[ネットワークインターフェース] セクションで [default] を開き、次の構成パラメータを指定します。
- ネットワーク: vpc-geo-location
- サブネットワーク: subnet-1-us IPv4 (10.0.0.0/24)
- 外部 IPv4 アドレス: なし
[完了] をクリックします。
[作成] をクリックします。

gcloud

次のコマンドを実行して、us-central1 リージョンに VM を作成します。

gcloud compute instances create instance-1-us \
     --network=vpc-geo-location \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-1-us

`asia-southeast1` リージョンに VM を作成します。

コンソール

次の手順で asia-southeast1 リージョンに VM を作成します。

Google Cloud コンソールで、[インスタンスの作成] ページに移動します。

[インスタンスの作成] に移動
[名前] に「instance-2-sg」と入力します。
[リージョン] で asia-southeast1 (Singapore) を選択します。
[詳細オプション] を開き、[ネットワーキング] を開きます。
[ネットワークインターフェース] セクションで [default] を開き、次の構成パラメータを指定します。
- ネットワーク: vpc-geo-location
- サブネットワーク: subnet-2-sg IPv4 (192.168.200.0/24)
[完了] をクリックします。
[作成] をクリックします。

gcloud

次のコマンドを実行して、asia-southeast1 リージョンに VM を作成します。

gcloud compute instances create instance-2-sg \
    --network=vpc-geo-location \
    --zone=asia-southeast1-b \
    --subnet=subnet-2-sg \
    --stack-type=IPV4_ONLY

Cloud Router と Cloud NAT ゲートウェイを作成する

前のセクションでは、instance-1-us と asia-southeast1 の 2 つの VM を作成しました。instance-1-us VM が公共のインターネットにアクセスできるようにするには、Cloud Router と Cloud NAT ゲートウェイを作成します。

コンソール

Google Cloud コンソールで、[Cloud NAT] ページに移動します。

[Cloud NAT] に移動
[開始] または [Cloud NAT ゲートウェイを作成] をクリックします。
[ゲートウェイ名] に「nat-gateway」と入力します。
[NAT タイプ] で、[パブリック] を選択します。
[Cloud Router の選択] セクションで、次の構成パラメータを指定します。
- ネットワーク: vpc-geo-location
- リージョン: us-central1
- Cloud Router: [新しいルーターを作成] を選択します。
  1. [名前] に「router-fw-rules」と入力します。
  2. [作成] をクリックします。
[作成] をクリックします。
Google Cloud コンソールで、[IP アドレス] ページに移動します。

[IP アドレス] に移動
[外部 IP アドレス] タブをクリックして、Cloud NAT の IP アドレス（nat-auto-ip）をコピーします。この IP アドレスは、instance-1-us VM と instance-2-sg VM 間の接続を検証するときに使用されます。

gcloud

Cloud Router を作成するには、次のコマンドを実行します。

gcloud compute routers create router-fw-rules \
  --network=vpc-geo-location \
  --region=us-central1

Cloud NAT ゲートウェイを作成するには、次のコマンドを実行します。

gcloud compute routers nats create nat-gateway \
  --router=router-fw-rules \
  --region=us-central1 \
  --auto-allocate-nat-external-ips \
  --nat-all-subnet-ip-ranges

Cloud NAT IP アドレスを表示するには、次のコマンドを実行します。
```
gcloud compute routers get-nat-ip-info \
  router-fw-rules \
  --region=us-central1
```
Cloud NAT の IP アドレス（natIp）を忘れずにコピーしてください。この IP アドレスは、instance-1-us VM と instance-2-sg VM 間の接続を検証するときに使用されます。

グローバルネットワークファイアウォールポリシーを作成して IAP を有効にする

このセクションでは、グローバルネットワークファイアウォールポリシーを作成し、IAP を有効にするファイアウォールルールを追加します。IAP により、VM インスタンスに対する管理者権限が付与されます。

ファイアウォールルールには次の特徴があります。

IP 範囲 35.235.240.0/20 からの上り（内向き）トラフィック。この範囲には、IAP が TCP 転送に使用するすべての IP アドレスが含まれています。
IAP TCP 転送でアクセス可能にするすべてのポートへの接続（SSH の場合はポート 22 など）。

コンソール

次の手順で、IAP が vpc-geo-location ネットワーク内のすべての VM インスタンスにアクセスできるようにします。

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ファイアウォールポリシーを作成] をクリックします。
[ポリシーの構成] セクションの [ポリシー名] に「fw-policy」と入力します。
[デプロイのスコープ] で [グローバル] を選択し、[続行] をクリックします。
ポリシーのルールを作成するには、[ルールを追加] セクションで [ルールを追加] をクリックします。
1. [優先度] に「100」と入力します。
2. [トラフィックの方向] で [上り（内向き）] をオンにします。
3. [一致したときのアクション] で [許可] をオンにします。
4. [ログ] で [オン] を選択します。
5. [ターゲット] セクションの [ターゲットタイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。
6. [送信元] セクションの [IP 範囲] に「35.235.240.0/20」と入力します。
7. [プロトコルとポート] セクションで、[指定したプロトコルとポート] を選択します。
8. [TCP] チェックボックスをオンにし、[ポート] に「22」と入力します。
9. [作成] をクリックします。
[続行] をクリックします。
VPC ネットワークをポリシーに関連付けるには、[ポリシーと VPC ネットワークの関連付け] セクションで [関連付け] をクリックします。
[vpc-geo-location] のチェックボックスをオンにして、[関連付け] をクリックします。
[続行] をクリックします。
[作成] をクリックします。

gcloud

IAP が vpc-geo-location ネットワーク内のすべての VM インスタンスにアクセスできるようにするには、次のコマンドを実行します。

ファイアウォールポリシーを作成するには、次のコマンドを実行します。
```
gcloud compute network-firewall-policies create fw-policy \
    --global
```

すべての宛先へのトラフィックを許可し、ログを有効にするファイアウォールルールを作成するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 100 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --layer4-configs=tcp:22 \
    --src-ip-ranges=35.235.240.0/20 \
    --global-firewall-policy \
    --enable-logging

ファイアウォールポリシーを VPC ネットワークに関連付けるには、次のコマンドを実行します。

gcloud compute network-firewall-policies associations create \
    --firewall-policy=fw-policy \
    --network=vpc-geo-location \
    --name=pol-association-fw-rules \
    --global-firewall-policy

ファイアウォールルールを作成する

このセクションでは、instance-2-sg VM で上り（内向き）接続を許可するファイアウォールルールを作成します。

コンソール

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、[fw-policy] をクリックします。
[ルールを作成] をクリックします。
[優先度] に「500」と入力します。
[トラフィックの方向] で [上り（内向き）] をオンにします。
[一致したときのアクション] で [許可] をオンにします。
[ログ] で [オン] を選択します。
[ターゲット] セクションの [ターゲットタイプ] で、[ネットワーク上のすべてのインスタンス] を選択します。
[送信元] セクションの [IP 範囲] に「NAT_IP_ADDRESS」と入力します。

NAT_IP_ADDRESS は、Cloud NAT に割り当てられた IP アドレスに置き換えます。詳細については、Cloud Router と Cloud NAT ゲートウェイを作成するをご覧ください。
[作成] をクリックします。

gcloud

ファイアウォールポリシーを更新するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=NAT_IP_ADDRESS \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

NAT_IP_ADDRESS は、Cloud NAT に割り当てられた IP アドレスに置き換えます。詳細については、Cloud Router と Cloud NAT ゲートウェイを作成するをご覧ください。

Apache サーバーをインストールする

このセクションでは、Apache サーバーを instance-2-sg VM にインストールします。

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
instance-2-sg VM の [接続] 列で [SSH] をクリックします。
[ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。
インスタンスでのパッケージリストを更新するために、次のコマンドを実行します。
```
sudo apt-get update
```
プロセスが完了すると、次のメッセージが生成されます。

Reading package lists... Done.
apache2 HTTP Server パッケージをインストールするには、コマンドプロンプトで次のコマンドを実行します。
```
sudo apt-get install apache2 php7.0
```
プロセスの進行中に、次のメッセージが生成されます。

After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

Y キーを押して確定し、Enter キーを押します。
Apache ウェブサーバーのデフォルトのウェブページを上書きするには、次のコマンドを実行します。
```
echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
```
[ブラウザでの SSH] ダイアログを閉じます。

gcloud

SSH を使用して instance-2-sg VM に接続するには、次のコマンドを実行します。
```
gcloud compute ssh instance-2-sg \
    --zone=asia-southeast1-b \
    --tunnel-through-iap
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

注: instance-2-sg VM への SSH 接続が確立している間は、警告メッセージはすべて無視してください。
インスタンスでのパッケージリストを更新するために、次のコマンドを実行します。
```
sudo apt-get update
```
プロセスが完了すると、次のメッセージが生成されます。

Reading package lists... Done.
apache2 HTTP Server パッケージをインストールするには、コマンドプロンプトで次のコマンドを実行します。
```
sudo apt-get install apache2 php7.0
```
プロセスの進行中に、次のメッセージが生成されます。

After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

Y キーを押して確定し、Enter キーを押します。
Apache ウェブサーバーのデフォルトのウェブページを上書きするには、次のコマンドを実行します。
```
echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
```
[ブラウザでの SSH] を閉じるには、「exit」と入力します。

接続を検証する

Apache サーバーを instance-2-sg VM にインストールしたら、instance-2-sg VM の外部 IP アドレスを使用して、instance-2-sg VM から instance-1-us VM に接続します。

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
instance-2-sg VM の [外部 IP] 列から、VM の外部 IP アドレスをコピーします。
instance-1-us VM の [接続] 列で [SSH] をクリックします。
[ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。
接続を確認するには、次のコマンドを実行します。
```
curl EXTERNAL_IP -m 2
```
EXTERNAL_IP は、instance-2-sg VM の IP アドレスに置き換えます。

想定されるレスポンスメッセージは次のとおりです。

<!doctype html><html><body><h1>Hello World!</h1></body></html>
[ブラウザでの SSH] ダイアログを閉じます。

gcloud

instance-2-sg VM の外部 IP アドレスを表示するには、次のコマンドを実行します。
```
gcloud compute instances describe instance-2-sg \
    --zone=asia-southeast1-b \
    --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。instance-2-sg VM の外部 IP アドレスをメモします。
SSH を使用して instance-1-us VM に接続するには、次のコマンドを実行します。
```
gcloud compute ssh instance-1-us \
    --zone=us-central1-a \
    --tunnel-through-iap
```
注: instance-1-us VM への SSH 接続が確立している間は、警告メッセージはすべて無視してください。
接続を確認するには、次のコマンドを実行します。
```
  curl EXTERNAL_IP -m 2
```
EXTERNAL_IP は、instance-2-sg VM の IP アドレスに置き換えます。

想定されるレスポンスメッセージは次のとおりです。

<!doctype html><html><body><h1>Hello World!</h1></body></html>
[ブラウザでの SSH] を閉じるには、「exit」と入力します。

ファイアウォールルールを追加して特定の位置情報へのトラフィックをブロックする

このセクションでは、VPC vpc-geo-location のファイアウォールルールを追加して、イタリア、ポーランド、シンガポールへの下り（外向き）トラフィックをブロックします。

コンソール

グローバルネットワークファイアウォールポリシーを作成するで作成した fw-policy に新しいルールを追加するには、次の操作を行います。

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、[fw-policy] をクリックします。
[ルールを作成] をクリックします。
[優先度] に「200」と入力します。
[トラフィックの方向] に [下り（外向き）] を選択します。
[一致したときのアクション] で [拒否] を選択します。
[ログ] で [オン] を選択します。
[送信先] セクションの [位置情報] で、[シンガポール（SG）]、[ポーランド（PL）]、[イタリア（IT）] を選択します。
[OK] をクリックします。
[作成] をクリックします。

gcloud

グローバルネットワークファイアウォールポリシーを作成するで作成した fw-policy に新しいルールを追加するには、次のコマンドを実行します。

gcloud compute network-firewall-policies rules create 200 \
    --firewall-policy=fw-policy \
    --direction=EGRESS \
    --action=DENY \
    --dest-region-codes=SG,PL,IT \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

位置情報ファイアウォールルールをテストする

コンソール

シンガポール（SG）、ポーランド（PL）、イタリア（IT）への下り（外向き）トラフィックをブロックするルールを追加したら、次の手順でルールをテストします。

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
instance-2-sg VM の [外部 IP] 列から、VM の外部 IP アドレスをコピーします。
instance-1-us VM の [接続] 列で [SSH] をクリックします。
[ブラウザでの SSH] ダイアログで [承認] をクリックし、接続が確立されるのを待ちます。
instance-2-sg VM への下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
curl EXTERNAL_IP -m 2
```
EXTERNAL_IP は、instance-2-sg VM の IP アドレスに置き換えます。

米国の VM からシンガポールの VM への外部トラフィックを拒否するファイアウォールルールを作成したため、Connection timed out というメッセージが返されるのは想定内です。
ポーランドへの下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
  curl  `https://www.gov.pl` -m 2
```
ポーランドのウェブサイトへの外部トラフィックを拒否するファイアウォールルールを作成したため、「Connection timed out」というメッセージが返されるのは想定内です。

注: ドメイン名がポーランド（PL）の位置情報に関連付けられた IP アドレスに解決されるウェブサイトを使用できます。
イタリアへの下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
  curl  `https://www.esteri.it/it/` -m 2
```
イタリアのウェブサイトへの外部トラフィックを拒否するファイアウォールルールを作成したため、「Connection timed out」というメッセージが返されるのは想定内です。

注: ドメイン名がイタリア（IT）の位置情報に関連付けられた IP アドレスに解決されるウェブサイトを使用できます。
[ブラウザでの SSH] ダイアログを閉じます。

gcloud

シンガポール（SG）、ポーランド（PL）、イタリア（IT）への下り（外向き）トラフィックをブロックするルールを追加したら、次のコマンドを実行してルールをテストします。

instance-2-sg VM の外部 IP アドレスを表示するには、次のコマンドを実行します。
```
gcloud compute instances describe instance-2-sg \
   --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。instance-2-sg VM の外部 IP アドレスをメモします。
SSH を使用して instance-1-us VM に接続するには、次のコマンドを実行します。
```
gcloud compute ssh instance-1-us \
   --zone=us-central1-a \
   --tunnel-through-iap
```
注: instance-1-us VM への SSH 接続が確立している間は、警告メッセージはすべて無視してください。
シンガポールへの下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
curl EXTERNAL_IP -m 2
```
EXTERNAL_IP は、instance-2-sg VM の IP アドレスに置き換えます。

米国の VM からシンガポールの VM への外部トラフィックを拒否するファイアウォールルールを作成したため、Connection timed out というメッセージが返されるのは想定内です。
ポーランドへの下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
curl https://www.gov.pl -m 2
```
ポーランドのウェブサイトからの外部トラフィックを拒否するファイアウォールルールを作成したため、「Connection timed out」というメッセージが返されるのは想定内です。

注: ドメイン名がポーランド（PL）の位置情報に関連付けられた IP アドレスに解決されるウェブサイトを使用できます。
イタリアへの下り（外向き）トラフィックがブロックされていることを確認するには、次のコマンドを実行します。
```
curl  https://www.esteri.it/it/ -m 2
```
イタリアのウェブサイトへの外部トラフィックを拒否するファイアウォールルールを作成したため、「Connection timed out」というメッセージが返されるのは想定内です。

注: ドメイン名がイタリア（IT）の位置情報に関連付けられた IP アドレスに解決されるウェブサイトを使用できます。
[ブラウザでの SSH] ダイアログを閉じるには、「exit」と入力します。

ログを確認する

ログにアクセスすることで、ファイアウォールルールが下り（外向き）トラフィックに適用されたことを確認できます。次の手順でログを確認します。

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、fw-policy 名をクリックします。
[ 列表示オプション] をクリックします。
[表示される列] ダイアログで [ヒットカウント] を選択し、[OK] をクリックします。
[ヒットカウント] 列で、グローバルネットワークファイアウォールポリシーを作成するで作成したルールの数を選択します。[ログエクスプローラ] ページが開きます。
下り（外向き）トラフィックに適用されたファイアウォールルールを確認するには、個々のログを開きます。接続、処理、リモートロケーションの詳細を確認できます。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

このセクションでは、このチュートリアルで作成したリソースを削除します。

ファイアウォールポリシーを削除する

コンソール

Google Cloud コンソールで [ファイアウォールポリシー] ページに移動します。

[ファイアウォールポリシー] に移動
[ネットワークファイアウォールポリシー] セクションで、fw-policy 名をクリックします。
[関連付け] タブをクリックします。
vpc-geo-location のチェックボックスをオンにして、[関連付けを削除] をクリックします。
[ファイアウォールポリシーの関連付けの削除] ダイアログで、[削除] をクリックします。
fw-policy の横にある [削除] をクリックします。
[ファイアウォールポリシーの削除] ダイアログで、[削除] をクリックします。

gcloud

ファイアウォールポリシーと VPC ネットワークの関連付けを削除します。
```
gcloud compute network-firewall-policies associations delete \
  --name=pol-association-fw-rules \
  --firewall-policy=fw-policy \
  --global-firewall-policy
```
注: Google Cloud コンソールでファイアウォールポリシーと VPC ネットワークの関連付けを設定した場合は、gcloud CLI コマンドを使用して関連付けを削除しないでください。関連付けの作成方法がわからない場合や、コマンドを実行したときに The network firewall policy does not have an association with pol-association-fw-rules. エラーが発生した場合は、Google Cloud コンソールで関連付けを削除してください。
ファイアウォールポリシーを削除します。
```
gcloud compute network-firewall-policies delete fw-policy \
    --global
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

VM を削除する

コンソール

Google Cloud コンソールで [VM インスタンス] ページに移動します。

[VM インスタンス] に移動
instance-1-us VM と instance-2-sg VM のチェックボックスをオンにします。
[削除] をクリックします。
[2 個のインスタンスを削除しますか？] ダイアログで、[削除] をクリックします。

gcloud

instance-1-us VM を削除するには、次のコマンドを実行します。
```
gcloud compute instances delete instance-1-us \
    --zone=us-central1-a
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。
instance-2-sg VM を削除するには、次のコマンドを実行します。
```
gcloud compute instances delete instance-2-sg \
    --zone=asia-southeast1-b
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

Cloud NAT ゲートウェイと Cloud Router を削除する

コンソール

Google Cloud コンソールで [Cloud Router] ページに移動します。

[Cloud Router] に移動
[router-fw-rules] チェックボックスをオンにします。
[削除] をクリックします。
[Router-fw-rules の削除] ダイアログで [削除] をクリックします。

Cloud Router を削除すると、関連する Cloud NAT ゲートウェイも削除されます。

gcloud

router-fw-rules Cloud Router を削除するには、次のコマンドを実行します。

gcloud compute routers delete router-fw-rules \
    --region=us-central1

プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

Cloud Router を削除すると、関連する Cloud NAT ゲートウェイも削除されます。

VPC ネットワークとそのサブネットを削除する

コンソール

Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[名前] 列で [vpc-geo-location] をクリックします。
[VPC ネットワークの削除] をクリックします。
[ネットワークの削除] ダイアログで [削除] をクリックします。

VPC を削除すると、そのサブネットも削除されます。

gcloud

vpc-geo-location VPC ネットワークの subnet-1-us サブネットを削除するには、次のコマンドを実行します。
```
gcloud compute networks subnets delete subnet-1-us \
    --region=us-central1
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。
vpc-geo-location VPC ネットワークの subnet-2-sg サブネットを削除するには、次のコマンドを実行します。
```
gcloud compute networks subnets delete subnet-2-sg \
    --region=asia-southeast1
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。
次のコマンドを実行して、vpc-geo-location VPC ネットワークを作成します。
```
gcloud compute networks delete vpc-geo-location
```
プロンプトが表示されたら、Y キーを押して確定し、Enter キーを押します。

次のステップ

ファイアウォールポリシーのコンセプトについては、ファイアウォールポリシーをご覧ください。
ファイアウォールポリシールールのコンセプトについては、ファイアウォールポリシールールをご覧ください。
VPC ファイアウォールルールを作成、更新、モニタリング、削除するには、VPC ファイアウォールルールを使用するをご覧ください。
費用を確認するには、Cloud NGFW の料金をご覧ください。

特定の位置情報への下り（外向き）接続を拒否するグローバル ネットワーク ファイアウォール ポリシーを構成する

目標

始める前に

サブネットを持つカスタム VPC ネットワークを作成する

コンソール

gcloud

VM を作成する

us-central1 リージョンに VM を作成します。

コンソール

gcloud

asia-southeast1 リージョンに VM を作成します。

コンソール

gcloud

Cloud Router と Cloud NAT ゲートウェイを作成する

コンソール

gcloud

グローバル ネットワーク ファイアウォール ポリシーを作成して IAP を有効にする

コンソール

gcloud

ファイアウォール ルールを作成する

コンソール

gcloud

Apache サーバーをインストールする

コンソール

gcloud

接続を検証する

コンソール

gcloud

ファイアウォール ルールを追加して特定の位置情報へのトラフィックをブロックする

コンソール

gcloud

位置情報ファイアウォール ルールをテストする

コンソール

gcloud

ログを確認する

クリーンアップ

ファイアウォール ポリシーを削除する

コンソール

gcloud

VM を削除する

コンソール

gcloud

Cloud NAT ゲートウェイと Cloud Router を削除する

コンソール

gcloud

VPC ネットワークとそのサブネットを削除する

コンソール

gcloud

次のステップ

特定の位置情報への下り（外向き）接続を拒否するグローバルネットワークファイアウォールポリシーを構成する

`us-central1` リージョンに VM を作成します。

`asia-southeast1` リージョンに VM を作成します。

グローバルネットワークファイアウォールポリシーを作成して IAP を有効にする

ファイアウォールルールを作成する

ファイアウォールルールを追加して特定の位置情報へのトラフィックをブロックする

位置情報ファイアウォールルールをテストする

ファイアウォールポリシーを削除する