本頁面由 Cloud Translation API 翻譯而成。

使用全域網路防火牆政策和規則

本頁假設您熟悉全域網路防火牆政策總覽中說明的概念。

防火牆政策工作

建立全域網路防火牆政策

您可以為專案中的任何虛擬私有雲 (VPC) 網路建立政策。建立政策後，您可以將政策與專案中的任何虛擬私有雲網路建立關聯。將政策連結至虛擬私有雲網路後，政策規則就會對連結網路中的虛擬機器 (VM) 執行個體生效。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.create

角色

您要在其中建立政策的專案的 compute.securityAdmin 權限

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器清單中，選取機構內的專案。
按一下「建立防火牆政策」。
在「Name」(名稱) 欄位中，輸入政策名稱。
在「Deployment scope」(部署範圍) 部分，選取「Global」(全域)。
如要為政策建立規則，請按一下「繼續」，然後點選「新增規則」。

詳情請參閱「建立全域網路防火牆規則」一文。
如要將政策連結到網路，請按一下「繼續」，然後點選「將政策連結到虛擬私有雲網路」。

詳情請參閱「將政策與網路建立關聯」。
點選「建立」。

gcloud

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION --global

更改下列內容：

NETWORK_FIREWALL_POLICY_NAME：政策名稱
DESCRIPTION：政策說明

將政策連結至網路

將政策連結至網路，即可為該網路中的所有 VM 啟用政策規則。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.organizations.setFirewallPolicy
compute.firewallPolicies.use

角色

compute.orgSecurityResourceAdmin
compute.orgFirewallPolicyUser

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下政策。
按一下「關聯項目」分頁標籤。
按一下「新增關聯項目」。
選取專案中的網路。
按一下「關聯」。

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --network NETWORK_NAME \
    [ --name ASSOCIATION_NAME ] \
    --global-firewall-policy

更改下列內容：

POLICY_NAME：政策的簡稱或系統產生的名稱。
NETWORK_NAME：網路名稱。
ASSOCIATION_NAME：關聯的選用名稱；如未指定，名稱會設為 network-NETWORK_NAME。

說明全域網路防火牆政策

您可以查看政策的所有詳細資料，包括所有防火牆規則。此外，您還可以在政策的所有規則中看到許多屬性。這些屬性會計入各項政策的限制。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.get

角色

compute.networkAdmin

或

專案的 compute.securityAdmin 權限

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有全域網路防火牆政策的專案。
按一下政策。

gcloud

gcloud compute network-firewall-policies describe POLICY_NAME \
    --global

更新全域網路防火牆政策說明

可更新的政策欄位只有「說明」欄位。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.update

角色

compute.networkAdmin 或
compute.securityAdmin 政策所在的專案或政策本身

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有全域網路防火牆政策的專案。
按一下政策。
按一下 [編輯]。
在「Description」(說明) 欄位中變更文字。
按一下 [儲存]。

gcloud

gcloud compute network-firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --global

列出全域網路防火牆政策

您可以查看專案中可用的政策清單。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.list

角色

compute.securityAdmin

或

compute.networkAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。

「網路防火牆政策」部分會顯示專案中可用的政策。

gcloud

gcloud compute network-firewall-policies list --global

刪除全域網路防火牆政策

您必須先刪除通用網路防火牆政策的所有關聯，才能刪除該政策。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.delete

角色

compute.securityAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下要刪除的政策。
按一下「關聯項目」分頁標籤。
選取所有關聯。
按一下「移除關聯項目」。
移除所有關聯後，按一下「刪除」。

gcloud

列出與防火牆政策相關聯的所有網路：

gcloud compute network-firewall-policies describe POLICY_NAME \
    --global

刪除個別關聯。如要移除關聯，您必須具備全域網路防火牆政策的 compute.SecurityAdmin 角色，以及相關聯虛擬私有雲網路的 compute.networkAdmin 角色。
```
gcloud compute network-firewall-policies associations delete \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --global-firewall-policy
```

刪除政策：

gcloud compute network-firewall-policies delete POLICY_NAME \
    --global

刪除關聯

如要停止在網路上強制執行防火牆政策，請刪除關聯。

不過，如果您打算替換防火牆政策，則不必先刪除現有關聯。刪除該關聯後，會有一段時間沒有任何政策生效。而是建立新政策並建立關聯，取代現有政策。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.removeAssociation

角色

compute.securityAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取您的專案或含有政策的資料夾。
按一下政策。
按一下「關聯項目」分頁標籤。
選取要刪除的關聯。
按一下「移除關聯項目」。

gcloud

gcloud compute network-firewall-policies associations delete ASSOCIATION_NAME \
    --name ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --global-firewall-policy

防火牆政策規則工作

建立全域網路防火牆規則

全域網路防火牆政策規則必須在全域網路防火牆政策中建立。您必須將含有這些規則的政策與虛擬私有雲網路建立關聯，規則才會生效。

每項全域網路防火牆政策規則可包含 IPv4 或 IPv6 範圍，但不能同時包含兩者。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.update

角色

包含政策的專案或政策本身的 compute.securityAdmin 權限

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下全域政策名稱。
在「Firewall Rules」(防火牆規則) 分頁中，按一下「Create」(建立)。
填寫規則欄位：
1. 在「優先順序」欄位中，設定規則的順序編號，其中 0 代表最高優先順序。每條規則的優先順序不得重複。建議您為規則指定優先順序編號，以便稍後插入規則 (例如 100、200、300)。
2. 針對「Direction of traffic」(流量方向)，選擇輸入或輸出。
3. 在「Action on match」(相符時執行的動作) 中選擇下列其中一個選項：
  1. 允許：允許符合規則的連線。
  2. 拒絕：拒絕符合規則的連線。
  3. Go to next：將連線評估作業傳遞至階層中下一個較低的防火牆規則。
  4. 進行 L7 檢查：將封包傳送至設定的防火牆端點，進行第 7 層檢查和防護。
    - 在「安全性設定檔群組」清單中，選取安全性設定檔群組的名稱。
    - 如要啟用封包的 TLS 檢查功能，請選取「啟用 TLS 檢查」。
4. 將「記錄」收集功能設為「開啟」或「關閉」。
5. 指定規則的目標。在「目標類型」欄位中，選擇下列其中一個選項：
  - 如要將規則套用到網路中的所有執行個體，請選擇「All instances in the network」(網路中的所有執行個體)。
  - 如要根據標記將規則套用到特定執行個體，請選擇「安全標記」。按一下「SELECT SCOPE」(選取範圍)，然後選取要建立標記的機構或專案。輸入要套用規則的鍵/值組合。如要新增更多鍵/值組合，請按一下「新增代碼」。
  - 如要讓規則套用至與特定服務帳戶相關聯的執行個體，請先選擇「服務帳戶」，然後在「服務帳戶範圍」中，指出服務帳戶是位於目前專案還是其他專案，接著在「目標服務帳戶」欄位中選擇或輸入服務帳戶名稱。
6. 針對輸入規則，指定來源篩選器：
  - 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。如為任何 IPv4 來源，請使用 0.0.0.0/0。
  - 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。如為任何 IPv6 來源，請使用 ::/0。
  - 如要使用標記限制來源，請在「標記」部分點按「選取範圍」。選取要建立標記的機構或專案。輸入要套用規則的鍵/值組合。如要新增更多鍵/值組合，請按一下「新增代碼」。
7. 針對輸出規則，指定目的地篩選器：
  - 如要依目的地 IPv4 範圍篩選傳出流量，請選取「IPv4」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv4 目的地使用 0.0.0.0/0。
  - 如要依目的地 IPv6 範圍篩選傳出流量，請選取「IPv6」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv6 目的地使用 ::/0。
8. 選用：如果您要建立輸入規則，請指定此規則適用的來源 FQDN。如果您要建立輸出規則，請選取這項規則適用的目的地 FQDN。如要進一步瞭解網域名稱物件，請參閱完整網域名稱 (FQDN) 物件。
9. 選用：如果您要建立輸入規則，請選取這項規則適用的來源地理位置。如要建立輸出規則，請選取這項規則適用的目的地地理位置。如要進一步瞭解地理位置物件，請參閱地理位置物件。
10. 選用：如果您要建立連入規則，請選取這項規則適用的來源位址群組。如果您要建立輸出規則，請選取這項規則適用的目的地位址群組。如要進一步瞭解位址群組，請參閱防火牆政策的位址群組。
11. 選用：如要建立連入規則，請選取這項規則適用的來源「Google Cloud Threat Intelligence」清單。如要建立輸出規則，請選取此規則適用的目的地 Google Cloud Threat Intelligence 清單。如要進一步瞭解 Google Threat Intelligence，請參閱「防火牆政策規則的 Google Threat Intelligence」。
12. 選用：針對輸入規則，指定目的地篩選器：
  - 如要依目的地 IPv4 範圍篩選傳入流量，請選取「IPv4」，並在「IP 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv4 目的地使用 0.0.0.0/0。
  - 如要依目的地 IPv6 範圍篩選傳入流量，請選取「IPv6 範圍」，並在「目的地 IPv6 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv6 目的地使用 ::/0。詳情請參閱「連入規則的目的地」。
13. 選用：針對輸出規則，指定來源篩選器：
  - 如要依來源 IPv4 範圍篩選傳出流量，請選取「IPv4」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。如為任何 IPv4 來源，請使用 0.0.0.0/0。
  - 如要依來源 IPv6 範圍篩選傳出流量，請選取「IPv6」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。如為任何 IPv6 來源，請使用 ::/0。詳情請參閱「輸出規則的來源」。
14. 在「通訊協定和通訊埠」中，指定規則要套用至所有通訊協定和所有目的地通訊埠，或是指定規則要套用至哪些通訊協定和目的地通訊埠。
15. 點選「建立」。
按一下「新增規則」即可新增其他規則。
如要將政策與網路建立關聯，請依序點選「繼續」> 將政策與虛擬私有雲網路建立關聯，或點選「建立」建立政策。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --action ACTION \
    --firewall-policy POLICY_NAME \
    [--security-profile-group SECURITY_PROFILE_GROUP]  \
    [--tls-inspect | --no-tls-inspect] \
    --description DESCRIPTION \
    [--target-secure-tags TARGET_SECURE_TAG[,TARGET_SECURE_TAG,...]] \
    [--target-service-accounts=SERVICE_ACCOUNT[,SERVICE_ACCOUNT,...]] \
    [--direction DIRECTION] \
    [--src-network-type SRC_NETWORK_TYPE] \
    [--src-networks SRC_VPC_NETWORK,[SRC_VPC_NETWORK,...]] \
    [--dest-network-type DEST_NETWORK_TYPE] \
    [--src-ip-ranges IP_RANGES] \
    [--src-secure-tags SRC_SECURE_TAG[,SRC_SECURE_TAG,...]] \
    [--dest-ip-ranges IP_RANGES] \
    [--src-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--dest-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--src-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--dest-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \
    [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \
    [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] \
    [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] \
    [--layer4-configs PROTOCOL_PORT] \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --global-firewall-policy

更改下列內容：

PRIORITY：規則的數值評估順序

系統會從最高優先順序到最低優先順序評估規則，其中 0 是最高優先順序。每項規則的優先順序不得重複。建議您為規則指定優先順序編號，以便稍後插入規則 (例如 100、200、300)。
ACTION：下列其中一項動作：
- allow：允許符合規則的連線
- deny：拒絕符合規則的連線
- apply_security_profile_group：將封包透明地傳送至設定的防火牆端點，以進行第 7 層檢查。
- goto_next：將連線評估結果傳遞至階層中的下一個層級，也就是資料夾或網路
POLICY_NAME：全域網路防火牆政策的名稱
SECURITY_PROFILE_GROUP：用於第 7 層檢查的安全性設定檔群組名稱；只有在選取 apply_security_profile_group 動作時，才需要指定這個引數
--tls-inspect：在規則中選取 apply_security_profile_group 動作時，使用 TLS 檢查政策檢查 TLS 流量；預設會停用 TLS 檢查，您也可以指定 --no-tls-inspect
TARGET_SECURE_TAG：以逗號分隔的安全標記清單，用於定義目標
SERVICE_ACCOUNT：以逗號分隔的服務帳戶清單，用於定義目標
DIRECTION：指出規則是 INGRESS 或 EGRESS 規則；預設為 INGRESS
- 加入 --src-ip-ranges，指定流量來源的 IP 位址範圍。
- 加入 --dest-ip-ranges，指定流量目的地的 IP 位址範圍。
詳情請參閱目標、來源和目的地。
SRC_NETWORK_TYPE：表示要套用 Ingress 規則的來源網路流量類型。您可以將這個引數設為下列其中一個值：
- INTERNET
- NON_INTERNET
- VPC_NETWORKS
- INTRA_VPC
如要清除這個引數的值，請使用空字串。如果值為空白，則表示所有網路類型。詳情請參閱「網路類型」。
SRC_VPC_NETWORK：以半形逗號分隔的虛擬私有雲網路清單

只有在 --src-network-type 設為 VPC_NETWORKS 時，才能使用 --src-networks。
DEST_NETWORK_TYPE：指出要套用輸出規則的目的地網路流量類型。您可以將這個引數設為下列其中一個值：
- INTERNET
- NON_INTERNET
如要清除這個引數的值，請使用空字串。如果值為空白，則表示所有網路類型。詳情請參閱「網路類型」。
IP_RANGES：以半形逗號分隔的 CIDR 格式 IP 位址範圍清單，可以是所有 IPv4 位址範圍，也可以是所有 IPv6 位址範圍，例如：

--src-ip-ranges=10.100.0.1/32,10.200.0.0/24
--src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96
SRC_SECURE_TAG：以逗號分隔的標記清單。

如果網路類型設為 INTERNET，就無法使用來源安全代碼。
COUNTRY_CODE：以逗號分隔的雙字母國家/地區代碼清單
- 如要指定輸入方向，請在 --src-region-code 標記中指定國家/地區代碼。您無法將 --src-region-code 旗標用於輸出方向，或 --src-network-type 設為 NON_INTERNET、VPC_NETWORK 或 INTRA_VPC 時。
- 如果是輸出方向，國家/地區代碼會指定在 --dest-region-code 標記中；您無法將 --dest-region-code 標記用於輸入方向
LIST_NAMES：以半形逗號分隔的 Google Threat Intelligence 清單名稱清單
- 如果是輸入方向，請在 --src-threat-intelligence 標記中指定來源 Google Threat Intelligence 清單。您無法將 --src-threat-intelligence 旗標用於輸出方向，或 --src-network-type 設為 NON_INTERNET、VPC_NETWORK 或 INTRA_VPC 時。
- 如要指定輸出方向，請在 --dest-threat-intelligence 旗標中指定目的地 Google 威脅情報清單；您無法對輸入方向使用 --dest-threat-intelligence 旗標
ADDR_GRP_URL：地址群組的專屬網址 ID
- 如果是輸入方向，請在 --src-address-groups 標記中指定來源位址群組；如果是輸出方向，則無法使用 --src-address-groups 標記
- 如為輸出方向，請在 --dest-address-groups 標記中指定目的地地址群組；如為輸入方向，則無法使用 --dest-address-groups 標記
DOMAIN_NAME：以逗號分隔的網域名稱清單，格式如「網域名稱格式」一節所述
- 如果是輸入方向，請在 --src-fqdns 標記中指定來源網域名稱；如果是輸出方向，則無法使用 --src-fqdns 標記
- 如為輸出方向，請在 --dest-fqdns 標記中指定目的地地址群組；如為輸入方向，則無法使用 --dest-fqdns 標記
PROTOCOL_PORT：以半形逗號分隔的通訊協定名稱或編號清單 (tcp,17)、通訊協定和目的地通訊埠 (tcp:80)，或通訊協定和目的地通訊埠範圍 (tcp:5000-6000)

如未指定通訊協定，就無法指定通訊埠或通訊埠範圍。如果是 ICMP，您無法指定通訊埠或通訊埠範圍，例如：--layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp。

詳情請參閱通訊協定和通訊埠。
--enable-logging 和 --no-enable-logging：啟用或停用指定規則的防火牆規則記錄
--disabled：表示防火牆規則存在，但處理連線時不應考量這項規則；省略這個標記會啟用規則，您也可以指定 --no-disabled

更新規則

如需欄位說明，請參閱「建立全域網路防火牆規則」。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.get
compute.firewallPolicies.update

角色

compute.securityAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下政策。
按一下規則的優先順序。
按一下 [編輯]。
修改要變更的欄位。
按一下 [儲存]。

gcloud

gcloud compute network-firewall-policies rules update RULE_PRIORITY \
    --firewall-policy POLICY_NAME \
    --global-firewall-policy \
    [...fields you want to modify...]

說明規則

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.get

角色

compute.securityAdmin

或

compute.networkAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下政策。
按一下規則的優先順序。

gcloud

gcloud compute network-firewall-policies rules describe PRIORITY \
    --firewall-policy POLICY_NAME --global-firewall-policy

更改下列內容：

PRIORITY：要查看的規則優先順序；由於每個規則的優先順序不得重複，這項設定可做為規則的專屬 ID
POLICY_NAME：包含規則的政策名稱

從政策中刪除規則

從政策中刪除規則後，所有沿用該規則的 VM 都會移除該規則。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.update

角色

政策所屬專案或政策本身的 compute.securityAdmin 權限

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下政策。
選取要刪除的規則。
點選「刪除」。

gcloud

gcloud compute network-firewall-policies rules delete PRIORITY \
    --firewall-policy POLICY_NAME \
    --global-firewall-policy

更改下列內容：

PRIORITY：要從政策中刪除的規則優先順序
POLICY_NAME：包含規則的政策

將規則從一項政策複製到另一項政策

從目標政策中移除所有規則，並以來源政策中的規則取代。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.firewallPolicies.cloneRules

角色

專案或政策本身的 compute.securityAdmin 權限

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
在專案選取器選單中，選取含有政策的專案。
按一下要複製規則的政策。
按一下畫面頂端的「複製」。
提供目標政策的名稱。
如要立即建立新政策的關聯，請依序點選「繼續」> 將網路政策連結至資源。
按一下 [Clone] (複製)。

gcloud

gcloud compute network-firewall-policies clone-rules POLICY_NAME \
    --source-firewall-policy SOURCE_POLICY \
    --global

更改下列內容：

POLICY_NAME：要以複製規則取代規則的目標政策。
SOURCE_POLICY：來源政策的資源網址，您要從該政策複製規則。

取得網路的有效防火牆規則

您可以查看所有階層式防火牆政策規則、虛擬私有雲防火牆規則，以及套用至指定虛擬私有雲網路的全域網路防火牆政策。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.networks.getEffectiveFirewalls 網路

角色

compute.securityAdmin
compute.viewer
compute.networkUser
compute.networkViewer

主控台

在 Google Cloud 控制台中，前往「VPC networks」(虛擬私有雲網路) 頁面。

前往「VPC networks」(虛擬私有雲網路)
按一下要查看防火牆政策規則的網路。
按一下「防火牆政策」。
展開各項防火牆政策，即可查看套用至這個網路的規則。

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

更改下列內容：

NETWORK_NAME：要查看有效規則的網路。

您也可以從「防火牆」頁面查看網路的有效防火牆規則。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.organizations.listAssociations 網路
選用：點選 resourcemanager.folders.get 和 resourcemanager.organizations.get，即可查看「繼承自」和「位於」欄中的資訊

角色

如要查看防火牆規則，請按照下列步驟操作：

compute.orgSecurityResourceAdmin
compute.viewer

選用：如要查看「繼承自」和「位於」欄中的資訊，請按照下列步驟操作：

browser
resourcemanager.organizationAdmin

主控台

在 Google Cloud 控制台中，前往「Firewall policies」(防火牆政策) 頁面。

前往「防火牆政策」頁面
防火牆政策會列在「這項專案繼承的防火牆政策」專區中。
按一下各項防火牆政策，即可查看套用至這個網路的規則。

取得 VM 介面的有效防火牆規則

您可以查看套用至指定 Compute Engine VM 介面的所有階層式防火牆政策規則、虛擬私有雲防火牆規則和全域網路防火牆政策規則。

這項工作需要的權限

如要執行這項工作，您必須擁有以下權限或下列其中一個 IAM 角色。

權限

compute.instances.getEffectiveFirewalls 網路

角色

compute.securityAdmin
compute.viewer
compute.networkUser
compute.networkViewer

主控台

前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

前往 VM 執行個體
在專案選取器選單中，選取包含 VM 的專案。
按一下 VM。
在「網路介面」部分，點選介面。
在「防火牆和路徑詳細資料」中查看有效防火牆規則。

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

更改下列內容：

INSTANCE_NAME：要查看有效規則的 VM；如未指定介面，指令會傳回主要介面 (nic0) 的規則。
INTERFACE：要查看有效規則的 VM 介面，預設值為 nic0。
ZONE：VM 的區域；如果所選區域已設為預設區域，則此行可省略。