En esta página se describen los precios de Cloud Next Generation Firewall (Cloud NGFW).

Cloud NGFW está disponible en tres niveles, cada uno de los cuales ofrece diferentes niveles de funciones y capacidades:

• Cloud NGFW Essentials: el servicio de cortafuegos básico, que se ofrece sin coste económico. Este nivel te permite crear reglas basadas en atributos de red estándar, como intervalos de IP, puertos y protocolos.
• Cloud NGFW Standard: amplía la edición Essentials con funciones como objetos de nombres de dominio completos (FQDN) e inteligencia frente a amenazas.
• Cloud NGFW Enterprise: proporciona funciones de seguridad avanzadas de capa 7, como el servicio de detección y prevención de intrusos (IDPS) y el filtrado de URLs.

Se te factura en función de las funciones que uses en tus políticas de firewall.

Cuando usas reglas de Cloud NGFW Essentials en tus políticas de cortafuegos, no se te cobra nada. Te recomendamos que uses las funciones del nivel Essential para el tráfico que no requiera una inspección avanzada.

Cuando una regla de política de firewall que contiene funciones estándar de Cloud NGFW evalúa un flujo de tráfico, se te cobra por el procesamiento de datos.

Se aplican cargos por procesamiento de datos a los siguientes flujos de tráfico norte-sur:

• Tráfico de Internet a una instancia de máquina virtual de destino (entrada).
• Tráfico de una instancia de VM de destino a Internet (salida).
• El procesamiento de datos se mide en gigabytes (GiB).
• Los cargos se facturan al proyecto en el que se evalúa la política de firewall. En el caso de una red de VPC compartida, los cargos se facturan al proyecto host.

Los cargos por procesamiento de datos no se aplican al tráfico entre recursos de Google Cloud (tráfico este-oeste) ni al tráfico interceptado por balanceadores de carga basados en proxy.

En la siguiente tabla se resumen los precios del nivel Cloud Standard.

Cuando una regla de política de firewall que contiene funciones de Cloud NGFW Enterprise evalúa un flujo de tráfico, se te aplican cargos adicionales en función de los siguientes componentes:

• Se cobra por hora por cada endpoint de firewall desplegado.
• Un cargo por gigabyte del tráfico inspeccionado.

Cargos por endpoint de firewall

Se te cobra por horas por cada endpoint de firewall que se despliegue en tu organización. Como el endpoint de firewall es un recurso a nivel de organización, el cargo por el endpoint se factura a tu proyecto de facturación.

Cargos por procesamiento de datos

Se te cobra todo el tráfico inspeccionado por las funciones de seguridad de capa 7 de Cloud NGFW, lo que incluye el tráfico en ambas direcciones de un flujo determinado.

• Los cargos por tratamiento de datos se facturan al proyecto al que pertenece la política de firewall.
• En el caso de una red de VPC compartida, estos cargos se facturan al proyecto host.

Nota: Si un flujo de tráfico se evalúa mediante reglas que usan funciones tanto de Cloud NGFW Standard como de Cloud NGFW Enterprise, solo se te cobrará el procesamiento de datos de Cloud NGFW Enterprise. No se cobra el flujo de Cloud NGFW Standard.

En la siguiente tabla se resumen los precios del nivel Cloud Enterprise.

El precio de las políticas de cortafuegos jerárquicas se basa en el número total de atributos de regla que contiene una política y en el número de instancias de máquina virtual (VM) a las que se aplica. Un atributo de regla es una configuración específica dentro de una regla, como un intervalo de direcciones IP, un puerto, un protocolo o una cuenta de servicio.

Además de los cargos por tratamiento de datos específicos de cada nivel, las políticas de cortafuegos jerárquicas conllevan sus propios cargos. El precio se calcula por máquina virtual al mes, en función del recuento total de atributos de todas las reglas de la política.

Las reglas de cortafuegos de las VPC son sin coste económico.

Consulta los precios de Firewall Insights en la sección de precios de Network Intelligence Center.

Consulta los precios del almacenamiento de registros de reglas de cortafuegos en la sección de precios de la telemetría de red.

En los siguientes casos prácticos se ilustra cómo se aplican los precios de Cloud NGFW a casos prácticos comunes.

Usas reglas de cortafuegos de VPC y quieres pasarte a una estructura de políticas más moderna sin pagar por funciones adicionales.

Solución: puedes migrar tus reglas actuales al nivel Essentials de Cloud NGFW. Este nivel incluye todas las funciones de las reglas de cortafuegos de VPC y añade otras más potentes, como los grupos de direcciones, sin coste económico.

Coste: las herramientas de migración y el uso de las funciones del nivel Essentials no tienen ningún coste.

Quieres usar reglas sin coste económico basadas en etiquetas para el tráfico interno este-oeste, bloquear el acceso a Internet para un grupo específico de VMs etiquetadas como Internal-VM y aplicar reglas avanzadas al resto del tráfico de salida con destino a Internet.

Solución: puedes conseguirlo creando una política de cortafuegos en la que las reglas se procesen en un orden de prioridad específico:

1. Regla n.º 1 (prioridad 1000, la más alta): crea reglas de cortafuegos de Cloud NGFW Essentials para gestionar todo el tráfico este-oeste. También debes etiquetar las VMs que no estén orientadas a Internet con la etiqueta Internal-VM.
2. Regla n.º 2 (prioridad 2000): crea una regla de Essentials basada en etiquetas que deniegue el acceso a Internet a cualquier VM con la etiqueta Internal-VM.
3. Regla n.º 3 (prioridad 3000): crea una regla que inspeccione todo el tráfico de salida restante con destino a Internet mediante las funciones estándar de Cloud NGFW.

Coste: solo pagas por procesar el tráfico de salida que evalúa tu regla de firewall final (la regla n.º 3). Como las reglas sin coste económico gestionan todo el tráfico interno y las máquinas virtuales bloqueadas, solo pagas por el tráfico con destino a Internet que envías explícitamente para que se inspeccione.

Quieres aplicar reglas avanzadas de IDPS solo al tráfico que va y viene de una base de datos de producción, pero quieres permitir que todo el tráfico interno este-oeste pase sin coste.

Solución: puedes conseguirlo creando una política de cortafuegos que superponga una regla específica de alta prioridad a tus reglas de tráfico generales:

1. Regla n.º 1 (prioridad 1000, la más alta): crea una regla sin coste económico de Cloud NGFW Essentials para gestionar la mayor parte de tu tráfico este-oeste en función de las direcciones IP y las etiquetas.
2. Regla n.º 2 (prioridad 2000): creas una regla específica de mayor prioridad con Cloud NGFW Enterprise. Esta regla está configurada para que solo coincida con el tráfico que tenga una etiqueta de destino de base de datos y una etiqueta de origen de cliente de base de datos válida, y para que su acción sea realizar una inspección de IDPS.

Coste: solo se te cobra la tarifa de Cloud NGFW Enterprise por los flujos de tráfico exactos que envías para la inspección de IDPS. Este enfoque granular basado en etiquetas te permite proteger cargas de trabajo críticas sin tener que pagar por inspeccionar cada paquete de tu red interna.

Cloud NGFW te factura el procesamiento de datos del tráfico que evalúan las reglas que contienen funciones de los niveles Cloud NGFW Standard o Cloud NGFW Enterprise. Se te cobrará cada vez que se evalúe una regla, independientemente de si permite o deniega el tráfico. Por ejemplo, si habilitas una regla de geolocalización estándar, se te facturará todo el tráfico que evalúe esa regla, aunque proceda de un país permitido.

En el nivel Estándar, solo se te cobra el tráfico norte-sur desde Internet a las instancias de máquina virtual (entrada) y el tráfico desde las instancias de máquina virtual a Internet (salida). En el nivel Enterprise, se te cobra tanto el tráfico norte-sur como el este-oeste (tráfico entre recursos de Google Cloud).

Las políticas de cortafuegos evalúan el tráfico en función de las reglas según su prioridad. Se incurre en un cargo en cuanto un flujo de tráfico determinado se evalúa mediante una regla con funciones de pago. En un flujo de tráfico típico, primero se procesa el tráfico mediante reglas que usan funciones de Cloud NGFW Essentials. Para optimizar los costes, puede asignar una prioridad más alta a las reglas de Essentials que a las de los niveles de pago. Si el tráfico no coincide con ninguna regla de Essentials, se evalúa con reglas que usan funciones de los niveles Standard o Enterprise de Cloud NGFW.

Cloud NGFW no te cobra dos veces por el mismo flujo de tráfico. Por ejemplo, si un flujo de tráfico se evalúa con reglas de Standard y Enterprise, solo se te cobra la evaluación de las reglas de Enterprise.

Para ayudarte a entender cómo se calcula la facturación, en las siguientes secciones se explican algunos casos prácticos de políticas de firewall.

En este caso, tu política usa funciones tanto sin coste económico como de pago de los niveles Cloud NGFW Essentials y Cloud NGFW Standard. En la política, las reglas de Essentials tienen una prioridad más alta (un número de prioridad más bajo) que las reglas de Standard.

Supongamos que entran 100 GB de tráfico norte-sur (tráfico desde y hacia Internet) en tu red y se evalúan de la siguiente forma:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es sin coste económico.
2. Los 50 GB restantes de tráfico pasan a la siguiente regla de la política, que incluye funciones estándar de Cloud NGFW. Este tráfico de 50 GB se factura según la tarifa estándar de Cloud NGFW.

Resumen de facturación:

• Tráfico facturado según tarifa estándar: 50 GB
• Tráfico total facturado: 50 GB

En este caso, las reglas de tu política de firewall usan funciones sin coste económico que activan el procesamiento facturable para la inspección de IDPS. En la política, las reglas de Essentials tienen una prioridad más alta (un número de prioridad más bajo) que las reglas de Enterprise.

Supongamos que entran 100 GB de tráfico norte-sur en tu red y se evalúan de la siguiente forma:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es sin coste económico.
2. Los 50 GB de tráfico restantes pasan a la siguiente regla de la política. La regla, que incluye funciones de Enterprise, envía el tráfico coincidente para la inspección de IDPS. Estos 50 GB de tráfico se facturan según la tarifa de Cloud NGFW Enterprise.

Resumen de facturación:

• Tráfico facturado a la empresa: 50 GB
• Tráfico total facturado: 50 GB + cargos por la implementación del endpoint

En este caso, las reglas de tu política de cortafuegos están configuradas con funciones de los tres niveles. En la política, las reglas de Essentials tienen la prioridad más alta (un número de prioridad más bajo), seguidas de una regla con una prioridad más baja que combina funciones de Enterprise y Standard.

Supongamos que entran 100 GB de tráfico norte-sur en tu red y se evalúan de la siguiente forma:

1. 50 GB del tráfico se evalúan con las reglas de Cloud NGFW Essential. Este procesamiento es sin coste económico.
2. Los 50 GB de tráfico restantes pasan a la siguiente regla de menor prioridad de la política, que combina funciones de los niveles Enterprise y Standard de Cloud NGFW.

Cuando una sola regla usa funciones de varios niveles, el tráfico se factura al precio del nivel más alto que se haya usado. Por tanto, este tráfico de 50 GB se factura según la tarifa de Cloud NGFW Enterprise.

Resumen de facturación:

• Tráfico facturado a la empresa: 50 GB
• Tráfico total facturado: 50 GB + cargos por la implementación del endpoint