Utilizzo di criteri e regole firewall gerarchici

In questa pagina si presuppone che tu abbia familiarità con i concetti descritti in Criteri firewall gerarchici. Per esempi di implementazioni di criteri firewall gerarchici, consulta Esempi di criteri firewall gerarchici.

Limitazioni

  • Le regole del criterio firewall gerarchico non supportano i tag di origine o gli account di servizio di origine.
  • Le regole dei criteri firewall gerarchici non supportano l'utilizzo di tag di rete per definire le destinazioni. Devi utilizzare una rete VPC target o un account di servizio target.
  • I criteri firewall possono essere applicati a livello di cartella e organizzazione, ma non a livello di rete VPC. VPC normale le regole firewall sono supportate per le reti VPC.
  • A una risorsa (cartella o organizzazione) può essere associato un solo criterio firewall, anche se le istanze di macchine virtuali (VM) in una cartella possono ereditare le regole dall'intera gerarchia di risorse sopra la VM.
  • Il logging delle regole firewall è supportato per le regole allow e deny, ma non per le regole goto_next.
  • Il protocollo Hop-by-Hop IPv6 non è supportato nelle regole firewall.

Attività dei criteri firewall

Crea un criterio firewall

Puoi creare un criterio in qualsiasi risorsa (organizzazione o cartella) del tuo nella gerarchia dell'organizzazione. Dopo aver creato un criterio, puoi associarlo a qualsiasi risorsa della tua organizzazione. Dopo l'associazione, le regole del criterio diventano attivi per le VM all'interno della risorsa associata nella gerarchia.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o una cartella all'interno della tua organizzazione.

  3. Fai clic su Crea criterio firewall.

  4. Assegna un nome al criterio.

  5. Se vuoi creare regole per le tue norme, fai clic su Continua > Aggiungi regola.

    Per informazioni dettagliate, vedi Creare regole firewall.

  6. Se vuoi associare il criterio a una risorsa, fai clic su Continua > Associa criteri alle risorse.

    Per maggiori dettagli, consulta Associare un criterio a un'organizzazione o a un cartella.

  7. Fai clic su Crea.

gcloud 

gcloud compute firewall-policies create \
    [--organization ORG_ID] | --folder FOLDER_ID] \
    --short-name SHORT_NAME

Sostituisci quanto segue:

  • ORG_ID: l'ID della tua organizzazione
    Specifica questo ID se crei il criterio a livello di organizzazione. Questo ID indica solo dove risiede il criterio, ma non lo associa automaticamente alla risorsa dell'organizzazione.
  • FOLDER_ID: l'ID di una cartella
    Specifica questo ID se stai creando il criterio in una determinata cartella. Questo ID indica solo dove risiede il criterio, ma non lo associa automaticamente alla cartella.
  • SHORT_NAME: un nome per il criterio
    Un criterio creato utilizzando Google Cloud CLI ha due nomi: un nome generato dal sistema e un nome breve fornito da te. Quando utilizzando Google Cloud CLI per aggiornare un criterio esistente, puoi fornire il nome generato dal sistema o il nome breve e Organization ID (ID organizzazione). Quando utilizzi l'API per aggiornare il criterio, devi fornire il nome generato dal sistema.

Crea regole firewall

Le regole dei criteri firewall gerarchici devono essere create in un firewall gerarchico . Le regole non sono attive finché non associ il criterio che lo contiene a una risorsa.

Ogni regola del criterio firewall gerarchico può includere intervalli IPv4 o IPv6, ma non entrambi.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sul nome del criterio.

  4. Fai clic su Aggiungi regola.

  5. Compila i campi della regola:

    1. Priorità: l'ordine di valutazione numerica della regola. Le regole sono valutato dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta la priorità. Le priorità devono essere univoche per ogni regola. Una buona prassi consiste nel assegnare alle regole numeri di priorità che consentano l'inserimento successivo (ad esempio 100, 200, 300).
    2. Imposta la raccolta Log su On o Off.
    3. In Direzione del traffico, specifica se questa è una regola Ingress o Egress.

    4. In Azione in caso di corrispondenza, scegli una delle seguenti opzioni:

      1. Consenti: consente le connessioni corrispondenti alla regola.
      2. Deny: nega le connessioni che corrispondono alla regola.
      3. Vai a successiva: la valutazione della connessione viene passata a la successiva regola firewall inferiore nella gerarchia.
      4. Procedi all'ispezione L7: invia i pacchetti all'endpoint firewall configurato per l'ispezione di livello 7.
        • Nell'elenco Gruppo di profili di sicurezza: seleziona il nome di un gruppo di profili di sicurezza.
        • Per abilitare l'ispezione TLS dei pacchetti, Seleziona Abilita ispezione TLS.

      Per scoprire di più su come vengono valutate le regole e le azioni corrispondenti per ogni interfaccia di rete della VM, consulta Ordine di valutazione delle norme e delle regole.

    5. (Facoltativo) Puoi limitare la regola a determinate reti specificandole nel campo Reti di destinazione. Fai clic su AGGIUNGI RETE e seleziona il Progetto e la Rete. Puoi aggiungere più emittenti target a una regola.

    6. (Facoltativo) Puoi limitare la regola alle VM in esecuzione con accesso a determinati account di servizio specificando gli account nel campo Account di servizio di destinazione.

    7. Per una regola in entrata, specifica il filtro Origine:

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di origine, seleziona IPv4, quindi inserisci i blocchi CIDR nell'intervallo IP . Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di origine, seleziona IPv6, e inserire i blocchi CIDR nel campo intervallo IP . Utilizza ::/0 per qualsiasi origine IPv6.

    8. Per una regola in uscita, specifica il filtro Destinazione:

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di destinazione, seleziona IPv4, quindi inserisci i blocchi CIDR nell'intervallo IP . Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di destinazione, seleziona IPv6, quindi inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza ::/0 per qualsiasi destinazione IPv6.

    9. (Facoltativo) Se stai creando una regola In entrata, specifica i FQDN di origine a cui si applica questa regola. Se stai creando una regola in uscita, seleziona i FQDN di destinazione a cui si applica questa regola. Per ulteriori informazioni sugli oggetti nome di dominio, consulta Oggetti nome di dominio.

    10. (Facoltativo) Se vuoi creare una regola Ingress, seleziona l'origine Le geolocalizzazioni a cui si applica questa regola. Se crei una rete in uscita seleziona la geolocalizzazione di destinazione a cui si applica questa regola. Per ulteriori informazioni sugli oggetti di geolocalizzazione, vedi Oggetti di geolocalizzazione.

    11. (Facoltativo) Se vuoi creare una regola Ingress, seleziona il i gruppi di indirizzi di origine a cui si applica questa regola. Se stai creando una regola In uscita, seleziona i gruppi di indirizzi di destinazione a cui si applica questa regola. Per ulteriori informazioni sui gruppi di indirizzi, consulta Gruppi di indirizzi per i criteri firewall.

    12. (Facoltativo) Se stai creando una regola Ingresso, seleziona gli elenchi di Google Cloud Threat Intelligence di origine a cui si applica questa regola. Se crei una regola In uscita, seleziona la destinazione Google Cloud Threat Intelligence elenca a cui si applica questa regola. Per ulteriori informazioni su Threat Intelligence, consulta Threat Intelligence per le regole dei criteri firewall.

    13. (Facoltativo) Per una regola Ingresso, specifica i filtri Destinazione:

      • Per filtrare il traffico in entrata in base agli intervalli IPv4 di destinazione, seleziona IPv4 e inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza 0.0.0.0/0 per qualsiasi destinazione IPv4.
      • Per filtrare il traffico in entrata in base agli intervalli IPv6 di destinazione, seleziona Intervalli IPv6 e inserisci i blocchi CIDR nel campo Intervalli IPv6 di destinazione. Utilizza ::/0 per qualsiasi destinazione IPv6. Per ulteriori informazioni, consulta Destinazione per le regole di ingresso.

    14. (Facoltativo) Per una regola In uscita, specifica il filtro Origine:

      • Per filtrare il traffico in uscita in base agli intervalli IPv4 di origine, seleziona IPv4 e inserisci i blocchi CIDR nel campo Intervallo IP. Utilizza 0.0.0.0/0 per qualsiasi origine IPv4.
      • Per filtrare il traffico in uscita in base agli intervalli IPv6 di origine, seleziona IPv6, e inserire i blocchi CIDR nel campo intervallo IP . Utilizza ::/0 per qualsiasi origine IPv6. Per ulteriori informazioni, vedi Origine per le regole di uscita.

    15. Per Protocolli e porte, specifica che la regola si applica a tutti i protocolli e le porte di destinazione o specificare protocolli e porte di destinazione che si applica.

      Per specificare il protocollo ICMP IPv4, usa icmp o il numero di protocollo 1. Per specificare ICMP IPv6, usa il numero di protocollo 58. Per ulteriori informazioni sui protocolli, consulta Protocolli e .

    16. Fai clic su Crea.

  6. Fai clic su Aggiungi regola per aggiungere un'altra regola.

  7. Fai clic su Continua > Associa criterio alle risorse per associare il criterio alle risorse oppure fai clic su Crea per creare il criterio.

gcloud 

gcloud compute firewall-policies rules create PRIORITY \
    [--organization ORG_ID] \
    --firewall-policy POLICY_NAME \
    [--direction DIRECTION] \
    [--src-ip-ranges IP_RANGES] \
    [--dest-ip-ranges IP_RANGES ] \
    [--src-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--dest-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--src-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--dest-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \
    [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \
    [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    --action ACTION \
    [--security-profile-group SECURITY_PROFILE_GROUP]  \
    [--tls-inspect | --no--tls-inspect] \
    [--layer4-configs PROTOCOL_PORT] \
    [--target-resources NETWORKS] \
    [--target-service-accounts SERVICE_ACCOUNTS] \
    [--enable-logging | --no-enable-logging] \
    [--disabled]

Sostituisci quanto segue:

  • PRIORITY: l'ordine di valutazione numerica della regola

    Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 rappresenta la priorità più alta. Le priorità devono essere univoche per ogni regola. Un buon è dare alle regole numeri di priorità che consentano l'inserimento in un secondo momento (ad esempio 100, 200, 300).

  • ORG_ID: ID della tua organizzazione

  • POLICY_NAME: il nome breve o il nome generato dal sistema del criterio

  • DIRECTION: indica se la regola è una INGRESS (impostazione predefinita) o EGRESS regola

    • Includi --src-ip-ranges per specificare gli intervalli IP per la sorgente del traffico.
    • Includi --dest-ip-ranges per specificare gli intervalli IP per la destinazione del traffico.

    Per ulteriori informazioni, consulta target, origine e destinazione.

  • IP_RANGES: un elenco separato da virgole di formati CIDR Intervalli IP, tutti gli intervalli IPv4 o tutti gli intervalli IPv6, ad esempio:
    --src-ip-ranges=10.100.0.1/32,10.200.0.0/24
    --src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96

  • COUNTRY_CODE: un elenco separato da virgole di codici paese di due lettere

    • Per la direzione in entrata, specifica i codici paese di origine nel Parametro --src-region-code; non puoi usare --src-region-code per la direzione in uscita
    • Per la direzione in uscita, specifica i codici del paese di destinazione nella Parametro --dest-region-code; non puoi usare --dest-region-code per la direzione in entrata

  • LIST_NAMES: un elenco separato da virgole di nomi di elenchi di Threat Intelligence

    • Per la direzione in entrata, specifica l'origine Threat Intelligence elenchi nel parametro --src-threat-intelligence; non puoi usare --src-threat-intelligence per la direzione in uscita
    • Per la direzione in uscita, specifica la Threat Intelligence di destinazione elenchi nel parametro --dest-threat-intelligence; non puoi usare --dest-threat-intelligence per la direzione in entrata

  • ADDR_GRP_URL: un identificatore URL univoco per il gruppo di indirizzi

    • Per la direzione in entrata, specifica i gruppi di indirizzi di origine nella Parametro --src-address-groups; non puoi usare --src-address-groups per la direzione in uscita
    • Per la direzione di uscita, specifica i gruppi di indirizzi di destinazione nel parametro --dest-address-groups. Non puoi utilizzare il parametro --dest-address-groups per la direzione di ingresso.

  • DOMAIN_NAME: un elenco di nomi di dominio separati da virgole nel formato descritto in Formato del nome di dominio

    • Per la direzione di ingresso, specifica i nomi di dominio di origine nel parametro --src-fqdns. Non puoi utilizzare il parametro --src-fqdns per la direzione di uscita.
    • Per la direzione di uscita, specifica i gruppi di indirizzi di destinazione nel parametro --dest-fqdns. Non puoi utilizzare il parametro --dest-fqdns per la direzione di ingresso.

  • ACTION: una delle seguenti azioni:

    • allow: consente le connessioni che corrispondono alla regola
    • deny: nega le connessioni che corrispondono alla regola
    • apply_security_profile_group: invia in modo trasparente i pacchetti all'endpoint del firewall configurato per l'ispezione a livello 7
    • goto_next: passa la valutazione della connessione al livello successivo della gerarchia, una cartella o la rete

    Per scoprire di più su come vengono valutate le regole e le azioni corrispondenti per ogni interfaccia di rete della VM, consulta Ordine di valutazione delle norme e delle regole.

  • SECURITY_PROFILE_GROUP: il nome di un gruppo di profili di sicurezza utilizzato per l'ispezione a livello 7. Specifica questo parametro solo quando è selezionata l'azione apply_security_profile_group

  • --tls-inspect: controlla il traffico TLS utilizzando l'ispezione TLS quando viene selezionata l'azione apply_security_profile_group nella sezione regola; per impostazione predefinita, l'ispezione TLS è disabilitata oppure puoi specificare --no-tls-inspect

  • PROTOCOL_PORT: un elenco separato da virgole di nomi o numeri di protocollo (tcp,17), protocolli e porte di destinazione (tcp:80) o protocolli intervalli di porte di destinazione (tcp:5000-6000)

    Non puoi specificare una porta o un intervallo di porte senza un protocollo. Per ICMP, non puoi specificare una porta o un intervallo di porte, ad esempio: --layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp.

    Per specificare il protocollo ICMP IPv4, usa icmp o il numero di protocollo 1. Per specificare IPv6 ICMP, utilizza il numero di protocollo 58. Per ulteriori informazioni, consulta Protocolli e porte.

  • NETWORKS: un elenco separato da virgole di URL delle risorse di rete VPC nel formatohttps://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME, dove PROJECT_ID è l'ID progetto del progetto che contiene la rete VPC e NETWORK_NAME è il nome della rete. Se omesso, la regola si applica a tutti i VPC all'interno della risorsa.

    Per ulteriori informazioni, consulta Destinatari per le regole dei criteri firewall gerarchici.

  • SERVICE_ACCOUNTS: un elenco di account di servizio separati da virgola. La regola viene applicata solo alle VM in esecuzione con accesso all'account di servizio specificato

    Per ulteriori informazioni, consulta Destinatari per le regole dei criteri firewall gerarchici.

  • --enable-logging e --no-enable-logging: attiva o disattiva Logging delle regole firewall per la regola specificata

  • --disabled: indica che la regola firewall, sebbene esista, è da non prendere in considerazione durante l'elaborazione delle connessioni; omettere questo abilita la regola, ma puoi specificare --no-disabled

Associare un criterio all'organizzazione o alla cartella

Associa un criterio a una risorsa per attivare le regole del criterio per tutte le VM sotto la risorsa nella gerarchia.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sul criterio.

  4. Fai clic sulla scheda Associazioni.

  5. Fai clic su Aggiungi associazione.

  6. Seleziona la cartella principale dell'organizzazione o le cartelle al suo interno.

  7. Fai clic su Aggiungi.

gcloud 

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Sostituisci quanto segue:

  • POLICY_NAME: il nome breve o il nome del criterio generato dal sistema
  • ORG_ID: ID della tua organizzazione
  • FOLDER_ID: se vuoi associare il criterio a una cartella, specificalo qui; ometti se il criterio viene associato alla livello organizzazione
  • ASSOCIATION_NAME: un nome facoltativo per l'associazione; se non specificato, il nome è impostato su "organizzazione ORG_ID" o "cartella FOLDER_ID"
  • --replace-association-on-target e
    Per impostazione predefinita, se tenti di inserire un'associazione in un'organizzazione o una cartella che ha già un'associazione, il metodo non va a buon fine. Se se specifichi questo flag, l'associazione esistente viene eliminata contemporaneamente che viene creata la nuova associazione. In questo modo la risorsa senza una norma durante la transizione.

Spostare un criterio da una risorsa all'altra

Lo spostamento di un criterio modifica la risorsa che lo possiede. Per spostare un criterio, devi dispongono delle autorizzazioni di move sia per la vecchia che per la nuova risorsa.

Lo spostamento di un criterio non influisce sulle associazioni dei criteri esistenti o sulle delle regole esistenti, ma ciò potrebbe influire su chi dispone delle autorizzazioni modificare o associare il criterio dopo lo spostamento.

Console

Utilizza Google Cloud CLI per questa procedura.

gcloud 

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID \
    [--folder FOLDER_ID]

Sostituisci quanto segue:

  • POLICY_NAME: il nome breve o il nome generato dal sistema del criterio che stai spostando
  • ORG_ID: l'ID della tua organizzazione. Se sposti il criterio all'organizzazione, specifica questo ID, ma non specificare una cartella
  • FOLDER_ID: se associ il criterio a una cartella, specificalo qui; omettilo se associ il criterio all' organizzazione

Aggiorna la descrizione di un criterio

L'unico campo dei criteri che può essere aggiornato è Descrizione.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore dei progetti, seleziona l'ID dell'organizzazione o la cartella contenente il criterio.

  3. Fai clic sulla norma.

  4. Fai clic su Modifica.

  5. Modifica la descrizione.

  6. Fai clic su Salva.

gcloud 

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

Elenco criteri

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore dei progetti, seleziona l'ID dell'organizzazione o la cartella contenente il criterio.

    Per un'organizzazione, la sezione Criteri firewall associati a questa organizzazione mostra i criteri associati. La sezione Criteri firewall situati in questa organizzazione elenca i criteri di proprietà dell'organizzazione.

    Per una cartella, la sezione Criteri firewall associati a questa cartella o ereditati da questa cartella mostra i criteri associati o ereditati dalla cartella. La Nella sezione I criteri firewall situati in questa cartella sono elencati i criteri che sono di proprietà della cartella.

gcloud 

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

Descrivi un criterio

Puoi visualizzare tutti i dettagli di un criterio, incluse tutte le relative regole firewall. Nella Inoltre, puoi vedere molti attributi che sono presenti in tutte le regole nel . Questi attributi vengono conteggiati ai fini di un limite per norma.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore dei progetti, seleziona l'ID dell'organizzazione o la cartella contenente il criterio.

  3. Fai clic sul criterio.

gcloud 

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

Eliminare una norma

Devi eliminare tutte le associazioni in un criterio firewall dell'organizzazione prima di possono eliminarlo.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sul criterio che vuoi eliminare.

  4. Fai clic sulla scheda Associazioni.

  5. Seleziona tutte le associazioni.

  6. Fai clic su Rimuovi associazioni.

  7. Dopo aver rimosso tutte le associazioni, fai clic su Elimina.

gcloud

  1. Elenca tutte le risorse associate a un criterio firewall:

    gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

  2. Eliminare singole associazioni. Per rimuovere l'associazione, devi disporre del ruolo compute.orgSecurityResourceAdmin nella risorsa associata o nell'antenato di quella risorsa.

    gcloud compute firewall-policies associations delete RESOURCE_NAME \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

  3. Elimina il criterio:

    gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

Elenco associazioni per una risorsa

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Per la risorsa (organizzazione o cartella) selezionata, un elenco di i criteri ereditati e quelli ereditati.

gcloud 

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

Elencare le associazioni per un criterio

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore dei progetti, seleziona l'ID dell'organizzazione o la cartella contenente il criterio.

  3. Fai clic sulla norma.

  4. Fai clic sulla scheda Associazioni.

  5. Le associazioni sono elencate nella tabella.

gcloud 

gcloud compute firewall-policies describe POLICY_ID

Eliminare un'associazione

Per interrompere l'applicazione di un criterio firewall nell'organizzazione o in una cartella: elimineremo l'associazione.

Tuttavia, se intendi sostituire un criterio firewall con un altro, non è necessario eliminare prima l'associazione esistente. In questo modo, verrebbe lasciato un periodo di tempo in cui nessuna delle due norme viene applicata. Sostituisci invece norme esistenti quando associ una nuova norma.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sulla norma.

  4. Fai clic sulla scheda Associazioni.

  5. Seleziona l'associazione che vuoi eliminare.

  6. Fai clic su Rimuovi associazioni.

gcloud 

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

Attività relative alle regole del criterio firewall

Crea una regola in un criterio firewall esistente

Consulta Creare regole firewall.

Elenco di tutte le regole in un criterio

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sulla norma. Le regole sono elencate nella scheda Regole firewall.

gcloud 

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization ORG_ID

Descrivi una regola

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore dei progetti, seleziona l'ID dell'organizzazione o la cartella contenente il criterio.

  3. Fai clic sul criterio.

  4. Fai clic sulla priorità della regola.

gcloud 

gcloud compute firewall-policies rules describe PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Sostituisci quanto segue:

  • PRIORITY: la priorità della regola che vuoi visualizzare. Poiché ogni regola deve avere una priorità univoca, questa impostazione identifica in modo univoco una regola
  • ORG_ID: ID della tua organizzazione
  • POLICY_NAME: il nome breve o generato dal sistema del che contiene la regola

Aggiorna una regola

Per le descrizioni dei campi, consulta Creare regole firewall.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sul criterio.

  4. Fai clic sulla priorità della regola.

  5. Fai clic su Modifica.

  6. Modifica i campi da modificare.

  7. Fai clic su Salva.

gcloud 

gcloud compute firewall-policies rules update RULE_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [...fields you want to modify...]

Clonare le regole da un criterio all'altro

Rimuovi tutte le regole dal criterio di destinazione e sostituiscile con le regole nel criterio di origine.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sul criterio da cui vuoi copiare le regole.

  4. Fai clic su Clona nella parte superiore dello schermo.

  5. Specifica il nome di un criterio di destinazione.

  6. Fai clic su Continua > Associa il criterio alle risorse se vuoi associare immediatamente il nuovo criterio.

  7. Fai clic su Clona.

gcloud 

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --organization ORG_ID \
    --source-firewall-policy SOURCE_POLICY

Sostituisci quanto segue:

  • POLICY_NAME: il criterio per ricevere le regole copiate
  • ORG_ID: l'ID della tua organizzazione
  • SOURCE_POLICY: il criterio da cui copiare le regole; deve essere l'URL della risorsa

Eliminare una regola da un criterio

L'eliminazione di una regola da un criterio comporta la rimozione della regola da tutte le VM che la ereditano.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Nel menu a discesa del selettore progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.

  3. Fai clic sulla norma.

  4. Seleziona la regola da eliminare.

  5. Fai clic su Elimina.

gcloud 

gcloud compute firewall-policies rules delete PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Sostituisci quanto segue:

  • PRIORITY: la priorità della regola da cui vuoi eliminare le norme
  • ORG_ID: ID della tua organizzazione
  • POLICY_NAME: il criterio contenente la regola

Ottieni regole firewall efficaci per una rete

Visualizza tutte le regole dei criteri firewall gerarchici, il firewall VPC e regole del criterio firewall di rete globale applicate a un rete VPC.

Console

  1. Nella console Google Cloud, vai alla pagina Reti VPC.

    Vai a Reti VPC

  2. Fai clic sulla rete per cui vuoi visualizzare le regole del criterio firewall.

  3. Fai clic su Criteri firewall.

  4. Espandi ciascun criterio firewall per visualizzare le regole che si applicano a questa rete.

gcloud 

gcloud compute networks get-effective-firewalls NETWORK_NAME

Sostituisci quanto segue:

  • NETWORK_NAME: la rete per cui ottenere regole efficaci

Puoi anche visualizzare le regole firewall effettive per una rete dal Firewall .

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. I criteri firewall sono elencati nella sezione Criteri firewall ereditati da questo progetto.

  3. Fai clic su ciascun criterio firewall per visualizzare le regole che si applicano a questa rete.

Ottieni regole firewall efficaci per un'interfaccia VM

Mostra tutte le regole dei criteri firewall gerarchici, le regole firewall VPC e le regole dei criteri firewall di rete globali applicati a un'interfaccia VM Compute Engine specificata.

Console

  1. Nella console Google Cloud, vai alla pagina Istanze VM.

    Vai a Istanze VM

  2. Nel menu a discesa del selettore progetti, seleziona il progetto contenente la VM.

  3. Fai clic sulla VM.

  4. In Interfacce di rete, fai clic sull'interfaccia.

  5. Le regole firewall effettive vengono visualizzate in Dettagli firewall e route.

gcloud 

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Sostituisci quanto segue:

  • INSTANCE_NAME: la VM per cui ottenere regole efficaci. se nessuna interfaccia specificata, restituisce le regole per l'interfaccia principale (nic0)
  • INTERFACE: l'interfaccia della VM per cui ottenere le regole efficaci. Il valore predefinito è nic0
  • ZONE: la zona della VM; facoltativo se la zona scelta è già impostata come predefinita

Risoluzione dei problemi

Questa sezione contiene le spiegazioni dei messaggi di errore che potresti visualizzare.

  • FirewallPolicy may not specify a name. One will be provided.

    Non puoi specificare un nome per il criterio. "Nomi" dei criteri firewall gerarchici sono ID numerici generati da Google Cloud al momento della creazione del criterio. Tuttavia, puoi specificare un nome breve più semplice che funga da alias in: in molti contesti.

  • FirewallPolicy may not specify associations on creation.

    Le associazioni possono essere create solo dopo che i criteri firewall gerarchici sono è stato creato.

  • Can not move firewall policy to a different organization.

    Gli spostamenti dei criteri firewall gerarchici devono rimanere all'interno della stessa organizzazione.

  • The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

    Se una risorsa è già collegata a un criterio di firewall gerarchico, l'operazione di collegamento non va a buon fine a meno che l'opzione di sostituzione delle associazioni esistenti non sia impostata su true.

  • Cannot have rules with the same priorities.

    Le priorità delle regole devono essere univoche all'interno di un firewall gerarchico .

  • Direction must be specified on firewall policy rule.

    Quando crei regole gerarchiche di criteri firewall mediante l'invio di richieste REST occorre specificare la direzione della regola. Quando utilizzi Google Cloud CLI e non viene specificata alcuna direzione, il valore predefinito è INGRESS.

  • Can not specify enable_logging on a goto_next rule.

    Il logging dei firewall non è consentito per le regole con l'azione goto_next perché Le azioni goto_next sono utilizzate per rappresentare l'ordine di valutazione di criteri firewall e non sono azioni del terminale, ad esempio CONSENTI o DENY.

  • Must specify at least one destination on Firewall policy rule.

    Il parametro layer4Configs nella regola del criterio firewall deve essere specificato in almeno un protocollo o un protocollo e una porta di destinazione.

    Per maggiori dettagli sulla risoluzione dei problemi relativi alle regole dei criteri firewall, consulta Risoluzione dei problemi relativi alle regole firewall VPC.

Passaggi successivi