ファイアウォールルールの構成

このページでは、Google Cloud のファイアウォールルールとピアネットワークのファイアウォールルールを構成する方法について説明します。

ピアネットワークに接続するように Cloud VPN トンネルを構成する場合は、Google Cloud とピアネットワークのファイアウォールルールを確認のうえニーズに合わせて変更します。ピアネットワークが異なる Virtual Private Cloud（VPC）ネットワークである場合は、ネットワーク接続の両側に Google Cloud ファイアウォールルールを構成します。

Cloud VPN の詳細については、次のリソースをご覧ください。

Cloud VPN を設定する前に検討すべきベストプラクティスについては、ベストプラクティスをご覧ください。
Cloud VPN の詳細については、Cloud VPN の概要をご覧ください。
このページで使用している用語の定義については、主な用語をご覧ください。

Google Cloud ファイアウォールルール

Google Cloud ファイアウォールルールは、Cloud VPN トンネル経由で VPC ネットワーク内の仮想マシン（VM）インスタンス間で送受信されるパケットに適用されます。

暗黙の下り（外向き）許可ルールは、Google Cloud ネットワーク内の VM インスタンスや他のリソースが発信リクエストを行って確立されたレスポンスを受信することを許可します。ただし、暗黙の上り（内向き）拒否ルールは、Google Cloud リソースへの着信トラフィックをすべてブロックします。

ピアネットワークから Google Cloud への上り（内向き）トラフィックを許可するには、少なくともファイアウォールルールを作成します。特定の種類のトラフィックを拒否する下り（外向き）ルールを作成した場合は、他の下り（外向き）ルールの作成も必要になることがあります。

プロトコル UDP 500、UDP 4500、ESP（IPSec、IP プロトコル 50）を含むトラフィックは、Cloud VPN ゲートウェイ上の 1 つ以上の外部 IP アドレス間で常に許可されます。ただし、Cloud VPN ゲートウェイからピア VPN ゲートウェイに送信されるカプセル化された後の IPSec パケットには、Google Cloud のファイアウォールルールは適用されません。

Google Cloud ファイアウォールルールの詳細については、VPC ファイアウォールルールの概要をご覧ください。

構成例

上り（内向き）トラフィックまたは下り（外向き）トラフィックの複数の例については、VPC ドキュメントの構成例をご覧ください。

次の例では、上り（内向き）許可ファイアウォールルールを作成します。このルールでは、ピアネットワークの CIDR から VPC ネットワーク内の VM へのすべての TCP、UDP、ICMP トラフィックを許可します。

このタスクに必要な権限

このタスクを実行するには、次の権限または次の IAM のロールが付与されている必要があります。

ロール

roles/compute.securityAdmin

コンソール

Google Cloud コンソールで、[VPN トンネル] ページに移動します。

[VPN トンネル] に移動
使用する VPN トンネルをクリックします。
[VPN ゲートウェイ] セクションで、VPC ネットワークの名前をクリックします。この操作を行うと、トンネルを含む [VPC ネットワークの詳細] ページが表示されます。
[ファイアウォールルール] タブをクリックします。
[ファイアウォールルールを追加] をクリックします。TCP、UDP、ICMP のルールを追加します。
- 名前: 「allow-tcp-udp-icmp」と入力します。
- 送信元フィルタ: [IPv4 範囲] を選択します。
- 送信元 IP 範囲: トンネルの作成時に指定したリモートネットワーク IP の範囲の値を入力します。ピアネットワークの範囲が複数ある場合は、それぞれについて入力します。入力するたびに、Tab キーを押してください。ピアネットワークのすべての送信元 IPv4 アドレスからのトラフィックを許可するには、0.0.0.0/0 を指定します。
- 指定するプロトコルまたはポート: tcp と udp を選択します。
- その他のプロトコル:「icmp」と入力します。
- ターゲットタグ: 有効な任意のタグを追加します。
[作成] をクリックします。

ピアネットワークから VPC ネットワーク上の IPv6 アドレスへのアクセスを許可する必要がある場合は、allow-ipv6-tcp-udp-icmpv6 ファイアウォールルールを追加します。

[ファイアウォールルールを追加] をクリックします。TCP、UDP、ICMPv6 のルールを追加します。
- 名前: 「allow-ipv6-tcp-udp-icmpv6」と入力します。
- 送信元フィルタ: [IPv6 範囲] を選択します。
- 送信元 IP 範囲: トンネルの作成時に指定したリモートネットワーク IP の範囲の値を入力します。ピアネットワークの範囲が複数ある場合は、それぞれについて入力します。入力するたびに、Tab キーを押してください。ピアネットワークのすべての送信元 IPv6 アドレスからのトラフィックを許可するには、::/0 を指定します。
- 指定するプロトコルまたはポート: tcp と udp を選択します。
- その他のプロトコル:「58」と入力します。58 は ICMPv6 のプロトコル番号です。
- ターゲットタグ: 有効な任意のタグを追加します。
[作成] をクリックします。

必要に応じて他のファイアウォールルールを作成します。

また、Google Cloud コンソールの [ファイアウォール] ページでルールを作成することもできます。

gcloud

次のコマンドを実行します。

gcloud  compute --project PROJECT_ID firewall-rules create allow-tcp-udp-icmp \
    --network NETWORK \
    --allow tcp,udp,icmp \
    --source-ranges IPV4_PEER_SOURCE_RANGE

IPV4_PEER_SOURCE_RANGE は、ピアネットワークの送信元 IPv4 範囲に置き換えます。

複数のピアネットワーク範囲がある場合は、[source-ranges] フィールドにカンマ区切りのリストを指定します（--source-ranges 192.168.1.0/24,192.168.2.0/24）。

ピアネットワークのすべての送信元 IPv4 アドレスからのトラフィックを許可するには、0.0.0.0/0 を指定します。

IPv6 ファイアウォールルール

gcloud  compute --project PROJECT_ID firewall-rules create allow-ipv6-tcp-udp-icmpv6 \
    --network NETWORK \
    --allow tcp,udp,58 \
    --source-ranges IPV6_PEER_SOURCE_RANGE

58 は ICMPv6 のプロトコル番号です。

PEER_SOURCE_RANGE は、ピアネットワークの送信元 IPv6 範囲に置き換えます。複数のピアネットワーク範囲がある場合は、[source-ranges] フィールドにカンマ区切りのリストを指定します（--source-ranges 2001:db8:aa::/64,2001:db8:bb::/64）。

ピアネットワークのすべての送信元 IPv6 アドレスからのトラフィックを許可するには、::/0 を指定します。

その他のファイアウォールルール

必要に応じて他のファイアウォールルールを作成します。

firewall-rules コマンドの詳細については、gcloud ファイアウォールルールのドキュメントをご覧ください。

ピアファイアウォールルール

ピアファイアウォールルールを構成する際は、次の点を考慮してください。

VPC ネットワークのサブネットで使用される IP 範囲間の下り（外向き）と上り（内向き）トラフィックを許可するルールを構成します。
すべてのプロトコルとポートを許可する、またはニーズを満たすのに必要な一連のプロトコルとポートのみにトラフィックを制限できます。
ping を使用して Google Cloud でピアシステムとインスタンスまたはリソース間の通信を可能にする必要がある場合は、ICMP トラフィックを許可します。
ping を使用してピアネットワーク上の IPv6 アドレスにアクセスする必要がある場合は、ピアファイアウォールで ICMPv6（IP プロトコル 58）を許可します。
ネットワークデバイス（セキュリティアプライアンス、ファイアウォールデバイス、スイッチ、ルーター、ゲートウェイ）とシステムで実行されているソフトウェア（オペレーティングシステムに組み込まれているファイアウォールソフトウェアなど）の両方で、オンプレミスファイアウォールを実装できます。トラフィックを許可するには、VPC ネットワークへのパスのすべてのファイアウォールルールを適切に構成します。
VPN トンネルで動的（BGP）ルーティングを使用する場合は、リンクローカル IP アドレスに対して BGP トラフィックを許可していることを確認してください。詳細については、次のセクションをご覧ください。

ピアゲートウェイの BGP に関する考慮事項

動的（BGP）ルーティングは TCP ポート 179 を使用してルート情報を交換します。Cloud VPN ゲートウェイを含む一部の VPN ゲートウェイでは、動的ルーティングを選択するとこのトラフィックが自動的に許可されます。お使いのピア VPN ゲートウェイで自動的に許可されない場合、TCP ポート 179 で送受信トラフィックを許可するように構成します。すべての BGP IP アドレスはリンクローカル 169.254.0.0/16 CIDR ブロックを使用します。

ピア VPN ゲートウェイがインターネットに直接接続されていない場合は、少なくとも BGP トラフィック（TCP ポート 179）と ICMP トラフィックを VPN ゲートウェイに渡すように、ピア VPN ゲートウェイ、ピアルーター、ファイアウォール、セキュリティアプライアンスを構成してください。ICMP は必須ではありませんが、Cloud Router と VPN ゲートウェイの間の接続をテストする際に有用です。ピアファイアウォールルールの適用が必要な IP アドレスの範囲には、Cloud Router とゲートウェイの BGP IP アドレスを含める必要があります。

次のステップ

コンポーネントが Cloud VPN と適切に通信していることを確認するには、VPN ステータスの確認をご覧ください。
高可用性と高スループットのシナリオ、または複数のサブネットシナリオを使用する。高度な構成をご覧ください。
Cloud VPN の使用時に発生する可能性のある一般的な問題を解決する。トラブルシューティングをご覧ください。

ファイアウォール ルールの構成

Google Cloud ファイアウォール ルール

構成例