ファイアウォールルールロギングの使用

ファイアウォールルールロギングを使用すると、ファイアウォールルールの効果を監査、検証、分析できます。たとえば、トラフィックを拒否するように設計されたファイアウォールルールが意図したとおりに機能しているかどうかを判別できます。ファイアウォールルールロギングは、特定のファイアウォールルールによって影響を受ける接続数を判別する必要がある場合にも役立ちます。

このページでは、VPC ファイアウォールルールのロギングを有効または無効にする方法について説明します。ファイアウォールポリシールールのロギングの手順については、該当するドキュメントをご覧ください。

また、生成されたログを表示する方法についても説明します。記録される内容、ロギングの例、ログ形式の詳細については、ファイアウォールルールロギングの概要をご覧ください。

ファイアウォールルールのロギングを有効にすると、ファイアウォールインサイトからその分析情報と推奨事項を表示できます。詳細については、Network Intelligence Center のドキュメントのファイアウォールインサイトをご覧ください。

権限

ファイアウォールルールの変更や、ログへのアクセスを行うには、IAM メンバーに次のいずれかのロールが割り当てられている必要があります。

タスク	必要な役割
ファイアウォールルールの作成、削除、または更新	プロジェクトのオーナーまたは編集者、あるいはセキュリティ管理者
ログの表示	プロジェクトのオーナー、編集者、閲覧者またはログ閲覧者 Logging IAM のロールの詳細については Logging アクセス制御ガイドをご覧ください。

ファイアウォールルールロギングの有効化と無効化

ファイアウォールルールを作成する際に、ファイアウォールルールロギングを有効にするかどうかを選択できます。詳細については、ファイアウォールルールを作成するをご覧ください。

既存のファイアウォールルールに対してファイアウォールルールロギングを有効化または無効化する場合は、以下の手順に沿って行います。ロギングを有効にする際には、メタデータフィールドを含めるかどうかを制御できます。省略すると、ストレージ費用の節約が可能です。

ファイアウォールルールロギングを有効化する

Console

Google Cloud Console の [ファイアウォール] ページに移動します。
[ファイアウォール] ページに移動
[ログ] 列で、各ファイアウォールルールのファイアウォールロギングがオンかオフかを確認します。
1 つ以上のファイアウォールルールのロギングを有効にするには、各ルールの横にあるチェックボックスをオンにします。
[ファイアウォールルール] アクションバーで [ログを構成] をクリックします。
[ログを構成] ダイアログで [オン] を選択します。
メタデータフィールドを省略するには、[ログの詳細] を展開して [メタデータを含める] をオフにします。
[構成を保存] をクリックします。

gcloud

gcloud compute firewall-rules update NAME \
    --enable-logging
    --logging-metadata=LOGGING_METADATA

プレースホルダを有効な値に置き換えます。

NAME は、ファイアウォールルールの名前です。
LOGGING_METADATA は、ファイアウォールルールロギングについて、ファイアウォールルールのログにメタデータフィールドを含めるかどうかを指定します。このフィールドは、ロギングが有効になっている場合にのみ構成できます。値は exclude-all または include-all にする必要があります。デフォルトでは、メタデータフィールドが含まれます。

詳細については、SDK リファレンスドキュメントをご覧ください。

API

既存のファイアウォールルールに対してロギングを有効にします。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
{
  "name": "RULE_NAME,
  "logConfig": {
    "enable": true,
    "metadata": LOGGING_METADATA
  }
}

プレースホルダを有効な値に置き換えます。

PROJECT_ID は、ファイアウォールルールが配置されているプロジェクトの ID です。
RULE_NAME は、ファイアウォールルールの名前です。
LOGGING_METADATA は、ファイアウォールルールロギングについて、ファイアウォールルールのログにメタデータフィールドを含めるかどうかを指定します。このフィールドは、ロギングが有効になっている場合にのみ構成できます。値は exclude-all または include-all にする必要があります。デフォルトでは、メタデータフィールドが含まれます。

詳細については、firewalls.patch メソッドをご覧ください。

Terraform

Terraform リソースを使用して、ロギングを有効にしたファイアウォールルールを作成できます。

examples/firewall_logging/main.tf

GitHub で表示

resource "google_compute_firewall" "rules" {
  project     = var.project_id # Replace this with your project ID in quotes
  name        = "my-firewall-rule"
  network     = "default"
  description = "Creates firewall rule targeting tagged instances"

  log_config {
    metadata = "INCLUDE_ALL_METADATA"
  }

  allow {
    protocol = "tcp"
    ports    = ["80", "8080", "1000-2000"]
  }
  target_tags = ["web"]
}

ファイアウォールルールロギングを無効化する

Console

Google Cloud Console の [ファイアウォール] ページに移動します。
[ファイアウォール] ページに移動
[ログ] 列で、各ファイアウォールルールのファイアウォールロギングがオンかオフかを確認します。
1 つ以上のファイアウォールルールのロギングを無効にするには、各ルールの横にあるチェックボックスをオンにします。
[ファイアウォールルール] アクションバーで [ログを構成] をクリックします。
[ログを構成] ダイアログで [オフ] を選択し、[構成を保存] をクリックします。

gcloud

gcloud compute firewall-rules update NAME \
    --no-enable-logging

API

既存のファイアウォールルールに対してロギングを有効にします。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
{
  "name": "RULE_NAME,
  "logConfig": {
    "enable": false
  }
}

プレースホルダを有効な値に置き換えます。

PROJECT_ID は、ファイアウォールルールが配置されているプロジェクトの ID です。
RULE_NAME は、ファイアウォールルールの名前です。

詳細については、firewalls.patch メソッドをご覧ください。

ログの表示

ファイアウォールルールのログは、VM インスタンスとファイアウォールルールが含まれるネットワークをホストしているプロジェクト内で作成されます。共有 VPC では、VM インスタンスはサービスプロジェクト内で作成されますが、これらのインスタンスはホストプロジェクト内にある共有 VPC ネットワークを使用します。ファイアウォールルールのログは、そのホストプロジェクト内に保管されます。

ファイアウォールルールのログを表示するには、Cloud Console の [ログ] セクションを使用します。

次のフィルタは、特定のファイアウォールイベントを検索する方法を示しています。

すべてのファイアウォールログ

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
最初のプルダウンメニューで [サブネットワーク] を選択します。
2 番目のプルダウンメニューで、compute.googleapis.com/firewall を選択します。
[OK] をクリックします。

別の方法:

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
[ラベルまたはテキスト検索でフィルタ] フィールドの右側にある下矢印をクリックし、[高度なフィルタに変換] を選択します。
フィールドに以下を貼り付けます。PROJECT_ID は実際のプロジェクト ID に置き換えます。
```
resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
```

特定のサブネット

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
最初のプルダウンメニューでカーソルを [サブネットワーク] に移します。カーソルをさらに右側に進めてそれぞれのサブネット選択メニューを開きます。
2 番目のプルダウンメニューで、compute.googleapis.com/firewall を選択します。
[OK] をクリックします。

別の方法:

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
[ラベルまたはテキスト検索でフィルタ] フィールドの右側にある下矢印をクリックし、[高度なフィルタに変換] を選択します。
フィールドに以下を貼り付けます。PROJECT_ID をプロジェクト ID に、SUBNET_NAME をサブネットワークに置き換えます。
```
resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
resource.labels.subnetwork_name="SUBNET_NAME"
```

特定の VM

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
[ラベルまたはテキスト検索でフィルタ] フィールドの右側にある下矢印をクリックし、[高度なフィルタに変換] を選択します。

フィールドに以下を貼り付けます。PROJECT_ID をプロジェクト ID に、INSTANCE_NAME を VM に置き換えます。

resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
jsonPayload.instance.vm_name="INSTANCE_NAME"

特定の国からの接続

Google Cloud Console の [ログ] ページに移動します。
[ログ] ページに移動
[ラベルまたはテキスト検索でフィルタ] フィールドの右側にある下矢印をクリックし、[高度なフィルタに変換] を選択します。
フィールドに以下を貼り付けます。PROJECT_ID は実際のプロジェクト ID に、COUNTRY は ISO 3166-1 alpha-3 コードに置き換えます。
```
resource.type="gce_subnetwork"
logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
jsonPayload.remote_location.country=COUNTRY
```

ログのエクスポート

ファイアウォールルールのログをエクスポートする場合は、ログビューアによるエクスポートの手順に沿って行います。

高度なフィルタの例を使用して、エクスポートするログを絞り込むことができます。

相互作用の表

VM 間通信の場合、それぞれに適用されているファイアウォールルールによっては、両方の VM がログレコードを生成することもあります。
最初のパケットがファイアウォールで許可された場合、ログに記録される接続には双方向に流れるパケットが含まれます。
特定の VM への受信接続は、その VM 上に構成されているファイアウォールルールと照合されます。また、特定の VM からの発信接続は、その VM 上に構成されている下りファイアウォールルールと照合されます。
「許可してログに記録」するように指定しているファイアウォールルールに一致して許可された接続は、一度だけログに記録されます。接続が維持されたとしても、ログエントリが 5 秒ごとに繰り返し記録されることはありません。
「拒否してログに記録」するように指定しているファイアウォールルールに一致して拒否された接続は、その拒否対象の接続でパケットが観測される限り、5 秒ごとに繰り返しログに記録されます。

この表は、単一の VM の観点からのファイアウォールのロギング動作を示しています。

VM1 の上りルール R1 がパケットを照合し、下りルール R2 でもパケットを照合するというシナリオでは、ファイアウォールのロギング動作は次のようになります。

VM1 の上り（内向き）ルール R1（パケットを照合）	VM1 の下り（外向き）ルール R2（パケットを照合）	接続方向	操作	ログ
許可してログに記録	許可	上り	許可	1 つのログエントリ: disposition=allow, rule=R1
	拒否
	許可してログに記録
	拒否してログに記録
許可	許可	上り	許可	ロギングなし
	拒否
	許可してログに記録
	拒否してログに記録
拒否してログに記録	該当なし	上り	拒否	5 秒ごとに 1 つのログエントリ: disposition=deny, rule=R1
拒否	該当なし	上り	拒否	ロギングなし
許可	許可してログに記録	下り	許可	1 つのログエントリ: disposition=allow, rule=R2
拒否
許可してログに記録
拒否してログに記録
許可	許可	下り	許可	ロギングなし
拒否
許可してログに記録
拒否してログに記録
該当なし	拒否してログに記録	下り	拒否	5 秒ごとに 1 つのログエントリ: disposition=deny, rule=R2
該当なし	拒否	下り	拒否	ロギングなし

上りと下りは対称であるので注意してください。

以下に、ファイアウォールログのセマンティックについて詳しく説明します。

許可してログに記録（ロギングは TCP と UDP でのみサポートされます）
- ルールが適用される方向で接続が開始されると、1 つのログレコードが作成されます。
- 接続トラッキングにより、応答トラフィックは許可されます。該当する方向に適用されるファイアウォールルールに関係なく、応答トラフィックによってロギングが行われることはありません。
- ファイアウォールにより接続が失効すると（10 分間にわたり非アクティブであるか、TCP RST を受信した場合）、いずれかの方向での別のパケットによってロギングがトリガーされる場合があります。
- ロギングは 5 タプルに基づきます。TCP フラグはロギング動作に影響を与えません。
拒否してログに記録（ロギングは TCP と UDP でのみサポートされます）
- パケットはドロップされます（接続は開始されません）。
- 一意の 5 タプルに対応する各パケットが、失敗した接続試行としてログに記録されます。
- 引き続きパケットを受信する場合、同じ 5 タプルが 5 分ごとに繰り返しログに記録されます。

トラブルシューティング

ログを表示できない

Cloud Console の [ログ] セクションでファイアウォールルールのログを表示できない場合は、次の点を確認してください。

考えられる原因: 十分な権限がありません

プロジェクトに対して、少なくともログ閲覧者のロールを IAM メンバーに割り当てるよう、プロジェクトオーナーに依頼します。詳細については、権限をご覧ください。

考えられる原因: サブネットワークログが Logging から除外されている可能性があります

Cloud Console で、[Logging] > [ログの取り込み] に移動し、GCE サブネットワークが除外されていないことを確認します。一部が除外されている場合は、除外フィルタがファイアウォールログに適用されていないことを確認します。

考えられる原因: レガシーネットワークがサポートされていない

レガシーネットワークではファイアウォールルールのロギングを使用できません。サポートされているのは VPC ネットワークのみです。

考えられる原因: プロジェクトが正しいことを確認してください

ファイアウォールルールのログは、対象のネットワークが含まれるプロジェクトで保管されるため、正しいプロジェクトでログを検索していることを確認してください。共有 VPC では、VM インスタンスはサービスプロジェクト内で作成されますが、これらのインスタンスはホストプロジェクト内にある共有 VPC ネットワークを使用します。共有 VPC のシナリオでは、ファイアウォールルールのログはそのホストプロジェクトに保管されます。

共有 VPC が関係する場合、ファイアウォールルールのログを表示するには、ホストプロジェクトに対する適切な権限が必要です。VM インスタンス自体はサービスプロジェクト内にありますが、VM インスタンスのファイアウォールルールのログはホストプロジェクト内で保管されます。

ログエントリが見つからない

考えられる原因: 接続が、期待するファイアウォールルールに一致していない可能性があります

期待するファイアウォールルールが、インスタンスに適用されるファイアウォールルールのリストに含まれていることを確認してください。Cloud Console を使用して該当するインスタンスの詳細を表示するには、[VM インスタンスの詳細] ページにある [ネットワークインターフェース] セクションで、[詳細を表示] ボタンをクリックします。これによって表示される [ネットワークインターフェースの詳細] ページの [ファイアウォールルールとルートの詳細] セクションで、該当するファイアウォールルールを調べます。

ファイアウォールルールを正しく作成したことを確認するには、ファイアウォールルールの概要を確認してください。

VM に対して tcpdump を使用すると、VM がトラフィックを送信または受信している接続のアドレス、ポート、プロトコルが、期待するファイアウォールに一致するかどうかを判別できます。

考えられる原因: 期待するファイアウォールルールよりも優先順位が高く、ファイアウォールルールロギングが無効化されているルールが適用されている可能性があります

ファイアウォールルールは優先順位に従って評価されます。VM インスタンスの観点からは、トラフィックには 1 つのファイアウォールルールだけが適用されます。

最も高い優先順位で適用されると思われるルールが、実際にはそうでない場合もあります。その場合、それよりも優先順位が高い、ロギングが有効化されていないルールが適用される可能性があります。

トラブルシューティングを行うには、VM に適用される可能性のあるすべてのファイアウォールルールのロギングを一時的に有効にします。Cloud Console を使用して該当する VM の詳細を表示するには、[VM インスタンスの詳細] ページにある [ネットワークインターフェース] セクションで、[詳細を表示] ボタンをクリックします。これによって表示される [ネットワークインターフェースの詳細] ページの [ファイアウォールルールとルートの詳細] セクションで、適用されるファイアウォールルールを調べ、リスト内でカスタムルールを特定します。それらのカスタムファイアウォールルールのすべてに対し、一時的にロギングを有効化します。

ロギングを有効化することで、適用されているルールを識別できます。識別した後は、実際にはロギングを必要としないすべてのルールについて、必ずロギングを無効化してください。

ログエントリの一部にメタデータが欠落している

考えられる原因: 構成の伝搬遅延

ファイアウォールロギングが有効化されているファイアウォールルールを更新した場合、Google Cloud がその変更を反映し終わるまでに数分かかる場合があります。それまでは、そのルールで更新されたコンポーネントに一致するトラフィックは、ログに記録されません。

次のステップ

Logging のドキュメントを参照する
Logging でのエクスポートのドキュメントを参照する

ファイアウォール ルールロギングの使用

権限

ファイアウォール ルールロギングの有効化と無効化

ファイアウォール ルールロギングを有効化する

Console

gcloud

API

Terraform

ファイアウォール ルールロギングを無効化する

Console

gcloud

API

ログの表示

すべてのファイアウォール ログ

特定のサブネット

特定の VM

特定の国からの接続

ログのエクスポート

相互作用の表

トラブルシューティング

ログを表示できない

ログエントリが見つからない

ログエントリの一部にメタデータが欠落している

次のステップ

ファイアウォールルールロギングの使用

ファイアウォールルールロギングの有効化と無効化

ファイアウォールルールロギングを有効化する

ファイアウォールルールロギングを無効化する

すべてのファイアウォールログ