In questa pagina vengono descritti i prezzi di Cloud Next Generation Firewall (Cloud NGFW).

Cloud NGFW è disponibile in tre livelli, ognuno dei quali offre diversi livelli di funzionalità e capacità:

• Cloud NGFW Essentials: il servizio firewall di base, offerto senza costi. Questo livello ti consente di creare regole basate su attributi di rete standard, tra cui intervalli IP, porte e protocolli.
• Cloud NGFW Standard: estende Essentials con funzionalità come gli oggetti basati sul nome di dominio completo (FQDN) e la threat intelligence.
• Cloud NGFW Enterprise: fornisce funzionalità di sicurezza avanzate di livello 7, come il servizio di rilevamento e prevenzione delle intrusioni (IDPS) e il filtro URL.

La fatturazione si basa sulle funzionalità che utilizzi nelle tue policy firewall.

Quando utilizzi le regole Cloud NGFW Essentials nelle tue policy firewall, non ti vengono addebitati costi. Ti consigliamo di utilizzare le funzionalità del livello Essential per il traffico che non richiede un'ispezione avanzata.

Quando un flusso di traffico viene valutato da una regola di policy firewall contenente funzionalità Cloud NGFW Standard, ti viene addebitato il costo dell'elaborazione dei dati.

Gli addebiti per l'elaborazione dei dati si applicano ai seguenti flussi di traffico nord-sud:

• Traffico da internet a un'istanza di macchina virtuale (VM) di destinazione (in entrata).
• Traffico da un'istanza VM di destinazione a internet (in uscita).
• L'elaborazione dei dati viene misurata in gigabyte (GiB).
• Gli addebiti vengono fatturati al progetto in cui avviene la valutazione della policy firewall. Per una rete VPC condivisa, gli addebiti vengono fatturati al progetto host.

I costi di elaborazione dei dati non si applicano al traffico tra risorse all'interno di Google Cloud (traffico est-ovest) o al traffico intercettato dai bilanciatori del carico basati su proxy.

La tabella seguente riepiloga i prezzi per il livello Cloud Standard.

Quando un flusso di traffico viene valutato da una regola di policy firewall contenente funzionalità Cloud NGFW Enterprise, ti vengono addebitati costi aggiuntivi in base ai seguenti componenti:

• Un costo orario per ogni endpoint firewall di cui è stato eseguito il deployment.
• Un costo per gigabyte per il traffico ispezionato.

Costi degli endpoint firewall

Ti viene addebitato un costo orario per ogni endpoint firewall di cui viene eseguito il deployment nella tua organizzazione. Poiché l'endpoint del firewall è una risorsa a livello di organizzazione, l'addebito dell'endpoint viene fatturato al tuo progetto di fatturazione.

Addebiti per il trattamento dei dati

Ti viene addebitato tutto il traffico ispezionato dalle funzionalità di sicurezza di livello 7 di Cloud NGFW, che include il traffico in entrambe le direzioni di un determinato flusso.

• I costi di elaborazione dei dati vengono addebitati al progetto proprietario della policy firewall.
• Per una rete VPC condivisa, questi addebiti vengono fatturati al progetto host.

Nota: se un flusso di traffico viene valutato da regole che utilizzano sia le funzionalità Cloud NGFW Standard che Cloud NGFW Enterprise, ti verrà addebitato solo l'elaborazione dei dati Cloud NGFW Enterprise. L'addebito di Cloud NGFW Standard per questo flusso viene annullato.

La tabella seguente riepiloga i prezzi per il livello Cloud Enterprise.

Il prezzo dei criteri firewall gerarchici si basa sul numero totale di attributi delle regole all'interno di un criterio e sul numero di istanze di macchine virtuali (VM) a cui si applica il criterio. Un attributo di regola è una configurazione specifica all'interno di una regola, come un intervallo di indirizzi IP, una porta, un protocollo o un account di servizio.

Oltre agli eventuali costi di elaborazione dei dati specifici del livello, i criteri firewall gerarchici comportano costi propri. Il prezzo viene calcolato per VM, al mese, in base al numero totale di attributi in tutte le regole del criterio.

Le regole firewall VPC (Virtual Private Cloud) sono senza costi.

I prezzi di Firewall Insights sono descritti nella sezione Prezzi di Network Intelligence Center.

I prezzi del logging delle regole firewall sono descritti nella sezione relativa ai prezzi di Network Telemetry.

I seguenti scenari illustrano come si applicano i prezzi di Cloud NGFW a casi d'uso comuni.

Stai utilizzando le regole firewall VPC e vuoi eseguire l'upgrade a una struttura di policy più moderna senza pagare per funzionalità aggiuntive.

Soluzione: puoi migrare le regole esistenti al livello Cloud NGFW Essentials. Questo livello include tutte le funzionalità delle regole firewall VPC e aggiunge senza costi funzionalità più potenti, come i gruppi di indirizzi.

Costo: gli strumenti di migrazione e l'utilizzo delle funzionalità del livello Essentials sono completamente senza costi.

Vuoi utilizzare regole senza costi basate su tag per il traffico interno est-ovest, bloccare l'accesso a internet per un gruppo specifico di VM con tag Internal-VM e applicare regole avanzate al traffico in uscita rimanente vincolato a internet.

Soluzione: puoi ottenere questo risultato creando una policy firewall in cui le regole vengono elaborate in un ordine di priorità specifico:

1. Regola n. 1 (priorità 1000, la più alta): crea regole firewall Cloud NGFW Essentials per gestire tutto il traffico est-ovest. Dovresti anche taggare le VM non rivolte a internet con il tag Internal-VM.
2. Regola n. 2 (priorità 2000): crea una regola Essentials basata su tag che nega l'accesso a internet per qualsiasi VM con il tag Internal-VM.
3. Regola n. 3 (priorità 3000): crea una regola che ispezioni tutto il traffico in uscita rimanente legato a internet utilizzando le funzionalità Cloud NGFW Standard.

Costo: paghi solo per elaborare il traffico in uscita valutato dalla regola firewall finale (regola n. 3). Poiché le regole senza costi gestiscono tutto il traffico interno e le VM bloccate, limiti i costi solo al traffico diretto a internet che invii esplicitamente per l'ispezione.

Vuoi applicare regole IDPS avanzate solo al traffico in entrata e in uscita da un database di produzione, consentendo al contempo il passaggio di tutto il resto del traffico interno est-ovest senza costi.

Soluzione: puoi ottenere questo risultato creando una policy firewall che sovrapponga una regola specifica a priorità elevata alle regole di traffico generali:

1. Regola n. 1 (priorità 1000, la più alta): crea regole Cloud NGFW Essentials senza costi per gestire la maggior parte del traffico est-ovest in base a indirizzi IP e tag.
2. Regola n. 2 (priorità 2000): crei una regola specifica con priorità più alta utilizzando Cloud NGFW Enterprise. Questa regola è configurata in modo da corrispondere solo al traffico con un tag di destinazione Database e un tag di origine valid-DB-client, impostando la sua azione per eseguire l'ispezione IDPS.

Costo: ti viene addebitata solo la tariffa Cloud NGFW Enterprise per i flussi di traffico precisi che invii per l'ispezione IDPS. Questo approccio granulare basato su tag ti consente di proteggere i carichi di lavoro critici senza dover pagare per ispezionare ogni pacchetto sulla tua rete interna.

Cloud NGFW ti addebita l'elaborazione dei dati del traffico valutato da regole contenenti funzionalità dei livelli Cloud NGFW Standard o Cloud NGFW Enterprise. Ti vengono addebitati costi quando una regola viene valutata, indipendentemente dal fatto che la regola consenta o neghi il traffico. Ad esempio, se abiliti una regola di geolocalizzazione standard, ti viene addebitato tutto il traffico valutato da quella regola, anche se il traffico proviene da un paese consentito.

Per il livello Standard, ti vengono addebitati solo i costi per il traffico nord-sud da internet alle istanze VM (in entrata) e il traffico dalle istanze VM a internet (in uscita). Per il livello Enterprise, ti vengono addebitati sia il traffico nord-sud che quello est-ovest (tra risorse all'interno di Google Cloud).

I criteri firewall valutano il traffico in base alle regole in base alla priorità delle regole. Viene addebitato un costo non appena un determinato flusso di traffico viene valutato da una regola con funzionalità a pagamento. In un flusso di traffico tipico, il traffico viene elaborato per primo dalle regole che utilizzano le funzionalità di Cloud NGFW Essentials. Per ottimizzare i costi, puoi assegnare alle regole Essentials una priorità più alta rispetto alle regole nei livelli a pagamento. Se il traffico non corrisponde a una regola Essentials, viene valutato dalle regole che utilizzano funzionalità dei livelli Cloud NGFW Standard o Cloud NGFW Enterprise.

Cloud NGFW non addebita due volte lo stesso flusso di traffico. Ad esempio, se un flusso di traffico viene valutato sia dalle regole Standard che da quelle Enterprise, ti verrà addebitata solo la valutazione delle regole Enterprise.

Per aiutarti a comprendere come viene calcolata la fatturazione, le sezioni seguenti ti illustrano alcuni scenari comuni relativi alle norme firewall.

In questo scenario, la tua policy utilizza funzionalità sia senza costi che a pagamento dei livelli Cloud NGFW Essentials e Cloud NGFW Standard. Nel criterio, le regole Essentials hanno una priorità più alta (un numero di priorità inferiore) rispetto alle regole Standard.

Supponiamo che 100 GB di traffico nord-sud (traffico da e verso internet) entrino nella tua rete e vengano valutati come segue:

1. 50 GB del traffico vengono valutati in base alle regole Cloud NGFW Essential. Questa elaborazione è senza costi.
2. I restanti 50 GB di traffico passano alla regola successiva nella policy, che include le funzionalità Cloud NGFW Standard. Questo traffico di 50 GB viene fatturato alla tariffa standard di Cloud NGFW.

Riepilogo della fatturazione:

• Traffico fatturato in modo standard: 50 GB
• Traffico totale fatturato: 50 GB

In questo scenario, le regole della policy firewall utilizzano funzionalità senza costi che attivano l'elaborazione a pagamento per l'ispezione IDPS. Nel criterio, le regole Essentials hanno una priorità più alta (un numero di priorità inferiore) rispetto alle regole Enterprise.

Supponiamo che 100 GB di traffico nord-sud entrino nella tua rete e vengano valutati come segue:

1. 50 GB del traffico vengono valutati in base alle regole Cloud NGFW Essential. Questa elaborazione è senza costi.
2. I restanti 50 GB di traffico passano alla regola successiva nella policy. La regola, che include funzionalità Enterprise, invia il traffico corrispondente per l'ispezione IDPS. Questo traffico di 50 GB viene fatturato alla tariffa di Cloud NGFW Enterprise.

Riepilogo della fatturazione:

• Traffico fatturato all'azienda: 50 GB
• Traffico totale fatturato: 50 GB + addebiti per il deployment dell'endpoint

In questo scenario, le regole dei criteri firewall sono configurate con funzionalità di tutti e tre i livelli. Nel criterio, le regole Essentials hanno la priorità più alta (un numero di priorità inferiore), seguite da una regola con una priorità inferiore che combina funzionalità di Enterprise e Standard.

Supponiamo che 100 GB di traffico nord-sud entrino nella tua rete e vengano valutati come segue:

1. 50 GB del traffico vengono valutati in base alle regole Cloud NGFW Essential. Questa elaborazione è senza costi.
2. I restanti 50 GB di traffico passano alla regola successiva a priorità inferiore nella policy che combina funzionalità dei livelli Cloud NGFW Enterprise e Cloud NGFW Standard.

Quando una singola regola utilizza funzionalità di più livelli, il traffico viene fatturato alla tariffa del livello più alto utilizzato. Pertanto, questo traffico di 50 GB viene fatturato alla tariffa Cloud NGFW Enterprise.

Riepilogo della fatturazione:

• Traffico fatturato all'azienda: 50 GB
• Traffico totale fatturato: 50 GB + addebiti per il deployment dell'endpoint