ファイアウォールポリシー

ファイアウォールポリシーを使用すると、複数のファイアウォールルールをグループ化して、一度にまとめて更新できます。これらのルールは、Identity and Access Management（IAM）のロールで効率的に制御できます。Virtual Private Cloud（VPC）ファイアウォールルールと同様に、これらのポリシーには接続を明示的に拒否または許可できるルールが含まれています。

階層型ファイアウォールポリシー

階層型ファイアウォールポリシーを使用すると、ルールを 1 つのポリシーオブジェクトにまとめて、1 つ以上のプロジェクトの複数の VPC ネットワークに適用できます。階層型ファイアウォールポリシーは、組織全体または個々のフォルダに関連付けることができます。

階層型ファイアウォールポリシーの仕様と詳細については、階層型ファイアウォールポリシーをご覧ください。

グローバルネットワークファイアウォールポリシー

グローバルネットワークファイアウォールポリシーを使用すると、すべてのリージョン（グローバル）に適用されるポリシーオブジェクトにルールをまとめることができます。グローバルネットワークファイアウォールポリシーを VPC ネットワークに関連付けると、ポリシーのルールは VPC ネットワーク内のリソースに適用できます。

グローバルネットワークファイアウォールポリシーの仕様と詳細については、グローバルネットワークファイアウォールポリシーをご覧ください。

リージョンネットワークファイアウォールポリシー

リージョンネットワークファイアウォールポリシーを使用すると、特定のリージョンに適用されるポリシーオブジェクトにルールをまとめることができます。リージョンネットワークファイアウォールポリシーを VPC ネットワークに関連付けると、ポリシーのルールは、VPC ネットワークのそのリージョン内のリソースに適用されます。

リージョンファイアウォールポリシーの仕様と詳細については、リージョンネットワークファイアウォールポリシーをご覧ください。

ポリシーとルールの評価順序

階層型ファイアウォールポリシールール、グローバルネットワークファイアウォールポリシールール、リージョンネットワークファイアウォールポリシールール、VPC ファイアウォールルールは、Andromeda ネットワーク仮想化スタックの VM パケット処理の一部として実装されます。ルールは、VM のネットワークインターフェース（NIC）ごとに評価されます。

ルールの適用範囲は、ルールのプロトコルとポート構成の特異性には依存しません。たとえば、すべてのプロトコルに対して優先度の高い許可ルールは、TCP ポート 22 に固有の優先度の低い拒否ルールよりも優先されます。

また、ルールの適用範囲は、ターゲットパラメータの特異性に依存しません。たとえば、より具体的なターゲットパラメータ（特定のサービスアカウントやタグなど）を含む優先度の低い拒否ルールが存在しても、すべての VM（すべてのターゲット）に対して優先度の高い許可ルールが優先されます。

ポリシーとルールの評価順序を決定する

ファイアウォールポリシールールと VPC ファイアウォールルールが評価される順序は、VM の NIC に接続されている VPC ネットワークの networkFirewallPolicyEnforcementOrder フラグによって決まります。

networkFirewallPolicyEnforcementOrder フラグには、次の 2 つの値を指定できます。

BEFORE_CLASSIC_FIREWALL: フラグを BEFORE_CLASSIC_FIREWALL に設定すると、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーは、ルールの評価順序で VPC ファイアウォールルールの前に評価されます。
AFTER_CLASSIC_FIREWALL: フラグを AFTER_CLASSIC_FIREWALL に設定すると、グローバルネットワークファイアウォールポリシーとリージョンネットワークファイアウォールポリシーは、ルールの評価順序で VPC ファイアウォールルールの後に評価されます。AFTER_CLASSIC_FIREWALL は、networkFirewallPolicyEnforcementOrder フラグのデフォルト値です。

ルールの評価順序を変更するには、ポリシーとルールの評価順序を変更するをご覧ください。

デフォルトのポリシーとルールの評価順序

デフォルトでは、VM の NIC に接続されている VPC ネットワークの networkFirewallPolicyEnforcementOrder が AFTER_CLASSIC_FIREWALL の場合、Google Cloud は VM の NIC に適用されるルールを次の順序で評価します。

VM のプロジェクトを含む組織に階層型ファイアウォールポリシーが関連付けられている場合、Google Cloud は階層型ファイアウォールポリシーで該当するルールをすべて評価します。階層型ファイアウォールポリシールールは一意である必要があるため、トラフィックの方向とレイヤ 4 の特性に一致する最も優先度の高いルールによってトラフィックの処理方法が決まります。
- ルールでトラフィックを許可し、評価プロセスを停止する。
- ルールでトラフィックを拒否し、評価プロセスを停止する。
- このルールにより、レイヤ 7 検査（apply_security_profile_group）のためにトラフィックをファイアウォールエンドポイントに送信できます。パケットを許可するかどうかは、ファイアウォールエンドポイントと構成済みのセキュリティプロファイルによって異なります。どちらの場合も、ルール評価プロセスが停止します。
- 次のいずれかに該当する場合、定義済みのルール（次の手順を参照）の処理を許可する。
  - goto_next アクションを含むルールがトラフィックに一致する。
  - トラフィックに一致するルールがない。この場合、暗黙の goto_next ルールが適用されます。
VM のプロジェクトの最も遠いフォルダ（祖先）に階層型ファイアウォールポリシーが関連付けられている場合、Google Cloud はそのフォルダの階層型ファイアウォールポリシーで該当するルールをすべて評価します。階層型ファイアウォールポリシールールは一意である必要があるため、トラフィックの方向とレイヤ 4 の特性に一致する最も優先度の高いルールによって、トラフィックの処理方法（allow、deny、apply_security_profile_group、goto_next）が決まります（最初の手順の説明を参照）。
リソース階層内で VM のプロジェクトに近い次のフォルダに関連付けられた階層型ファイアウォールポリシーに対して、Google Cloud は前の手順の処理を繰り返します。Google Cloud はまず、最も遠い祖先フォルダ（組織ノードに最も近いフォルダ）に関連付けられた階層型ファイアウォールポリシーのルールを評価してから、VM のプロジェクトに近い次の子フォルダに関連付けられた階層型ファイアウォールポリシーのルールを評価します。
VM の NIC で使用される VPC ネットワークに VPC ファイアウォールルールが存在する場合、Google Cloud は該当するすべての VPC ファイアウォールルールを評価します。

次の点はファイアウォールポリシーのルールと異なります。
- VPC ファイアウォールルールに goto_next または apply_security_profile_group アクションはありません。VPC ファイアウォールルールは、トラフィックを許可または拒否するように構成できます。
- VPC ネットワーク内の 2 つ以上の VPC ファイアウォールルールで同じ優先度を共有できます。その場合は、許可ルールよりも拒否ルールが優先されます。VPC ファイアウォールルールの優先度の詳細については、VPC ファイアウォールルールのドキュメントで優先度の説明をご覧ください。
トラフィックに VPC ファイアウォールルールが適用されていない場合、Google Cloud は次のステップ（goto_next）に進みます。
グローバルネットワークファイアウォールポリシーが VM の NIC の VPC ネットワークに関連付けられている場合、Google Cloud はファイアウォールポリシーで該当するルールをすべて評価します。ファイアウォールポリシールールは一意である必要があるため、トラフィックの方向とレイヤ 4 の特性に一致する最も優先度の高いルールによって、トラフィックの処理方法（allow、deny、apply_security_profile_group、goto_next）が決まります（最初の手順の説明を参照）。
リージョンネットワークファイアウォールポリシーが VM の NIC の VPC ネットワークと VM のリージョンに関連付けられている場合、Google Cloud はファイアウォールポリシーで該当するルールをすべて評価します。ファイアウォールポリシールールは一意である必要があるため、トラフィックの方向とレイヤ 4 の特性に一致する最も優先度の高いルールによって、トラフィックの処理方法（allow、deny、goto_next）が決まります（最初の手順の説明を参照）。
評価の最後のステップとして、Google Cloud は暗黙の下り（外向き）許可と暗黙の上り（内向き）拒否の VPC ファイアウォールルールを適用します。

次の図は、ファイアウォールルールの解決フローを示しています。

ポリシーとルールの評価の順序を変更する

Google Cloud では、VPC ファイアウォールルールとネットワークファイアウォールポリシー（グローバルとリージョンの両方）の順序を入れ替えて、デフォルトのルール評価プロセスを変更できます。この入れ替えを行うと、ルールの評価順序が変わり、VPC ファイアウォールルール（ステップ 4）の前にグローバルネットワークファイアウォールポリシー（ステップ 5）とリージョンネットワークファイアウォールポリシー（ステップ 6）が評価されます。

ルールの評価順序を変更するには、次のコマンドを実行して、VPC ネットワークの networkFirewallPolicyEnforcementOrder 属性を BEFORE_CLASSIC_FIREWALL に設定します。

gcloud compute networks update VPC-NETWORK-NAME \
    --network-firewall-policy-enforcement-order BEFORE_CLASSIC_FIREWALL

詳細については、networks.patch メソッドをご覧ください。

有効になっているファイアウォールルール

階層型ファイアウォールポリシールール、VPC ファイアウォールルール、グローバルおよびリージョンネットワークファイアウォールポリシールールによって接続が制御されます。個々のネットワークまたは VM インターフェースに影響するすべてのファイアウォールルールを確認すると役に立つ場合があります。

ネットワークで有効なファイアウォールルール

VPC ネットワークに適用されているすべてのファイアウォールルールを表示できます。このリストには、次のすべてのルールが含まれます。

階層型ファイアウォールポリシーから継承されたルール
VPC ファイアウォールルール
グローバルおよびリージョンネットワークファイアウォールポリシーから適用されるルール

インスタンスで有効になっているファイアウォールルール

VM のネットワークインターフェースに適用されているすべてのファイアウォールルールを表示できます。このリストには、次のすべてのルールが含まれます。

階層型ファイアウォールポリシーから継承されたルール
インターフェースの VPC ファイアウォールから適用されるルール
グローバルおよびリージョンネットワークファイアウォールポリシーから適用されるルール

ルールは、組織レベルから VPC ネットワークの順に並べられます。ここでは、VM インターフェースに適用されるルールのみが表示され、他のポリシーのルールは表示されません。

リージョン内で有効なファイアウォールポリシーのルールを確認するには、ネットワークで有効なファイアウォールポリシーを取得するをご覧ください。

事前定義ルール

階層型ファイアウォールポリシー、グローバルネットワークファイアウォールポリシー、またはリージョンネットワークファイアウォールポリシーを作成すると、Cloud NGFW は事前定義されたルールをポリシーに追加します。Cloud NGFW がポリシーに追加する事前定義ルールは、ポリシーの作成方法によって異なります。

Google Cloud コンソールを使用してファイアウォールポリシーを作成すると、Cloud NGFW は新しいポリシーに次のルールを追加します。

プライベート IPv4 範囲の goto-next ルール
事前定義された脅威インテリジェンスの拒否ルール
事前定義された位置情報拒否ルール
優先度が最も低い goto-next ルール

Google Cloud CLI または API を使用してファイアウォールポリシーを作成した場合、Cloud NGFW は優先度が最も低い goto-next ルールのみをポリシーに追加します。

新しいファイアウォールポリシーの事前定義ルールはすべて、意図的に低い優先度（大きな優先度の数値）を使用するため、優先度の高いルールを作成することで、それらをオーバーライドできます。優先度が最も低い goto-next ルールを除き、事前定義ルールをカスタマイズすることもできます。

プライベート IPv4 範囲の goto-next ルール

宛先 IPv4 範囲が 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16、優先度が 1000、アクションが goto_next の下り（外向き）ルール。
送信元 IPv4 範囲が 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16、優先度が 1001、アクションが goto_next の上り（内向き）ルール。

事前定義された脅威インテリジェンスの拒否ルール

送信元の脅威インテリジェンスリストが iplist-tor-exit-nodes、優先度が 1002、アクションが deny の上り（内向き）ルール。
送信元の脅威インテリジェンスリストが iplist-known-malicious-ips、優先度が 1003、アクションが deny の上り（内向き）ルール。
宛先の脅威インテリジェンスリストが iplist-known-malicious-ips、優先度が 1004、アクションが deny の下り（外向き）ルール。

脅威インテリジェンスの詳細については、ファイアウォールポリシールールの脅威インテリジェンスをご覧ください。

事前定義された位置情報拒否ルール

送信元の位置情報が CU、IR、KP、SY、XC、XD、優先度が 1005、アクションが deny の上り（内向き）ツール。

位置情報について詳しくは、位置情報オブジェクトをご覧ください。

優先度が最も低い goto-next ルール

次のルールは変更または削除できません。

宛先 IPv6 範囲が ::/0、優先度が 2147483644、アクションが goto_next の下り（外向き）ルール。
送信元 IPv6 範囲が ::/0、優先度が 2147483645、アクションが goto_next の上り（内向き）ルール。
宛先 IPv4 範囲が 0.0.0.0/0、優先度が 2147483646、アクションが goto_next の下り（外向き）ルール。
送信元 IPv4 範囲が 0.0.0.0/0、優先度が 2147483647、アクションが goto_next の上り（内向き）ルール。

次のステップ

階層型ファイアウォールポリシーとルールの作成方法と変更方法を確認する。階層型ファイアウォールポリシーの使用をご覧ください。
階層型ファイアウォールポリシーの例で、階層型ファイアウォールポリシーの実装例を確認する。
グローバルネットワークファイアウォールポリシーの使用で、グローバルネットワークファイアウォールポリシーとルールを作成および変更する方法を確認する。
リージョンネットワークファイアウォールポリシーの使用で、リージョンネットワークファイアウォールポリシーとルールを作成および変更する方法を確認する。