Configurer le service de prévention des intrusions sur votre réseau

---

Le service de prévention des intrusions surveille votre trafic de charge de travail Google Cloud afin de détecter toute activité malveillante et de prendre des mesures préventives pour la contrer. Pour activer ce service sur votre réseau, vous devez configurer plusieurs composants du pare-feu Cloud nouvelle génération. Ce tutoriel décrit le workflow de bout en bout pour configurer le service de prévention des intrusions dans votre réseau.

Objectifs

Ce guide vous explique comment effectuer les tâches suivantes :

• Créer un réseau cloud privé virtuel (VPC) avec deux sous-réseaux.
• Créer une instance de machine virtuelle (VM) de serveur dans le premier sous-réseau du réseau VPC et installer le serveur Apache sur la VM.
• Créer une instance de VM cliente dans le deuxième sous-réseau du réseau VPC.
• Créer un profil de sécurité et un groupe de profils de sécurité.
• Créer un point de terminaison de pare-feu et l'associer au réseau VPC.
• Ajouter une stratégie de pare-feu de réseau mondial avec les règles de pare-feu suivantes :
  • Une règle de pare-feu pour autoriser l'accès Identity-Aware Proxy (IAP) aux instances de VM du réseau VPC.
  • Une règle de pare-feu pour rediriger tout le trafic entrant vers l'inspection de la couche 7.
• Vérifier si le trafic malveillant vers l'instance de VM de serveur est bloqué.
• Nettoyer les ressources.

Le schéma suivant illustre l'architecture générale de la configuration de déploiement de ce tutoriel. La stratégie de pare-feu fw-policy-ips sur le VPC vpc-ips redirige le trafic entrant vers le point de terminaison du pare-feu dans la zone asia-southeast1-a. Le point de terminaison de pare-feu endpoint-ips inspecte le trafic pour détecter toute menace. Si une menace est détectée, il applique les mesures préventives en suivant les instructions spécifiées dans le profil de sécurité sec-profile-ips.

Service de prévention des intrusions dans un réseau VPC personnalisé (cliquez pour agrandir).

Coûts

La création de points de terminaison de pare-feu génère des frais. Pour en savoir plus sur les tarifs, consultez la page Tarifs du pare-feu Cloud nouvelle génération.

Avant de commencer

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

5. Make sure that billing is enabled for your Google Cloud project.

6. Activez l'API Compute Engine pour votre projet.
7. Activez l'API Network Security pour votre projet.
8. Activez l'API Identity-Aware Proxy pour votre projet.
9. Vous devez disposer du rôle IAM Administrateur de réseaux Compute (roles/compute.networkAdmin) dans votre organisation.
10. Si vous préférez travailler à partir de la ligne de commande, installez Google Cloud CLI. Pour obtenir des informations conceptuelles et d'installation sur l'outil, consultez la présentation de gcloud CLI.

    Remarque : Si vous n'avez pas encore utilisé gcloud CLI, commencez par exécuter la commande gcloud init pour initialiser votre répertoire gcloud CLI.

Créer un réseau VPC personnalisé avec des sous-réseaux

Dans cette section, vous allez créer un réseau VPC en mode personnalisé avec deux sous-réseaux IPv4.

Console

1. Dans la console Google Cloud, accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur Créer un réseau VPC.

3. Dans le champ Nom, saisissez vpc-ips.

4. Dans Description, saisissez VPC network to set up intrusion prevention service.

5. Dans le champ Mode de création de sous-réseau, sélectionnez Personnalisé.

6. Dans la section Nouveau sous-réseau, spécifiez les paramètres de configuration de sous-réseau suivants :

   • Nom : subnet-ips-server
   • Région : asia-southeast1
   • Plage IPv4 : 10.0.0.0/24

7. Cliquez sur OK.

8. Cliquez sur Ajouter un sous-réseau et spécifiez les paramètres de configuration suivants :

   • Nom : subnet-ips-client
   • Région : us-central1
   • Plage IPv4 : 192.168.10.0/24

9. Cliquez sur OK.

10. Cliquez sur Créer.

gcloud

1. Pour créer un réseau VPC, exécutez la commande suivante :

   gcloud compute networks create vpc-ips \
     --subnet-mode custom \
     --description "VPC network to set up intrusion prevention service."
   

2. Dans la boîte de dialogue Autoriser Cloud Shell, cliquez sur Autoriser.

3. Pour créer un sous-réseau, exécutez la commande suivante :

   gcloud compute networks subnets create  subnet-server-ips \
     --network vpc-ips \
     --region asia-southeast1 \
     --range 10.0.0.0/24
   

4. Pour créer un autre sous-réseau, exécutez la commande suivante :

   gcloud compute networks subnets create subnet-client-ips \
     --network vpc-ips \
     --region us-central1 \
     --range 192.168.10.0/24
   

Créer des instances de VM

Dans cette section, vous allez créer des instances de VM serveur et client.

Créer l'instance de VM serveur

Dans cette section, vous allez créer une instance de VM dans le sous-réseau subnet-server-ips et y installer le serveur Apache.

Console

1. Accédez à la page Créer une instance dans Google Cloud Console.

   Accéder à la page Créer une instance

2. Dans le champ Nom, saisissez vm-server-ips.

3. Pour Région, sélectionnez asia-southeast1 (Singapore).

4. Pour Zone, sélectionnez asia-southeast1-a.

5. Dans la section Disque de démarrage, sélectionnez Modifier, puis sélectionnez Debian pour le système d'exploitation.

6. Cliquez sur Sélectionner.

7. Développez la section Options avancées, puis Mise en réseau.

8. Dans la section Interfaces réseau, spécifiez les paramètres de configuration suivants :

   • Réseau : vpc-ips
   • Sous-réseau : subnet-server-ips IPv4 (10.0.0.0/24)

9. Cliquez sur OK.

10. Développez la section Gestion.

11. Dans la section Automatisation, ajoutez le script de démarrage suivant :

      #! /bin/bash
      apt update
      apt -y install apache2
      cat <<EOF > /var/www/html/index.html
      <html><body><p>Hello world.</p></body></html>
      EOF
    

12. Cliquez sur Créer.

13. Notez l'adresse IP externe de la VM de serveur une fois qu'elle est créée.

gcloud

Pour créer la VM serveur, exécutez la commande suivante :

gcloud compute instances create vm-server-ips \
    --network vpc-ips \
    --zone asia-southeast1-a \
    --subnet subnet-server-ips \
    --stack-type IPV4_ONLY \
    --image-project debian-cloud \
    --image-family debian-11 \
    --metadata=startup-script='#! /bin/bash
     apt update
     apt -y install apache2
     cat <<EOF > /var/www/html/index.html
     <html><body><p>Hello World.</p></body></html>
     EOF'

Notez l'adresse IP externe de la VM dans l'état renvoyé.

Créer l'instance de VM cliente

Dans cette section, vous allez créer une instance de VM dans le sous-réseau subnet-client-ips.

Console

1. Accédez à la page Créer une instance dans Google Cloud Console.

   Accéder à la page Créer une instance

2. Dans le champ Nom, saisissez vm-client-ips.

3. Pour Région, sélectionnez us-central1.

4. Pour Zone, sélectionnez us-central1-a.

5. Développez la section Options avancées, puis Mise en réseau.

6. Dans la section Interfaces réseau, spécifiez les paramètres de configuration suivants :

   • Réseau : vpc-ips
   • Sous-réseau : subnet-client-ips IPv4 (192.168.10.0/24)

7. Cliquez sur OK.

8. Cliquez sur Créer.

gcloud

Pour créer la VM cliente, exécutez la commande suivante :

gcloud compute instances create vm-client-ips \
    --network vpc-ips \
    --zone us-central1-a \
    --subnet subnet-client-ips \
    --stack-type IPV4_ONLY

Créer un profil de sécurité

Dans cette section, vous allez créer un profil de sécurité de type threat-prevention dans votre organisation. Pour connaître les autorisations requises pour créer un profil de sécurité, consultez la section Autorisations requises pour cette tâche.

Console

1. Dans la console Google Cloud, accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Dans le menu de sélection du projet, sélectionnez votre organisation.

3. Sélectionnez l'onglet Profils de sécurité.

4. Cliquez sur Créer un profil.

5. Dans le champ Nom, saisissez sec-profile-ips.

6. Dans Description, saisissez Security profile to set up intrusion prevention service.

7. Cliquez sur Continuer.

8. Cliquez sur Créer.

gcloud

Pour créer un profil de sécurité, exécutez la commande suivante :

gcloud network-security security-profiles \
    threat-prevention \
    create sec-profile-ips \
    --organization ORGANIZATION_ID \
    --location global \
    --project PROJECT_ID \
    --description "Security profile to set up intrusion prevention service."

Remplacez les éléments suivants :

• ORGANIZATION_ID : organisation dans laquelle le profil de sécurité est créé.
• PROJECT_ID : ID de projet à utiliser pour les quotas et les restrictions d'accès sur le profil de sécurité.

Créer un groupe de profils de sécurité

Dans cette section, vous allez créer un groupe de profils de sécurité pour inclure le profil de sécurité que vous avez créé dans la section précédente. Pour afficher les autorisations requises pour créer un groupe de profils de sécurité, consultez la section Autorisations requises pour cette tâche.

Console

1. Dans la console Google Cloud, accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Dans le menu de sélection du projet, sélectionnez votre organisation.

3. Sélectionnez l'onglet Groupes de profils de sécurité.

4. Cliquez sur Créer un groupe de profils.

5. Dans le champ Nom, saisissez sec-profile-group-ips.

6. Dans Description, saisissez Security profile group to set up intrusion prevention service.

7. Dans la liste Profil de prévention des menaces, sélectionnez sec-profile-ips.

8. Cliquez sur Créer.

gcloud

Pour créer un groupe de profils de sécurité, exécutez la commande suivante :

gcloud network-security security-profile-groups \
    create sec-profile-group-ips \
    --organization ORGANIZATION_ID \
    --location global \
    --project PROJECT_ID \
    --threat-prevention-profile  \
    organizations/ORGANIZATION_ID/locations/global/securityProfiles/sec-profile-ips \
    --description "Security profile group to set up intrusion prevention service."

Remplacez les éléments suivants :

• ORGANIZATION_ID : organisation dans laquelle le groupe de profils de sécurité est créé.
• PROJECT_ID : ID de projet à utiliser pour les quotas et les restrictions d'accès sur le groupe de profils de sécurité.

Créer un point de terminaison de pare-feu

Dans cette section, vous allez créer un point de terminaison de pare-feu dans une zone spécifique. Pour afficher les autorisations requises pour créer un point de terminaison de pare-feu, consultez la section Autorisations requises pour cette tâche.

Remarque : Lorsque vous créez un point de terminaison de pare-feu, son état est défini sur Creating. Une fois le point de terminaison de pare-feu prêt, l'état passe à Active.

Console

1. Dans la console Google Cloud, accédez à la page Points de terminaison de pare-feu.

   Accéder à la page "Points de terminaison de pare-feu"

2. Dans le menu de sélection du projet, sélectionnez votre organisation.

3. Cliquez sur Créer.

4. Dans la liste Région, sélectionnez asia-southeast1 (Singapore).

5. Dans la liste Zone, sélectionnez asia-southeast1-a.

6. Dans le champ Nom, saisissez endpoint-ips.

7. Cliquez sur Créer.

gcloud

Pour créer un point de terminaison de pare-feu, exécutez la commande suivante :

gcloud network-security firewall-endpoints \
    create endpoint-ips \
    --organization ORGANIZATION_ID \
    --zone asia-southeast1-a \
    --billing-project PROJECT_ID

Remplacez les éléments suivants :

• ORGANIZATION_ID : identifiant de l'organisation dans laquelle le point de terminaison de pare-feu est créé.
• PROJECT_ID : ID de projet à utiliser pour la facturation du point de terminaison de pare-feu.

Créer une association de point de terminaison de pare-feu

Dans cette section, vous allez associer le point de terminaison de pare-feu au réseau VPC que vous avez créé à l'étape précédente.

Console

1. Dans la console Google Cloud, accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur le réseau vpc-ips pour afficher la page Détails du réseau VPC correspondante.

3. Sélectionnez l'onglet Point de terminaison de pare-feu.

4. Cliquez sur Ajouter une association de point de terminaison.

5. Dans la liste Région, sélectionnez asia-southeast1.

6. Dans la liste Zone, sélectionnez asia-southeast1-a.

7. Dans la liste Point de terminaison de pare-feu, sélectionnez endpoint-ips.

8. Cliquez sur Créer.

gcloud

Pour créer une association de point de terminaison de pare-feu, exécutez la commande suivante :

gcloud network-security firewall-endpoint-associations \
    create endpoint-association-ips \
    --endpoint  organizations/ORGANIZATION_ID/locations/asia-southeast1-a/firewallEndpoints/endpoint-ips \
    --network vpc-ips \
    --zone asia-southeast1-a \
    --project PROJECT_ID

Remplacez les éléments suivants :

• ORGANIZATION_ID : identifiant de l'organisation dans laquelle le point de terminaison de pare-feu est créé.
• PROJECT_ID : ID de projet dans lequel l'association est créée.

Créer une stratégie de pare-feu de réseau au niveau mondial

Dans cette section, vous allez créer une stratégie de pare-feu réseau mondiale contenant les deux règles de pare-feu suivantes :

1. Une règle de pare-feu d'entrée avec la priorité 100 pour autoriser le trafic TCP vers les ports 3389 et 22. Cette règle permet à IAP d'accéder aux instances de VM du réseau VPC.
2. Une règle de pare-feu d'entrée avec priorité 200 pour effectuer une inspection de couche 7 sur le trafic entrant vers la VM serveur dans une zone spécifique.

Console

1. Dans la console Google Cloud, accédez à la page Règles d'administration.

   Accéder à la page "Stratégies de pare-feu"

2. Dans la liste des sélecteurs de projet, choisissez votre projet au sein de votre organisation.

3. Cliquez sur Créer une stratégie de pare-feu.

4. Dans le champ Nom, saisissez fw-policy-ips.

5. Pour le Champ d'application du déploiement, sélectionnez Mondial.

6. Cliquez sur Continuer, puis sur Ajouter une règle.

7. Dans le champ Priorité, saisissez 100.

8. Pour le champ Journaux, sélectionnez Activé.

9. Pour le Sens du trafic, sélectionnez Entrée.

10. Pour l'option Action en cas de correspondance, sélectionnez Autoriser.

11. Pour le filtre Source, sélectionnez IPv4, puis saisissez 35.235.240.0/20 dans le champ Plage d'adresses IP.

12. Dans la section Protocoles et ports, sélectionnez Protocoles et ports spécifiés.

13. Sélectionnez TCP, puis saisissez 22,3389 dans le champ Ports.

14. Cliquez sur Créer.

15. Cliquez sur Ajouter une règle.

16. Dans le champ Priorité, saisissez 200.

17. Pour le champ Journaux, sélectionnez Activé.

18. Pour le Sens du trafic, sélectionnez Entrée.

19. Dans le champ Action en cas de correspondance, sélectionnez Passer à l'inspection L7.

20. Dans la liste Groupe de profils de sécurité, sélectionnez sec-profile-group-ips.

21. Dans le filtre Destination, sélectionnez IPv4, puis dans le champ Plage d'adresses IP, saisissez l'adresse IP externe de la VM serveur que vous avez créée dans la section Créer des instances de VM serveur.

22. Cliquez sur Créer.

23. Cliquez sur Continuer.

24. Cliquez sur Associer la stratégie à des réseaux VPC.

25. Sélectionnez un réseau vpc-ips.

26. Cliquez sur Associer.

27. Cliquez sur Créer.

gcloud

1. Pour créer une stratégie de pare-feu réseau mondiale, exécutez la commande suivante :

   gcloud compute network-firewall-policies \
     create fw-policy-ips \
     --global \
     --project PROJECT_ID
   

   Remplacez les éléments suivants :

   • PROJECT_ID : ID de projet dans lequel la stratégie de pare-feu de réseau mondiale est créée.

2. Pour ajouter la règle de pare-feu afin d'activer l'accès IAP, exécutez la commande suivante :

   gcloud compute network-firewall-policies rules create 100 \
     --firewall-policy fw-policy-ips \
     --direction INGRESS \
     --action ALLOW \
     --src-ip-ranges 35.235.240.0/20 \
     --layer4-configs tcp:22, tcp:3389 \
     --global-firewall-policy \
     --enable-logging
   

3. Pour ajouter la règle de pare-feu afin d'activer l'inspection de couche 7 pour la prévention et la détection des menaces, exécutez la commande suivante :

   gcloud compute network-firewall-policies rules create 200 \
     --direction INGRESS \
     --firewall-policy fw-policy-ips \
     --action apply_security_profile_group \
     --dest-ip-ranges SERVER_VM_IP \
     --layer4-configs tcp:0-65535 \
     --global-firewall-policy \
     --security-profile-group \
     //networksecurity.googleapis.com/organizations/ORGANIZATION_ID \
     /locations/global/securityProfileGroups/sec-profile-group-ips \
     --enable-logging
   

   Remplacez les éléments suivants :

   • SERVER_VM_IP : adresse IP externe de la VM de serveur que vous avez créée dans la section Créer les instances de VM serveur.

   • ORGANIZATION_ID : organisation dans laquelle le groupe de profils sécurisé est créé.

4. Pour associer la stratégie de pare-feu au réseau VPC, exécutez la commande suivante :

   gcloud compute network-firewall-policies associations create \
    --firewall-policy fw-policy-ips \
    --network vpc-ips \
    --name fw-pol-association-ips \
    --global-firewall-policy \
    --project PROJECT_ID
   

   Remplacez les éléments suivants :

   • PROJECT_ID : ID du projet dans lequel l'association de VPC est créée.

Tester la configuration

Dans cette section, vous allez tester la configuration en générant du trafic intercepté par le point de terminaison. La stratégie de pare-feu réseau globale sera appliquée pour effectuer l'inspection de couche 7.

Console

1. Dans la console Google Cloud, accédez à la page Instances de VM.

   Accéder à la page "Instances de VM"

2. Dans la colonne Adresse IP externe de la VM vm-server-ips, copiez l'adresse IP externe de la VM.

3. Dans la colonne Connecter de la VM vm-client-ips, cliquez sur SSH.

4. Dans la boîte de dialogue SSH dans votre navigateur, cliquez sur Autoriser et attendez que la connexion soit établie.

5. Pour vérifier que les requêtes ne présentant pas de menace ne sont pas bloquées, exécutez la commande suivante :

   curl EXTERNAL_IP -m 2
   

   Remplacez EXTERNAL_IP par l'adresse IP externe de la VM vm-server-ips.

   La réponse attendue est la suivante :

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

6. Pour vérifier qu'une requête malveillante est bloquée, exécutez la commande suivante. Cette commande envoie une requête pour accéder au fichier de mot de passe, ce qui est interdit.

   curl -m 2 EXTERNAL_IP:80/cgi-bin/../../../../bin/cat%20/etc/passwd/
   

   Remplacez EXTERNAL_IP par l'adresse IP externe de la VM vm-server-ips.

   Un message Connection timed out est attendu, car le point de terminaison de pare-feu détecte la menace dans la requête et bloque le paquet.

7. Fermez la boîte de dialogue SSH dans votre navigateur.

gcloud

1. Pour vous connecter à la VM vm-client-ips, exécutez la commande suivante :

   gcloud compute ssh vm-client-ips \
      --zone=us-central1-a \
      --tunnel-through-iap
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

   Remarque : Lorsque la connexion SSH à la VM vm-client-ips est établie, ignorez les messages d'avertissement qui s'affichent.

2. Pour vérifier que les requêtes ne présentant pas de menace ne sont pas bloquées, exécutez la commande suivante :

   curl EXTERNAL_IP -m 2
   

   Remplacez EXTERNAL_IP par l'adresse IP externe de la VM vm-server-ips.

   La réponse attendue est la suivante :

   <!doctype html><html><body><h1>Hello World!</h1></body></html>

3. Pour vérifier qu'une requête malveillante est bloquée, exécutez la commande suivante :

   curl -m 2 EXTERNAL_IP:80/cgi-bin/../../../../bin/cat%20/etc/passwd/
   

   Remplacez EXTERNAL_IP par l'adresse IP externe de la VM vm-server-ips.

   Un message Connection timed out est attendu, car le point de terminaison de pare-feu détecte la menace dans la requête et bloque le paquet.

4. Pour fermer SSH dans le navigateur, saisissez exit.

Afficher les journaux de menaces

1. Dans la console Google Cloud, accédez à la page Menaces.

   Accéder à la page "Menaces"

2. Si nécessaire, sélectionnez votre projet Google Cloud.

3. Dans la section Menace, vous pouvez voir l'entrée de journal correspondant à la menace détectée sur votre réseau vpc-ips.

Effectuer un nettoyage

Pour éviter que les ressources utilisées lors de ce tutoriel soient facturées sur votre compte Google Cloud, supprimez le projet contenant les ressources, ou conservez le projet et supprimez chaque ressource individuellement.

Dans cette section, vous allez supprimer les ressources créées dans ce tutoriel.

Supprimer l'association de point de terminaison de pare-feu

Console

1. Dans la console Google Cloud, accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur le réseau vpc-ips pour afficher la page Détails du réseau VPC correspondante.

3. Sélectionnez l'onglet Point de terminaison de pare-feu. Cet onglet affiche la liste des associations de point de terminaison de pare-feu configurées.

4. Cochez la case à côté de endpoint-ips, puis cliquez sur Supprimer.

5. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer l'association de point de terminaison de pare-feu, exécutez la commande suivante : oui,

gcloud network-security firewall-endpoint-association 

    delete endpoint-ips 

    --zone asia-southeast1-a

Supprimer le point de terminaison de pare-feu

Console

1. Dans la console Google Cloud, accédez à la page Points de terminaison de pare-feu.

   Accéder à la page "Points de terminaison de pare-feu"

2. Sélectionnez endpoint-ips, puis cliquez sur Supprimer.

3. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer le point de terminaison de pare-feu, exécutez les commandes suivantes :

gcloud network-security firewall-endpoints delete endpoint-ips \
    --organization ORGANIZATION_ID \
    --zone asia-southeast1-a

Remplacez les éléments suivants :

• ORGANIZATION_ID : organisation dans laquelle le point de terminaison est créé.

Supprimer la règle de point de terminaison du pare-feu réseau mondial

Console

1. Dans la console Google Cloud, accédez à la page Règles d'administration.

   Accéder à la page "Stratégies de pare-feu"

2. Dans le menu permettant de sélectionner le projet, sélectionnez le projet contenant la stratégie.

3. Cliquez sur fw-policy-ips.

4. Cliquez sur l'onglet Associations.

5. Sélectionnez toutes les associations.

6. Cliquez sur Supprimer les associations.

7. Une fois toutes les associations supprimées, cliquez sur Supprimer.

gcloud

1. Pour supprimer l'association entre la stratégie de pare-feu et le réseau VPC, exécutez la commande suivante :

   gcloud compute network-firewall-policies associations delete \
     --name fw-pol-association-ips \
     --firewall-policy fw-policy-ips \
     --global-firewall-policy
   

   Remarque : Si vous configurez l'association entre la stratégie de pare-feu et le réseau VPC via la console Google Cloud, n'utilisez pas la commande gcloud CLI pour supprimer l'association. Si vous ne vous rappelez pas comment vous avez créé l'association ou si vous obtenez l'erreur The network firewall policy does not have an association with pol-association-fw-rules lorsque vous exécutez la commande, supprimez l'association à l'aide de la console Google Cloud.

2. Supprimez la stratégie de pare-feu.

   gcloud compute network-firewall-policies delete fw-policy-ips --global
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

Supprimer le groupe de profils de sécurité

Console

1. Dans la console Google Cloud, accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Sélectionnez l'onglet Groupes de profils de sécurité.

3. Sélectionnez sec-profile-group-ips, puis cliquez sur Supprimer.

4. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer le groupe de profils de sécurité, exécutez la commande suivante :

gcloud network-security security-profile-groups \
    delete sec-profile-group-ips \
    --organization ORGANIZATION_ID \
    --location global

Remplacez les éléments suivants :

• ORGANIZATION_ID : organisation dans laquelle le groupe de profils de sécurité est créé.

Supprimer le profil de sécurité

Console

1. Dans la console Google Cloud, accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Sélectionnez l'onglet Profils de sécurité. L'onglet affiche une liste des profils de sécurité configurés.

3. Sélectionnez sec-profile-ips, puis cliquez sur Supprimer.

4. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer le profil de sécurité, exécutez la commande suivante :

gcloud network-security security-profiles threat-prevention \
    delete sec-profile-ips \
    --organization ORGANIZATION_ID \
    --location global

Remplacez les éléments suivants :

• ORGANIZATION_ID : organisation dans laquelle le profil de sécurité est créé.

Supprimer les VM

Console

1. Dans la console Google Cloud, accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Cochez les cases correspondant aux VM vm-client-ips et vm-server-ips.

3. Cliquez sur Supprimer.

4. Dans la boîte de dialogue Supprimer deux instances ?, cliquez sur Supprimer.

gcloud

1. Pour supprimer la VM vm-client-ips, exécutez la commande suivante :

   gcloud compute instances delete vm-client-ips \
     --zone us-central1-a
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

2. Pour supprimer la VM vm-server-ips, exécutez la commande suivante :

   gcloud compute instances delete vm-server-ips \
     --zone asia-southeast1-a
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

Supprimer le réseau VPC et ses sous-réseaux

Console

1. Dans la console Google Cloud, accédez à la page Réseaux VPC.

   Accéder à la page Instances de VM

2. Dans la colonne Nom, cliquez sur vpc-ips.

3. Cliquez sur Supprimer le réseau VPC.

4. Dans la boîte de dialogue Supprimer un réseau, cliquez sur Supprimer.

Lorsque vous supprimez un VPC, ses sous-réseaux sont également supprimés.

gcloud

1. Pour supprimer le sous-réseau subnet-ips-client du réseau VPC vpc-ips, exécutez la commande suivante :

   gcloud compute networks subnets delete subnet-ips-client \
       --region us-central1
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

2. Pour supprimer le sous-réseau subnet-ips-server du réseau VPC vpc-ips, exécutez la commande suivante :

   gcloud compute networks subnets delete subnet-ips-server \
       --region=asia-southeast1
   

   Lorsque vous y êtes invité, appuyez sur Y pour confirmer, puis sur Entrée.

3. Pour supprimer le réseau VPC vpc-ips, exécutez la commande suivante :

   gcloud compute networks delete vpc-ips
   

Étape suivante

• Pour obtenir des informations conceptuelles sur le service de prévention des intrusions, consultez la présentation du service de prévention des intrusions.
• Pour obtenir des informations conceptuelles sur les stratégies de pare-feu, consultez la page Stratégies de pare-feu.
• Pour obtenir des informations conceptuelles sur les règles de stratégie de pare-feu, consultez la section Règles de stratégie de pare-feu.
• Pour déterminer les coûts, consultez la section Tarifs de Cloud NGFW.