Auf dieser Seite werden die Preise für Cloud Next Generation Firewall (Cloud NGFW) beschrieben.

Cloud NGFW ist in drei Stufen verfügbar, die jeweils unterschiedliche Funktionen und Möglichkeiten bieten:

• Cloud NGFW Essentials: Der grundlegende Firewalldienst, der ohne Aufpreis angeboten wird. Mit dieser Stufe können Sie Regeln basierend auf Standardnetzwerkattributen wie IP-Bereichen, Ports und Protokollen erstellen.
• Cloud NGFW Standard: Erweitert Essentials um Funktionen wie FQDN-Objekte (voll qualifizierte Domainnamen) und Threat Intelligence.
• Cloud NGFW Enterprise: Bietet erweiterte Layer-7-Sicherheitsfunktionen wie IDPS (Intrusion Detection and Prevention Service) und URL-Filterung.

Die Abrechnung erfolgt basierend auf den Funktionen, die Sie in Ihren Firewallrichtlinien verwenden.

Für die Verwendung von Cloud NGFW Essentials-Regeln in Ihren Firewallrichtlinien fallen keine Gebühren an. Wir empfehlen Ihnen, die Funktionen des Essential-Tarifs für Traffic zu nutzen, der keine erweiterte Prüfung erfordert.

Wenn ein Traffic-Flow durch eine Firewallrichtlinienregel mit Cloud NGFW Standard-Funktionen ausgewertet wird, wird Ihnen die Datenverarbeitung in Rechnung gestellt.

Gebühren für die Datenverarbeitung fallen für die folgenden Nord-Süd-Datenverkehrsflüsse an:

• Traffic aus dem Internet zu einer Ziel-VM-Instanz (eingehend).
• Traffic von einer Ziel-VM-Instanz ins Internet (ausgehend).
• Die Datenverarbeitung wird in Gigabyte (GiB) gemessen.
• Die Gebühren werden dem Projekt in Rechnung gestellt, in dem die Firewallrichtlinie ausgewertet wird. Bei einem freigegebenen VPC-Netzwerk werden die Gebühren dem Hostprojekt in Rechnung gestellt.

Gebühren für die Datenverarbeitung fallen nicht für Traffic zwischen Ressourcen innerhalb von Google Cloud (Ost-West-Traffic) oder für Traffic an, der von proxybasierten Load Balancern abgefangen wird.

In der folgenden Tabelle sind die Preise für die Cloud Standard-Stufe zusammengefasst.

Wenn ein Traffic-Fluss durch eine Firewallrichtlinienregel mit Cloud NGFW Enterprise-Funktionen ausgewertet wird, fallen zusätzliche Gebühren an, die sich aus den folgenden Komponenten zusammensetzen:

• Eine stündliche Gebühr für jeden bereitgestellten Firewall-Endpunkt.
• Eine Gebühr pro Gigabyte für den geprüften Traffic.

Gebühren für Firewall-Endpunkte

Ihnen wird stündlich jeder Firewall-Endpunkt in Rechnung gestellt, der in Ihrer Organisation bereitgestellt wird. Da der Firewall-Endpunkt eine Ressource auf Organisationsebene ist, wird die Gebühr für den Endpunkt Ihrem Abrechnungsprojekt in Rechnung gestellt.

Gebühren für die Datenverarbeitung

Sie zahlen für den gesamten Traffic, der von den Layer-7-Sicherheitsfunktionen der Cloud NGFW geprüft wird. Dazu gehört Traffic in beide Richtungen eines bestimmten Datenstroms.

• Die Gebühren für die Datenverarbeitung werden dem Projekt in Rechnung gestellt, zu dem die Firewallrichtlinie gehört.
• Bei einem freigegebenen VPC-Netzwerk werden diese Gebühren dem Hostprojekt in Rechnung gestellt.

Hinweis: Wenn ein Trafficfluss durch Regeln ausgewertet wird, die sowohl Cloud NGFW Standard- als auch Cloud NGFW Enterprise-Funktionen verwenden, wird Ihnen nur die Cloud NGFW Enterprise-Datenverarbeitung in Rechnung gestellt. Die Cloud NGFW Standard-Gebühr für diesen Flow wird erlassen.

In der folgenden Tabelle sind die Preise für die Cloud Enterprise-Stufe zusammengefasst.

Die Preise für hierarchische Firewallrichtlinien basieren auf der Gesamtzahl der Regelattribute in einer Richtlinie und der Anzahl der VM-Instanzen, auf die die Richtlinie angewendet wird. Ein Regelattribut ist eine bestimmte Konfiguration innerhalb einer Regel, z. B. ein IP-Adressbereich, ein Port, ein Protokoll oder ein Dienstkonto.

Zusätzlich zu den gebührenpflichtigen Datenverarbeitungsgebühren für die jeweilige Stufe fallen für hierarchische Firewallrichtlinien eigene Gebühren an. Der Preis wird pro VM und Monat basierend auf der Gesamtzahl der Attribute in allen Regeln der Richtlinie berechnet.

VPC-Firewallregeln (Virtual Private Cloud) sind kostenlos.

Die Preise für Firewall Insights finden Sie unter Preise für Network Intelligence Center.

Angaben zu den Preisen für das Logging von Firewallregeln finden Sie unter Preise für Netzwerktelemetrie.

Die folgenden Szenarien veranschaulichen, wie die Preise für Cloud NGFW auf gängige Anwendungsfälle angewendet werden.

Sie verwenden VPC-Firewallregeln und möchten auf eine modernere Richtlinienstruktur umsteigen, ohne für zusätzliche Funktionen zu bezahlen.

Lösung: Sie können Ihre vorhandenen Regeln zum Cloud NGFW Essentials-Tarif migrieren. Diese Stufe umfasst alle Funktionen von VPC-Firewallregeln und bietet zusätzlich leistungsstärkere Funktionen wie Adressgruppen – und das ohne Aufpreis.

Kosten: Die Migrationstools und die Nutzung der Funktionen des Essentials-Tarifs sind kostenlos.

Sie möchten kostenlose, tagbasierte Regeln für den internen Ost-West-Traffic verwenden, den Internetzugriff für eine bestimmte Gruppe von VMs mit dem Tag „Internal-VM“ blockieren und erweiterte Regeln auf den verbleibenden ausgehenden Traffic anwenden, der für das Internet bestimmt ist.

Lösung: Sie können dies erreichen, indem Sie eine Firewallrichtlinie erstellen, bei der die Regeln in einer bestimmten Prioritätsreihenfolge verarbeitet werden:

1. Regel 1 (Priorität 1000, die höchste Priorität): Erstellen Sie Cloud NGFW Essentials-Firewallregeln, um den gesamten Ost-West-Traffic zu verarbeiten. VMs ohne Internetverbindung sollten Sie mit dem Tag „Internal-VM“ kennzeichnen.
2. Regel 2 (Priorität 2000): Erstellen Sie eine tagbasierte Essentials-Regel, die den Internetzugriff für alle VMs mit dem Tag „Internal-VM“ verweigert.
3. Regel 3 (Priorität 3000): Erstellen Sie eine Regel, die den gesamten verbleibenden ausgehenden Internet-Traffic mit den Standardfunktionen von Cloud NGFW prüft.

Kosten: Sie zahlen nur für die Verarbeitung des ausgehenden Traffics, der durch Ihre letzte Firewallregel (Regel 3) bewertet wird. Da die kostenlosen Regeln Ihren gesamten internen Traffic und die blockierten VMs abdecken, beschränken sich Ihre Kosten auf den Traffic, der für die Prüfung explizit an das Internet gesendet wird.

Sie möchten erweiterte IDPS-Regeln nur auf Traffic anwenden, der zu und von einer Produktionsdatenbank fließt, während Sie den gesamten anderen internen Ost-West-Traffic kostenlos passieren lassen möchten.

Lösung: Sie können dies erreichen, indem Sie eine Firewallrichtlinie erstellen, die eine bestimmte Regel mit hoher Priorität über Ihre allgemeinen Traffic-Regeln legt:

1. Regel 1 (Priorität 1000, die höchste Priorität): Erstellen Sie kostenlose Cloud NGFW Essentials-Regeln, um den Großteil Ihres Ost-West-Traffics basierend auf IP-Adressen und Tags zu verarbeiten.
2. Regel 2 (Priorität 2000): Sie erstellen mit Cloud NGFW Enterprise eine spezifische Regel mit höherer Priorität. Diese Regel ist so konfiguriert, dass sie nur Traffic mit dem Ziel-Tag „Database“ und dem Quell-Tag „valid-DB-client“ abgleicht und die Aktion auf IDPS-Prüfung setzt.

Kosten: Ihnen wird nur die Cloud NGFW Enterprise-Gebühr für die genauen Traffic-Flows berechnet, die Sie zur IDPS-Prüfung senden. Dieser detaillierte, tagbasierte Ansatz sorgt dafür, dass Sie kritische Arbeitslasten schützen können, ohne für die Prüfung jedes Pakets in Ihrem internen Netzwerk zu bezahlen.

Cloud NGFW berechnet Ihnen die Datenverarbeitung von Traffic, der anhand von Regeln ausgewertet wird, die Funktionen der Cloud NGFW Standard- oder Cloud NGFW Enterprise-Stufe enthalten. Ihnen werden Gebühren berechnet, wenn eine Regel ausgewertet wird, unabhängig davon, ob die Regel den Traffic zulässt oder ablehnt. Wenn Sie beispielsweise eine Standardregel für den geografischen Standort aktivieren, wird Ihnen der gesamte Traffic in Rechnung gestellt, der von dieser Regel ausgewertet wird, auch wenn der Traffic aus einem zulässigen Land stammt.

Bei der Standardstufe werden Ihnen nur Nord-Süd-Traffic vom Internet zu VM-Instanzen (Ingress) und Traffic von VM-Instanzen zum Internet (Egress) in Rechnung gestellt. Beim Enterprise-Tarif wird sowohl Nord-Süd- als auch Ost-West-Traffic (Traffic zwischen Ressourcen innerhalb von Google Cloud) berechnet.

Firewallrichtlinien werten Traffic anhand von Regeln nach der Priorität der Regeln aus. Kosten entstehen, sobald ein bestimmter Traffic-Fluss durch eine Regel mit kostenpflichtigen Funktionen ausgewertet wird. Bei einem typischen Trafficfluss wird der Traffic zuerst von Regeln verarbeitet, die Cloud NGFW Essentials-Funktionen verwenden. Um die Kosten zu optimieren, können Sie Essentials-Regeln eine höhere Priorität zuweisen als Regeln in den kostenpflichtigen Stufen. Wenn der Traffic nicht mit einer Essentials-Regel übereinstimmt, wird er anhand von Regeln ausgewertet, die Funktionen der Cloud NGFW Standard- oder Cloud NGFW Enterprise-Stufe verwenden.

Cloud NGFW berechnet Ihnen denselben Traffic-Fluss nicht zweimal. Wenn beispielsweise ein Traffic-Fluss sowohl durch Standard- als auch durch Enterprise-Regeln bewertet wird, wird Ihnen nur die Bewertung der Enterprise-Regeln in Rechnung gestellt.

In den folgenden Abschnitten werden gängige Szenarien für Firewallrichtlinien beschrieben, damit Sie besser nachvollziehen können, wie die Abrechnung erfolgt.

In diesem Szenario verwendet Ihre Richtlinie sowohl kostenlose als auch kostenpflichtige Funktionen der Cloud NGFW Essentials- und Cloud NGFW Standard-Stufen. In der Richtlinie haben die Essentials-Regeln eine höhere Priorität (eine niedrigere Prioritätsnummer) als die Standard-Regeln.

Angenommen, 100 GB Nord-Süd-Traffic (Traffic vom und zum Internet) gelangen in Ihr Netzwerk und werden wie folgt bewertet:

1. 50 GB des Traffics werden anhand von Cloud NGFW Essential-Regeln ausgewertet. Diese Verarbeitung ist kostenlos.
2. Die verbleibenden 50 GB des Traffics werden an die nächste Regel in der Richtlinie weitergeleitet, die Cloud NGFW Standard-Funktionen umfasst. Dieser Traffic von 50 GB wird zum Cloud NGFW-Standardtarif abgerechnet.

Abrechnungszusammenfassung:

• Standardmäßig abgerechneter Traffic: 50 GB
• Abgerechneter Traffic insgesamt: 50 GB

In diesem Szenario verwenden Ihre Firewallrichtlinienregeln kostenlose Funktionen, die eine kostenpflichtige Verarbeitung für die IDPS-Prüfung auslösen. In der Richtlinie haben die Essentials-Regeln eine höhere Priorität (eine niedrigere Prioritätsnummer) als die Enterprise-Regeln.

Angenommen, 100 GB Nord-Süd-Traffic gelangen in Ihr Netzwerk und werden wie folgt bewertet:

1. 50 GB des Traffics werden anhand von Cloud NGFW Essential-Regeln ausgewertet. Diese Verarbeitung ist kostenlos.
2. Die verbleibenden 50 GB Traffic werden an die nächste Regel in der Richtlinie weitergeleitet. Die Regel, die Enterprise-Funktionen umfasst, sendet übereinstimmenden Traffic zur IDPS-Prüfung. Diese 50 GB Traffic werden zum Cloud NGFW Enterprise-Tarif abgerechnet.

Abrechnungszusammenfassung:

• Traffic mit Unternehmensabrechnung: 50 GB
• Gesamter abgerechneter Traffic: 50 GB + Gebühren für die Endpunktbereitstellung

In diesem Szenario sind Ihre Firewallrichtlinienregeln mit Funktionen aus allen drei Stufen konfiguriert. In der Richtlinie haben die Essentials-Regeln die höchste Priorität (niedrigere Prioritätsnummer), gefolgt von einer Regel mit niedrigerer Priorität, die Funktionen aus Enterprise und Standard kombiniert.

Angenommen, 100 GB Nord-Süd-Traffic gelangen in Ihr Netzwerk und werden wie folgt bewertet:

1. 50 GB des Traffics werden anhand von Cloud NGFW Essential-Regeln ausgewertet. Diese Verarbeitung ist kostenlos.
2. Die verbleibenden 50 GB Traffic werden an die nächste Regel mit niedrigerer Priorität in der Richtlinie weitergeleitet, die Funktionen der Cloud NGFW Enterprise- und Cloud NGFW Standard-Stufen kombiniert.

Wenn eine einzelne Regel Funktionen aus mehreren Stufen verwendet, wird der Traffic zum Preis der höchsten verwendeten Stufe abgerechnet. Daher werden diese 50 GB Traffic zum Cloud NGFW Enterprise-Tarif abgerechnet.

Abrechnungszusammenfassung:

• Traffic mit Unternehmensabrechnung: 50 GB
• Gesamter abgerechneter Traffic: 50 GB + Gebühren für die Endpunktbereitstellung