Hierarchische Firewallrichtlinien und -regeln verwenden

Auf dieser Seite wird davon ausgegangen, dass Sie mit den in Hierarchischen Firewallrichtlinien beschriebenen Konzepten vertraut sind. Beispiele für die Implementierung hierarchischer Firewallrichtlinien finden Sie unter Beispiele für hierarchische Firewallrichtlinien.

Beschränkungen

  • Regeln für hierarchische Firewallrichtlinien unterstützen keine Quell-Tags oder Quelldienstkonten.
  • Regeln für hierarchische Firewallrichtlinien unterstützen für die Definition von Zielen keine Netzwerk-Tags. Stattdessen müssen Sie ein Ziel-VPC-Netzwerk oder ein Zieldienstkonto verwenden.
  • Firewallrichtlinien können auf Ordner- und Organisationsebene angewendet werden, jedoch nicht auf VPC-Netzwerkebene. Für VPC-Netzwerke werden reguläre VPC-Firewallregeln unterstützt.
  • Einem Knoten (Ordner oder Organisation) kann jeweils nur eine Firewallrichtlinie zugeordnet werden. Die VM-Instanzen in einem Ordner können jedoch die Regeln aus der gesamten Knotenhierarchie übernehmen, die der VM übergeordnet ist.
  • Logging von Firewallregeln wird für die Regeln allow und deny unterstützt, nicht aber für goto_next-Regeln.
  • IPv6-Hop-by-Hop-Protokoll wird in Firewallregeln nicht unterstützt.

Aufgaben im Zusammenhang mit Firewallrichtlinien

Firewallrichtlinie erstellen

Sie können eine Richtlinie für jeden Knoten, jede Organisation und jeden Ordner Ihrer Organisationshierarchie erstellen. Nachdem Sie eine Richtlinie erstellt haben, können Sie sie mit einem beliebigen Knoten Ihrer Organisation verknüpfen. Nach der Verknüpfung werden die Regeln der Richtlinie für VMs unter dem zugehörigen Knoten in der Hierarchie aktiviert.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü zur Projektauswahl Ihre Organisations-ID oder einen Ordner innerhalb Ihrer Organisation aus.

  3. Klicken Sie auf Firewallrichtlinie erstellen.

  4. Geben Sie der Richtlinie einen Namen.

  5. Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Weiter > Regel hinzufügen.

    Weitere Informationen finden Sie unter Firewallregeln erstellen.

  6. Wenn Sie die Richtlinie mit einem Knoten verknüpfen möchten, klicken Sie auf Weiter > Richtlinie mit Ressourcen verknüpfen.

    Weitere Informationen finden Sie unter Richtlinie mit der Organisation oder einem Ordner verknüpfen.

  7. Klicken Sie auf Erstellen.

gcloud 

gcloud compute firewall-policies create \
    [--organization ORG_ID] | --folder FOLDER_ID] \
    --short-name SHORT_NAME

Dabei gilt:

  • ORG_ID: die ID Ihrer Organisation
    Geben Sie diese ID an, wenn Sie die Richtlinie auf Organisationsebene erstellen. Diese ID gibt nur an, wo die Richtlinie gültig ist, die Richtlinie wird dadurch aber nicht automatisch mit dem Organisationsknoten verknüpft.
  • FOLDER_ID: die ID eines Ordners
    Geben Sie diese ID an, wenn Sie die Richtlinie in einem bestimmten Ordner erstellen. Diese ID gibt nur an, wo die Richtlinie gültig ist; die Richtlinie wird dadurch aber nicht automatisch mit diesem Ordner verknüpft.
  • SHORT_NAME: ein Name für die Richtlinie
    Eine Richtlinie, die mithilfe der Google Cloud CLI erstellt wird, hat zwei Namen: einen vom System generierten Namen und einen Kurznamen, den Sie selbst festlegen. Wenn Sie eine vorhandene Richtlinie über die Google Cloud-CLI aktualisieren, können Sie entweder den vom System generierten Namen oder den Kurznamen und die Organisations-ID angeben. Wenn Sie die API zum Aktualisieren der Richtlinie verwenden, müssen Sie den vom System generierten Namen angeben.

Firewallregeln erstellen

Regeln für hierarchische Firewallrichtlinien müssen in einer hierarchischen Firewallrichtlinie erstellt werden. Die Regeln sind erst aktiv, wenn Sie die zugehörige Richtlinie einem Knoten zuordnen.

Jede hierarchische Firewallrichtlinienregel kann entweder IPv4- oder IPv6-Bereiche enthalten, aber nicht beides.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner aus, der die Richtlinie enthält.

  3. Klicken Sie auf den Namen Ihrer Richtlinie.

  4. Klicken Sie auf Regel hinzufügen.

  5. Füllen Sie die Regelfelder aus:

    1. Priorität: die numerische Auswertungsreihenfolge der Regel. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Es empfiehlt sich, Regeln Prioritätsnummern zuzuweisen, die ein späteres Einfügen ermöglichen (z. B. 100, 200, 300).
    2. Schalten Sie die Erfassung der Logs Ein oder Aus.
    3. Geben Sie unter Traffic-Richtung an, ob diese Regel für eingehenden Traffic oder ausgehenden Traffic gilt.

    4. Wählen Sie unter Aktion bei Übereinstimmung eine der folgenden Optionen aus:

      1. Zulassen: Ermöglicht die Verbindungen, die der Regel entsprechen.
      2. Ablehnen: Die Verbindungen, die der Regel entsprechen, werden abgelehnt.
      3. Zu nächster: Die Auswertung der Verbindung wird an die nächst niedrigere Firewallregel in der Hierarchie übergeben.
      4. Weiter zur L7-Prüfung: Die Pakete werden zur Layer-7-Prüfung an den konfigurierten Firewallendpunkt gesendet.
        • Wählen Sie in der Liste Sicherheitsprofilgruppe den Namen einer Sicherheitsprofilgruppe aus.
        • Wählen Sie TLS-Prüfung aktivieren aus, um die TLS-Prüfung der Pakete zu aktivieren.

      Weitere Informationen dazu, wie Regeln und entsprechende Aktionen für jede Netzwerkschnittstelle der VM ausgewertet werden, finden Sie unter Reihenfolge der Richtlinien- und Regelauswertungen.

    5. Optional: Sie können die Regel auf bestimmte Netzwerke beschränken, indem Sie diese im Feld Zielnetzwerke angeben. Klicken Sie auf NETZWERK HINZUFÜGEN und wählen Sie dann das Projekt und das Netzwerk aus. Sie können einer Regel mehrere Zielnetzwerke hinzufügen.

    6. Optional: Sie können die Regel auf VMs einschränken, die mit Zugriff auf bestimmte Dienstkonten ausgeführt werden. Dazu geben Sie die Konten im Feld Zieldienstkonten an.

    7. Geben Sie den Quellfilter für eine Regel für eingehenden Traffic an:

      • Wenn Sie eingehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie eingehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie ::/0 für jede IPv6-Quelle.

    8. Geben Sie den Zielfilter für eine Regel für ausgehenden Traffic an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie ausgehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie ::/0 für jedes IPv6-Ziel.

    9. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, geben Sie die Quell-FQDNs an, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Ziel-FQDNs aus, für die diese Regel gelten soll. Weitere Informationen zu Domainnamenobjekten finden Sie unter Domainnamenobjekte.

    10. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quell-Standorte aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Ziel-Standorte aus, für die diese Regel gelten soll. Weitere Informationen zu Standortbestimmungs-Objekten finden Sie unter Standortbestimmungs-Objekte.

    11. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Quell-Adressgruppen aus, für die diese Regel gelten soll. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Quell-Adressgruppen aus, für die diese Regel gelten soll. Weitere Informationen zu Adressgruppen finden Sie unter Adressgruppen für Firewallrichtlinien.

    12. Optional: Wenn Sie eine Regel für eingehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Quelllisten aus, für die diese Regel gilt. Wenn Sie eine Regel für ausgehenden Traffic erstellen, wählen Sie die Google Cloud Threat Intelligence-Ziellisten aus, für die diese Regel gilt. Weitere Informationen zu Threat Intelligence finden Sie unter Threat Intelligence für Firewallrichtlinien-Regeln.

    13. Optional: Geben Sie für eine Regel für eingehenden Traffic die Zielfilter an:

      • Wenn Sie eingehenden Traffic nach IPv4-Zielbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie 0.0.0.0/0 für jedes IPv4-Ziel.
      • Wenn Sie eingehenden Traffic nach IPv6-Zielbereichen filtern möchten, wählen Sie IPv6-Bereiche aus und geben Sie die CIDR-Blöcke in das Feld IPv6-Zielbereiche ein. Verwenden Sie ::/0 für jedes IPv6-Ziel. Weitere Informationen finden Sie unter Ziel für Regeln für eingehenden Traffic.

    14. Optional: Geben Sie für eine Regel für ausgehenden Traffic den Quellfilter an:

      • Wenn Sie ausgehenden Traffic nach IPv4-Quellbereichen filtern möchten, wählen Sie IPv4 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie 0.0.0.0/0 für jede IPv4-Quelle.
      • Wenn Sie ausgehenden Traffic nach IPv6-Quellbereichen filtern möchten, wählen Sie IPv6 aus und geben Sie dann die CIDR-Blöcke in das Feld IP-Bereich ein. Verwenden Sie ::/0 für jede IPv6-Quelle. Weitere Informationen finden Sie unter Quelle für Regeln für ausgehenden Traffic.

    15. Geben Sie für Protokolle und Ports entweder an, dass die Regel für alle Protokolle und Zielports gilt, oder legen Sie fest, für welche Protokolle und Zielports sie gilt.

      Verwenden Sie icmp oder die Protokollnummer 1, um IPv4 ICMP anzugeben. Verwenden Sie die Protokollnummer 58, um IPv6 ICMP anzugeben. Weitere Informationen zu Protokollen finden Sie unter Protokolle und Ports.

    16. Klicken Sie auf Erstellen.

  6. Klicken Sie auf Regel hinzufügen, um eine weitere Regel hinzuzufügen.

  7. Klicken Sie auf Weiter > Richtlinie mit Ressourcen verknüpfen, um die Richtlinie mit Ressourcen zu verknüpfen, oder klicken Sie auf Erstellen, um die Richtlinie zu erstellen.

gcloud

gcloud compute firewall-policies rules create PRIORITY \
    [--organization ORG_ID] \
    --firewall-policy POLICY_NAME \
    [--direction DIRECTION] \
    [--src-ip-ranges IP_RANGES] \
    [--dest-ip-ranges IP_RANGES ] \
    [--src-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--dest-region-codes COUNTRY_CODE,[COUNTRY_CODE,...]] \
    [--src-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--dest-threat-intelligence LIST_NAMES[,LIST_NAME,...]] \
    [--src-address-groups ADDR_GRP_URL[,ADDR_GRP_URL,...]] \
    [--dest-address-groups ADDR_GRP_URL[,ADDR_GRP_URLL,...]] \
    [--dest-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    [--src-fqdns DOMAIN_NAME[,DOMAIN_NAME,...]]
    --action ACTION \
    [--security-profile-group SECURITY_PROFILE_GROUP]  \
    [--tls-inspect | --no--tls-inspect] \
    [--layer4-configs PROTOCOL_PORT] \
    [--target-resources NETWORKS] \
    [--target-service-accounts SERVICE_ACCOUNTS] \
    [--enable-logging | --no-enable-logging] \
    [--disabled]

Ersetzen Sie Folgendes:

  • PRIORITY: die numerische Auswertungsreihenfolge der Regel

    Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist. Die Prioritäten müssen für jede Regel eindeutig sein. Es empfiehlt sich, Regeln Prioritätsnummern zuzuweisen, die ein späteres Einfügen ermöglichen (z. B. 100, 200, 300).

  • ORG_ID: ID Ihrer Organisation

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie

  • DIRECTION: gibt an, ob die Regel eine INGRESS- (Standardeinstellung) oder EGRESS-Regel ist

    • Fügen Sie --src-ip-ranges ein, um IP-Bereiche für die Traffic-Quelle anzugeben.
    • Fügen Sie --dest-ip-ranges ein, um IP-Bereiche für das Ziel des Traffics anzugeben.

    Weitere Informationen finden Sie unter Ziele, Quelle und Ziel.

  • IP_RANGES: eine durch Kommas getrennte Liste von CIDR-formatierten IP-Bereichen, entweder alles IPv4-Bereiche oder alles IPv6-Bereiche. Beispiele:
    --src-ip-ranges=10.100.0.1/32,10.200.0.0/24
    --src-ip-ranges=2001:0db8:1562::/96,2001:0db8:1723::/96

  • COUNTRY_CODE: eine durch Kommas getrennte Liste mit aus zwei Buchstaben bestehenden Ländercodes

    • Geben Sie für die Richtung des eingehenden Traffics die Quellländercodes im Parameter --src-region-code an. Sie können den Parameter --src-region-code nicht für die Richtung des ausgehenden Traffics verwenden.
    • Geben Sie für die Richtung des ausgehenden Traffics die Ziellländercodes im Parameter --dest-region-code an. Sie können den Parameter --dest-region-code nicht für die Richtung des eingehenden Traffics verwenden.

  • LIST_NAMES: eine durch Kommas getrennte Liste von Namen von Threat Intelligence-Listen

    • Geben Sie für die Richtung des eingehenden Traffics die Threat Intelligence-Quelllisten im Parameter --src-threat-intelligence an. Sie können den Parameter --src-threat-intelligence nicht für die Richtung des ausgehenden Traffics verwenden.
    • Geben Sie für die Richtung des ausgehenden Traffics die Threat Intelligence-Ziellisten im Parameter --dest-threat-intelligence an. Sie können den Parameter --dest-threat-intelligence nicht für die Richtung des eingehenden Traffics verwenden.

  • ADDR_GRP_URL: eine eindeutige URL-ID für die Adressgruppe

    • Geben Sie für die Richtung des eingehenden Traffics die Quelladressgruppen im Parameter --src-address-groups an. Sie können den Parameter --src-address-groups nicht für die Richtung des ausgehenden Traffics verwenden.
    • Geben Sie für die Richtung des ausgehenden Traffics die Zieladressgruppen im Parameter --dest-address-groups an. Sie können den Parameter --dest-address-groups nicht für die Richtung des eingehenden Traffics verwenden.

  • DOMAIN_NAME: eine durch Kommas getrennte Liste von Domainnamen in dem Format, das unter Domainnamenformat beschrieben wird

    • Geben Sie für die Richtung des eingehenden Traffics die Quelldomainnamen im Parameter --src-fqdns an. Sie können den Parameter --src-fqdns nicht für die Richtung des ausgehenden Traffics verwenden.
    • Geben Sie für die Richtung des ausgehenden Traffics die Zieladressgruppen im Parameter --dest-fqdns an. Sie können den Parameter --dest-fqdns nicht für die Richtung des eingehenden Traffics verwenden.

  • ACTION: eine der folgenden Aktionen:

    • allow: lässt Verbindungen zu, die der Regel entsprechen
    • deny: lehnt Verbindungen ab, die der Regel entsprechen
    • apply_security_profile_group: sendet die Pakete transparent für die Layer-7-Prüfung an den konfigurierten Firewallendpunkt
    • goto_next: leitet die Auswertung der Verbindung an die nächste Ebene in der Hierarchie weiter, entweder die Ordner- oder die Netzwerkebene

    Weitere Informationen dazu, wie Regeln und entsprechende Aktionen für jede Netzwerkschnittstelle der VM ausgewertet werden, finden Sie unter Reihenfolge der Richtlinien- und Regelauswertungen.

  • SECURITY_PROFILE_GROUP: der Name einer Sicherheitsprofilgruppe, die für die Layer-7-Prüfung verwendet wird. Geben Sie diesen Parameter nur an, wenn die Aktion apply_security_profile_group ausgewählt ist.

  • --tls-inspect: überprüft den TLS-Traffic mithilfe der TLS-Prüfungsrichtlinie, wenn die apply_security_profile_group-Aktion in der Regel ausgewählt ist. Die TLS-Prüfung ist standardmäßig deaktiviert. Sie können aber auch --no-tls-inspect angeben.

  • PROTOCOL_PORT: eine durch Kommas getrennte Liste von Protokollnamen oder -nummern (tcp,17), Protokollen und Zielports (tcp:80) oder Protokollen und Zielportbereichen (tcp:5000-6000)

    Sie können keinen Port oder Portbereich ohne Protokoll angeben. Für ICMP können Sie keinen Port oder Portbereich angeben. Beispiel: --layer4-configs tcp:80,tcp:443,udp:4000-5000,icmp

    Verwenden Sie icmp oder die Protokollnummer 1, um IPv4 ICMP anzugeben. Verwenden Sie die Protokollnummer 58, um IPv6 ICMP anzugeben. Weitere Informationen finden Sie unter Protokolle und Ports.

  • NETWORKS: eine durch Kommas getrennte Liste von VPC-Netzwerkressourcen-URLs im Format https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME, wobei PROJECT_ID Die ID des Projekts, das das VPC-Netzwerk enthält, und NETWORK_NAME der Netzwerkname. Wird keine Angabe gemacht, gilt die Regel für alle VPC-Netzwerke unter dem Knoten.

    Weitere Informationen finden Sie unter Ziele für hierarchische Firewallrichtlinienregeln.

  • SERVICE_ACCOUNTS: eine durch Kommas getrennte Liste von Dienstkonten. Die Regel wird nur auf VMs angewendet, die mit Zugriff auf das angegebene Dienstkonto ausgeführt werden.

    Weitere Informationen finden Sie unter Ziele für hierarchische Firewallrichtlinienregeln.

  • --enable-logging und --no-enable-logging: aktiviert bzw. deaktiviert das Logging von Firewallregeln für die betreffende Regel

  • --disabled: gibt an, dass die vorhandene Firewallregel bei der Verarbeitung von Verbindungen nicht berücksichtigt wird. Durch das Weglassen dieses Flags wird die Regel aktiviert oder Sie können --no-disabled angeben.

Richtlinie mit der Organisation oder dem Ordner verknüpfen

Verknüpfen Sie eine Richtlinie mit einem Knoten, um die Richtlinienregeln für alle VMs unter dem Knoten in der Hierarchie zu aktivieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner aus, der die Richtlinie enthält.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Klicken Sie auf Verknüpfung hinzufügen.

  6. Wählen Sie den Organisationsstamm oder die Ordner innerhalb der Organisation aus.

  7. Klicken Sie auf Add (Hinzufügen).

gcloud 

gcloud compute firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [ --folder FOLDER_ID ] \
    [ --name ASSOCIATION_NAME ] \
    [ --replace-association-on-target ]

Ersetzen Sie Folgendes:

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie
  • ORG_ID: ID Ihrer Organisation
  • FOLDER_ID: Wenn Sie die Richtlinie mit einem Ordner verknüpfen, geben Sie diesen hier an. Lassen Sie den Platzhalter unverändert, wenn Sie die Richtlinie auf Organisationsebene verknüpfen
  • ASSOCIATION_NAME: Optionaler Name für die Verknüpfung. Wenn nicht angegeben, wird der Name "Organisation ORG_ID" oder "Ordner FOLDER_ID" festgelegt.
  • --replace-association-on-target
    Normalerweise schlägt der Vorgang fehl, wenn Sie versuchen, eine Richtlinie mit einem Knoten auf Organisations- oder Ordnerebene zu verknüpfen, für den bereits eine Verknüpfung besteht. Wenn Sie dieses Flag angeben, wird die vorhandene Verknüpfung gelöscht, sobald Sie die neue Verknüpfung erstellen. Dadurch wird verhindert, dass der Knoten während der Umstellung keine Richtlinie hat.

Richtlinie von einem Knoten in einen anderen verschieben

Durch das Verschieben einer Richtlinie wird der Knoten geändert, der Inhaber der Richtlinie ist. Zum Verschieben einer Richtlinie benötigen Sie sowohl für den alten als auch den neuen Knoten move-Berechtigungen.

Das Verschieben einer Richtlinie wirkt sich nicht auf vorhandene Richtlinienverknüpfungen oder die Auswertung vorhandener Regeln aus. Es kann sich jedoch darauf auswirken, wer nach dem Verschieben die Berechtigung zum Ändern oder Verknüpfen der Richtlinie hat.

Console

Verwenden Sie für dieses Verfahren die Google Cloud CLI.

gcloud

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID \
    [--folder FOLDER_ID]

Dabei gilt:

  • POLICY_NAME: entweder der Kurzname oder der vom System generierte Name der Richtlinie, die Sie verschieben
  • ORG_ID: ID Ihrer Organisation Wenn Sie die Richtlinie auf den Organisationsknoten verschieben, geben Sie diese ID an, aber keinen Ordner.
  • FOLDER_ID: Wenn Sie die Richtlinie mit einem Ordner verknüpfen, geben Sie diesen hier an. Lassen Sie den Platzhalter unverändert, wenn Sie die Richtlinie mit dem Organisationsknoten verknüpfen

Richtlinienbeschreibung aktualisieren

Das einzige Richtlinienfeld, das aktualisiert werden kann, ist das Feld Beschreibung.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf Bearbeiten.

  5. Ändern Sie die Beschreibung.

  6. Klicken Sie auf Speichern.

gcloud

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

Listenrichtlinien

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

    Im Bereich Mit diesem Knoten verknüpfte oder vom Knoten übernommene Firewallrichtlinien sehen Sie, welche Richtlinien in Ihrer Ressourcenhierarchie mit diesem Knoten verknüpft sind.

    Im Bereich Firewallrichtlinien auf diesem Knoten sind Richtlinien aufgeführt, die in der Ressourcenhierarchie zu diesem Knoten gehören. Solche Richtlinien müssen nicht notwendigerweise mit diesem Knoten verknüpft sein, können aber mit diesem oder anderen Knoten verknüpft werden.

gcloud

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

Richtlinie beschreiben

Sie können alle Details einer Richtlinie ansehen, einschließlich aller Firewallregeln. Darüber hinaus sehen Sie viele Attribute von allen Regeln für die Richtlinie. Für diese Attribute gilt ein Limit pro Richtlinie.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

gcloud

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

Richtlinie löschen

Bevor Sie die Firewallrichtlinie einer Organisation löschen können, müssen Sie zuerst alle ihre Verknüpfungen löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie, die Sie löschen möchten.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie alle Verknüpfungen aus.

  6. Klicken Sie auf Verknüpfungen entfernen.

  7. Nachdem Sie alle Verknüpfungen entfernt haben, klicken Sie auf Löschen.

gcloud

  1. Listen Sie alle Knoten auf, die mit einer Firewallrichtlinie verknüpft sind:

    gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

  2. Einzelne Verknüpfungen löschen: Zum Aufheben einer Verknüpfung benötigen Sie die Rolle compute.orgSecurityResourceAdmin für den verknüpften Knoten oder den Ancestor dieses Knotens.

    gcloud compute firewall-policies associations delete NODE_NAME \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

  3. So löschen Sie die Richtlinie:

    gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

Verknüpfungen für einen Knoten auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Die verknüpften und übernommenen Richtlinien sind im Bereich Mit diesem Knoten verknüpfte oder von diesem Knoten übernommene Firewallrichtlinien aufgeführt.

gcloud

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

Verknüpfungen für eine Richtlinie auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Die Verknüpfungen sind in der Tabelle aufgelistet.

gcloud

gcloud compute firewall-policies describe POLICY_ID

Verknüpfung löschen

Wenn eine Firewallrichtlinie auf Organisations- oder Ordnerebene nicht mehr erzwungen werden soll, löschen Sie die Verknüpfung.

Wenn Sie jedoch eine Firewallrichtlinie durch eine andere ersetzen möchten, muss die vorhandene Verknüpfung nicht vorher gelöscht werden. Denn dadurch würde ein Zeitraum verbleiben, in dem keine der Richtlinien erzwungen wird. Ersetzen Sie daher die vorhandene Richtlinie, wenn Sie eine neue Richtlinie verknüpfen möchten.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf den Tab Verknüpfungen.

  5. Wählen Sie die Verknüpfung aus, die Sie löschen möchten.

  6. Klicken Sie auf Verknüpfungen entfernen.

gcloud

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

Aufgaben im Zusammenhang mit Firewallregeln

Regel in einer vorhandenen Firewallrichtlinie erstellen

Weitere Informationen finden Sie unter Firewallregeln erstellen.

Alle Regeln in einer Richtlinie auflisten

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie. Im Tab Firewallregeln sind alle Regeln aufgelistet.

gcloud

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization ORG_ID

Regel beschreiben

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Priorität der Regel, die Sie ansehen möchten. Da jede Regel eine eindeutige Priorität haben muss, identifiziert diese Einstellung eine Regel eindeutig
  • ORG_ID: ID Ihrer Organisation
  • POLICY_NAME: der Kurzname oder der vom System generierte Name der Richtlinie, die die Regel enthält

Regel aktualisieren

Feldbeschreibungen finden Sie unter Firewallregeln erstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Klicken Sie auf die Priorität der Regel.

  5. Klicken Sie auf Bearbeiten.

  6. Ändern Sie die gewünschten Felder.

  7. Klicken Sie auf Speichern.

gcloud

gcloud compute firewall-policies rules update RULE_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID \
    [...fields you want to modify...]

Regeln von einer Richtlinie in eine andere kopieren

Alle Regeln der Zielrichtlinie werden entfernt und durch die Regeln der Quellrichtlinie ersetzt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie, aus der Sie Regeln kopieren möchten.

  4. Klicken Sie oben auf dem Bildschirm auf Klonen.

  5. Geben Sie den Namen der Zielrichtlinie an.

  6. Klicken Sie auf Weiter > Richtlinie mit Ressourcen verknüpfen, wenn Sie die neue Richtlinie sofort verknüpfen möchten.

  7. Klicken Sie auf Klonen.

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --organization ORG_ID \
    --source-firewall-policy SOURCE_POLICY

Ersetzen Sie Folgendes:

  • POLICY_NAME: Richtlinie, in die die kopierten Regeln eingefügt werden sollen
  • ORG_ID: ID Ihrer Organisation
  • SOURCE_POLICY: Richtlinie, aus der die Regeln kopiert werden sollen; muss die URL der Ressource sein

Regel aus einer Richtlinie löschen

Durch das Löschen einer Regel aus einer Richtlinie wird die Regel aus allen VMs entfernt, die die Regel übernehmen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Wählen Sie im Drop-down-Menü der Projektauswahl Ihre Organisations-ID oder den Ordner mit der Richtlinie aus.

  3. Klicken Sie auf die Richtlinie.

  4. Wählen Sie die Regel aus, die Sie löschen möchten.

  5. Klicken Sie auf Löschen.

gcloud

gcloud compute firewall-policies rules delete PRIORITY \
    --organization ORG_ID \
    --firewall-policy POLICY_NAME

Ersetzen Sie Folgendes:

  • PRIORITY: Priorität der Regel, die Sie aus der Richtlinie löschen möchten
  • ORG_ID: ID Ihrer Organisation
  • POLICY_NAME: Richtlinie, die die Regel enthält

Für ein Netzwerk geltende Firewallregeln abrufen

Hier werden alle hierarchische Firewallrichtlinien-Regeln, VPC-Firewallregeln und globale Netzwerk-Firewall-richtlinienregeln angezeigt, die auf ein bestimmtes VPC-Netzwerk angewendet werden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerke auf.

    Zur Seite VPC-Netzwerke

  2. Klicken Sie auf das Netzwerk, dessen Firewallrichtlinien-Regeln Sie aufrufen möchten.

  3. Klicken Sie auf Firewallrichtlinien.

  4. Erweitern Sie jede Firewallrichtlinie, um die Regeln aufzurufen, die für dieses Netzwerk gelten.

gcloud

gcloud compute networks get-effective-firewalls NETWORK_NAME

Dabei gilt:

  • NETWORK_NAME: Netzwerk, für das die effektiv geltenden Regeln abgerufen werden sollen

Auf der Seite Firewall können Sie auch die effektiven Firewallregeln für ein Netzwerk aufrufen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite der Firewall-Richtlinien auf.

    Zu den Firewall-Richtlinien

  2. Die Firewallrichtlinien sind im Abschnitt Von diesem Projekt übernommene Firewallrichtlinien aufgeführt.

  3. Klicken Sie auf jede Firewallrichtlinie, um die Regeln aufzurufen, die für dieses Netzwerk gelten.

Für eine VM-Schnittstelle geltende Firewallregeln abrufen

Hier werden alle hierarchische Firewallrichtlinien-Regeln, VPC-Firewallregeln und globale Netzwerk-Firewallrichtlinien-Regeln angezeigt, die auf eine bestimmte Compute Engine-VM-Schnittstelle angewendet werden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.

    Zur Seite „VM-Instanzen“

  2. Wählen Sie im Drop-down-Menü der Projektauswahl das Projekt mit der VM aus.

  3. Klicken Sie auf die VM.

  4. Klicken Sie unter Netzwerkschnittstellen auf die Schnittstelle.

  5. Effektive Firewallregeln werden unter Firewall- und Routendetails angezeigt.

gcloud

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

Dabei gilt:

  • INSTANCE_NAME: VM, für die geltende Regeln abgerufen werden; wenn keine Schnittstelle angegeben wurde, werden Regeln für die primäre Schnittstelle (nic0) zurückgegeben.
  • INTERFACE: VM-Schnittstelle, für die geltende Regeln abgerufen werden; der Standardwert ist nic0
  • ZONE: Zone der VM; optional, wenn die gewünschte Zone bereits als Standardeinstellung festgelegt ist

Fehlerbehebung

Dieser Abschnitt enthält Erläuterungen zu möglichen Fehlermeldungen.

  • FirewallPolicy may not specify a name. One will be provided.

    Sie können keinen Richtliniennamen angeben. Die hierarchischen Firewallrichtlinien „Namen“ sind numerische IDs, die von Google Cloud beim Erstellen der Richtlinie generiert werden. Sie können aber auch einen Kurznamen angeben, der in vielen Kontexten als Alias fungiert.

  • FirewallPolicy may not specify associations on creation.

    Verknüpfungen können erst erstellt werden, nachdem hierarchische Firewallrichtlinien erstellt wurden.

  • Can not move firewall policy to a different organization.

    hierarchische Firewall-Richtlinienverschiebungen müssen innerhalb derselben Organisation erfolgen.

  • The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

    Wenn bereits ein Knoten mit einer hierarchischen Firewallrichtlinie verknüpft ist, schlägt der Anhangsvorgang fehl, es sei denn, die Option zum Ersetzen der vorhandenen Verknüpfungen ist auf „true“ gesetzt.

  • Cannot have rules with the same priorities.

    Die Prioritäten von Regeln dürfen innerhalb einer hierarchischen Firewallrichtlinie nur einmal vorkommen.

  • Direction must be specified on firewall policy rule.

    Beim Erstellen hierarchischer Firewallregeln für das direkte Senden von REST-Anfragen muss die Richtung der Regel angegeben werden. Wenn Sie die Google Cloud CLI verwenden und keine Richtung angegeben ist, ist die Standardeinstellung INGRESS.

  • Can not specify enable_logging on a goto_next rule.

    Firewall Logging ist für Regeln mit „goto_next“-Aktionen nicht zulässig, da diese verwendet werden, um die Auswertungsreihenfolge verschiedener Firewallrichtlinien darzustellen. Ebenso sind keine Terminalaktionen wie „ALLOW“ oder „DENY“ zulässig.

  • Must specify at least one destination on Firewall policy rule.

    Der Parameter layer4Configs in der Firewallrichtlinienregel muss mindestens ein Protokoll oder Protokoll und Zielport angeben.

    Weitere Informationen zur Fehlerbehebung bei Firewallrichtlinien-Regeln finden Sie unter Fehlerbehebung bei VPC-Firewallregeln.

Nächste Schritte