Nesta página, descrevemos os preços do Cloud Next Generation Firewall (Cloud NGFW).

O Cloud NGFW está disponível em três níveis, cada um oferecendo diferentes níveis de recursos e capacidades:

• Cloud NGFW Essentials:o serviço básico de firewall, oferecido sem custo financeiro. Com esse nível, é possível criar regras com base em atributos de rede padrão, incluindo intervalos de IP, portas e protocolos.
• Cloud NGFW Standard : estende o Essentials com recursos como objetos de nome de domínio totalmente qualificado (FQDN) e inteligência contra ameaças.
• Cloud NGFW Enterprise : oferece recursos avançados de segurança da camada 7, como o serviço de detecção e prevenção de intrusões (IDPS) e a filtragem de URL.

A cobrança é feita com base nos recursos que você usa nas políticas de firewall.

Quando você usa regras do Cloud NGFW Essentials nas suas políticas de firewall, não há cobranças. Recomendamos que você use os recursos da camada Essencial para tráfego que não exige inspeção avançada.

Quando um fluxo de tráfego é avaliado por uma regra de política de firewall que contém recursos do Cloud NGFW Standard, você recebe uma cobrança pelo processamento de dados.

As cobranças de processamento de dados se aplicam aos seguintes fluxos de tráfego norte-sul:

• Tráfego da Internet para uma instância de máquina virtual (VM) de destino (entrada).
• Tráfego de uma instância de VM de destino para a Internet (saída).
• O processamento de dados é medido em gigabytes (GiB).
• As cobranças são feitas no projeto em que a avaliação da política de firewall ocorre. No caso de uma rede VPC compartilhada, os encargos são cobrados do projeto host.

As cobranças de processamento de dados não se aplicam ao tráfego entre recursos no Google Cloud (tráfego leste-oeste) ou ao tráfego interceptado por balanceadores de carga baseados em proxy.

A tabela a seguir resume os preços do nível Standard do Cloud.

Quando um fluxo de tráfego é avaliado por uma regra de política de firewall que contém recursos do Cloud NGFW Enterprise, você gera cobranças adicionais com base nos seguintes componentes:

• Uma cobrança por hora para cada endpoint de firewall implantado.
• Uma cobrança por gigabyte para o tráfego inspecionado.

Cobranças de endpoint de firewall

A cobrança é feita por hora para cada endpoint de firewall implantado na sua organização. Como o endpoint de firewall é um recurso no nível da organização, a cobrança do endpoint é feita no seu projeto de faturamento.

Cobranças de processamento de dados

A cobrança é feita por todo o tráfego inspecionado pelos recursos de segurança da camada 7 do Cloud NGFW, incluindo o tráfego em ambas as direções de um determinado fluxo.

• As cobranças de processamento de dados são faturadas no projeto que inclui a política de firewall.
• No caso de uma rede VPC compartilhada, esses encargos são cobrados do projeto host.

Observação:se um fluxo de tráfego for avaliado por regras que usam recursos do Cloud NGFW Standard e do Cloud NGFW Enterprise, você só será cobrado pelo processamento de dados do Cloud NGFW Enterprise. A cobrança do Cloud NGFW Standard para esse fluxo é dispensada.

A tabela a seguir resume os preços do nível Cloud Enterprise.

O preço das políticas hierárquicas de firewall é baseado no número total de atributos de regra em uma política e no número de instâncias de máquina virtual (VM) a que a política se aplica. Um atributo de regra é uma configuração específica dentro de uma regra, como um intervalo de endereços IP, porta, protocolo ou conta de serviço.

Além das cobranças de processamento de dados específicas de cada nível, as políticas de firewall hierárquicas têm as próprias cobranças. O preço é calculado por VM, por mês, com base na contagem total de atributos em todas as regras da política.

As regras de firewall da nuvem privada virtual (VPC) são sem custo financeiro.

Os preços do Firewall Insights estão descritos em Preços do Network Intelligence Center.

Os preços da geração de registros de regras de firewall estão descritos em Preços de telemetria de rede.

Os cenários a seguir ilustram como os preços do Cloud NGFW se aplicam a casos de uso comuns.

Você está usando regras de firewall da VPC e quer fazer upgrade para uma estrutura de políticas mais moderna sem pagar por recursos adicionais.

Solução: você pode migrar suas regras atuais para o nível Essentials do Cloud NGFW. Esse nível inclui todas as funcionalidades das regras de firewall da VPC e adiciona recursos mais avançados, como grupos de endereços, sem custo financeiro.

Custo:as ferramentas de migração e o uso dos recursos do nível Essentials são totalmente sem custo financeiro.

Você quer usar regras sem custo financeiro baseadas em tags para o tráfego interno leste-oeste, bloquear o acesso à Internet para um grupo específico de VMs marcadas como "Internal-VM" e aplicar regras avançadas ao restante do tráfego de saída vinculado à Internet.

Solução : você pode fazer isso criando uma política de firewall em que as regras são processadas em uma ordem específica de prioridade:

1. Regra 1 (prioridade 1000, a mais alta): criar regras de firewall do Cloud NGFW Essentials para lidar com todo o tráfego leste-oeste. Você também deve marcar as VMs que não estão voltadas para a Internet com a tag Internal-VM.
2. Regra 2 (prioridade 2000): crie uma regra Essentials baseada em tags que negue o acesso à Internet para qualquer VM com a tag Internal-VM.
3. Regra 3 (prioridade 3000): criar uma regra que inspecione todo o tráfego de saída restante vinculado à Internet usando os recursos do Cloud NGFW Standard.

Custo : você só paga para processar o tráfego de saída avaliado pela regra de firewall final (regra 3). Como as regras sem custo financeiro lidam com todo o tráfego interno e as VMs bloqueadas, você limita seus custos apenas ao tráfego vinculado à Internet que você envia explicitamente para inspeção.

Você quer aplicar regras avançadas de IDPS apenas ao tráfego de entrada e saída de um banco de dados de produção, permitindo que todo o outro tráfego interno leste-oeste passe sem custo financeiro.

Solução:você pode fazer isso criando uma política de firewall que sobrepõe uma regra específica de alta prioridade às suas regras gerais de tráfego:

1. Regra 1 (prioridade 1000, a mais alta): crie regras sem custo financeiro do Cloud NGFW Essentials para lidar com a maior parte do tráfego leste-oeste com base em endereços IP e tags.
2. Regra 2 (prioridade 2000): você cria uma regra específica de maior prioridade usando o Cloud NGFW Enterprise. Essa regra é configurada para corresponder apenas ao tráfego com uma tag de destino de banco de dados e uma tag de origem de cliente de BD válida, definindo a ação para realizar a inspeção de IDPS.

Custo:você só paga a taxa do Cloud NGFW Enterprise pelos fluxos de tráfego exatos que envia para inspeção de IDPS. Essa abordagem granular baseada em tags garante que você possa proteger cargas de trabalho críticas sem pagar para inspecionar todos os pacotes na sua rede interna.

O Cloud NGFW cobra pelo processamento de dados do tráfego avaliado por regras que contêm recursos dos níveis Cloud NGFW Standard ou Cloud NGFW Enterprise. Você gera cobranças quando uma regra é avaliada, independentemente de ela permitir ou negar o tráfego. Por exemplo, se você ativar uma regra de geolocalização padrão, será cobrado por todo o tráfego avaliado por essa regra, mesmo que ele seja originário de um país permitido.

No nível Standard, você só paga pelo tráfego norte-sul da Internet para instâncias de VM (entrada) e o tráfego de instâncias de VM para a Internet (saída). No nível Enterprise, você paga pelo tráfego norte-sul e leste-oeste (tráfego entre recursos no Google Cloud).

As políticas de firewall avaliam o tráfego em relação às regras de acordo com a prioridade delas. Uma cobrança é feita assim que um determinado fluxo de tráfego é avaliado por uma regra com recursos pagos. Em um fluxo de tráfego típico, o tráfego é processado primeiro por regras que usam os recursos do Cloud NGFW Essentials. Para otimizar os custos, você pode atribuir às regras do Essentials uma prioridade maior do que às regras dos níveis pagos. Se o tráfego não corresponder a uma regra do Essentials, ele será avaliado por regras que usam recursos dos níveis Standard ou Enterprise do Cloud NGFW.

O Cloud NGFW não cobra duas vezes pelo mesmo fluxo de tráfego. Por exemplo, se um fluxo de tráfego for avaliado por regras Standard e Enterprise, você só será cobrado pela avaliação da regra Enterprise.

Para ajudar você a entender como o faturamento é calculado, as seções a seguir explicam cenários comuns de políticas de firewall.

Nesse cenário, sua política usa recursos sem custo financeiro e pagos dos níveis Cloud NGFW Essentials e Cloud NGFW Standard. Na política, as regras do Essentials têm uma prioridade maior (um número de prioridade menor) do que as regras do Standard.

Suponha que 100 GB de tráfego norte-sul (tráfego de e para a Internet) entrem na sua rede e sejam avaliados da seguinte forma:

1. 50 GB do tráfego são avaliados em relação às regras do Cloud NGFW Essential. Esse processamento é sem custo financeiro.
2. Os 50 GB restantes de tráfego seguem para a próxima regra da política, que inclui recursos do Cloud NGFW Standard. Esses 50 GB de tráfego são cobrados de acordo com a taxa padrão do Cloud NGFW.

Resumo do faturamento:

• Tráfego com cobrança padrão: 50 GB
• Tráfego total faturado: 50 GB

Nesse cenário, as regras da sua política de firewall usam recursos sem custo financeiro que acionam o processamento faturável para inspeção de IDPS. Na política, as regras do Essentials têm uma prioridade maior (um número de prioridade menor) do que as regras do Enterprise.

Suponha que 100 GB de tráfego norte-sul entrem na sua rede e sejam avaliados da seguinte forma:

1. 50 GB do tráfego são avaliados em relação às regras do Cloud NGFW Essential. Esse processamento é sem custo financeiro.
2. Os 50 GB restantes de tráfego seguem para a próxima regra na política. A regra, que inclui recursos do Enterprise, envia o tráfego correspondente para inspeção de IDPS. Esse tráfego de 50 GB é cobrado de acordo com a taxa do Cloud NGFW Enterprise.

Resumo do faturamento:

• Tráfego faturado para a empresa: 50 GB
• Tráfego total faturado: 50 GB + cobranças pela implantação do endpoint

Nesse cenário, as regras da política de firewall são configuradas com recursos de todos os três níveis. Na política, as regras do Essentials têm a maior prioridade (um número de prioridade mais baixo), seguidas por uma regra com uma prioridade mais baixa que combina recursos do Enterprise e do Standard.

Suponha que 100 GB de tráfego norte-sul entrem na sua rede e sejam avaliados da seguinte forma:

1. 50 GB do tráfego são avaliados em relação às regras do Cloud NGFW Essential. Esse processamento é sem custo financeiro.
2. Os 50 GB restantes de tráfego seguem para a próxima regra de prioridade mais baixa na política que combina recursos dos níveis Cloud NGFW Enterprise e Cloud NGFW Standard.

Quando uma única regra usa recursos de vários níveis, o tráfego é cobrado de acordo com a taxa do nível mais alto usado. Portanto, esse tráfego de 50 GB é cobrado pela taxa do Cloud NGFW Enterprise.

Resumo do faturamento:

• Tráfego faturado para a empresa: 50 GB
• Tráfego total faturado: 50 GB + cobranças pela implantação do endpoint