Questa pagina presuppone che tu abbia familiarità con i concetti descritti in Criteri firewall gerarchici. Per esempi di implementazioni gerarchiche di criteri firewall, vedi Esempi di criteri firewall gerarchici.
Limitazioni
- Le regole dei criteri firewall gerarchici non supportano i tag di origine o gli account di servizio di origine.
- Le regole dei criteri firewall gerarchici non supportano l'uso dei tag di rete per definire le destinazioni. Devi utilizzare una rete VPC di destinazione o un account di servizio di destinazione.
- I criteri firewall possono essere applicati a livello di cartella e organizzazione, ma non a livello di rete VPC. Le regole firewall VPC regolari sono supportate per le reti VPC.
- È possibile associare un solo criterio firewall a una risorsa (cartella o organizzazione), anche se le istanze di macchine virtuali (VM) in una cartella possono ereditare regole dall'intera gerarchia di risorse al di sopra della VM.
- Il logging delle regole firewall è supportato per le regole
allow
edeny
, ma non è supportato per le regolegoto_next
. - Il protocollo Hop-by-Hop IPv6 non è supportato nelle regole firewall.
Attività dei criteri firewall
Crea un criterio firewall
Puoi creare un criterio in qualsiasi risorsa (organizzazione o cartella) della gerarchia dell'organizzazione. Dopo aver creato un criterio, puoi associarlo a qualsiasi risorsa dell'organizzazione. Dopo l'associazione, le regole del criterio diventano attive per le VM sotto la risorsa associata nella gerarchia.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o una cartella all'interno della tua organizzazione.
Fai clic su Crea criterio firewall.
Assegna un nome al criterio.
Se vuoi creare regole per il tuo criterio, fai clic su Continua > Aggiungi regola.
Per maggiori dettagli, vedi Creare regole firewall.
Se vuoi associare il criterio a una risorsa, fai clic su Continua > Associa il criterio alle risorse.
Per maggiori dettagli, vedi Associare un criterio all'organizzazione o a una cartella.
Fai clic su Crea.
gcloud
gcloud compute firewall-policies create \ [--organization ORG_ID] | --folder FOLDER_ID] \ --short-name SHORT_NAME
Sostituisci quanto segue:
ORG_ID
: ID della tua organizzazione
Specifica questo ID se stai creando il criterio a livello di organizzazione. Questo ID indica solo dove si trova il criterio; non associa automaticamente il criterio alla risorsa dell'organizzazione.FOLDER_ID
: l'ID di una cartella
Specifica questo ID se stai creando il criterio in una determinata cartella. Questo ID indica solo dove si trova il criterio e non associa automaticamente il criterio a quella cartella.SHORT_NAME
: un nome per il criterio
Un criterio creato utilizzando Google Cloud CLI ha due nomi: un nome generato dal sistema e un nome breve fornito da te. Quando utilizzi Google Cloud CLI per aggiornare un criterio esistente, puoi fornire il nome generato dal sistema o il nome breve e l'ID organizzazione. Quando utilizzi l'API per aggiornare il criterio, devi fornire il nome generato dal sistema.
Crea regole firewall
Le regole dei criteri firewall gerarchici devono essere create in un criterio firewall gerarchico. Le regole non sono attive finché non associ il criterio contenitore a una risorsa.
Ogni regola del criterio firewall gerarchico può includere intervalli IPv4 o IPv6, ma non entrambi.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sul nome della norma.
Fai clic su Aggiungi regola.
Compila i campi delle regole:
- Priorità: l'ordine di valutazione numerico della regola. Le regole vengono valutate dalla priorità più alta a quella più bassa dove
0
è la priorità più alta. Le priorità devono essere univoche per ogni regola. È buona norma assegnare alle regole dei numeri di priorità che consentano l'inserimento successivo (ad esempio100
,200
,300
). - Imposta la raccolta Log su On o Off.
- Per Direzione del traffico, specifica se si tratta di una regola in entrata o in uscita.
In Azione in caso di corrispondenza, scegli una delle seguenti opzioni:
- Allow (Consenti): consente le connessioni che corrispondono alla regola.
- Nega: nega le connessioni corrispondenti alla regola.
- Vai a successiva: la valutazione della connessione viene passata alla regola firewall di livello inferiore successivo nella gerarchia.
- Procedi all'ispezione L7: invia i pacchetti all'endpoint firewall configurato per l'ispezione di livello 7.
- Nell'elenco Gruppo di profili di sicurezza, seleziona il nome di un gruppo di profili di sicurezza.
- Per abilitare l'ispezione TLS dei pacchetti, seleziona Abilita ispezione TLS.
Per saperne di più su come vengono valutate le regole e le azioni corrispondenti per ciascuna interfaccia di rete della VM, consulta Ordine di valutazione di criteri e regole.
(Facoltativo) Puoi limitare la regola a determinate reti specificandole nel campo Reti di destinazione. Fai clic su AGGIUNGI RETE, quindi seleziona il progetto e la rete. A una regola puoi aggiungere più reti di destinazione.
(Facoltativo) Puoi limitare la regola alle VM in esecuzione con accesso a determinati account di servizio specificando gli account nel campo Account di servizio di destinazione.
Per una regola In entrata, specifica il filtro Origine:
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
0.0.0.0/0
per qualsiasi origine IPv4. - Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
::/0
per qualsiasi origine IPv6.
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
Per una regola In uscita, specifica il Filtro di destinazione:
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
0.0.0.0/0
per qualsiasi destinazione IPv4. - Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
::/0
per qualsiasi destinazione IPv6.
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
(Facoltativo) Se stai creando una regola in entrata, specifica i FQDN di origine a cui si applica la regola. Se stai creando una regola In uscita, seleziona i FQDN di destinazione a cui si applica la regola. Per ulteriori informazioni sugli oggetti dei nomi di dominio, consulta Oggetti nome di dominio.
(Facoltativo) Se stai creando una regola in entrata, seleziona le località geografiche di origine a cui si applica la regola. Se stai creando una regola In uscita, seleziona le località geografiche di destinazione a cui si applica la regola. Per maggiori informazioni sugli oggetti di geolocalizzazione, consulta Oggetti di geolocalizzazione.
(Facoltativo) Se stai creando una regola in entrata, seleziona i gruppi di indirizzi di origine a cui si applica la regola. Se stai creando una regola In uscita, seleziona i gruppi di indirizzi di destinazione a cui si applica la regola. Per maggiori informazioni sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri firewall.
(Facoltativo) Se stai creando una regola in entrata, seleziona gli elenchi di Google Cloud Threat Intelligence di origine a cui si applica la regola. Se stai creando una regola In uscita, seleziona gli elenchi di Google Cloud Threat Intelligence di destinazione a cui si applica la regola. Per maggiori informazioni su Threat Intelligence, consulta Intelligence sulle minacce per le regole dei criteri firewall.
(Facoltativo) Per una regola In entrata, specifica i filtri Destinazione:
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di destinazione, seleziona IPv4 e inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
0.0.0.0/0
per qualsiasi destinazione IPv4. - Per filtrare il traffico in entrata in base agli intervalli IPv6 di destinazione, seleziona Intervalli IPv6 e inserisci i blocchi CIDR nel campo Intervalli IPv6 di destinazione. Utilizza
::/0
per qualsiasi destinazione IPv6. Per saperne di più, consulta Destinazione per le regole in entrata.
- Per filtrare il traffico in entrata in base agli intervalli IPv4 di destinazione, seleziona IPv4 e inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
(Facoltativo) Per una regola In uscita, specifica il filtro Origine:
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
0.0.0.0/0
per qualsiasi origine IPv4. - Per filtrare il traffico in uscita in base agli intervalli IPv6 di origine, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
::/0
per qualsiasi origine IPv6. Per ulteriori informazioni, consulta Origine delle regole in uscita.
- Per filtrare il traffico in uscita in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza
Per Protocolli e porte, specifica che la regola si applica a tutti i protocolli e a tutte le porte di destinazione oppure specifica a quali protocolli e porte di destinazione viene applicata.
Per specificare ICMP IPv4, utilizza
icmp
o il numero di protocollo1
. Per specificare l'ICMP IPv6, utilizza il numero di protocollo58
. Per ulteriori informazioni sui protocolli, consulta Protocolli e porte.Fai clic su Crea.
- Priorità: l'ordine di valutazione numerico della regola. Le regole vengono valutate dalla priorità più alta a quella più bassa dove
Fai clic su Aggiungi regola per aggiungere un'altra regola.
Fai clic su Continua > Associa il criterio alle risorse per associare il criterio alle risorse oppure fai clic su Crea per creare il criterio.
gcloud
gcloud compute firewall-policies rules create PRIORITY \ [--organization ORG_ID] \ --firewall-policy POLICY_NAME \ [--direction DIRECTION] \ [--src-ip-ranges IP_RANGES] \ [--dest-ip-ranges IP_RANGES ] \ [--src-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \ [--dest-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \ [--src-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \ [--dest-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \ [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \ [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \ [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]] --action ACTION \ [--security-profile-group SECURITY_PROFILE_GROUP] \ [--tls-inspect | --no--tls-inspect] \ [--layer4-configs PROTOCOL_PORT] \ [--target-resources NETWORKS] \ [--target-service-accounts SERVICE_ACCOUNTS] \ [--enable-logging | --no-enable-logging] \ [--disabled]
Sostituisci quanto segue:
PRIORITY
: ordine di valutazione numerico della regolaLe regole vengono valutate dalla priorità più alta a quella più bassa, dove
0
è la priorità più alta. Le priorità devono essere univoche per ogni regola. È buona norma assegnare alle regole dei numeri di priorità che consentano l'inserimento successivo (ad esempio100
,200
,300
).ORG_ID
: ID della tua organizzazionePOLICY_NAME
: il nome breve o il nome generato dal sistema del criterioDIRECTION
: indica se la regola èINGRESS
(predefinita) oEGRESS
- Includi
--src-ip-ranges
per specificare gli intervalli IP per la sorgente del traffico. - Includi
--dest-ip-ranges
per specificare gli intervalli IP per la destinazione del traffico.
Per ulteriori informazioni, consulta target, origine e destinazione.
- Includi
IP_RANGES
: un elenco separato da virgole di intervalli IP in formato CIDR, tutti gli intervalli IPv4 o IPv6, ad esempio:--src-ip-ranges=10.100.0.1/32,10.200.0.0/24
--src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96
COUNTRY_CODE
: un elenco di codici paese di due lettere separati da virgole- Per la direzione in entrata, specifica i codici paese di origine nel parametro
--src-region-code
; non puoi utilizzare il parametro--src-region-code
per la direzione in uscita - Per la direzione in uscita, specifica i codici paese di destinazione nel parametro
--dest-region-code
; non puoi utilizzare il parametro--dest-region-code
per la direzione in entrata
- Per la direzione in entrata, specifica i codici paese di origine nel parametro
LIST_NAMES
: un elenco separato da virgole di nomi di elenchi di Threat Intelligence- Per la direzione in entrata, specifica gli elenchi di Threat Intelligence di origine nel parametro
--src-threat-intelligence
; non puoi utilizzare il parametro--src-threat-intelligence
per la direzione in uscita - Per la direzione in uscita, specifica gli elenchi di Threat Intelligence di destinazione
nel parametro
--dest-threat-intelligence
; non puoi utilizzare il parametro--dest-threat-intelligence
per la direzione in entrata
- Per la direzione in entrata, specifica gli elenchi di Threat Intelligence di origine nel parametro
ADDR_GRP_URL
: un identificatore URL univoco per il gruppo di indirizzi- Per la direzione in entrata, specifica i gruppi di indirizzi di origine nel parametro
--src-address-groups
; non puoi utilizzare il parametro--src-address-groups
per la direzione in uscita - Per la direzione in uscita, specifica i gruppi di indirizzi di destinazione
nel parametro
--dest-address-groups
; non puoi utilizzare il parametro--dest-address-groups
per la direzione in entrata
- Per la direzione in entrata, specifica i gruppi di indirizzi di origine nel parametro
DOMAIN_NAME
: un elenco di nomi di dominio separati da virgole nel formato descritto in Formato del nome di dominio- Per la direzione in entrata, specifica i nomi di dominio di origine nel parametro
--src-fqdns
; non puoi utilizzare il parametro--src-fqdns
per la direzione in uscita - Per la direzione in uscita, specifica i gruppi di indirizzi di destinazione
nel parametro
--dest-fqdns
; non puoi utilizzare il parametro--dest-fqdns
per la direzione in entrata
- Per la direzione in entrata, specifica i nomi di dominio di origine nel parametro
ACTION
: una delle seguenti azioni:allow
: consente le connessioni che corrispondono alla regoladeny
: nega le connessioni che corrispondono alla regolaapply_security_profile_group
: invia in modo trasparente i pacchetti all'endpoint firewall configurato per l'ispezione di livello 7goto_next
: passa la valutazione della connessione al livello successivo della gerarchia, di una cartella o di una rete
Per scoprire di più su come vengono valutate le regole e le azioni corrispondenti per ciascuna interfaccia di rete della VM, consulta Ordine di valutazione di criteri e regole.
SECURITY_PROFILE_GROUP
: nome di un gruppo di profili di sicurezza utilizzato per l'ispezione di livello 7. Specifica questo parametro solo quando è selezionata l'azioneapply_security_profile_group
--tls-inspect
: ispeziona il traffico TLS utilizzando il criterio di ispezione TLS quando nella regola è selezionata l'azioneapply_security_profile_group
; per impostazione predefinita l'ispezione TLS è disabilitata oppure puoi specificare--no-tls-inspect
PROTOCOL_PORT
: un elenco separato da virgole di nomi o numeri (tcp,17
), protocolli e porte di destinazione (tcp:80
) o protocolli e intervalli di porte di destinazione (tcp:5000-6000
)Non puoi specificare una porta o un intervallo di porte senza un protocollo. Per ICMP, non puoi specificare una porta o un intervallo di porte, ad esempio:
--layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp
.Per specificare ICMP IPv4, utilizza
icmp
o il numero di protocollo1
. Per specificare IPv6 ICMP, utilizza il numero di protocollo58
. Per ulteriori informazioni, consulta Protocolli e porte.NETWORKS
: un elenco separato da virgole di URL delle risorse di rete VPC nel formatohttps://www.googleapis.com/compute/v1/projects/
PROJECT_ID/global/networks/
NETWORK_NAME, dove PROJECT_ID è l'ID del progetto che contiene la rete VPC e NETWORK_NAME è il nome della rete. Se omessa, la regola si applica a tutte le reti VPC sotto la risorsa.Per maggiori informazioni, consulta Destinazioni per le regole dei criteri firewall gerarchici.
SERVICE_ACCOUNTS
: un elenco separato da virgole di account di servizio; la regola viene applicata solo alle VM in esecuzione con accesso all'account di servizio specificatoPer maggiori informazioni, consulta Destinazioni per le regole dei criteri firewall gerarchici.
--enable-logging
e--no-enable-logging
: attiva o disabilita il logging delle regole firewall per la regola specificata--disabled
: indica che la regola firewall, sebbene esista, non deve essere considerata durante l'elaborazione delle connessioni; l'omissione di questo flag consente la regola oppure puoi specificare--no-disabled
Associa un criterio all'organizzazione o alla cartella
Associa un criterio a una risorsa per attivare le regole del criterio per qualsiasi VM sotto la risorsa nella gerarchia.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic sulla scheda Associazioni.
Fai clic su Aggiungi associazione.
Seleziona la radice dell'organizzazione o seleziona le cartelle all'interno dell'organizzazione.
Fai clic su Aggiungi.
gcloud
gcloud compute firewall-policies associations create \ --firewall-policy POLICY_NAME \ --organization ORG_ID \ [ --folder FOLDER_ID ] \ [ --name ASSOCIATION_NAME ] \ [ --replace-association-on-target ]
Sostituisci quanto segue:
POLICY_NAME
: il nome breve o il nome generato dal sistema del criterioORG_ID
: ID della tua organizzazioneFOLDER_ID
: se vuoi associare il criterio a una cartella, specificalo qui; ometti se stai associando il criterio a livello di organizzazioneASSOCIATION_NAME
: nome facoltativo per l'associazione; se non specificato, il nome è impostato su "organizzazioneORG_ID
" o "cartellaFOLDER_ID
"--replace-association-on-target
Per impostazione predefinita, se tenti di inserire un'associazione a un'organizzazione o a una cartella che ha già un'associazione, il metodo non va a buon fine. Se specifichi questo flag, l'associazione esistente viene eliminata nello stesso momento in cui viene creata la nuova associazione. Ciò impedisce che la risorsa rimanga senza un criterio durante la transizione.
Spostare un criterio da una risorsa all'altra
Lo spostamento di un criterio comporta la modifica della risorsa proprietario del criterio. Per spostare un criterio, devi disporre delle autorizzazioni move
sia sulla risorsa precedente che su quella nuova.
Lo spostamento di un criterio non influisce sulle associazioni di criteri esistenti o sulla valutazione delle regole esistenti, ma potrebbe influire su chi dispone delle autorizzazioni per modificare o associare il criterio dopo lo spostamento.
Console
Utilizza Google Cloud CLI per questa procedura.
gcloud
gcloud compute firewall-policies move POLICY_NAME \ --organization ORG_ID \ [--folder FOLDER_ID]
Sostituisci quanto segue:
POLICY_NAME
: il nome breve o il nome generato dal sistema del criterio che stai spostandoORG_ID
: ID della tua organizzazione. Se sposti il criterio nell'organizzazione, specifica questo ID, ma non specifica una cartellaFOLDER_ID
: se vuoi associare il criterio a una cartella, specificalo qui; ometti se stai associando il criterio all'organizzazione
Aggiorna la descrizione di una norma
L'unico campo del criterio che può essere aggiornato è il campo Descrizione.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic su Modifica.
Modifica la descrizione.
Fai clic su Salva.
gcloud
gcloud compute firewall-policies update POLICY_NAME \ --description DESCRIPTION \ --organization ORG_ID
Criteri dell'elenco
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Per un'organizzazione, la sezione Criteri firewall associati a questa organizzazione mostra i criteri associati. La sezione Criteri firewall situati in questa organizzazione elenca i criteri di proprietà dell'organizzazione.
Per una cartella, la sezione Criteri firewall associati alla cartella o ereditati da questa cartella mostra i criteri associati o ereditati dalla cartella. La sezione Criteri firewall situati in questa cartella elenca i criteri di proprietà della cartella.
gcloud
gcloud compute firewall-policies list \ [--organization ORG_ID | --folder FOLDER_ID]
Descrivi una norma
Puoi visualizzare tutti i dettagli di un criterio, incluse tutte le relative regole firewall. Inoltre, puoi vedere molti attributi che si trovano in tutte le regole di un criterio. Questi attributi vengono conteggiati ai fini di un limite per criterio.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
gcloud
gcloud compute firewall-policies describe POLICY_NAME \ --organization ORG_ID
Eliminare un criterio
Devi eliminare tutte le associazioni in un criterio firewall dell'organizzazione prima di poterlo eliminare.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sul criterio che vuoi eliminare.
Fai clic sulla scheda Associazioni.
Seleziona tutte le associazioni.
Fai clic su Rimuovi associazioni.
Dopo aver rimosso tutte le associazioni, fai clic su Elimina.
gcloud
Elenca tutte le risorse associate a un criterio firewall:
gcloud compute firewall-policies describe POLICY_NAME \ --organization ORG_ID
Eliminare le singole associazioni. Per rimuovere l'associazione, devi avere il ruolo
compute.orgSecurityResourceAdmin
nella risorsa associata o nel predecessore di quella risorsa.gcloud compute firewall-policies associations delete RESOURCE_NAME \ --organization ORG_ID \ --firewall-policy POLICY_NAME
Elimina il criterio:
gcloud compute firewall-policies delete POLICY_NAME \ --organization ORG_ID
Elenca le associazioni per una risorsa
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Per la risorsa selezionata (organizzazione o cartella), viene visualizzato un elenco dei criteri associati ed ereditati.
gcloud
gcloud compute firewall-policies associations list \ [--organization ORG_ID | --folder FOLDER_ID]
Elenca associazioni per un criterio
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic sulla scheda Associazioni.
Le associazioni sono elencate nella tabella.
gcloud
gcloud compute firewall-policies describe POLICY_ID
Eliminare un'associazione
Per interrompere l'applicazione di un criterio firewall nell'organizzazione o in una cartella, elimina l'associazione.
Tuttavia, se intendi sostituire un criterio firewall con un altro, non è necessario eliminare prima l'associazione esistente. Così facendo, rimarresti un periodo di tempo in cui non è applicato alcun criterio. Sostituisci invece quello esistente quando associ un nuovo criterio.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic sulla scheda Associazioni.
Seleziona l'associazione che vuoi eliminare.
Fai clic su Rimuovi associazioni.
gcloud
gcloud compute firewall-policies associations delete ASSOCIATION_NAME \ --firewall-policy POLICY_NAME \ --organization ORG_ID
Attività per le regole dei criteri firewall
Crea una regola in un criterio firewall esistente
Vedi Creare regole firewall.
Elenco di tutte le regole in un criterio
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma. Le regole sono elencate nella scheda Regole firewall.
gcloud
gcloud compute firewall-policies list-rules POLICY_NAME \ --organization ORG_ID
Descrivere una regola
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic sulla priorità della regola.
gcloud
gcloud compute firewall-policies rules describe PRIORITY \ --organization ORG_ID \ --firewall-policy POLICY_NAME
Sostituisci quanto segue:
PRIORITY
: la priorità della regola che vuoi visualizzare; poiché ogni regola deve avere una priorità univoca, questa impostazione identifica in modo univoco una regolaORG_ID
: ID della tua organizzazionePOLICY_NAME
: il nome breve o il nome generato dal sistema del criterio che contiene la regola
Aggiorna una regola
Per una descrizione dei campi, consulta Creazione di regole firewall.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Fai clic sulla priorità della regola.
Fai clic su Modifica.
Modifica i campi da cambiare.
Fai clic su Salva.
gcloud
gcloud compute firewall-policies rules update RULE_NAME \ --firewall-policy POLICY_NAME \ --organization ORG_ID \ [...fields you want to modify...]
Clona le regole da un criterio all'altro
Rimuovi tutte le regole dal criterio di destinazione e sostituiscile con le regole nel criterio di origine.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sul criterio da cui vuoi copiare le regole.
Fai clic su Clona nella parte superiore dello schermo.
Indica il nome di un criterio di destinazione.
Fai clic su Continua > Associa il criterio alle risorse se vuoi associare immediatamente il nuovo criterio.
Fai clic su Clona.
gcloud
gcloud compute firewall-policies clone-rules POLICY_NAME \ --organization ORG_ID \ --source-firewall-policy SOURCE_POLICY
Sostituisci quanto segue:
POLICY_NAME
: il criterio per ricevere le regole copiateORG_ID
: ID della tua organizzazioneSOURCE_POLICY
: il criterio da cui copiare le regole; deve essere l'URL della risorsa
Eliminare una regola da un criterio
L'eliminazione di una regola da un criterio ne comporta la rimozione da tutte le VM che la ereditano.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sulla norma.
Seleziona la regola da eliminare.
Fai clic su Elimina.
gcloud
gcloud compute firewall-policies rules delete PRIORITY \ --organization ORG_ID \ --firewall-policy POLICY_NAME
Sostituisci quanto segue:
PRIORITY
: la priorità della regola che vuoi eliminare dal criterioORG_ID
: ID della tua organizzazionePOLICY_NAME
: il criterio contenente la regola
Ottieni regole firewall efficaci per una rete
Mostra tutte le regole dei criteri firewall gerarchici, le regole firewall VPC e le regole dei criteri firewall di rete globali applicate a una rete VPC specificata.
Console
Nella console Google Cloud, vai alla pagina Reti VPC.
Fai clic sulla rete per la quale vuoi visualizzare le regole dei criteri firewall.
Fai clic su Criteri firewall.
Espandi ogni criterio firewall per visualizzare le regole applicabili a questa rete.
gcloud
gcloud compute networks get-effective-firewalls NETWORK_NAME
Sostituisci quanto segue:
NETWORK_NAME
: la rete per la quale applicare regole
Puoi anche visualizzare le regole firewall efficaci per una rete dalla pagina Firewall.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
I criteri firewall sono elencati nella sezione Criteri firewall ereditati da questo progetto.
Fai clic su ciascun criterio firewall per visualizzare le regole applicabili a questa rete.
Ottieni regole firewall efficaci per un'interfaccia VM
Visualizza tutte le regole dei criteri firewall gerarchici, le regole firewall VPC e le regole dei criteri firewall di rete globali applicate a un'interfaccia VM di Compute Engine specificata.
Console
Nella console Google Cloud, vai alla pagina Istanze VM.
Nel menu a discesa del selettore progetti, seleziona il progetto contenente la VM.
Fai clic sulla VM.
In Interfacce di rete, fai clic sull'interfaccia.
Le regole firewall effettive vengono visualizzate nei dettagli di firewall e route.
gcloud
gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \ [--network-interface INTERFACE] \ [--zone ZONE]
Sostituisci quanto segue:
INSTANCE_NAME
: la VM per cui ottenere regole efficaci. Se non viene specificata alcuna interfaccia, restituisce le regole per l'interfaccia principale (nic0
)INTERFACE
: l'interfaccia della VM per cui visualizzare le regole efficaci. Il valore predefinito ènic0
ZONE
: la zona della VM; è facoltativa se la zona scelta è già impostata come predefinita
Risoluzione dei problemi
Questa sezione contiene le spiegazioni dei messaggi di errore che potresti ricevere.
FirewallPolicy may not specify a name. One will be provided.
Non puoi specificare un nome di criterio. I "nomi" dei criteri firewall gerarchici sono ID numerici generati da Google Cloud al momento della creazione del criterio. Tuttavia, puoi specificare un nome breve più semplice che funga da alias in molti contesti.
FirewallPolicy may not specify associations on creation.
Le associazioni possono essere create solo dopo aver creato i criteri firewall gerarchici.
Can not move firewall policy to a different organization.
Gli spostamenti di criteri firewall gerarchici devono rimanere all'interno della stessa organizzazione.
The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.
Se una risorsa è già collegata con un criterio firewall gerarchico, l'operazione del collegamento non riesce a meno che l'opzione di sostituzione delle associazioni esistenti non sia impostata su true.
Cannot have rules with the same priorities.
Le priorità delle regole devono essere univoche all'interno di un criterio firewall gerarchico.
Direction must be specified on firewall policy rule.
Quando si creano regole di criteri firewall gerarchici inviando direttamente richieste REST, è necessario specificare la direzione della regola. Quando utilizzi Google Cloud CLI e non viene specificata alcuna direzione, il valore predefinito è
INGRESS
.Can not specify enable_logging on a goto_next rule.
Il logging del firewall non è consentito per le regole con azione goto_next perché le azioni goto_next vengono utilizzate per rappresentare l'ordine di valutazione di diversi criteri firewall e non sono azioni del terminale, ad esempio ALLOW o DENY.
Must specify at least one destination on Firewall policy rule.
Il parametro
layer4Configs
nella regola del criterio firewall deve specificare almeno un protocollo o un protocollo e una porta di destinazione.Per ulteriori dettagli sulla risoluzione dei problemi relativi alle regole dei criteri firewall, consulta Risoluzione dei problemi relativi alle regole firewall VPC.