En esta página, se describen los precios de Cloud Next Generation Firewall (Cloud NGFW).

Cloud NGFW está disponible en tres niveles, cada uno de los cuales ofrece diferentes niveles de funciones y capacidades:

• Cloud NGFW Essentials: El servicio de firewall fundamental, que se ofrece sin costo. Este nivel te permite crear reglas basadas en atributos de red estándar, incluidos rangos de IP, puertos y protocolos.
• Cloud NGFW Standard: Amplía Essentials con funciones como objetos de nombre de dominio completamente calificados (FQDN) y la inteligencia contra amenazas.
• Cloud NGFW Enterprise: Proporciona capacidades de seguridad avanzadas de capa 7, como el servicio de detección y prevención de intrusiones (IDPS) y el filtrado de URLs.

Se te factura en función de las funciones que usas en tus políticas de firewall.

Cuando usas reglas de Cloud NGFW Essentials en tus políticas de firewall, no incurres en ningún cargo. Te recomendamos que uses las funciones del nivel Essential para el tráfico que no requiere una inspección avanzada.

Cuando una regla de política de firewall que contiene funciones de Cloud NGFW Standard evalúa un flujo de tráfico, se te cobra por el procesamiento de datos.

Los cargos por procesamiento de datos se aplican a los siguientes flujos de tráfico norte-sur:

• Tráfico de Internet a una instancia de máquina virtual (VM) de destino (entrada).
• Tráfico desde una instancia de VM de destino a Internet (salida).
• El procesamiento de datos se mide en gigabytes (GiB).
• Los cargos se facturan al proyecto en el que se realiza la evaluación de la política de firewall. En una red de VPC compartida, los cargos se facturan al proyecto host.

Los cargos por procesamiento de datos no se aplican al tráfico entre recursos dentro de Google Cloud (tráfico este-oeste) ni al tráfico interceptado por balanceadores de cargas basados en proxy.

En la siguiente tabla, se resumen los precios del nivel Cloud Standard.

Cuando una regla de política de firewall que contiene funciones de Cloud NGFW Enterprise evalúa un flujo de tráfico, se incurren cargos adicionales basados en los siguientes componentes:

• Un cargo por hora por cada extremo de firewall implementado.
• Un cargo por gigabyte para el tráfico que se inspecciona.

Cargos por extremos de firewall

Se te cobra por hora por cada extremo de firewall que se implementa en tu organización. Debido a que el extremo de firewall es un recurso a nivel de la organización, el cargo del extremo se factura a tu proyecto de facturación.

Cargos por procesamiento de datos

Se te cobra por todo el tráfico inspeccionado por las funciones de seguridad de capa 7 de Cloud NGFW, lo que incluye el tráfico en ambas direcciones de un flujo determinado.

• Los cargos de procesamiento de datos se facturan al proyecto que posee la política de firewall.
• En una red de VPC compartida, estos cargos se facturan al proyecto host.

Nota: Si un flujo de tráfico se evalúa con reglas que usan funciones de Cloud NGFW Standard y Cloud NGFW Enterprise, solo se te cobrará por el procesamiento de datos de Cloud NGFW Enterprise. Se exime el cargo de Cloud NGFW Standard para ese flujo.

En la siguiente tabla, se resumen los precios del nivel Cloud Enterprise.

Los precios de las políticas de firewall jerárquicas se basan en la cantidad total de atributos de reglas dentro de una política y en la cantidad de instancias de máquinas virtuales (VM) a las que se aplica la política. Un atributo de regla es una configuración específica dentro de una regla, como un rango de direcciones IP, un puerto, un protocolo o una cuenta de servicio.

Además de los cargos por procesamiento de datos específicos del nivel, las políticas de firewall jerárquicas incurren en sus propios cargos. El precio se calcula por VM y por mes, en función del recuento total de atributos en todas las reglas de la política.

Las reglas de firewall de la nube privada virtual (VPC) son gratuitas.

Los precios de Firewall Insights se describen en los precios de Network Intelligence Center.

Los precios de Logging de las reglas de firewall se describen en Precios de telemetría de red.

En las siguientes situaciones, se ilustra cómo se aplican los precios de Cloud NGFW a casos de uso comunes.

Usas reglas de firewall de VPC y quieres actualizar a una estructura de política más moderna sin pagar por funciones adicionales.

Solución: Puedes migrar tus reglas existentes al nivel Essentials de Cloud NGFW. Este nivel incluye todas las funciones de las reglas de firewall de VPC y agrega funciones más potentes, como grupos de direcciones, sin costo.

Costo: Las herramientas de migración y el uso de las funciones del nivel Essentials son completamente gratuitos.

Quieres usar reglas gratuitas basadas en etiquetas para el tráfico interno este-oeste, bloquear el acceso a Internet para un grupo específico de VMs etiquetadas como Internal-VM y aplicar reglas avanzadas al tráfico de salida restante con destino a Internet.

Solución: Puedes lograr esto creando una política de firewall en la que las reglas se procesan en un orden de prioridad específico:

1. Regla núm. 1 (prioridad 1000, la más alta): Crea reglas de firewall de Cloud NGFW Essentials para controlar todo el tráfico este-oeste. También debes etiquetar las VMs que no están orientadas a Internet con la etiqueta Internal-VM.
2. Regla núm. 2 (prioridad 2000): Crea una regla de Essentials basada en etiquetas que deniegue el acceso a Internet para cualquier VM con la etiqueta Internal-VM.
3. Regla núm. 3 (prioridad 3000): Crea una regla que inspeccione todo el tráfico de salida restante con destino a Internet usando las funciones estándar de Cloud NGFW.

Costo: Solo pagas por procesar el tráfico de salida que evalúa tu regla de firewall final (regla núm. 3). Como las reglas gratuitas manejan todo tu tráfico interno y las VMs bloqueadas, limitas tus costos solo al tráfico vinculado a Internet que envías explícitamente para su inspección.

Quieres aplicar reglas avanzadas de IDPS solo al tráfico que va hacia una base de datos de producción y desde ella, mientras que permites que todo el tráfico interno este-oeste pase sin costo.

Solución: Puedes lograr esto creando una política de firewall que superponga una regla específica de alta prioridad sobre tus reglas de tráfico generales:

1. Regla núm. 1 (prioridad 1000, la más alta): Crea reglas de Cloud NGFW Essentials gratuitas para manejar la mayor parte de tu tráfico este-oeste en función de las direcciones IP y las etiquetas.
2. Regla núm. 2 (prioridad 2000): Creas una regla específica de mayor prioridad con Cloud NGFW Enterprise. Esta regla está configurada para que solo coincida con el tráfico que tiene una etiqueta de destino Database y una etiqueta de origen valid-DB-client, y establece su acción para realizar una inspección de IDPS.

Costo: Solo se te cobra la tarifa de Cloud NGFW Enterprise por los flujos de tráfico precisos que envías para la inspección de IDPS. Este enfoque granular basado en etiquetas garantiza que puedas proteger cargas de trabajo críticas sin pagar por inspeccionar cada paquete en tu red interna.

Cloud NGFW te factura por el procesamiento de datos del tráfico que se evalúa con reglas que contienen funciones de los niveles Cloud NGFW Standard o Cloud NGFW Enterprise. Se incurren cargos cuando se evalúa una regla, independientemente de si la regla permite o deniega el tráfico. Por ejemplo, si habilitas una regla de ubicación geográfica estándar, se te facturará todo el tráfico evaluado por esa regla, incluso si el tráfico se origina en un país permitido.

En el nivel Estándar, solo se te cobra por el tráfico norte-sur desde Internet a las instancias de VM (entrada) y el tráfico desde las instancias de VM a Internet (salida). En el nivel Enterprise, se te cobra por el tráfico norte-sur y este-oeste (tráfico entre recursos en Google Cloud).

Las políticas de firewall evalúan el tráfico en función de las reglas según la prioridad de la regla. Se incurre en un cargo tan pronto como una regla con funciones pagadas evalúa un flujo de tráfico determinado. En un flujo de tráfico típico, primero, el tráfico se procesa con reglas que usan funciones de Cloud NGFW Essentials. Para optimizar los costos, puedes asignar a las reglas de Essentials una prioridad más alta que a las reglas de los niveles pagados. Si el tráfico no coincide con una regla de Essentials, se evalúa con reglas que usan funciones de los niveles Cloud NGFW Standard o Cloud NGFW Enterprise.

Cloud NGFW no te cobra dos veces por el mismo flujo de tráfico. Por ejemplo, si un flujo de tráfico se evalúa con reglas Standard y Enterprise, solo se te cobrará por la evaluación de la regla Enterprise.

Para ayudarte a comprender cómo se calcula la facturación, en las siguientes secciones se describen situaciones comunes de políticas de firewall.

En esta situación, tu política usa funciones gratuitas y pagadas de los niveles Cloud NGFW Essentials y Cloud NGFW Standard. En la política, las reglas de Essentials tienen una prioridad más alta (un número de prioridad más bajo) que las reglas de Standard.

Supongamos que 100 GB de tráfico de norte a sur (tráfico desde y hacia Internet) ingresan a tu red y se evalúan de la siguiente manera:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es gratuito.
2. Los 50 GB restantes de tráfico pasan a la siguiente regla de la política, que incluye las funciones estándar de Cloud NGFW. Este tráfico de 50 GB se factura con la tarifa estándar de Cloud NGFW.

Resumen de facturación:

• Tráfico facturado estándar: 50 GB
• Tráfico total facturado: 50 GB

En esta situación, las reglas de tu política de firewall usan funciones gratuitas que activan el procesamiento facturable para la inspección de IDPS. En la política, las reglas de Essentials tienen una prioridad más alta (un número de prioridad más bajo) que las reglas de Enterprise.

Supongamos que 100 GB de tráfico norte-sur ingresan a tu red y se evalúan de la siguiente manera:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es gratuito.
2. Los 50 GB restantes de tráfico pasan a la siguiente regla de la política. La regla, que incluye funciones de Enterprise, envía el tráfico coincidente para la inspección de IDPS. Este tráfico de 50 GB se factura según la tarifa de Cloud NGFW Enterprise.

Resumen de facturación:

• Tráfico facturado a la empresa: 50 GB
• Tráfico total facturado: 50 GB + cargos por la implementación del extremo

En esta situación, las reglas de tu política de firewall se configuran con funciones de los tres niveles. En la política, las reglas de Essentials tienen la prioridad más alta (un número de prioridad más bajo), seguidas de una regla con una prioridad más baja que combina funciones de Enterprise y Standard.

Supongamos que 100 GB de tráfico norte-sur ingresan a tu red y se evalúan de la siguiente manera:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es gratuito.
2. Los 50 GB restantes de tráfico pasan a la siguiente regla de menor prioridad en la política que combina funciones de los niveles Cloud NGFW Enterprise y Cloud NGFW Standard.

Cuando una sola regla usa funciones de varios niveles, el tráfico se factura a la tarifa del nivel más alto utilizado. Por lo tanto, este tráfico de 50 GB se factura a la tarifa de Cloud NGFW Enterprise.

Resumen de facturación:

• Tráfico facturado a la empresa: 50 GB
• Tráfico total facturado: 50 GB + cargos por la implementación del extremo