Las Estadísticas de firewall te ayudan a comprender los patrones de uso de tus reglas de firewall. Puedes usar estas estadísticas para tomar decisiones sobre cómo quitar o modificar las reglas de firewall a fin de simplificar y proteger la configuración de firewall.
Puedes ver las siguientes estadísticas en la página Estadísticas de firewall de la consola de Google Cloud y en muchos otros lugares de la consola de Google Cloud:
- Reglas de firewall bloqueadas: Te ayudan a identificar las reglas de firewall que se superponen con las reglas existentes.
- Reglas demasiado permisivas: Te ayudan a identificar reglas
allowsin hits, atributos sin usar o direcciones IP o rangos de puertos demasiado permisivos. - Reglas de denegación: Te proporcionan detalles sobre las reglas
denyque tuvieron hits durante el período de observación configurado.
Las estadísticas de las reglas demasiado permisivas y las reglas de denegación se generan en función de los datos recopilados durante el tiempo que el Registro de reglas de firewall está habilitado.
En la página Estadísticas de firewall en la consola de Google Cloud, cada tarjeta que muestra las estadísticas incluye una lista de todas las reglas del proyecto que cumplen con los criterios de la estadística.
Si deseas limitar los resultados a una red de VPC, usa la barra de filtros en la parte superior de la página para seleccionar una red.
Para obtener más información, consulta Dónde puedes ver métricas y estadísticas.
En las siguientes secciones, se describe cómo ver cada estadística.
Funciones y permisos requeridos
A fin de obtener el permiso que necesitas para ver las estadísticas, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:
-
Administrador del recomendador de firewall (
roles/recommender.firewallAdmin) -
Visualizador del recomendador de firewall (
roles/recommender.firewallViewer)
Si quieres obtener más información para otorgar funciones, consulta Administra el acceso.
Esta función predefinida contiene el permiso recommender.computeFirewallInsights.list, que se necesita para ver las estadísticas.
Es posible que también puedas obtener este permiso con funciones personalizadas o con otras funciones predefinidas.
Ve reglas de firewall bloqueadas
Para obtener información sobre esta estadística, consulta Reglas bloqueadas.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta denominada Reglas bloqueadas, haz clic en Ver lista completa. En la consola de Google Cloud, se muestra la página Reglas bloqueadas, que enumera todas las redes de VPC.
Para cada red de VPC en tu proyecto, puedes ver las estadísticas de las políticas de firewall jerárquicas, las políticas de firewall de red global y las reglas de firewall de VPC, junto con la prioridad de la regla. En la columna Estadísticas de cada regla, se proporciona un resumen de por qué la regla se identificó como regla bloqueada.
Opcional: Usa filtros para limitar los resultados en la lista según el nombre de la regla, la prioridad y el nombre de la política.
Para ver más detalles sobre la regla bloqueada y las reglas que la implementan, haz clic en la estadística.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve reglas allow sin hits
Para obtener más información sobre esta estadística, consulta Cómo permitir reglas sin hits.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta llamada Permitir reglas sin hit, haz clic en Ver lista completa. La consola de Google Cloud muestra la página Permitir reglas sin hits. En esta página, se enumeran todas las redes de VPC que tuvieron reglas sin hits durante el período de observación.
La columna Estadísticas de cada regla muestra si la regla de firewall no tuvo hits durante el período de observación. La columna Predicción de hits futuros muestra una predicción del uso futuro según las reglas de firewall en la misma organización.
Opcional: Usa filtros para limitar los resultados en la lista según el nombre de la regla, la prioridad y el nombre de la política.
Para cualquier regla de la lista, realiza las siguientes acciones según corresponda:
- Para ver la página Detalles de la regla de firewall de la regla, haz clic en el nombre de la regla.
- Para ver el registro de la regla, haz clic en Ver registro de auditoría.
- Para ver los detalles de la predicción, haz clic en el vínculo de la columna Estadísticas. Se mostrará el panel Detalles de las estadísticas. El panel describe los atributos principales de la regla. También se describen otras reglas del proyecto que tienen atributos similares.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Consulta las reglas allow que están obsoletas según el análisis adaptable
Puedes ver las reglas allow que tienen menos probabilidades de estar activas según los patrones de uso y el análisis adaptable.
Para obtener más información sobre esta estadística, consulta Reglas de permiso obsoletas según el análisis adaptable.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta Permitir reglas sin hits (análisis adaptable), haz clic en Ver lista completa. Se abrirá la página Permitir reglas sin hits (análisis adaptable). En esta página, se enumeran todas las redes de VPC que tenían reglas que probablemente ya no se usen.
La columna Estadísticas de cada regla muestra si la regla de firewall ya no está activa según el análisis adaptable del historial de recuento de hits de la regla.
Opcional: Usa filtros para limitar los resultados en la lista según el nombre de la regla, la prioridad y el nombre de la política.
Para cualquier regla de la lista, realiza las siguientes acciones según corresponda:
- Para ver la página Detalles de la regla de firewall de la regla, haz clic en el nombre de la regla.
- Para ver el registro de la regla, haz clic en Ver registro de auditoría.
- Para ver los detalles de la predicción, haz clic en el vínculo de la columna Estadísticas.
En la página Detalles de las estadísticas, se describen los atributos principales de la regla. En la sección Análisis adaptable, puedes ver la fecha de la última coincidencia de la regla y el recuento promedio de hits diarios antes de que la regla ya no esté activa.
Para cerrar la página Detalles de las estadísticas, haz clic en Cancelar.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve reglas allow con atributos sin usar
Para obtener información sobre esta estadística, consulta Reglas de permiso con atributos sin usar.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta Permitir reglas con atributos sin usar, haz clic en Ver lista completa. En respuesta, la consola de Google Cloud muestra la página Permitir reglas con atributos sin usar. En esta página, se enumeran todas las redes de VPC con reglas que tuvieron atributos sin usar durante el período de observación.
En la columna Estadística de cada regla, se muestra la cantidad de atributos sin usar durante el período de observación.
Opcional: Usa filtros para limitar los resultados en la lista según el nombre de la regla, la prioridad y el nombre de la política.
Para cualquier red de VPC de la lista, realiza una de las siguientes acciones según corresponda:
- Para ver la página Detalles de la regla de firewall de la regla, haz clic en el nombre de la regla.
- Para ver el registro de la regla, haz clic en Ver registro de auditoría.
- Para ver los detalles, haz clic en el vínculo correspondiente. Se mostrará el panel Detalles de las estadísticas. En el panel, se describen los atributos principales de la regla. También se describen otras reglas en el proyecto que tienen atributos similares.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve reglas allow con rangos de puertos o direcciones IP demasiado permisivos
Para obtener más información sobre esta estadística, consulta Reglas de permiso con rangos de puertos o direcciones IP demasiado permisivos.
Ten en cuenta que tu proyecto puede tener reglas de firewall que permiten el acceso desde ciertos bloques de direcciones IP para las verificaciones de estado del balanceador de cargas o para otras funciones de Google Cloud. Es posible que estas direcciones IP no tengan hits, pero no se deben quitar de tus reglas de firewall. Para obtener más información sobre estos rangos, consulta la documentación de Compute Engine.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta llamada Permitir reglas con rangos de puertos o direcciones IP demasiado permisivos, haz clic en Ver lista completa. En la consola de Google Cloud, se muestra una lista de todas las reglas que tuvieron rangos demasiado permisivos durante el período de observación.
Para cualquier regla de la lista, realiza las siguientes acciones según corresponda:
- Para ver la página Detalles de la regla de firewall de cualquier regla, haz clic en el nombre de la regla.
- Para ver el registro de la regla, haz clic en Ver registro de auditoría.
- Para ver sugerencias sobre cómo limitar el rango, haz clic en el vínculo de la columna Estadísticas. Se mostrará el panel Detalles de las estadísticas. El panel describe los atributos principales de la regla. Sugiere direcciones IP o rangos de puertos más específicos que puedes usar.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve reglas deny con hits
Para obtener información sobre esta estadística, consulta Reglas de denegación con hits.
Consola
En la consola de Google Cloud, ve a la página Estadísticas de firewall.
En la tarjeta llamada Denegar reglas con hits, haz clic en Ver lista completa. En respuesta, la consola de Google Cloud muestra la página Reglas de denegación con hits. En esta página, se enumeran todas las redes de VPC con reglas
denyque tuvieron hits durante el período de observación.Para revisar los paquetes que descartó un firewall, haz clic en Recuento de hits.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Visualiza las estadísticas en la página de detalles de la interfaz de red de la VM
Consulta el uso del firewall en la página Detalles de la interfaz de red de una VM.
Si quieres obtener más información, consulta Enumera las reglas de firewall para una interfaz de red de una instancia de VM.
Ve reglas con hits en los últimos 24 meses
Consola
En la consola de Google Cloud, ve a la página Instancias de VM de Compute Engine.
En los resultados de la búsqueda de una interfaz de VM, selecciona una VM y haz clic en el menú más acciones.
En el menú, selecciona Ver detalles de red.
En la página Detalles de firewall y rutas, haz clic en la pestaña Reglas de firewall.
En la columna Recuento de aciertos, observa los recuentos de aciertos del tráfico de
allowydenyde los últimos 24 meses para todas las reglas de firewall asociadas con una interfaz de red específica.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Visualiza estadísticas en la página Firewall
Para obtener más información sobre la página Firewall, consulta Enumera las reglas de firewall de VPC para una red de VPC.
Enumera las estadísticas de un proyecto
Consola
En la consola de Google Cloud, ve a la página Firewall.
Para cada regla de firewall, visualiza el nombre de las estadísticas disponibles en la columna Estadísticas.
Puedes hacer clic en el nombre de una estadística para ver sus detalles.
En las siguientes secciones, se describe cómo interpretar y ver los detalles de cada tipo de estadística.
Ver allow de reglas sin hits en los últimos 24 meses
Consola
En la consola de Google Cloud, ve a la página Firewall.
En la columna Último hit, revise la última vez que se usó una regla de firewall determinada en los últimos 24 meses.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve el gráfico del historial de uso de una regla
Consola
En la consola de Google Cloud, ve a la página Firewall.
Haz clic en el nombre de una regla de firewall.
En la sección Supervisión de aciertos de firewall de la página, observa el gráfico resultante que muestra el recuento de aciertos de firewall de un período determinado. Puedes seleccionar un intervalo de tiempo para el gráfico de supervisión del recuento de hits.
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
Ve reglas deny con hits para un período de observación
Consola
En la consola de Google Cloud, ve a la página Firewall.
En la columna Recuento de aciertos, consulta la cantidad de conexiones únicas que se usaron para una regla de firewall determinada en los últimos 24 meses (valor predeterminado).
gcloud y API
Las Estadísticas de firewall usan comandos del Recomendador. El recomendador es un servicio de Google Cloud que proporciona recomendaciones de uso para los productos y servicios de Google Cloud.
¿Qué sigue?
- Cómo administrar y exportar estadísticas
- Revisa y optimiza las reglas de firewall
- Consulta las estadísticas en el panel del Centro de recomendaciones