本頁說明 Cloud Next Generation Firewall (Cloud NGFW) 的計價方式。

Cloud NGFW 提供三種級別，各級別的功能和能力不盡相同：

• Cloud NGFW Essentials：免付費的基本防火牆服務。這個層級可讓您根據標準網路屬性 (包括 IP 範圍、通訊埠和通訊協定) 建立規則。
• Cloud NGFW Standard： 在 Essentials 的基礎上新增完整網域名稱 (FQDN) 物件和威脅情報等功能。
• Cloud NGFW Enterprise： 提供進階第 7 層安全性功能，例如入侵偵測與防範服務 (IDPS) 和網址篩選。

系統會根據您在防火牆政策中使用的功能收費。

在防火牆政策中使用 Cloud NGFW Essentials 規則時，不會產生任何費用。建議您將不需要進階檢查的流量，改用 Essential 級別的功能處理。

如果防火牆政策規則包含 Cloud NGFW Standard 功能，且評估流量時符合該規則，您就需要支付資料處理費用。

下列南北向流量會產生資料處理費用：

• 從網際網路傳送至目標虛擬機器 (VM) 執行個體的流量 (傳入)。
• 從目標 VM 執行個體傳送至網際網路的流量 (輸出)。
• 資料處理量的計量單位為 GiB。
• 費用會計入執行防火牆政策評估的專案。共用虛擬私有雲網路的費用會計入主專案。

Google Cloud 資源之間的流量 (東西向流量) 或由 Proxy 型負載平衡器攔截的流量，不會產生資料處理費用。

下表提供 Cloud Standard 級的定價資訊摘要。

如果防火牆政策規則包含 Cloud NGFW Enterprise 功能，且評估了流量流，則會根據下列元件產生額外費用：

• 每個部署的防火牆端點按小時計費。
• 檢查流量的每 GB 費用。

防火牆端點費用

系統會按小時向您收取費用，計算單位為貴機構部署的每個防火牆端點。由於防火牆端點是機構層級的資源，因此端點費用會計入您的帳單專案。

資料處理費用

Cloud NGFW 第 7 層安全性功能會檢查所有流量，包括特定流量的雙向流量，因此您需要為這些流量付費。

• 資料處理費用會計入擁有防火牆政策的專案。
• 如果是共用虛擬私有雲網路，這些費用會計入主專案。

注意：如果流量流經的規則同時使用 Cloud NGFW Standard 和 Cloud NGFW Enterprise 功能，您只需支付 Cloud NGFW Enterprise 資料處理費用。該流量的 Cloud NGFW Standard 費用將免除。

下表提供 Cloud Enterprise 方案的定價資訊摘要。

階層式防火牆政策的計費依據為政策中所有規則的屬性總數，以及政策適用的虛擬機器 (VM) 執行個體數量。規則屬性是規則中的特定設定，例如 IP 位址範圍、通訊埠、通訊協定或服務帳戶。

除了各層級的資料處理費用外，階層式防火牆政策也會產生額外費用。價格是按每月每部 VM 計算，依據為政策中所有規則的屬性總數。

虛擬私有雲 (VPC) 防火牆規則免費。

如要瞭解 Firewall Insights 定價，請參閱 Network Intelligence Center 定價一文。

如要瞭解防火牆規則記錄定價，請參閱網路遙測定價一文。

以下情境說明 Cloud NGFW 的計費方式如何應用於常見用途。

您目前使用虛擬私有雲防火牆規則，想升級至更現代化的政策結構，但不想為額外功能付費。

解決方案：您可以遷移現有規則至 Cloud NGFW Essentials 服務等級。這個級別包含 VPC 防火牆規則的所有功能，並免費提供更強大的功能，例如位址群組。

費用：遷移工具和 Essentials 方案功能完全免費。

您想對內部東西向流量使用免費的標記式規則、封鎖標記為 Internal-VM 的特定 VM 群組的網際網路存取權，並對其餘網際網路輸出流量套用進階規則。

解決方案： 您可以建立防火牆政策，讓規則依特定優先順序處理：

1. 規則 1 (優先順序 1000，最高優先順序)：建立 Cloud NGFW Essentials 防火牆規則，處理所有東西向流量。您也應使用 Internal-VM 標記，為未連上網際網路的 VM 加上標記。
2. 規則 2 (優先順序 2000)：建立以標記為準的 Essentials 規則，拒絕任何帶有 Internal-VM 標記的 VM 存取網際網路。
3. 規則 3 (優先順序 3000)：建立規則，使用 Cloud NGFW Standard 功能檢查所有剩餘的網際網路輸出流量。

費用： 您只需支付處理輸出流量的費用，而這些流量會由最終防火牆規則 (規則編號 3) 評估。由於免費規則會處理所有內部流量和遭封鎖的 VM，因此您只需支付明確傳送以供檢查的網際網路流量費用。

您想將進階 IDPS 規則套用至實際工作環境資料庫的來往流量，同時允許所有其他內部東西向流量通過，且不收取費用。

解決方案：您可以建立防火牆政策，在一般流量規則之上疊加一項優先順序較高的特定規則，藉此達成目標：

1. 規則 1 (優先順序 1000，最高優先順序)：建立免費的 Cloud NGFW Essentials 規則，根據 IP 位址和標記處理大部分的東向/西向流量。
2. 規則 2 (優先順序 2000)：您使用 Cloud NGFW Enterprise 建立優先順序較高的特定規則。這項規則設定為只比對具有 Database 目標標記和 valid-DB-client 來源標記的流量，並將動作設為執行 IDPS 檢查。

費用：您只須支付 Cloud NGFW Enterprise 費用，用於 IDPS 檢查的流量會精確計算。這種細微的標記式做法可確保您保護重要工作負載，不必為檢查內部網路上的每個封包付費。

Cloud NGFW 會針對規則評估的流量資料處理量計費，這些規則包含 Cloud NGFW Standard 或 Cloud NGFW Enterprise 級別的功能。無論規則允許或拒絕流量，只要經過評估，就會產生費用。舉例來說，如果您啟用標準地理位置規則，系統會針對該規則評估的所有流量收費，即使流量來自允許的國家/地區也一樣。

標準級只會針對網際網路到 VM 執行個體的南北向流量 (輸入)，以及 VM 執行個體到網際網路的流量 (輸出) 收費。Enterprise 方案會針對南北向和東西向流量 (Google Cloud 內資源之間的流量) 收費。

防火牆政策會根據規則優先順序，評估流量是否符合規則。只要規則評估特定流量時使用到付費功能，就會產生費用。在一般流量流程中，流量會先由使用 Cloud NGFW Essentials 功能的規則處理。如要最佳化成本，您可以將 Essentials 規則的優先順序設為高於付費方案的規則。如果流量不符合 Essentials 規則，系統會接著評估使用 Cloud NGFW Standard 或 Cloud NGFW Enterprise 級別功能的規則。

Cloud NGFW 不會針對相同流量收取兩次費用。舉例來說，如果標準版和企業版規則都評估了某個流量，您只需支付企業版規則評估費用。

為協助您瞭解帳單計算方式，以下各節將說明常見的防火牆政策情境。

在這個情境中，您的政策同時使用 Cloud NGFW Essentials 和 Cloud NGFW Standard 級別的免費和付費功能。在政策中，Essentials 規則的優先順序 (優先順序編號) 高於 Standard 規則。

假設有 100 GB 的南北向流量 (進出網際網路的流量) 進入您的網路，評估方式如下：

1. 50 GB 的流量會根據 Cloud NGFW Essential 規則進行評估。這項處理作業完全免費。
2. 剩餘的 50 GB 流量會套用政策中的下一條規則，該規則包含 Cloud NGFW Standard 功能。這 50 GB 流量會按 Cloud NGFW Standard 費率計費。

帳單摘要：

• 標準計費流量：50 GB
• 計費總流量：50 GB

在這個情境中，您的防火牆政策規則使用免費功能，但會觸發 IDPS 檢查的計費處理作業。在政策中，Essentials 規則的優先順序 (優先順序編號) 高於 Enterprise 規則。

假設有 100 GB 的南北向流量進入您的網路，評估方式如下：

1. 50 GB 的流量會根據 Cloud NGFW Essential 規則進行評估。這項處理作業完全免費。
2. 剩餘的 50 GB 流量會套用政策中的下一條規則。這項規則包含 Enterprise 功能，會將相符流量傳送至 IDPS 進行檢查。這 50 GB 流量會依 Cloud NGFW Enterprise 費率計費。

帳單摘要：

• 企業計費流量：50 GB
• 計費流量總計：50 GB + 端點部署費用

在這個情境中，您的防火牆政策規則已設定所有三個層級的功能。在該政策中，Essentials 規則的優先順序最高 (優先順序編號較小)，其次是結合 Enterprise 和 Standard 功能的規則，優先順序較低。

假設有 100 GB 的南北向流量進入您的網路，評估方式如下：

1. 50 GB 的流量會根據 Cloud NGFW Essential 規則進行評估。這項處理作業完全免費。
2. 剩餘的 50 GB 流量會繼續套用政策中優先順序較低的規則，該規則結合了 Cloud NGFW Enterprise 和 Cloud NGFW Standard 階層的功能。

如果單一規則使用多個層級的特徵，則流量會以所用最高層級的費率計費。因此，這 50 GB 流量會以 Cloud NGFW Enterprise 費率計費。

帳單摘要：

• 企業計費流量：50 GB
• 計費流量總計：50 GB + 端點部署費用