Gunakan kebijakan dan aturan firewall jaringan global

Halaman ini mengasumsikan bahwa Anda telah memahami konsep yang dijelaskan dalam Ringkasan kebijakan firewall jaringan global.

Tugas kebijakan {i>firewall<i}

Membuat kebijakan firewall jaringan global

Anda dapat membuat kebijakan untuk jaringan VPC apa pun dalam project. Setelah membuat kebijakan, Anda dapat mengaitkannya dengan jaringan VPC apa pun dalam project Anda. Setelah dikaitkan, aturan kebijakan akan aktif untuk VM di jaringan terkait.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.create

Peran

• compute.securityAdmin di project tempat Anda ingin membuat kebijakan

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di daftar pemilih project, pilih project dalam organisasi Anda.

3. Klik Create network firewall policy.

4. Beri Nama kebijakan.

5. Untuk Cakupan deployment, pilih Global.

6. Untuk membuat aturan bagi kebijakan Anda, klik Continue, lalu klik Add rule.

   Untuk mengetahui detailnya, lihat Membuat aturan firewall.

7. Jika Anda ingin mengaitkan kebijakan dengan jaringan, klik Continue, lalu klik Associate policy with VPC networks.

   Untuk mengetahui detailnya, lihat Mengaitkan kebijakan dengan jaringan.

8. Klik Create.

gcloud

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME
    --description DESCRIPTION --global

Ganti kode berikut:

• NETWORK_FIREWALL_POLICY_NAME: nama untuk kebijakan.
• DESCRIPTION: deskripsi kebijakan.

Mengaitkan kebijakan dengan jaringan

Kaitkan kebijakan dengan jaringan untuk mengaktifkan aturan kebijakan bagi setiap VM dalam jaringan tersebut.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.addAssociation di kebijakan firewall

Peran

• compute.securityAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan Anda.

3. Klik kebijakan Anda.

4. Klik tab Pengaitan.

5. Klik Tambahkan Atribusi.

6. Pilih jaringan dalam project.

7. Klik Kaitkan.

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

Ganti kode berikut:

• POLICY_NAME: baik nama pendek atau nama kebijakan yang dibuat sistem.
• NETWORK_NAME: nama jaringan Anda.
• ASSOCIATION_NAME: nama opsional untuk pengaitan; jika tidak ditentukan, nama akan disetel ke "organisasi ORG_ID" atau "folder FOLDER_ID".

Menjelaskan kebijakan {i>firewall<i} jaringan global

Anda dapat melihat semua detail kebijakan, termasuk semua aturan firewall-nya. Selain itu, Anda dapat melihat banyak atribut dalam semua aturan dalam kebijakan tersebut. Atribut ini diperhitungkan dalam batas untuk setiap batas kebijakan.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.get

Peran

• compute.networkAdmin
atau
• compute.securityAdmin pada project

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan firewall jaringan global.

3. Klik kebijakan Anda.

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --global

Memperbarui deskripsi kebijakan firewall jaringan global

Satu-satunya kolom kebijakan yang dapat diperbarui adalah kolom Description.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.update

Peran

• compute.networkAdmin atau
• compute.securityAdmin pada project tempat kebijakan berada atau di kebijakan itu sendiri

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan firewall jaringan global.

3. Klik kebijakan Anda.

4. Klik Edit.

5. Di kolom Description, ubah teks.

6. Klik Save.

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --global

Membuat daftar kebijakan firewall jaringan global

Anda dapat melihat daftar kebijakan yang tersedia di project Anda.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.list

Peran

• compute.securityAdmin
atau
• compute.networkAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

   Bagian Kebijakan firewall jaringan menampilkan kebijakan yang tersedia dalam project Anda.

gcloud

gcloud compute network-firewall-policies list --global

Menghapus kebijakan firewall jaringan global

Anda harus menghapus semua pengaitan di kebijakan firewall jaringan global sebelum dapat menghapusnya.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.delete

Peran

• compute.securityAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

3. Klik kebijakan yang ingin Anda hapus.

4. Klik tab Pengaitan.

5. Pilih semua pengaitan.

6. Klik Hapus Atribusi.

7. Setelah semua pengaitan dihapus, klik Hapus.

gcloud

1. Menampilkan daftar semua jaringan yang terkait dengan kebijakan firewall:

   gcloud compute network-firewall-policies describe POLICY_NAME \
       --global
   

2. Hapus atribusi satu per satu. Untuk menghapus pengaitan, Anda harus memiliki peran compute.SecurityAdmin di kebijakan firewall jaringan global dan peran compute.networkAdmin` pada jaringan VPC yang teratribusi.

   gcloud compute network-firewall-policies associations delete \
       --name ASSOCIATION_NAME \
       --firewall-policy POLICY_NAME \
       --global-firewall-policy
   

3. Hapus kebijakan:

   gcloud compute network-firewall-policies delete POLICY_NAME
       --global
   

Menghapus atribusi

Untuk menghentikan penerapan kebijakan firewall pada jaringan, hapus pengaitan.

Namun, jika Anda ingin menukar satu kebijakan firewall dengan kebijakan lainnya, Anda tidak perlu menghapus pengaitan yang ada terlebih dahulu. Menghapus pengaitan tersebut akan menyisakan periode waktu ketika tidak ada kebijakan yang diterapkan. Sebagai gantinya, ganti kebijakan yang ada saat Anda mengaitkan kebijakan baru.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.removeAssociation

Peran

• compute.securityAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project Anda atau folder yang berisi kebijakan.

3. Klik kebijakan Anda.

4. Klik tab Pengaitan.

5. Pilih atribusi yang ingin dihapus.

6. Klik Hapus Atribusi.

gcloud

gcloud compute network-firewall-policies associations delete ASSOCIATION_NAME \
    --name ASSOCIATION_NAME
    --firewall-policy POLICY_NAME \
    --global-firewall-policy

Tugas aturan kebijakan firewall

Membuat aturan firewall jaringan global

Aturan kebijakan firewall jaringan global harus dibuat dalam kebijakan firewall jaringan global. Aturan tersebut tidak akan aktif sebelum Anda mengaitkan kebijakan yang berisi aturan tersebut dengan jaringan VPC.

Setiap aturan kebijakan firewall jaringan global dapat mencakup rentang IPv4 atau IPv6, tetapi tidak keduanya.

Catatan: Di Konsol Google Cloud, Tag disebut sebagai Tag aman.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.update

Peran

• compute.securityAdmin di project yang berisi kebijakan atau di kebijakan itu sendiri

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan Anda.

3. Klik nama kebijakan global Anda.

4. Pada tab Firewall Rules, klik Create.

5. Isi kolom aturan:

   1. Di kolom Priority, tetapkan nomor urutan untuk aturan, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Praktik yang baik adalah memberikan angka prioritas ke aturan yang memungkinkan penyisipan berikutnya (seperti 100, 200, 300).
   2. Untuk Arah traffic, pilih traffic masuk atau keluar.
   3. Untuk Tindakan pada kecocokan, pilih salah satu opsi berikut:
      1. Allow: mengizinkan koneksi yang cocok dengan aturan.
      2. Deny: menolak koneksi yang cocok dengan aturan.
      3. Go to next: meneruskan evaluasi koneksi ke aturan firewall berikutnya yang lebih rendah dalam hierarki.
      4. Lanjutkan ke pemeriksaan L7: mengirimkan paket ke endpoint firewall yang dikonfigurasi untuk pemeriksaan dan pencegahan lapisan 7.
         • Dalam daftar Security profile group, pilih nama grup profil keamanan.
         • Untuk mengaktifkan pemeriksaan TLS untuk paket, pilih Aktifkan pemeriksaan TLS.
   4. Setel pengumpulan Log ke Aktif atau Nonaktif.
   5. Tentukan Target aturan. Pilih salah satu opsi berikut untuk kolom Target type:
      • Jika Anda ingin aturan berlaku untuk semua instance di jaringan, pilih Semua instance dalam jaringan.
      • Jika Anda ingin aturan diterapkan ke instance tertentu berdasarkan Tag, pilih Amankan tag. Klik SELECT SCOPE lalu pilih organisasi atau project tempat Anda ingin membuat Tag. Masukkan key-value pair tempat aturan akan diterapkan. Untuk menambahkan pasangan nilai kunci lainnya, klik TAMBAHKAN TAG.
      • Jika Anda ingin aturan tersebut diterapkan ke instance tertentu berdasarkan akun layanan terkait, pilih Service account, tunjukkan apakah akun layanan berada dalam project saat ini atau ada pada project lain dalam Cakupan akun layanan, lalu pilih atau ketik nama akun layanan di kolom Target service account.
   6. Untuk aturan Ingress, tentukan filter Source:
      
      • Untuk memfilter traffic masuk menurut rentang IPv4 sumber, pilih IPv4, lalu masukkan blok CIDR di kolom IP range. Gunakan 0.0.0.0/0 untuk sumber IPv4 apa pun.
      • Untuk memfilter traffic masuk menurut rentang IPv6 sumber, pilih IPv6, lalu masukkan blok CIDR ke kolom IP range. Gunakan ::/0 untuk sumber IPv6 apa pun.
      • Untuk membatasi sumber menurut Tag, klik PILIH SCOPE di bagian Tag. Pilih organisasi atau project tempat Anda ingin membuat Tag. Masukkan key-value pair tempat aturan akan diterapkan. Untuk menambahkan pasangan nilai kunci lainnya, klik TAMBAHKAN TAG.
   7. Untuk aturan Traffic keluar, tetapkan Tujuan filter:
      
      • Untuk memfilter traffic keluar menurut rentang IPv4 tujuan, pilih IPv4, lalu masukkan blok CIDR di kolom IP range. Gunakan 0.0.0.0/0 untuk tujuan IPv4 apa pun.
      • Untuk memfilter traffic keluar menurut rentang IPv6 tujuan, pilih IPv6, lalu masukkan blok CIDR ke kolom IP range. Gunakan ::/0 untuk tujuan IPv6 apa pun.
   8. Opsional: Jika Anda membuat aturan Ingress, tentukan FQDN sumber tempat aturan ini diterapkan. Jika Anda membuat aturan Traffic keluar, pilih FQDN tujuan tempat aturan ini akan diterapkan. Untuk mengetahui informasi selengkapnya tentang objek nama domain, lihat Objek nama domain.
   9. Opsional: Jika Anda membuat aturan Ingress, pilih sumber Geolocations tempat aturan ini diterapkan. Jika Anda membuat aturan Traffic keluar, pilih tujuan Geolocations tujuan tempat aturan ini diterapkan. Untuk informasi selengkapnya tentang objek geolokasi, lihat Objek geolokasi.
   10. Opsional: Jika Anda membuat aturan Ingress, pilih sumber Address groups tempat aturan ini diterapkan. Jika Anda membuat aturan Traffic keluar, pilih Grup alamat tujuan tempat aturan ini diterapkan. Untuk mengetahui informasi selengkapnya tentang grup alamat, lihat Grup alamat untuk kebijakan firewall.
   11. Opsional: Jika Anda membuat aturan Ingress, pilih sumber daftar Google Cloud Threat Intelligence tempat aturan ini diterapkan. Jika Anda membuat aturan Traffic Keluar, pilih ke daftar Google Cloud Threat Intelligence tujuan tempat aturan ini diterapkan. Untuk mengetahui informasi selengkapnya tentang Kecerdasan Ancaman, lihat Kecerdasan Ancaman untuk aturan kebijakan firewall.

   12. Opsional: Untuk aturan Ingress, tentukan filter Destination:

       • Untuk memfilter traffic masuk menurut rentang IPv4 tujuan, pilih IPv4, lalu masukkan blok CIDR ke di kolom IP range. Gunakan 0.0.0.0/0 untuk tujuan IPv4 apa pun.
       • Untuk memfilter traffic masuk menurut rentang IPv6 tujuan, pilih IPv6 ranges dan masukkan blok CIDR ke kolom Destination IPv6 ranges. Gunakan ::/0 untuk tujuan IPv6 apa pun. Untuk informasi selengkapnya, lihat Tujuan untuk aturan masuk.

   13. Opsional: Untuk aturan Traffic keluar, tentukan filter Source:
       

       • Untuk memfilter traffic keluar menurut rentang IPv4 sumber, pilih IPv4, lalu masukkan blok CIDR di kolom IP range. Gunakan 0.0.0.0/0 untuk sumber IPv4 apa pun.
       • Untuk memfilter traffic keluar menurut rentang IPv6 sumber, pilih IPv6, lalu masukkan blok CIDR ke kolom IP range. Gunakan ::/0 untuk sumber IPv6 apa pun. Untuk informasi selengkapnya, lihat Sumber untuk aturan traffic keluar.

   14. Untuk Protokol dan port, tentukan bahwa aturan berlaku untuk semua protokol dan semua port tujuan atau tentukan protokol dan port tujuan mana aturan tersebut diterapkan.

   15. Klik Create.

6. Klik Add rule untuk menambahkan aturan lain.

7. Untuk mengaitkan kebijakan dengan jaringan, klik Continue > Associate policy with VPC networks, atau klik Create untuk membuat kebijakan tersebut.

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --action ACTION \
    --firewall-policy POLICY_NAME \
    [--security-profile-group SECURITY_PROFILE_GROUP]  \
    [--tls-inspect | --no-tls-inspect] \
    --description DESCRIPTION \
    [--target-secure-tags TARGET_SECURE_TAG[,TARGET_SECURE_TAG,...]] \
    [--target-service-accounts=SERVICE_ACCOUNT[,SERVICE_ACCOUNT,...]] \
    [--direction DIRECTION]
    [--src-ip-ranges IP_RANGES] \
    [--src-secure-tags SRC_SECURE_TAG[,SRC_SECURE_TAG,...]] \
    [--dest-ip-ranges IP_RANGES] \
    [--src-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--dest-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--src-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--dest-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \
    [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \
    [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    [--layer4-configs PROTOCOL_PORT] \
    [--enable-logging | --no-enable-logging]\
    [--disabled | --no-disabled]\
    --global-firewall-policy

Ganti kode berikut:

• PRIORITY: urutan evaluasi numerik aturan

  Aturan dievaluasi dari prioritas tertinggi hingga terendah, dengan 0 sebagai prioritas tertinggi. Prioritas harus unik untuk setiap aturan. Praktik yang baik adalah memberikan nomor prioritas pada aturan yang memungkinkan penyisipan berikutnya (seperti 100, 200, 300).

• ACTION: salah satu tindakan berikut:

  • allow: mengizinkan koneksi yang cocok dengan aturan
  • deny: menolak koneksi yang cocok dengan aturan
  • apply_security_profile_group: secara transparan mengirimkan paket ke endpoint firewall yang dikonfigurasi untuk pemeriksaan lapisan 7.
  • goto_next: meneruskan evaluasi koneksi ke level berikutnya dalam hierarki, baik folder maupun jaringan

• POLICY_NAME: nama kebijakan firewall jaringan global

• SECURITY_PROFILE_GROUP: nama grup profil keamanan yang digunakan untuk pemeriksaan lapisan 7; tentukan parameter ini hanya saat tindakan apply_security_profile_group dipilih

• --tls-inspect: memeriksa traffic TLS menggunakan kebijakan pemeriksaan TLS saat tindakan apply_security_profile_group dipilih dalam aturan; secara default, pemeriksaan TLS dinonaktifkan, atau Anda dapat menentukan --no-tls-inspect

• TARGET_SECURE_TAG: daftar tag aman yang dipisahkan koma untuk menentukan target

• SERVICE_ACCOUNT: daftar akun layanan yang dipisahkan koma untuk menentukan target

• DIRECTION: menunjukkan apakah aturan adalah aturan ingress atau egress; defaultnya adalah ingress

  • Menyertakan --src-ip-ranges untuk menentukan rentang alamat IP bagi sumber traffic.
  • Sertakan --dest-ip-ranges untuk menentukan rentang alamat IP bagi tujuan traffic.

  Untuk informasi selengkapnya, lihat target, sumber, dan tujuan.

• IP_RANGES: daftar yang dipisahkan koma untuk rentang alamat IP berformat CIDR, baik semua rentang alamat IPv4 maupun semua rentang alamat IPv6—contoh:
  --src-ip-ranges=10.100.0.1/32,10.200.0.0/24
--src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96

• SRC_SECURE_TAG: daftar Tag yang dipisahkan koma

• COUNTRY_CODE: daftar yang dipisahkan koma dari kode negara dua huruf

  • Untuk arah masuk, tentukan kode negara dalam parameter --src-region-code; Anda tidak dapat menggunakan parameter --src-region-code untuk arah keluar
  • Untuk rute keluar, kode negara ditentukan dalam parameter --dest-region-code; Anda tidak dapat menggunakan parameter --dest-region-code untuk arah masuk

• LIST_NAMES: daftar nama yang dipisahkan koma dari daftar Kecerdasan Ancaman

  • Untuk arah masuk, tentukan daftar Kecerdasan Ancaman sumber di parameter --src-threat-intelligence; Anda tidak dapat menggunakan parameter --src-threat-intelligence untuk arah keluar
  • Untuk arah keluar, tentukan daftar Kecerdasan Ancaman tujuan di parameter --dest-threat-intelligence; Anda tidak dapat menggunakan parameter --dest-threat-intelligence untuk arah masuk

• ADDR_GRP_URL: ID URL unik untuk grup alamat

  • Untuk arah masuk, tentukan grup alamat sumber dalam parameter --src-address-groups; Anda tidak dapat menggunakan parameter --src-address-groups untuk arah keluar
  • Untuk arah keluar, tentukan grup alamat tujuan di parameter --dest-address-groups; Anda tidak dapat menggunakan parameter --dest-address-groups untuk arah masuk

• DOMAIN_NAME: daftar nama domain yang dipisahkan koma dalam format yang dijelaskan dalam Format nama domain

  • Untuk arah masuk, tentukan nama domain sumber dalam parameter --src-fqdns; Anda tidak dapat menggunakan parameter --src-fqdns untuk arah keluar
  • Untuk arah keluar, tentukan grup alamat tujuan di parameter --dest-fqdns; Anda tidak dapat menggunakan parameter --dest-fqdns untuk arah masuk

• PROTOCOL_PORT: daftar yang dipisahkan koma untuk nama atau nomor protokol (tcp,17), protokol dan port tujuan (tcp:80), atau protokol dan rentang port tujuan (tcp:5000-6000)

  Anda tidak dapat menentukan port atau rentang port tanpa protokol. Untuk ICMP, Anda tidak dapat menentukan port atau rentang port—misalnya: --layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp.

  Untuk informasi selengkapnya, lihat protokol dan port.

• --enable-logging dan --no-enable-logging: mengaktifkan atau menonaktifkan Logging Aturan Firewall untuk aturan yang ditentukan

• --disabled: menunjukkan bahwa aturan firewall, meskipun ada, tidak dipertimbangkan saat memproses koneksi; menghilangkan flag ini akan mengaktifkan aturan, atau Anda dapat menentukan --no-disabled

Memperbarui aturan

Untuk deskripsi kolom, lihat Membuat aturan firewall.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.get
• compute.firewallPolicies.update

Peran

• compute.securityAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

3. Klik kebijakan Anda.

4. Klik prioritas aturan.

5. Klik Edit.

6. Ubah kolom yang ingin Anda ubah.

7. Klik Save.

gcloud

gcloud compute network-firewall-policies rules update RULE_PRIORITY \
    --firewall-policy POLICY_NAME \
    --global-firewall-policy \
    [...fields you want to modify...]

Jelaskan aturan

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.get

Peran

• compute.securityAdmin
atau
• compute.networkAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

3. Klik kebijakan Anda.

4. Klik prioritas aturan.

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy POLICY_NAME --global-firewall-policy

Ganti kode berikut:

• PRIORITY: prioritas aturan yang ingin Anda lihat; karena setiap aturan harus memiliki prioritas yang unik, setelan ini akan mengidentifikasi aturan secara unik
• POLICY_NAME: nama kebijakan yang berisi aturan

Menghapus aturan dari kebijakan

Menghapus aturan dari kebijakan akan menghapus aturan dari semua VM yang mewarisi aturan tersebut.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.update

Peran

• compute.securityAdmin di project yang menghosting kebijakan atau di kebijakan itu sendiri

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

3. Klik kebijakan Anda.

4. Pilih aturan yang ingin dihapus.

5. Klik Delete.

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy POLICY_NAME --global-firewall-policy

Ganti kode berikut:

• PRIORITY: prioritas aturan yang ingin Anda hapus dari kebijakan
• POLICY_NAME: kebijakan yang berisi aturan

Menggandakan aturan dari satu kebijakan ke kebijakan lainnya

Hapus semua aturan dari kebijakan target dan ganti dengan aturan dalam kebijakan sumber.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.firewallPolicies.cloneRules

Peran

• compute.securityAdmin pada project atau kebijakan itu sendiri

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Di menu pull-down pemilih project, pilih project yang berisi kebijakan tersebut.

3. Klik kebijakan tempat Anda ingin menyalin aturan.

4. Klik Clone di bagian atas layar.

5. Berikan nama kebijakan target.

6. Jika Anda ingin segera mengaitkan kebijakan baru, klik Continue > Associate network policy with resources.

7. Klik Clone.

gcloud

gcloud compute network-firewall-policies clone-rules POLICY_NAME \
    --source-firewall-policy SOURCE_POLICY \
    --global

Ganti kode berikut:

• POLICY_NAME: kebijakan target tempat Anda ingin mengganti aturan dengan aturan yang di-clone.
• SOURCE_POLICY: URL resource untuk kebijakan sumber tempat Anda ingin meng-clone aturan.

Mendapatkan aturan firewall yang efektif untuk jaringan

Anda dapat melihat semua aturan kebijakan firewall hierarkis, aturan firewall VPC, dan kebijakan firewall jaringan global yang diterapkan pada jaringan VPC yang ditentukan.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.networks.getEffectiveFirewalls di jaringan

Peran

• compute.securityAdmin
• compute.viewer
• compute.networkUser
• compute.networkViewer

Konsol

1. Di Konsol Google Cloud, buka halaman jaringan VPC.

   Buka VPC networks

2. Klik jaringan yang aturan kebijakan firewall-nya ingin Anda lihat.

3. Klik Firewall policies.

4. Luaskan setiap kebijakan firewall untuk melihat aturan yang berlaku untuk jaringan ini.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

Ganti kode berikut:

• NETWORK_NAME: jaringan tempat Anda ingin melihat aturan efektif.

Anda juga dapat melihat aturan firewall yang efektif untuk jaringan dari halaman Firewall.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.organizations.listAssociations di jaringan
• (Opsional) resourcemanager.folders.get dan resourcemanager.organizations.get untuk melihat informasi di kolom Diwariskan dari dan Berlokasi di

Peran

Untuk melihat aturan firewall:

• compute.orgSecurityResourceAdmin
• compute.viewer

(Opsional) Untuk melihat informasi di kolom Diwariskan dari dan Terletak di:

• browser
• resourcemanager.organizationAdmin

Konsol

1. Di Konsol Google Cloud, buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Kebijakan firewall tercantum di bagian Kebijakan firewall yang diwarisi oleh project ini.

3. Klik setiap kebijakan firewall untuk melihat aturan yang berlaku untuk jaringan ini.

Mendapatkan aturan firewall yang efektif untuk antarmuka VM

Anda dapat melihat semua aturan kebijakan firewall hierarkis, aturan firewall VPC, dan aturan kebijakan firewall jaringan global yang diterapkan pada antarmuka VM Compute Engine tertentu.

Izin yang diperlukan untuk langkah ini

Untuk melakukan tugas ini, Anda harus sudah mendapatkan izin berikut atau salah satu peran IAM berikut.

Izin

• compute.instances.getEffectiveFirewalls di jaringan

Peran

• compute.securityAdmin
• compute.viewer
• compute.networkUser
• compute.networkViewer

Konsol

1. Di konsol Google Cloud, buka halaman Instance VM.

   Buka instance VM

2. Di menu pull-down pemilih project, pilih project yang berisi VM.

3. Klik VM.

4. Untuk Network interfaces, klik antarmuka.

5. Lihat aturan firewall yang efektif di Detail firewall dan rute.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE \
    [--zone ZONE]

Ganti kode berikut:

• INSTANCE_NAME: VM yang aturan efektifnya ingin Anda lihat; jika tidak ada antarmuka yang ditentukan, perintah akan menampilkan aturan untuk antarmuka utama (nic0).
• INTERFACE: antarmuka VM yang ingin Anda lihat aturan efektifnya; nilai defaultnya adalah nic0.
• ZONE: zona VM; baris ini bersifat opsional jika zona yang dipilih sudah ditetapkan sebagai default.