Configure a política de firewall de rede global para negar ligações de saída a geolocalizações específicas

Este tutorial descreve como criar e configurar uma política de firewall de rede global para bloquear o tráfego de saída para geolocalizações específicas na sua rede. Este artigo explica um exemplo de criação de uma rede da nuvem virtual privada (VPC) com duas sub-redes, configuração de uma política de firewall com regras de firewall de geolocalização e, em seguida, teste das regras de firewall.

Objetivos

Este tutorial mostra como concluir as seguintes tarefas:

• Crie uma rede VPC personalizada com duas sub-redes em regiões diferentes.
• Crie uma instância de máquina virtual (VM) em cada uma das seguintes regiões: os EUA e Singapura.
• Crie um Cloud Router e um gateway Cloud NAT para permitir que a VM dos EUA aceda à Internet pública.
• Crie uma política de firewall de rede global e adicione uma regra de firewall para ativar o Identity-Aware Proxy (IAP).
• Instale o servidor Apache na VM de Singapura.
• Adicione uma regra de firewall para bloquear o tráfego para geolocalizações específicas.
• Teste a regra de firewall de geolocalização.

O diagrama seguinte mostra o tráfego entre VMs nas regiões us-central1 e asia-southeast1 numa rede VPC personalizada. Uma política de firewall de rede global bloqueia o tráfego de saída para uma geolocalização específica. A VM na região us-central1 usa o Cloud Router e um Cloud NAT para acesso à Internet, sem usar um endereço IP externo. A VM na região us-central1 usa o endereço IP externo da VM na região asia-southeast1 para testar a regra de firewall.

Uma política de firewall de rede global que bloqueia o tráfego de saída de uma sub-rede para uma geolocalização específica (clique para aumentar).

Antes de começar

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

• Certifique-se de que tem a função de administrador de rede de computação (roles/compute.networkAdmin).

• Enable the Compute Engine and Identity-Aware Proxy (IAP) APIs.

  Roles required to enable APIs

  To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

  Enable the APIs

• Se preferir trabalhar a partir da linha de comandos, instale a CLI do Google Cloud. Para ver informações conceptuais e de instalação sobre a ferramenta, consulte a vista geral da CLI gcloud.

  Nota: se não tiver executado a CLI gcloud anteriormente, inicialize o diretório da CLI gcloud executando o comando gcloud init.

Crie uma rede VPC personalizada com sub-redes

Crie uma rede VPC no modo personalizado com duas sub-redes IPv4.

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Clique em Criar rede de VPC.

3. Em Nome, introduza vpc-geo-location.

4. Para o Modo de criação de sub-rede, selecione Personalizado.

5. Na secção Nova sub-rede, especifique os seguintes parâmetros de configuração para uma sub-rede:

   • Nome: subnet-1-us
   • Região: us-central1
   • Intervalo IPv4: 10.0.0.0/24

6. Clique em Concluído.

7. Clique em Adicionar sub-rede e especifique os seguintes parâmetros de configuração:

   • Nome: subnet-2-sg
   • Região: asia-southeast1
   • Intervalo IPv4: 192.168.200.0/24

8. Clique em Concluído.

9. Clique em Criar.

gcloud

1. Para abrir o terminal, clique em Ativar Cloud Shell.

2. Para criar uma rede VPC, execute o seguinte comando:

   gcloud compute networks create vpc-geo-location \
     --subnet-mode=custom
   

3. Na caixa de diálogo Autorizar Cloud Shell, clique em Autorizar.

4. Para criar uma sub-rede, execute o seguinte comando:

   gcloud compute networks subnets create subnet-1-us \
     --network=vpc-geo-location \
     --region=us-central1 \
     --range=10.0.0.0/24
   

5. Para criar outra sub-rede, execute o seguinte comando:

   gcloud compute networks subnets create subnet-2-sg \
     --network=vpc-geo-location \
     --region=asia-southeast1 \
     --range=192.168.200.0/24
   

Crie VMs

Nesta secção, cria duas VMs nas sub-redes que configurou na secção anterior.

Crie uma VM na região us-central1

Crie uma VM na região us-central1 sem um endereço IP externo.

Consola

Para criar uma VM na região us-central1, siga estes passos:

1. Na Google Cloud consola, aceda à página Criar uma instância.

   Aceda a Criar uma instância

2. No painel Configuração da máquina, faça o seguinte:

   1. Em Nome, introduza instance-1-us.
   2. Para Região, selecione us-central1 (Iowa).

3. No menu de navegação, clique em Rede.

   1. Na secção Interfaces de rede, clique em default e especifique os seguintes parâmetros de configuração:
      • Rede: vpc-geo-location
      • Subnetwork: subnet-1-us IPv4 (10.0.0.0/24)
      • Endereço IPv4 externo: Nenhum
   2. Clique em Concluído.

4. Clique em Criar.

gcloud

Para criar uma VM na região us-central1, execute o seguinte comando:

gcloud compute instances create instance-1-us \
     --network=vpc-geo-location \
     --zone=us-central1-a \
     --stack-type=IPV4_ONLY \
     --no-address \
     --subnet=subnet-1-us

Crie uma VM na região asia-southeast1

Consola

Para criar uma VM na região asia-southeast1, siga estes passos:

1. Na Google Cloud consola, aceda à página Criar uma instância.

   Aceda a Criar uma instância

2. No painel Configuração da máquina, faça o seguinte:

   1. Em Nome, introduza instance-2-sg.
   2. Para Região, selecione asia-southeast1 (Singapore).

3. No menu de navegação, clique em Rede.

   1. Na secção Interfaces de rede, clique em default e especifique os seguintes parâmetros de configuração:
      • Rede: vpc-geo-location
      • Subnetwork: subnet-2-sg IPv4 (192.168.200.0/24)
      • Endereço IPv4 externo: Nenhum
   2. Clique em Concluído.

4. Clique em Criar.

gcloud

Para criar uma VM na região asia-southeast1, execute o seguinte comando:

gcloud compute instances create instance-2-sg \
    --network=vpc-geo-location \
    --zone=asia-southeast1-b \
    --subnet=subnet-2-sg \
    --stack-type=IPV4_ONLY

Crie um Cloud Router e um gateway do Cloud NAT

Na secção anterior, criou duas VMs, instance-1-us e asia-southeast1. Para permitir que as VMs instance-1-us acedam à Internet pública, crie um Cloud Router e um gateway Cloud NAT.

Consola

1. Na Google Cloud consola, aceda à página Cloud NAT.

   Aceda ao Cloud NAT

2. Clique em Começar ou Criar gateway de NAT da nuvem.

3. Em Nome da gateway, introduza nat-gateway.

4. Para Tipo de NAT, selecione Público.

5. Na secção Selecionar router na nuvem, especifique os seguintes parâmetros de configuração:

   • Rede: vpc-geo-location
   • Região: us-central1
   • Cloud Router: criar novo router.
     1. Em Nome, introduza router-fw-rules.
     2. Clique em Criar.

6. Clique em Criar.

7. Na Google Cloud consola, aceda à página Endereços IP.

   Aceda a Endereços IP

8. Clique no separador Endereços IP externos e, de seguida, copie o endereço IP do seu Cloud NAT (nat-auto-ip). Este endereço IP é usado quando valida a ligação entre a VM instance-1-us e a VM instance-2-sg.

gcloud

1. Para criar um Cloud Router, execute o seguinte comando:

   gcloud compute routers create router-fw-rules \
     --network=vpc-geo-location \
     --region=us-central1
   

2. Para criar um gateway NAT da Cloud, execute o seguinte comando:

   gcloud compute routers nats create nat-gateway \
     --router=router-fw-rules \
     --region=us-central1 \
     --auto-allocate-nat-external-ips \
     --nat-all-subnet-ip-ranges
   

3. Para ver o endereço IP do Cloud NAT, execute o seguinte comando:

   gcloud compute routers get-nat-ip-info \
     router-fw-rules \
     --region=us-central1
   

   Não se esqueça de copiar o endereço IP do Cloud NAT (natIp). Este endereço IP é usado quando valida a ligação entre a VM instance-1-us e a VM instance-2-sg.

Crie uma política de firewall de rede global para ativar o IAP

Nesta secção, cria uma política de firewall de rede global e adiciona uma regra de firewall para ativar o IAP. O IAP permite o acesso administrativo às instâncias de VM.

A regra de firewall inclui as seguintes caraterísticas.

• Tráfego de entrada do intervalo de IP 35.235.240.0/20. Este intervalo contém todos os endereços IP que o IAP usa para o encaminhamento TCP.

• Uma ligação a todas as portas às quais quer aceder através do encaminhamento TCP do IAP, por exemplo, a porta 22 para SSH.

Consola

Para permitir o acesso do IAP a todas as instâncias de VM na rede vpc-geo-location, siga estes passos:

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Clique em Criar política de firewall.

3. Na secção Configurar política, em Nome da política, introduza fw-policy.

4. Em Âmbito de implementação, selecione Global e clique em Continuar.

5. Para criar regras para a sua política, na secção Adicionar regras, clique em Adicionar regra.

   1. Para Prioridade, introduza 100.
   2. Para Direção do tráfego, selecione Entrada.
   3. Para Ação em caso de correspondência, selecione Permitir.
   4. Para Registos, selecione Ativar.
   5. Na secção Segmentar, para Tipo de segmentação, selecione Todas as instâncias na rede.
   6. Na secção Origem, para Intervalos IP, introduza 35.235.240.0/20.
   7. Na secção Protocolo e portas, selecione Protocolos e portas especificados.
   8. Selecione a caixa de verificação TCP e, para Portas, introduza 22.
   9. Clique em Criar.

6. Clique em Continuar.

7. Para associar uma rede VPC à política, na secção Associar política a redes VPC, clique em Associar.

8. Selecione a caixa de verificação de vpc-geo-location e clique em Associar.

9. Clique em Continuar.

10. Clique em Criar.

gcloud

Para permitir o acesso IAP a todas as instâncias de VM na rede vpc-geo-location, execute o seguinte comando:

1. Para criar uma política de firewall, execute o seguinte comando:

   gcloud compute network-firewall-policies create fw-policy \
       --global
   

2. Para criar uma regra de firewall que permita o tráfego para todos os destinos e ative os registos, execute o seguinte comando:

   gcloud compute network-firewall-policies rules create 100 \
       --firewall-policy=fw-policy \
       --direction=INGRESS \
       --action=ALLOW \
       --layer4-configs=tcp:22 \
       --src-ip-ranges=35.235.240.0/20 \
       --global-firewall-policy \
       --enable-logging
   
   

3. Para associar a política de firewall à rede VPC, execute o seguinte comando:

   gcloud compute network-firewall-policies associations create \
       --firewall-policy=fw-policy \
       --network=vpc-geo-location \
       --name=pol-association-fw-rules \
       --global-firewall-policy
   

Crie uma regra de firewall

Nesta secção, cria uma regra de firewall para permitir a ligação de entrada na VM instance-2-sg.

Consola

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique em fw-policy.

3. Clique em Criar regra.

4. Para Prioridade, introduza 500.

5. Para Direção do tráfego, selecione Entrada.

6. Para Ação em caso de correspondência, selecione Permitir.

7. Para Registos, selecione Ativar.

8. Na secção Segmentar, para Tipo de segmentação, selecione Todas as instâncias na rede.

9. Na secção Origem, para Intervalos de IP, introduza NAT_IP_ADDRESS.

   Substitua NAT_IP_ADDRESS pelo endereço IP atribuído ao Cloud NAT. Para mais informações, consulte o artigo Crie um Cloud Router e um gateway Cloud NAT.

10. Clique em Criar.

gcloud

Para atualizar a política de firewall, execute o seguinte comando:

gcloud compute network-firewall-policies rules create 500 \
    --firewall-policy=fw-policy \
    --direction=INGRESS \
    --action=ALLOW \
    --src-ip-ranges=NAT_IP_ADDRESS \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Substitua NAT_IP_ADDRESS pelo endereço IP atribuído ao Cloud NAT. Para mais informações, consulte o artigo Crie um Cloud Router e um gateway Cloud NAT.

Instale o servidor Apache

Nesta secção, instala o servidor Apache na VM instance-2-sg.

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Na coluna Ligar da VM instance-2-sg, clique em SSH.

3. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde que a ligação seja estabelecida.

4. Para atualizar as listas de pacotes na sua instância, execute o seguinte comando:

   sudo apt-get update
   

   Quando o processo terminar, é gerada a seguinte mensagem:

   Reading package lists... Done.

5. Para instalar o pacote apache2 HTTP Server, na linha de comandos, execute o seguinte comando:

   sudo apt-get install apache2 php7.0
   

   Enquanto o processo está em curso, gera a seguinte mensagem:

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   Prima Y para confirmar e, de seguida, prima Enter.

6. Para substituir a página Web predefinida do servidor Web Apache, execute o seguinte comando:

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

7. Feche a caixa de diálogo SSH no navegador.

gcloud

1. Para usar o SSH para estabelecer ligação à VM instance-2-sg, execute o seguinte comando:

   gcloud compute ssh instance-2-sg \
       --zone=asia-southeast1-b \
       --tunnel-through-iap
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

   Nota: enquanto a ligação SSH à VM instance-2-sg estiver estabelecida, ignore todas as mensagens de aviso que vir.

2. Para atualizar as listas de pacotes na sua instância, execute o seguinte comando:

   sudo apt-get update
   

   Quando o processo terminar, é gerada a seguinte mensagem:

   Reading package lists... Done.

3. Para instalar o pacote apache2 HTTP Server, na linha de comandos, execute o seguinte comando:

   sudo apt-get install apache2 php7.0
   

   Enquanto o processo está em curso, gera a seguinte mensagem:

   After this operation, 56.0 MB of additional disk space will be used. Do you want to continue? [Y/n]

   Prima Y para confirmar e, de seguida, prima Enter.

4. Para substituir a página Web predefinida do servidor Web Apache, execute o seguinte comando:

   echo '<!doctype html><html><body><h1>Hello World!</h1></body></html>' | sudo tee /var/www/html/index.html
   

5. Para fechar o SSH no navegador, introduza exit.

Valide a associação

Depois de instalar o servidor Apache na VM instance-2-sg, estabeleça ligação à VM instance-1-us a partir da VM instance-2-sg através do endereço IP externo da VM instance-2-sg.

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Na coluna IP externo da VM instance-2-sg, copie o endereço IP externo da VM.

3. Na coluna Ligar da VM instance-1-us, clique em SSH.

4. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde que a ligação seja estabelecida.

5. Para validar a associação, execute o seguinte comando:

   curl EXTERNAL_IP -m 2
   

   Substitua EXTERNAL_IP pelo endereço IP da VM instance-2-sg.

   A mensagem de resposta esperada é a seguinte:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

6. Feche a caixa de diálogo SSH no navegador.

gcloud

1. Para ver o endereço IP externo da VM instance-2-sg, execute o seguinte comando:

   gcloud compute instances describe instance-2-sg \
       --zone=asia-southeast1-b \
       --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter. Certifique-se de que anota o endereço IP externo da VM instance-2-sg.

2. Para usar o SSH para estabelecer ligação à VM instance-1-us, execute o seguinte comando:

   gcloud compute ssh instance-1-us \
       --zone=us-central1-a \
       --tunnel-through-iap
   

   Nota: enquanto a ligação SSH à VM instance-1-us estiver estabelecida, ignore todas as mensagens de aviso que vir.

3. Para validar a associação, execute o seguinte comando:

     curl EXTERNAL_IP -m 2
   

   Substitua EXTERNAL_IP pelo endereço IP da VM instance-2-sg.

   A mensagem de resposta esperada é a seguinte:

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

4. Para fechar o SSH no navegador, introduza exit.

Adicione uma regra de firewall para bloquear o tráfego para geolocalizações específicas

Nesta secção, adiciona uma regra de firewall para a VPC vpc-geo-location para bloquear o tráfego de saída para Itália, Polónia e Singapura.

Consola

Para adicionar uma nova regra no fw-policy que criou na secção Crie uma política de firewall de rede global, siga estes passos:

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique em fw-policy.

3. Clique em Criar regra.

4. Para Prioridade, introduza 200.

5. Em Direção do trânsito, selecione Saída.

6. Para Ação em caso de correspondência, selecione Recusar.

7. Para Registos, selecione Ativar.

8. Na secção Destino, para Geolocalizações, selecione Singapura (SG), Polónia (PL) e Itália (IT).

9. Clique em OK.

10. Clique em Criar.

gcloud

Para adicionar uma nova regra no fw-policy que criou na secção Crie uma política de firewall de rede global, execute o seguinte comando:

gcloud compute network-firewall-policies rules create 200 \
    --firewall-policy=fw-policy \
    --direction=EGRESS \
    --action=DENY \
    --dest-region-codes=SG,PL,IT \
    --layer4-configs=all \
    --global-firewall-policy \
    --enable-logging

Teste a regra de firewall de geolocalização

Consola

Depois de adicionar a regra para bloquear o tráfego de saída para Singapura (SG), Polónia (PL) e Itália (IT), siga estes passos para testar a regra:

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Na coluna IP externo da VM instance-2-sg, copie o endereço IP externo da VM.

3. Na coluna Ligar da VM instance-1-us, clique em SSH.

4. Na caixa de diálogo SSH no navegador, clique em Autorizar e aguarde que a ligação seja estabelecida.

5. Para verificar se o tráfego de saída para a VM instance-2-sg está bloqueado, execute o seguinte comando:

   curl EXTERNAL_IP -m 2
   

   Substitua EXTERNAL_IP pelo endereço IP da VM instance-2-sg.

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para negar tráfego externo da VM dos EUA para a VM de Singapura.

6. Para verificar se o tráfego de saída para a Polónia está bloqueado, execute o seguinte comando:

     curl  `https://www.gov.pl` -m 2
   

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para negar tráfego externo ao Website da Polónia.

   Nota: pode usar qualquer Website cujo nome de domínio seja resolvido para um endereço IP associado à geolocalização Polónia (PL).

7. Para verificar se o tráfego de saída para Itália está bloqueado, execute o seguinte comando:

     curl  `https://www.esteri.it/it/` -m 2
   

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para negar tráfego externo ao Website de Itália.

   Nota: pode usar qualquer Website cujo nome de domínio seja resolvido para um endereço IP associado à geolocalização Itália (IT).

8. Feche a caixa de diálogo SSH no navegador.

gcloud

Depois de adicionar a regra para bloquear o tráfego de saída para Singapura (SG), Polónia (PL) e Itália (IT), execute o seguinte comando para testar a regra:

1. Para ver o endereço IP externo da VM instance-2-sg, execute o seguinte comando:

   gcloud compute instances describe instance-2-sg \
      --format='get(networkInterfaces[0].accessConfigs[0].natIP)'
   

   Quando lhe for pedido, prima Y para confirmar e, de seguida, prima Enter. Certifique-se de que anota o endereço IP externo da instance-2-sg VM.

2. Para usar o SSH para estabelecer ligação à VM instance-1-us, execute o seguinte comando:

   gcloud compute ssh instance-1-us \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   Nota: enquanto a ligação SSH à VM instance-1-us estiver estabelecida, ignore todas as mensagens de aviso que vir.

3. Para validar se o tráfego de saída para Singapura está bloqueado, execute o seguinte comando:

   curl EXTERNAL_IP -m 2
   

   Substitua EXTERNAL_IP pelo endereço IP da VM instance-2-sg.

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para negar tráfego externo da VM dos EUA para a VM de Singapura.

4. Para verificar se o tráfego de saída para a Polónia está bloqueado, execute o seguinte comando:

   curl https://www.gov.pl -m 2
   

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para recusar tráfego externo do Website da Polónia.

   Nota: pode usar qualquer Website cujo nome de domínio seja resolvido para um endereço IP associado à geolocalização Polónia (PL).

5. Para verificar se o tráfego de saída para Itália está bloqueado, execute o seguinte comando:

   curl  https://www.esteri.it/it/ -m 2
   

   A mensagem Connection timed out é esperada porque criou uma regra de firewall para negar tráfego externo ao Website de Itália.

   Nota: pode usar qualquer Website cujo nome de domínio seja resolvido para um endereço IP associado à geolocalização Itália (IT).

6. Para fechar a caixa de diálogo SSH no navegador, introduza exit.

Ver os registos

Pode verificar se as regras de firewall foram aplicadas ao tráfego de saída acedendo aos registos. Para ver os detalhes do registo, siga estes passos:

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique no nome fw-policy.

3. Clique em Opções de apresentação de colunas.

4. Na caixa de diálogo Colunas apresentadas, selecione Contagem de resultados e, de seguida, clique em OK.

5. Na coluna Contagem de resultados, selecione o número da regra que criou durante a criação de uma política de firewall de rede global. É apresentada a página Explorador de registos.

6. Para ver a regra de firewall aplicada ao tráfego de saída, expanda o registo individual. Pode ver os detalhes da ligação, da disposição e da localização remota.

Limpar

Para evitar incorrer em custos na sua Google Cloud conta pelos recursos usados neste tutorial, elimine o projeto que contém os recursos ou mantenha o projeto e elimine os recursos individuais.

Nesta secção, elimina os recursos criados neste tutorial.

Elimine a política de firewall

Consola

1. Na Google Cloud consola, aceda à página Políticas de firewall.

   Aceder a Políticas de firewall

2. Na secção Políticas de firewall de rede, clique no nome fw-policy.

3. Clique no separador Associações.

4. Selecione a caixa de verificação vpc-geo-location e clique em Remover associação.

5. Na caixa de diálogo Remova uma associação de política de firewall, clique em Remover.

6. Junto ao título fw-policy, clique em Eliminar.

7. Na caixa de diálogo Eliminar uma política de firewall, clique em Eliminar.

gcloud

1. Remova a associação entre a política de firewall e a rede VPC.

   gcloud compute network-firewall-policies associations delete \
     --name=pol-association-fw-rules \
     --firewall-policy=fw-policy \
     --global-firewall-policy
   

   Nota: se configurar a associação entre a política de firewall e a rede VPC através da Google Cloud consola, não use o comando da CLI gcloud para remover a associação. Se não se lembrar de como criou a associação ou receber o erro The network firewall policy does not have an association with pol-association-fw-rules. quando executar o comando, use a consola para remover a associação.
   Google Cloud

2. Elimine a política de firewall.

   gcloud compute network-firewall-policies delete fw-policy \
       --global
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Elimine as VMs

Consola

1. Na Google Cloud consola, aceda à página Instâncias de VM.

   Aceder às instâncias de VM

2. Selecione as caixas de verificação das VMs instance-1-us e instance-2-sg.

3. Clique em Eliminar.

4. Na caixa de diálogo Eliminar 2 instâncias?, clique em Eliminar.

gcloud

1. Para eliminar a VM instance-1-us, execute o seguinte comando:

   gcloud compute instances delete instance-1-us \
       --zone=us-central1-a
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

2. Para eliminar a VM instance-2-sg, execute o seguinte comando:

   gcloud compute instances delete instance-2-sg \
       --zone=asia-southeast1-b
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Elimine a gateway do Cloud NAT e o Cloud Router

Consola

1. Na Google Cloud consola, aceda à página Routers na nuvem.

   Aceda a Cloud Routers

2. Selecione a caixa de verificação router-fw-rules.

3. Clique em Eliminar.

4. Na caixa de diálogo Delete router-fw-rules, clique em Delete.

Quando elimina um Cloud Router, o gateway Cloud NAT associado também é eliminado.

gcloud

Para eliminar o router na nuvem router-fw-rules, execute o seguinte comando:

gcloud compute routers delete router-fw-rules \
    --region=us-central1

Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

Quando elimina um Cloud Router, o gateway Cloud NAT associado também é eliminado.

Elimine a rede de VPC e as respetivas sub-redes

Consola

1. Na Google Cloud consola, aceda à página Redes VPC.

   Aceda a redes de VPC

2. Na coluna Nome, clique em vpc-geo-location.

3. Clique em Eliminar rede de VPC.

4. Na caixa de diálogo Eliminar uma rede, clique em Eliminar.

Quando elimina uma VPC, as respetivas sub-redes também são eliminadas.

gcloud

1. Para eliminar a sub-rede subnet-1-us da rede VPC vpc-geo-location, execute o seguinte comando:

   gcloud compute networks subnets delete subnet-1-us \
       --region=us-central1
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

2. Para eliminar a sub-rede subnet-2-sg da rede VPC vpc-geo-location, execute o seguinte comando:

   gcloud compute networks subnets delete subnet-2-sg \
       --region=asia-southeast1
   

   Quando lhe for pedido, prima Y para confirmar e prima Enter.

3. Para eliminar a rede de VPC vpc-geo-location, execute o seguinte comando:

   gcloud compute networks delete vpc-geo-location
   

   Quando lhe for pedido, prima Y para confirmar e, em seguida, prima Enter.

O que se segue?

• Para informações conceptuais sobre as políticas de firewall, consulte o artigo Políticas de firewall.
• Para informações conceptuais sobre as regras de política de firewall, consulte o artigo Regras de política de firewall.
• Para criar, atualizar, monitorizar e eliminar regras de firewall de VPC, consulte o artigo Use regras de firewall de VPC.
• Para determinar os custos, consulte os preços do Cloud NGFW.