Regole dei criteri firewall

Quando crei una regola del criterio firewall, specifichi un insieme di componenti che e definire cosa fa la regola. Questi componenti specificano la direzione del traffico, e caratteristiche del livello 4, come il protocollo e la porta di destinazione (se il protocollo utilizza le porte).

Ogni regola del criterio firewall si applica alle connessioni in entrata (ingress) o in uscita (egress), non a entrambe.

Regole in entrata

La direzione in entrata si riferisce alle connessioni in entrata inviate da origini specifiche alle destinazioni di Google Cloud. Le regole in entrata si applicano ai pacchetti in entrata, dove dei pacchetti è la destinazione.

Una regola in entrata con un'azione deny protegge tutte le istanze bloccando le istanze in entrata connessione con loro. Una regola con priorità più elevata potrebbe consentire l'accesso in entrata. Una rete predefinita creata automaticamente include alcune regole del firewall VPC precompilate che consentono l'ingresso per determinati tipi di traffico.

Regole in uscita

La direzione in uscita si riferisce al traffico in uscita inviato da un target a una destinazione. Le regole in uscita si applicano ai pacchetti per le nuove connessioni in cui del pacchetto è la destinazione.

Una regola di uscita con un'azione allow consente a un'istanza di inviare traffico alle destinazioni specificate nella regola. Il traffico in uscita può essere negato da una priorità più alta deny regole firewall. Google Cloud inoltre blocca limita determinati tipi di traffico.

Componenti delle regole del criterio firewall

Le regole dei criteri firewall gerarchici, dei criteri firewall di rete globali e dei criteri firewall di rete regionali utilizzano i componenti descritti in questa sezione. Il termine criterio firewall si riferisce a uno di questi tre tipi di criteri. Per ulteriori informazioni sui tipi di criteri firewall, consulta Criteri firewall.

In genere, le regole dei criteri firewall funzionano come le regole firewall VPC, ma ci sono alcune differenze, come descritto nelle sezioni seguenti.

Priorità

La priorità di una regola in un criterio firewall è un numero intero compreso tra 0 e 2.147.483.647, inclusi. Numeri interi più bassi indicano priorità più alte. La prioritaria di una regola in un criterio firewall è simile alla priorità di una regola del firewall VPC, con le seguenti differenze:

  • Ogni regola in un criterio firewall deve avere una priorità univoca.
  • La priorità di una regola in un criterio firewall è l'ID univoco della regola identificativo dell'utente. Le regole nei criteri firewall non utilizzano nomi per l'identificazione.
  • La priorità di una regola in un criterio firewall definisce l'ordine di valutazione all'interno del criterio firewall stesso. Le regole firewall VPC e le regole nei criteri firewall gerarchici, nei criteri firewall di rete globali e nei criteri firewall di rete regionali vengono valutate come descritto nell'ordine di valutazione dei criteri e delle regole.

Azione in caso di corrispondenza

Una regola in un criterio firewall può avere una delle seguenti azioni:

  • allow consente il traffico e interrompe l'ulteriore valutazione delle regole.
  • deny non consente il traffico e interrompe l'ulteriore valutazione delle regole.
  • apply_security_profile_group intercetta in modo trasparente il traffico e lo invia all'endpoint firewall configurato per l'ispezione di livello 7.

Applicazione

Puoi scegliere se applicare una regola del criterio firewall impostandone lo stato da attivare o disattivare. Imposti lo stato di applicazione quando crei o aggiorni una regola.

Se non imposti uno stato di applicazione quando crei una nuova regola firewall, la regola firewall viene abilitata automaticamente.

Protocolli e porte

Come per le regole firewall VPC, devi specificare uno o più vincoli per protocolli e porte quando crei una regola. Quando specifichi TCP o UDP in una regola, puoi specificare il protocollo, il protocollo e una porta di destinazione o il protocollo e un intervallo di porte di destinazione. Non puoi specificare solo una porta o un intervallo di porte. Inoltre, puoi specificare solo le porte di destinazione. Regole basate sull'origine e non sono supportate.

Puoi utilizzare i seguenti nomi di protocollo nelle regole firewall: tcp, udp, icmp (per ICMP IPv4), esp, ah, sctp e ipip. Per tutti gli altri protocolli, utilizza i numeri di protocollo IANA.

Molti protocolli utilizzano lo stesso nome e numero sia in IPv4 che in IPv6, ma alcuni protocolli, come ICMP, non lo fanno. Per specificare ICMP IPv4, utilizza icmp o il numero di protocollo 1. Per ICMP IPv6, utilizza il numero di protocollo 58.

Le regole del firewall non supportano la specifica di tipi e codici ICMP, ma solo del protocollo.

Il protocollo Hop-by-Hop IPv6 non è supportato nelle regole firewall.

Se non specifichi i parametri di protocollo e porta, la regola si applica a tutti i protocolli e le porte di destinazione.

Logging

Il logging per le regole di criterio firewall funziona come per VPC Logging delle regole firewall ad eccezione di quanto segue:

  • Il campo di riferimento include l'ID del criterio firewall e un numero che indica il livello della risorsa a cui è associato il criterio. Ad esempio, 0 significa che il criterio viene applicato a un'organizzazione, mentre 1 indica che il criterio viene applicata a una cartella di primo livello nell'organizzazione.

  • I log per le regole di criterio firewall includono un campo target_resource che identifica le reti VPC a cui si applica la regola.

  • Il logging può essere abilitato solo per allow, deny e apply_security_profile_group regole; non può essere abilitato per goto_next le regole del caso.

Target, origine, destinazione

I parametri di destinazione identificano le interfacce di rete delle istanze a cui un server si applica una regola firewall.

Puoi specificare sia i parametri sorgente sia i parametri di destinazione applicabili verso le origini o le destinazioni dei pacchetti per il firewall in entrata e in uscita le regole del caso. La direzione della regola del firewall determina i valori possibili per i parametri di origine e di destinazione.

I parametri di destinazione, origine e destinazione funzionano insieme.

Destinazioni

Il parametro target identifica le interfacce di rete delle istanze Compute Engine, inclusi i nodi GKE e le istanze dell'ambiente flessibile App Engine.

Puoi definire target sia per le regole in entrata che per quelle in uscita. Le opzioni di destinazione valide dipendono dal tipo di criterio firewall.

Destinatari per le regole del criterio firewall gerarchico

Le regole del criterio firewall gerarchico supportano i seguenti target:

  • Target più ampio predefinito: se ometti la specifica del target in una regola del criterio firewall gerarchico, la regola del firewall si applica a tutte le istanze in tutte le reti VPC di tutti i progetti nel nodo Resource Manager (cartella o organizzazione) associato al criterio firewall. Si tratta del gruppo di target più ampio.

  • Reti specifiche: se specifichi una o più reti VPC utilizzando il parametro target-resources, l'insieme più ampio di target viene limitato alle VM con un'interfaccia di rete in almeno una delle reti VPC specificate.

  • Istanze identificate dall'account di servizio: se specifichi una o più di servizio usando il parametro target-service-accounts, l'insieme più ampio di target è ristretto alle VM che usano uno dei valori account di servizio.

  • Reti e istanze specifiche identificate dall'account di servizio: se specifichi sia il parametro target-resources sia il parametro target-service-accounts, l'insieme più ampio di destinazioni viene limitato alle VM che soddisfano entrambi i seguenti criteri:

    • Le VM hanno un'interfaccia di rete in una delle reti VPC specificate.
    • Le VM utilizzano uno degli account di servizio specificati.

Destinatari per le regole dei criteri firewall di rete globali

Le regole dei criteri firewall di rete globali supportano le seguenti destinazioni:

  • Target predefinito—tutte le istanze nella rete VPC: Se ometti la specifica della destinazione in un criterio firewall di rete globale , la regola firewall si applica alle istanze che hanno un'interfaccia di rete nella rete VPC associata al criterio. Le istanze possono trovarsi in qualsiasi regione. Si tratta del gruppo di target più ampio.

  • Istanze per destinazione secure tag: se specifichi tag di destinazione con il parametro target-secure-tags, l'insieme di target più ampio è per includere solo le VM associate ai tag.

  • Istanze per account di servizio di destinazione: se specifichi gli account di servizio con il parametro target-service-accounts, l'insieme di target più ampio è per includere solo le VM che utilizzano uno dei servizi specificati .

Target per le regole dei criteri firewall di rete a livello di regione

Le regole dei criteri firewall di rete regionali supportano le seguenti destinazioni:

  • Target predefinito: tutte le istanze nella regione e nel VPC network: se ometti la specifica di destinazione in una rete a livello di regione una regola di criterio firewall, la regola firewall si applica alle istanze con nell'interfaccia di rete della rete VPC associata . Le istanze devono trovarsi nella stessa regione del criterio. Questo è l'insieme più ampio di obiettivi.

  • Istanze per tag di sicurezza target: se specifichi i tag target con il parametro target-secure-tags, l'insieme più ampio di target viene limitato in modo da includere solo le VM associate ai tag.

  • Istanze per account di servizio di destinazione: se specifichi gli account di servizio con il parametro target-service-accounts, l'insieme più ampio di destinazioni viene ridotto in modo da includere solo le VM che utilizzano uno degli account di servizio specificati.

Destinazioni e indirizzi IP per le regole in entrata

I pacchetti instradati all'interfaccia di rete di una VM di destinazione vengono elaborati in base alle seguenti condizioni:

  • Se la regola firewall in entrata include un intervallo di indirizzi IP di destinazione, del pacchetto deve rientrare in una delle destinazioni definite in modo esplicito di indirizzi IP esterni.

  • Se la regola del firewall di ingresso non include un intervallo di indirizzi IP di destinazione, la destinazione del pacchetto deve corrispondere a uno dei seguenti indirizzi IP:

    • L'indirizzo IPv4 interno principale assegnato al NIC dell'istanza.

    • Eventuali intervalli di indirizzi IP alias configurati sulla al NIC dell'istanza.

    • L'indirizzo IPv4 esterno associato alla NIC dell'istanza.

    • Se IPv6 è configurato sulla subnet, uno degli indirizzi IPv6 assegnati alla NIC.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzato per il bilanciamento del carico passthrough, in cui l'istanza è un backend per un bilanciatore del carico di rete passthrough interno o un bilanciatore del carico di rete passthrough esterno.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzata per il forwarding del protocollo, dove all'istanza fa riferimento un di destinazione.

    • Un indirizzo IP compreso nell'intervallo di destinazione di una route statica personalizzata che utilizza l'istanza (next-hop-instance o next-hop-address) come VM hop successivo.

    • Un indirizzo IP compreso nell'intervallo di destinazione di una route statica personalizzata che utilizza un bilanciatore del carico di rete passthrough interno (next-hop-ilb) come hop successivo se la VM è un backend per quel bilanciatore del carico.

Destinazioni e indirizzi IP per le regole in uscita

L'elaborazione dei pacchetti emessi dall'interfaccia di rete di un target dipende dalla configurazione dell'inoltro IP sulla VM di destinazione. L'IP forwarding è disattivato per impostazione predefinita.

  • Se l'IP forwarding è disabilitato per la VM di destinazione, la VM può emettere pacchetti con le seguenti fonti:

    • L'indirizzo IPv4 interno principale della scheda NIC di un'istanza.

    • Qualsiasi intervallo di indirizzi IP alias configurato sul NIC di un'istanza.

    • Se IPv6 è configurato sulla subnet, uno degli indirizzi IPv6 assegnati alla NIC.

    • Un indirizzo IP interno o esterno associato a una regola di forwarding. per il bilanciamento del carico passthrough o il forwarding del protocollo. Questo vale se l'istanza è un backend per un bilanciatore del carico di rete passthrough interno, un bilanciatore del carico di rete passthrough esterno o se è riferito da un'istanza di destinazione.

    Se la regola firewall in uscita include intervalli di indirizzi IP di origine, il target Le VM sono ancora limitate agli indirizzi IP di origine menzionati in precedenza, ma il parametro source può essere utilizzato per perfezionare l'insieme. L'utilizzo di un parametro di origine senza attivare il forwarding IP non espande l'insieme di possibili indirizzi di origine dei pacchetti.

    Se la regola firewall in uscita non include un intervallo di indirizzi IP di origine, sono consentiti tutti gli indirizzi IP di origine menzionati in precedenza.

  • Quando l'IP forwarding è abilitato per la VM di destinazione, la VM può emettere pacchetti con indirizzi di origine arbitrari. Puoi utilizzare il parametro source per definire con maggiore precisione l'insieme di origini dei pacchetti consentite.

Fonti

I valori dei parametri di origine dipendono da quanto segue:

  • Il tipo di criterio firewall che contiene la regola firewall
  • La direzione della regola firewall

Origini per le regole di ingresso nei criteri firewall gerarchici

Puoi utilizzare le seguenti origini per le regole in entrata nel firewall gerarchico norme:

  • Intervallo di origine predefinito: se ometti una specifica di origine in una regola di ingresso, Google Cloud utilizza l'intervallo di indirizzi IPv4 di origine predefinito0.0.0.0/0 (qualsiasi indirizzo IPv4). Il valore predefinito non include le origini IPv6.

  • Intervalli di indirizzi IPv4 di origine: un elenco di indirizzi IPv4 in formato CIDR.

  • Intervalli di indirizzi IPv6 di origine: un elenco di indirizzi IPv6 in formato CIDR.

  • Geolocalizzazioni: un elenco di una o più località geografiche di origine specificate come codici di paesi o regioni di due lettere per filtrare il traffico in entrata. Per ulteriori informazioni, consulta la sezione Oggetti di geolocalizzazione.

  • Gruppi di indirizzi di origine: un elenco di uno o più gruppi di indirizzi di origine che comprendono CIDR IPv4 o CIDR IPv6. Per ulteriori informazioni per i gruppi di indirizzi, vedi Gruppi di indirizzi per firewall .

  • Nomi di dominio di origine: un elenco di uno o più nomi di dominio di origine. Per maggiori informazioni informazioni sui nomi di dominio, vedi Nome di dominio per il firewall .

  • Una combinazione di origine valida: puoi specificare varie combinazioni di nelle origini precedenti nelle regole in entrata. Il set di origini effettive è un insieme di queste combinazioni.

    Quando specifichi una combinazione di origini in una regola di ingresso, la regola viene applicata a un pacchetto che corrisponde ad almeno uno dei criteri del parametro di origine.

    Segui queste linee guida quando definisci le combinazioni di origini per una regola:

    • Non utilizzare sia intervalli di indirizzi IPv4 di origine sia intervalli di indirizzi IPv6 di origine nella stessa regola.
    • Non utilizzare un gruppo di indirizzi di origine che contiene CIDR IPv4 con un altro gruppo di indirizzi di origine che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv4 di origine e un gruppo di indirizzi di origine che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv6 di origine e un gruppo di indirizzi di origine che contiene CIDR IPv4 nella stessa regola.

Origini per le regole in entrata nei criteri firewall di rete

Puoi utilizzare le seguenti origini per le regole in entrata nei criteri firewall di rete globali e regionali:

  • Intervallo di origine predefinito: se ometti una specifica di origine in una regola di ingresso, Google Cloud utilizza l'intervallo di indirizzi IPv4 di origine predefinito0.0.0.0/0 (qualsiasi indirizzo IPv4). Il valore predefinito non include IPv6 fonti.

  • Intervalli di indirizzi IPv4 di origine: un elenco di indirizzi IPv4 in formato CIDR.

  • Intervalli di indirizzi IPv6 di origine: un elenco di indirizzi IPv6 in formato CIDR.

  • Geolocalizzazioni: un elenco di una o più posizioni geografiche di origine specificati come codici paese o regione di due lettere per filtrare il traffico in entrata. Per ulteriori informazioni, consulta Oggetti di geolocalizzazione.

  • Gruppi di indirizzi di origine: un elenco di uno o più gruppi di indirizzi di origine che comprendono CIDR IPv4 o CIDR IPv6. Per saperne di più sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri di firewall.

  • Nomi di dominio di origine: un elenco di uno o più nomi di dominio di origine. Per ulteriori informazioni sui nomi di dominio, consulta Nome di dominio per i criteri di firewall.

  • Tag sicuri di origine: uno o più tag sicuri che identificano le interfacce di rete delle istanze VM nella stessa Inoltre, se il criterio è a livello di regione criterio firewall di rete, le istanze VM devono trovarsi nella stessa regione .

  • Una combinazione di origine valida: puoi specificare varie combinazioni di nelle origini precedenti nelle regole in entrata. L'insieme di origini effettivo è un'unione di queste combinazioni.

    Quando specifichi una combinazione di origini in una regola di ingresso, la regola viene applicata a un pacchetto che corrisponde ad almeno uno dei criteri del parametro di origine.

    Segui queste linee guida quando definisci le combinazioni di origini per una regola:

    • Non utilizzare sia intervalli di indirizzi IPv4 di origine sia intervalli di indirizzi IPv6 di origine nella stessa regola.
    • Non utilizzare un gruppo di indirizzi di origine che contiene CIDR IPv4 con un altro gruppo di indirizzi di origine che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv4 di origine e un gruppo di indirizzi di origine che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv6 di origine e un gruppo di indirizzi di origine che contiene CIDR IPv4 nella stessa regola.

In che modo i tag sicuri di origine implicano l'origine dei pacchetti

Le regole di ingresso nei criteri firewall di rete globali e regionali possono specificare le origini utilizzando tag sicuri. Ogni tag sicuro è associato a una singola rete VPC. Il tag di sicurezza può essere associato a una VM solo se la VM ha un'interfaccia di rete nella stessa rete VPC a cui è associato il tag di sicurezza.

Le regole in entrata in un criterio di rete globale e regionale si applicano ai pacchetti emessi dall'interfaccia di rete di una VM associata al tag sicuro, dove La VM soddisfa uno dei seguenti criteri:

  • L'interfaccia di rete della VM utilizza la stessa rete VPC il criterio firewall.

  • L'interfaccia di rete della VM utilizza una rete VPC connessa alla rete VPC del criterio firewall peering di rete VPC.

Oltre a specificare un'interfaccia di rete, i seguenti indirizzi IP di origine sono risolte:

  • L'indirizzo IPv4 interno principale dell'interfaccia di rete
  • Eventuali indirizzi IPv6 assegnati all'interfaccia di rete

Se una regola firewall in entrata contiene anche l'indirizzo IP di destinazione di rete, l'interfaccia di rete associata a un tag sicuro è risolto nella stessa versione IP dell'intervallo IP di destinazione.

Quando si utilizzano tag di origine protetti, nessun altro indirizzo IP di origine dei pacchetti viene risolto. Ad esempio, gli intervalli di indirizzi IP degli alias e gli indirizzi IPv4 esterni associati all'interfaccia di rete sono esclusi. Se devi creare regole firewall di ingresso le cui origini includono intervalli di indirizzi IP alias o indirizzi IPv4 esterni, utilizza gli intervalli di indirizzi IPv4 di origine.

Origini per le regole in uscita

Puoi utilizzare le seguenti origini per le regole in uscita sia nei criteri firewall gerarchici sia nei criteri firewall di rete:

  • Predefinito: implicito dal target: se ometti il parametro source da una in uscita, le origini dei pacchetti sono definite implicitamente come descritto in e indirizzi IP per le regole in uscita.

  • Intervalli di indirizzi IPv4 di origine: un elenco di indirizzi IPv4 in formato CIDR.

  • Intervalli di indirizzi IPv6 di origine: un elenco di indirizzi IPv6 in formato CIDR.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di origine per le regole in uscita:

  • Se a un'interfaccia VM sono assegnati indirizzi IPv4 interni ed esterni, durante la valutazione delle regole viene usato solo l'indirizzo IPv4 interno.

  • Se hai un intervallo di indirizzi IP di origine e una destinazione nella regola in uscita, la destinazione vengono risolti nella stessa versione IP della versione IP di origine.

    Ad esempio, in una regola in uscita, hai un intervallo di indirizzi IPv4 nella e un oggetto FQDN nel nome del parametro destination. Se il nome di dominio completo si risolve sia in IPv4 che in IPv6 solo l'indirizzo IPv4 risolto viene utilizzato durante l'applicazione della regola.

Destinazioni

Le destinazioni possono essere specificate utilizzando intervalli di indirizzi IP, supportati sia dalle regole in entrata sia da quelle in uscita sia nei criteri firewall di rete sia in quelli gerarchici. Il comportamento predefinito della destinazione dipende dalla direzione della regola.

Destinazioni per le regole in entrata

Puoi utilizzare le seguenti destinazioni per le regole firewall in entrata in entrambi criteri firewall gerarchici e di rete:

  • Predefinito: implicito dal target: se ometti il parametro destinazione da una in entrata, le destinazioni dei pacchetti sono definite implicitamente, come descritto Destinazioni e indirizzi IP per le regole in entrata.

  • Intervalli di indirizzi IPv4 di destinazione: un elenco di indirizzi IPv4 nel CIDR formato.

  • Intervalli di indirizzi IPv6 di destinazione: un elenco di indirizzi IPv6 nel CIDR formato.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di destinazione per le regole di ingresso:

  • Se a un'interfaccia VM sono assegnati indirizzi IPv4 interni ed esterni, durante la valutazione delle regole viene usato solo l'indirizzo IPv4 interno.

  • Se hai definito parametri di origine e di destinazione in un traffico , i parametri di origine vengono risolti nella stessa versione IP di la versione IP di destinazione. Per scoprire di più su come definire un'origine per le regole in entrata, consulta Origini per le regole in entrata nei criteri firewall gerarchici e Origini per le regole in entrata nei criteri firewall di rete.

    Ad esempio, in una regola di ingresso, hai un intervallo di indirizzi IPv6 nel parametro destinazione e un codice paese di geolocalizzazione nel parametro di origine. Durante l'applicazione delle regole, viene utilizzato solo l'indirizzo IPv6 mappato per il codice paese di origine specificato.

Destinazioni per le regole in uscita

Puoi utilizzare le seguenti destinazioni per le regole firewall in uscita in criteri firewall gerarchici e di rete:

  • Intervallo di destinazione predefinito: quando ometti una specifica della destinazione in una regola in uscita, Google Cloud utilizza l'indirizzo IPv4 di destinazione predefinito nell'intervallo 0.0.0.0/0 (qualsiasi indirizzo IPv4). Il valore predefinito non include le destinazioni IPv6.

  • Intervalli di indirizzi IPv4 di destinazione: un elenco di indirizzi IPv4 in formato CIDR.

  • Intervalli di indirizzi IPv6 di destinazione: un elenco di indirizzi IPv6 nel CIDR formato.

  • Geolocalizzazioni: un elenco di una o più località geografiche di destinazione specificate come codici di paesi o regioni di due lettere per filtrare il traffico in entrata. Per ulteriori informazioni, consulta Oggetti di geolocalizzazione.

  • Gruppi di indirizzi di destinazione: un elenco di uno o più gruppi di indirizzi di destinazione costituiti da CIDR IPv4 o CIDR IPv6. Per ulteriori informazioni sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri di firewall.

  • Nomi di dominio di destinazione: un elenco di uno o più domini di destinazione. i nomi degli utenti. Per ulteriori informazioni sui nomi di dominio, consulta Nome di dominio per i criteri firewall.

  • Una combinazione di destinazione valida. Puoi specificare varie combinazioni di le destinazioni precedenti nelle regole in entrata. La destinazione effettiva è l'unione di queste combinazioni.

    Quando specifichi una combinazione di destinazioni in una regola di uscita, la regola viene applicata a un pacchetto che corrisponde ad almeno uno dei criteri del parametro di destinazione.

    Quando definisci le combinazioni di destinazione per una regola, segui queste linee guida:

    • Non utilizzare sia gli intervalli di indirizzi IPv4 di destinazione sia l'IPv6 di destinazione di indirizzi IP esterni nella stessa regola.
    • Non utilizzare un gruppo di indirizzi di destinazione che contiene CIDR IPv4 con un altro gruppo di indirizzi di destinazione che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv4 di destinazione e un indirizzo di destinazione che contiene CIDR IPv6 nella stessa regola.
    • Non utilizzare intervalli di indirizzi IPv6 di destinazione e un gruppo di indirizzi di destinazione che contengono CIDR IPv4 nella stessa regola.

Oggetti di geolocalizzazione

Utilizza gli oggetti di geolocalizzazione nelle regole dei criteri firewall per filtrare IPv4 esterni e traffico IPv6 esterno in base a posizioni geografiche o regioni specifiche.

Puoi applicare regole con oggetti di geolocalizzazione al traffico in entrata e in uscita. In base alla direzione del traffico, gli indirizzi IP associati ai codici paese vengono abbinati all'origine o alla destinazione del traffico.

  • Puoi configurare oggetti di geolocalizzazione per i criteri firewall gerarchici, i criteri firewall di rete globali e i criteri firewall di rete regionali.

  • Per aggiungere le geolocalizzazioni alle regole del criterio del firewall, utilizza i codici paese o regione di due lettere come definiti nei codici paese ISO 3166 alpha-2.

    Ad esempio, se vuoi consentire il traffico in entrata solo dagli Stati Uniti nella rete, crea una regola del criterio del firewall in entrata con il codice paese di origine impostato su US e l'azione impostata su allow. Analogamente, se vuoi consentire il traffico in uscita solo verso gli Stati Uniti, configura una regola del criterio firewall in uscita con il codice paese di destinazione impostato su US e l'azione impostata su allow.

  • Cloud Next Generation Firewall ti consente di configurare le regole del firewall per gli elementi seguenti: territori soggetti a sanzioni complete degli Stati Uniti:

    Territori Codice assegnato
    Crimea XC
    Le cosiddette repubbliche popolari di Donetsk e Lugansk XD

  • Se in una singola regola firewall sono inclusi codici paese duplicati, viene conservata solo una voce per quel codice paese. La voce duplicata viene rimuovere. Ad esempio, nell'elenco dei codici paese ca,us,us, viene conservato solo ca,us.

  • Google gestisce un database con indirizzi IP e mappature dei codici paese. I firewall Google Cloud utilizzano questo database per mappare gli indirizzi IP il traffico di origine e di destinazione al codice paese, quindi applica regola del criterio firewall corrispondente agli oggetti di geolocalizzazione.

  • A volte, le assegnazioni degli indirizzi IP e i codici paese cambiano a causa delle seguenti condizioni:

    Poiché queste modifiche richiedono del tempo per essere applicate al database di Google, potresti notare alcune interruzioni del traffico e cambiamenti di comportamento per determinati tipi di traffico bloccati o consentiti.

Usa oggetti di geolocalizzazione con altri filtri delle regole dei criteri firewall

Puoi utilizzare gli oggetti di geolocalizzazione insieme ad altri filtri di origine o destinazione. A seconda della direzione della regola, la regola del criterio firewall viene applicata al traffico in entrata o in uscita che corrisponde all'unione di tutti i filtri specificati.

Per informazioni su come gli oggetti di geolocalizzazione funzionano con altri filtri di origine nelle regole in entrata, consulta Origini per le regole in entrata nei criteri firewall gerarchici e Origini per le regole in entrata nei criteri firewall di rete.

Per informazioni su come gli oggetti di geolocalizzazione funzionano con altri filtri di destinazione nelle regole di uscita, consulta Destinazioni per le regole di uscita.

Threat intelligence per le regole dei criteri firewall

Le regole dei criteri firewall ti consentono di proteggere la rete consentendo o bloccando del traffico in base ai dati di Threat Intelligence. I dati di Threat Intelligence includono elenchi di indirizzi IP in base alle seguenti categorie:

  • Nodi di uscita Tor: Tor è un software open source che consente la comunicazione anonima. Per escludere gli utenti che nascondono la loro identità, blocca gli indirizzi IP dei nodi di uscita di Tor (endpoint in cui il traffico esce dalla rete Tor).
  • Indirizzi IP dannosi noti: gli indirizzi IP noti per essere l'origine degli attacchi alle applicazioni web. Per migliorare la sicurezza della tua applicazione. bloccare questi indirizzi IP,
  • Motori di ricerca: gli indirizzi IP che puoi consentire per attivare l'indicizzazione del sito.
  • Intervalli di indirizzi IP di cloud pubblici: questa categoria può essere bloccata per impedire a strumenti automatici dannosi di navigare nelle applicazioni web oppure consentita se il servizio utilizza altri cloud pubblici. Questa categoria è ulteriormente suddivisa in le seguenti sottocategorie:
    • Intervalli di indirizzi IP utilizzati da Amazon Web Services
    • Intervalli di indirizzi IP utilizzati da Microsoft Azure
    • Intervalli di indirizzi IP utilizzati da Google Cloud
    • Intervalli di indirizzi IP utilizzati dai servizi Google

Gli elenchi di dati di Threat Intelligence possono includere indirizzi IPv4, indirizzi IPv6 o entrambi. Per configurare le informazioni sulla minaccia nelle regole dei criteri del firewall, utilizza i nomi degli elenchi di informazioni sulla minaccia predefiniti in base alla categoria che vuoi consentire o bloccare. Questi elenchi vengono aggiornati continuamente per proteggere i servizi dalle nuove minacce senza ulteriori passaggi di configurazione. I nomi degli elenchi validi sono riportati di seguito.

Nome elenco Descrizione
iplist-tor-exit-nodes Corrisponde agli indirizzi IP dei nodi di uscita TOR
iplist-known-malicious-ips Corrisponde agli indirizzi IP noti per gli attacchi alle applicazioni web
iplist-search-engines-crawlers Corrisponde agli indirizzi IP dei crawler dei motori di ricerca
iplist-vpn-providers Corrisponde agli indirizzi IP che appartengono a provider VPN con bassa reputazione
iplist-anon-proxies Corrisponde agli indirizzi IP che appartengono a proxy anonimi aperti
iplist-crypto-miners Corrisponde agli indirizzi IP che appartengono a siti di mining di criptovalute
iplist-public-clouds
  • iplist-public-clouds-aws
  • iplist-public-clouds-azure
  • iplist-public-clouds-gcp
  • iplist-public-clouds-google-services
 Corrispondenza degli indirizzi IP appartenenti ai cloud pubblici
  • Corrisponde agli intervalli di indirizzi IP utilizzati da Amazon Web Services
  • Corrisponde agli intervalli di indirizzi IP utilizzati da Microsoft Azure
  • Corrisponde agli intervalli di indirizzi IP utilizzati da Google Cloud
  • Corrisponde agli intervalli di indirizzi IP utilizzati dai servizi Google

Utilizzare Threat Intelligence con altri filtri delle regole dei criteri firewall

Per definire una regola del criterio firewall con Threat Intelligence, segui queste linee guida:

  • Per le regole di uscita, specifica la destinazione utilizzando uno o più elenchi di Threat Intelligence.

  • Per le regole in entrata, specifica l'origine utilizzando una o più origini Informazioni sulle minacce elencate.

  • Puoi configurare gli elenchi di Threat Intelligence per i criteri firewall gerarchici, i criteri firewall di rete globali e i criteri firewall di rete regionali.

  • Puoi utilizzare questi elenchi insieme ad altri filtri per regole di origine o di destinazione componenti.

    Per informazioni su come gli elenchi di Threat Intelligence funzionano con altri filtri delle origini nelle regole di ingresso, consulta Origini per le regole di ingresso nei criteri firewall gerarchici e Origini per le regole di ingresso nei criteri firewall di rete.

    Per informazioni su come funzionano gli elenchi di Threat Intelligence con altri filtri di destinazione nelle regole in uscita. Consulta Destinazioni per il traffico in uscita .

  • Il logging del firewall viene eseguito a livello di regola. Per semplificare il debug e l'analisi dell'effetto delle tue regole firewall, non includere più elenchi di Threat Intelligence in una singola regola firewall.

  • Puoi aggiungere più elenchi di Threat Intelligence a una regola del criterio firewall. Ogni nome di elenco incluso nella regola viene conteggiato come un unico attributo, indipendentemente del numero di indirizzi IP o intervalli di indirizzi IP inclusi nell'elenco. Ad esempio, se hai incluso i nomi degli elenchi iplist-tor-exit-nodes, iplist-known-malicious-ips e iplist-search-engines-crawlers nella regola del criterio firewall, il conteggio degli attributi della regola per criterio firewall viene aumentato di tre. Per ulteriori informazioni sul conteggio degli attributi delle regole, consulta Quote e limiti.

Creazione di eccezioni agli elenchi di Threat Intelligence

Se esistono regole che si applicano agli elenchi di Threat Intelligence, puoi utilizzare le seguenti tecniche per creare regole di eccezione applicabili a determinati IP indirizzi IP all’interno di un elenco di Threat Intelligence:

  • Lista consentita selettiva: supponi di avere un firewall in entrata o in uscita che nega i pacchetti da o verso un elenco di Threat Intelligence. Per consentire i pacchetti da o verso un indirizzo IP selezionato all'interno dell'elenco di Threat Intelligence, crea una regola firewall di autorizzazione in entrata o in uscita separata con priorità più alta che specifichi l'indirizzo IP dell'eccezione come origine o destinazione.

  • Lista bloccata selettiva: supponiamo che tu abbia un firewall in entrata o in uscita che consente l'invio di pacchetti da o a un elenco di Threat Intelligence. Per rifiutare pacchetti da o verso un indirizzo IP selezionato all’interno di quella Threat Intelligence elenco, crea una regola firewall di negazione per il traffico in entrata o in uscita con priorità più elevata che specifica l'indirizzo IP dell'eccezione come origine o destinazione.

Gruppi di indirizzi per i criteri firewall

I gruppi di indirizzi sono una raccolta logica di intervalli di indirizzi IPv4 o di indirizzi IP in formato CIDR. Puoi utilizzare i gruppi di indirizzi per definire le origini o le destinazioni a cui fanno riferimento molte regole firewall. I gruppi di indirizzi possono essere aggiornato senza modificare le regole firewall che le utilizzano. Per ulteriori informazioni sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri di firewall.

Puoi definire gruppi di indirizzi di origine e di destinazione per il traffico in entrata e in uscita regole firewall.

Per informazioni su come funzionano i gruppi di indirizzi di origine con altri filtri di origine nelle regole in entrata, consulta Origini per le regole in entrata nel firewall gerarchico policy e Origini per le regole in entrata nel firewall di rete criteri.

Per informazioni su come funzionano i gruppi di indirizzi di destinazione con altre destinazioni nelle regole in uscita. Consulta Destinazioni per il traffico in uscita .

Oggetti FQDN

Utilizza gli oggetti nome di dominio completo (FQDN) nelle regole dei criteri del firewall perfiltrare il traffico in entrata o in uscita da o verso domini specifici.

Puoi applicare regole di criterio firewall che utilizzano oggetti FQDN sia per il traffico in entrata e il traffico in uscita. In base alla direzione del traffico, gli indirizzi IP associati ai nomi di dominio vengono abbinati alla sorgente o alla destinazione del traffico.

  • Puoi configurare gli oggetti FQDN nelle regole del criterio firewall per criteri firewall, criteri firewall di rete globali e rete regionale i criteri firewall.

  • Devi specificare gli oggetti FQDN nella sintassi FQDN standard

    Per ulteriori informazioni sui formati dei nomi di dominio, vedi Nome di dominio standard.

  • A intervalli periodici, Cloud NGFW aggiorna le regole del criterio firewall che contengono oggetti FQDN con i risultati più recenti della risoluzione dei nomi di dominio.

  • I nomi di dominio specificati nelle regole del criterio firewall vengono risolti in indirizzi IP in base all'ordine di risoluzione dei nomi VPC di Cloud DNS. Cloud DNS invia una notifica a Cloud NGFW in caso di modifiche ai risultati della risoluzione del nome di dominio, noti anche come record DNS (Domain Name System).

  • Se due nomi di dominio vengono risolti nello stesso indirizzo IP, la regola del criterio del firewall si applica a quell'indirizzo IP, non solo a un dominio. In altre parole, il nome di dominio completo sono entità di livello 3.

  • Se l'oggetto FQDN nella regola del criterio del firewall in uscita include un dominio che ha CNAME nel record DNS, devi configurare la regola del criterio del firewall in uscita con tutti i nomi di dominio che le VM possono eseguire query, inclusi tutti i potenziali alias, per garantire un comportamento affidabile della regola del firewall. Se le tue VM eseguono query su CNAME non configurati in la regola del criterio firewall in uscita, il criterio potrebbe non funzionare durante la modifica dei record.

  • Puoi anche utilizzare i nomi DNS interni di Compute Engine nelle regole dei criteri del firewall di rete. Tuttavia, assicurati che la tua rete non sia configurata per utilizzare un server dei nomi alternativo nel criterio del server di invio.

  • Se vuoi aggiungere nomi di dominio personalizzati nelle regole del criterio della firewall di rete, puoi utilizzare le zone gestite Cloud DNS per la risoluzione dei nomi di dominio. Tuttavia, assicurati che la tua rete non sia configurata per utilizzare un server DNS alternativo nel criterio del server in uscita. Per ulteriori informazioni sulla zona vedi Creare, modificare ed eliminare zone.

Limitazioni

Le seguenti limitazioni si applicano al firewall sia in entrata che in uscita che utilizzano oggetti FQDN:

  • Gli oggetti FQDN non supportano il carattere jolly (*) e i nomi di dominio di primo livello (principale). Ad esempio, *.example.com. e .org non sono supportati.

Puoi utilizzare oggetti FQDN nelle regole di criterio firewall in entrata. Quando definisci gli oggetti FQDN per le regole di ingresso, devi prendere in considerazione le seguenti limitazioni:

  • Un nome di dominio può risolvere un massimo di 32 indirizzi IPv4 e 32 indirizzi IPv6 indirizzi IP esterni. Query DNS che si risolvono a più di 32 IPv4 e 32 IPv6 vengono troncati per includere solo 32 indirizzi IPv4 o IPv6 di questi sono gli indirizzi IP risolti. Pertanto, non includere nomi di dominio che risolvono in più di 32 indirizzi IPv4 e IPv6 nelle regole del criterio firewall in entrata.

  • Alcune query sui nomi di dominio hanno risposte univoche in base alla località del cliente richiedente. La località da cui il DNS della regola del criterio firewall che viene eseguita è la regione Google Cloud che contiene VM a cui si applica la regola del criterio firewall.

  • Non utilizzare regole di ingresso che utilizzano oggetti FQDN se i risultati della risoluzione del nome di dominio sono molto variabili o se la risoluzione del nome di dominio utilizza una forma di bilanciamento del carico basato su DNS. Ad esempio, molti nomi di dominio Google utilizzano una definizione di bilanciamento del carico.

Puoi utilizzare oggetti FQDN nelle regole del criterio del firewall in uscita, ma sconsigliamo di utilizzare oggetti FQDN con record A DNS che hanno un TTL (time-to-live) inferiore a 90 secondi.

Utilizzare gli oggetti FQDN con altri filtri delle regole del criterio firewall

In una regola del criterio firewall, puoi definire oggetti FQDN insieme ad altri filtri di origine o di destinazione.

Per informazioni su come gli oggetti FQDN funzionano con altri filtri di origine nelle regole di ingresso, consulta Origini per le regole di ingresso nei criteri firewall gerarchici e Origini per le regole di ingresso nei criteri firewall di rete.

Per informazioni su come funzionano gli oggetti FQDN con altri filtri di destinazione in per le regole di traffico in uscita, consulta Destinazioni per le regole in uscita.

Formato del nome di dominio

I firewall VPC supportano il formato del nome di dominio come definito in RFC 1035, RFC 1123 e RFC 4343.

Per aggiungere nomi di dominio alle regole dei criteri firewall, segui queste linee guida per la formattazione:

  • Il nome di dominio deve contenere almeno due etichette descritte di seguito:

    • Ogni etichetta corrisponde a espressioni regolari che includono solo questi caratteri: [a-z]([-a-z0-9][a-z0-9])?..
    • Ogni etichetta è composta da 1 a 63 caratteri.
    • Le etichette sono concatenate da un punto (.).

  • La lunghezza massima codificata del nome di dominio non deve superare i 255 byte (oktet).

  • Puoi anche aggiungere un nome di dominio internazionalizzato (IDN, Internationalized Domain Name) alle regole del criterio firewall.

  • I nomi di dominio devono essere in formato Unicode o Punycode.

  • Se specifichi un IDN in formato Unicode, il firewall di Google Cloud lo converte in formato Punycode prima dell'elaborazione. In alternativa, puoi utilizzare lo strumento di conversione IDN per ottenere la rappresentazione punycode dell'IDN.

  • Il firewall di Google Cloud non supporta nomi di dominio equivalenti nella stessa regola del criterio firewall. Dopo aver convertito il nome di dominio in Punycode, se i due nomi di dominio differiscono al massimo per un punto finale, sono considerati equivalenti.

Scenari di eccezione del nome di dominio completo

Quando utilizzi oggetti FQDN nelle regole dei criteri del firewall, potresti riscontrare le seguenti eccezioni durante la risoluzione dei nomi DNS:

  • Nome di dominio non valido: se specifichi uno o più nomi di dominio che utilizzano una formato non valido durante la creazione di una regola del criterio firewall, viene visualizzato un errore. La regola del criterio firewall non può essere creata a meno che non siano presenti tutti i nomi di dominio formattata correttamente.

  • Il nome di dominio non esiste (NXDOMAIN): se il nome di dominio non esiste, Google Cloud ignora l'oggetto FQDN dalla regola del criterio del firewall.

  • Nessuna risoluzione dell'indirizzo IP: se il nome di dominio non viene risolto in nessun indirizzo IP, l'oggetto FQDN viene ignorato.

  • Il server DNS di Cloud non è raggiungibile: se un server DNS non è raggiungibile, le regole del criterio del firewall che utilizzano oggetti FQDN si applicano solo se sono disponibili i risultati della risoluzione DNS memorizzati nella cache in precedenza. Il nome di dominio completo della regola vengono ignorati se non ci sono risultati di risoluzione DNS memorizzati nella cache o se i risultati DNS memorizzati nella cache sono scaduti.

Passaggi successivi