Tables de pare-feu

Une table de pare-feu répertorie les règles permettant de filtrer le trafic réseau vers et depuis des ressources de cloud privé. Les règles de pare-feu contrôlent le trafic réseau entre une adresse IP ou un réseau source, et entre une adresse IP ou un réseau de destination.

Après avoir configuré la table de pare-feu et les règles de pare-feu, vous pouvez associer la table à un sous-réseau pour appliquer les règles correspondantes. Vous pouvez appliquer une table de pare-feu à plusieurs sous-réseaux, mais un sous-réseau ne peut être associé qu'à une seule table de pare-feu.

Les tables de pare-feu permettent de contrôler l'accès aux adresses IP externes. Pour tous les autres contrôles d'accès, gérez les paramètres de pare-feu dans le centre de données NSX-T. Pour en savoir plus, consultez la section Pare-feu en mode gestionnaire.

Remarque : Les pare-feu créés dans NSX-T ne sont pas visibles dans Google Cloud VMware Engine.

Créer une table de pare-feu

1. Accédez au portail Google Cloud VMware Engine.
2. Accédez à Network > Firewall tables (Réseau > Tables de pare-feu).
3. Cliquez sur Create new firewall table (Créer une table de pare-feu).
4. Saisissez un nom pour la table.
5. Vous pouvez également ajouter des règles de pare-feu. Chaque table de pare-feu commence par un ensemble de règles de pare-feu par défaut.
6. Cliquez sur Done (Terminé) pour enregistrer la table de pare-feu.

Associer une table de pare-feu à un sous-réseau

Après avoir défini une table de pare-feu, vous pouvez spécifier les sous-réseaux soumis aux règles qu'elle contient.

1. Sur la page Réseau > Tables de pare-feu, sélectionnez une table de pare-feu.
2. Sélectionnez l'onglet Sous-réseaux associés.
3. Cliquez sur Associer un sous-réseau.
4. Sélectionnez le cloud privé auquel vous souhaitez associer la table de pare-feu.
5. Sélectionnez le sous-réseau NsxtEdgeUplink1 de ce cloud privé.
6. Cliquez sur Submit (Envoyer).
7. Répétez les étapes ci-dessus pour le sous-réseau NsxtEdgeUplink2 de ce cloud privé.

Règles de pare-feu

Les règles de pare-feu déterminent la manière dont le pare-feu traite les types de trafic spécifiques. L'onglet Règles d'une table de pare-feu sélectionnée répertorie toutes les règles associées.

Pour créer une règle de pare-feu, procédez comme suit :

1. Accédez à Network > Firewall tables (Réseau > Tables de pare-feu).
2. Sélectionnez la table de pare-feu.
3. Cliquez sur Create new rule (Créer une règle).
4. Définissez les propriétés souhaitées pour la règle de pare-feu.
5. Cliquez sur Done (souhaitées) pour enregistrer la règle et l'ajouter à la liste des règles de la table de pare-feu.

Règles avec état

Une règle de pare-feu avec état permet de suivre les connexions qui l'utilisent. Une règle avec état crée un enregistrement de flux pour les connexions existantes. La communication est autorisée ou refusée en fonction de l'état de connexion de l'enregistrement de flux. Utilisez ce type de règle pour les adresses IP publiques afin de filtrer le trafic provenant d'Internet.

Règles de pare-feu par défaut

Chaque table de pare-feu comporte les règles de pare-feu par défaut suivantes :

Priorité	Nom	Direction	Type de trafic	Protocole	Source	Port source	Destination	Port de destination	Action
65000	allow-tcp-to-internet	Sortant	Adresse IP publique ou trafic Internet	TCP	Tout	Tout	Tout	Tout	Autoriser
65001	allow-udp-to-internet	Sortant	Adresse IP publique ou trafic Internet	UDP	Tout	Tout	Tout	Tout	Autoriser
65002	allow-icmp-to-internet	Sortant	Adresse IP publique ou trafic Internet	ICMP	Tout	Tout	Tout	Tout	Autoriser
65100	deny-all-from-internet	Entrant	Adresse IP publique ou trafic Internet	Tous les protocoles	Tout	Tout	Tout	Tout	Refuser
65101	allow-all-to-intranet	Sortant	Cloud privé interne ou trafic VPN	Tous les protocoles	Tout	Tout	Tout	Tout	Autoriser
65102	allow-all-from-intranet	Entrant	Cloud privé interne ou trafic VPN	Tous les protocoles	Tout	Tout	Tout	Tout	Autoriser

Remarque : Les clients ayant des projets Google Cloud créés avant le 8 mars 2022 doivent contacter Cloud Customer Care pour activer la règle de pare-feu allow-icmp-to-internet.

Propriétés d'une règle de pare-feu

Le tableau suivant décrit les propriétés d'une règle de pare-feu :

Propriété	Description
Nom	Nom identifiant de manière unique la règle de pare-feu et son objectif.
Priorité	Nombre compris entre 100 et 4 096, 100 représentant la priorité la plus élevée. Les règles sont traitées par ordre de priorité. En cas de correspondance du trafic avec une règle, le traitement des règles s'arrête. Les règles de priorités inférieures ayant les mêmes attributs que les règles de priorités supérieures ne sont pas traitées. Veillez à éviter les règles conflictuelles.
Protocole	Protocole Internet couvert par la règle.
Sens	Indique si la règle s'applique au trafic entrant ou sortant. Vous devez définir des règles distinctes pour le trafic entrant et sortant.
Action	Autorisez ou refusez le type de trafic défini dans la règle.
Source	Une adresse IP, un bloc CIDR (Classless Inter-Domain Routing), par exemple 10.0.0.0/24, ou la valeur "Tout".
Plage de ports sources	Port d'où provient le trafic réseau. Vous pouvez spécifier un seul port ou une plage de ports, tels que 443 ou 8000-8080. La spécification d'une plage vous permet de créer moins de règles de sécurité.
Destination	Une adresse IP, un bloc CIDR (10.0.0.0/24, par exemple) ou la valeur "Tout".
Plage du port de destination	Port de destination du trafic réseau. Vous pouvez spécifier un seul port ou une plage de ports, tels que 443 ou 8000-8080. Spécifier une plage vous permet de créer moins de règles de sécurité.

Attention : Pour le trafic entrant provenant d'adresses IP publiques ou d'Internet, nous vous recommandons vivement de n'ouvrir les ports de pare-feu que pour les ports et adresses IP requis, car des règles de trafic plus larges peuvent présenter un risque de sécurité.