Halaman ini berisi penjelasan mengenai perintah untuk menggunakan aturan firewall Virtual Private Cloud (VPC) dan menawarkan beberapa contoh cara penggunaannya. Dengan aturan firewall VPC, Anda dapat mengizinkan atau menolak traffic ke atau dari instance virtual machine (VM) di jaringan VPC berdasarkan nomor port, tag, atau protokol.
Sebelum memulai
Untuk mempelajari lebih lanjut aturan firewall VPC, seperti aturan tersirat dan aturan yang dibuat sistem untuk jaringan default, lihat Aturan firewall VPC.
Sebelum mengonfigurasi aturan firewall, tinjau komponen aturan firewall untuk memahami komponen firewall seperti yang digunakan di Google Cloud.
Membuat aturan firewall VPC
Aturan firewall VPC ditentukan di level jaringan, dan hanya berlaku untuk jaringan tempat aturan tersebut dibuat. Namun, nama yang Anda pilih untuk setiap aturan tersebut harus unik untuk project.
Aturan firewall dapat berisi rentang IPv4 atau IPv6, tetapi tidak keduanya.
Saat membuat aturan firewall, Anda dapat memilih untuk mengaktifkan Logging Aturan Firewall. Jika mengaktifkan logging, Anda dapat menghilangkan kolom metadata untuk menghemat biaya penyimpanan. Untuk mengetahui informasi lebih lanjut, lihat Menggunakan Logging Aturan Firewall.
Jika Anda ingin menentukan beberapa akun layanan untuk kolom akun layanan target atau sumber, gunakan Google Cloud CLI, API, atau library klien.
Jaringan default menyediakan aturan firewall otomatis pada waktu pembuatan. Dengan jaringan mode otomatis dan kustom, Anda dapat membuat firewall serupa dengan mudah selama pembuatan jaringan jika menggunakan konsol Google Cloud. Jika Anda menggunakan gcloud CLI atau API dan ingin membuat aturan firewall yang serupa dengan aturan yang disediakan jaringan default, lihat Mengonfigurasi aturan firewall untuk kasus penggunaan umum.
Konsol
Di Konsol Google Cloud, buka halaman Firewall policies.
Klik Create firewall rule.
Masukkan Name untuk aturan firewall.
Nama ini harus unik untuk project.
(Opsional) Anda dapat mengaktifkan logging aturan firewall:
- Klik Logs > Aktif.
- Untuk menghilangkan metadata, klik Show logs details, lalu hapus centang Include metadata.
Tentukan Network untuk aturan firewall.
Tentukan Prioritas aturan.
Semakin rendah angkanya, semakin tinggi prioritasnya.
Untuk Arah traffic, pilih traffic masuk atau keluar.
Untuk Tindakan pada kecocokan, pilih izinkan atau tolak.
Tentukan Targets aturan.
- Jika Anda ingin aturan tersebut berlaku untuk semua instance dalam jaringan, pilih Semua instance dalam jaringan.
- Jika Anda ingin aturan diterapkan ke instance yang dipilih berdasarkan tag jaringan (target), pilih Specified target tags, lalu di kolom Target tags, ketik tag yang harus diterapkan aturan tersebut.
- Jika Anda ingin aturan tersebut diterapkan ke instance yang dipilih berdasarkan akun layanan terkait, pilih Specified service account, tunjukkan apakah akun layanan tersebut berada dalam project saat ini atau di project lain dalam Service account scope, lalu di kolom Target service account, pilih atau ketik nama akun layanan.
Untuk aturan masuk, tentukan Source filter:
- Untuk memfilter traffic masuk menurut rentang IPv4 sumber, pilih IPv4 ranges, lalu masukkan blok CIDR ke kolom Source IPv4 ranges. Gunakan
0.0.0.0/0
untuk sumber IPv4 apa pun. - Untuk memfilter traffic masuk menurut rentang IPv6 sumber, pilih IPv6 ranges, lalu masukkan blok CIDR ke kolom Source IPv6 ranges. Gunakan
::/0
untuk sumber IPv6 apa pun. - Untuk memfilter traffic masuk menurut tag jaringan, pilih Source tags, lalu ketik tag jaringan ke kolom Source tags. Untuk batas jumlah tag sumber, lihat Batas per jaringan. Pemfilteran menurut tag sumber hanya tersedia jika target tidak ditentukan oleh akun layanan. Untuk informasi selengkapnya, lihat memfilter berdasarkan akun layanan versus tag jaringan.
- Untuk memfilter traffic masuk berdasarkan akun layanan, pilih Akun layanan, tunjukkan apakah akun layanan ada dalam project saat ini atau dalam project lain dalam Cakupan akun layanan, lalu pilih atau ketik nama akun layanan di kolom Akun layanan sumber. Pemfilteran menurut akun layanan sumber hanya tersedia jika target tidak ditentukan oleh tag jaringan. Untuk informasi selengkapnya, lihat memfilter berdasarkan akun layanan versus tag jaringan.
- Tentukan Filter sumber kedua jika diinginkan. Filter sumber sekunder tidak dapat menggunakan kriteria filter yang sama dengan filter utama. Rentang IP sumber dapat digunakan bersama dengan Tag sumber atau Akun layanan sumber. Set sumber yang efektif adalah gabungan alamat IP rentang sumber dan instance yang diidentifikasi oleh tag jaringan atau akun layanan. Artinya, jika rentang IP sumber, atau tag sumber (atau akun layanan sumber) cocok dengan kriteria filter, sumber akan disertakan dalam set sumber yang efektif.
- Tag sumber dan Akun layanan sumber tidak dapat digunakan bersama.
- Untuk memfilter traffic masuk menurut rentang IPv4 sumber, pilih IPv4 ranges, lalu masukkan blok CIDR ke kolom Source IPv4 ranges. Gunakan
Untuk aturan masuk, tentukan Filter tujuan:
- Untuk memfilter traffic masuk menurut rentang IPv4 tujuan, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Destination IPv4 ranges. Gunakan
0.0.0.0/0
untuk tujuan IPv4 apa pun. - Untuk memfilter traffic masuk menurut rentang IPv6 tujuan, pilih IPv6 ranges dan masukkan blok CIDR ke kolom Destination IPv6 ranges. Gunakan
::/0
untuk tujuan IPv6 apa pun. Untuk informasi selengkapnya, lihat Tujuan untuk aturan masuk.
- Untuk memfilter traffic masuk menurut rentang IPv4 tujuan, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Destination IPv4 ranges. Gunakan
Untuk aturan keluar, tentukan Filter tujuan:
- Untuk memfilter traffic keluar menurut rentang IPv4 tujuan, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Destination IPv4 ranges. Gunakan
0.0.0.0/0
untuk tujuan IPv4 apa pun. - Untuk memfilter traffic keluar menurut rentang IPv6 tujuan, pilih IPv6 ranges dan masukkan blok CIDR ke kolom Destination IPv6 ranges. Gunakan
::/0
untuk tujuan IPv6 apa pun.
- Untuk memfilter traffic keluar menurut rentang IPv4 tujuan, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Destination IPv4 ranges. Gunakan
Untuk aturan keluar, tentukan Source filter:
- Untuk memfilter traffic keluar menurut rentang IPv4 sumber, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Source IPv4 ranges. Gunakan
0.0.0.0/0
untuk sumber IPv4 apa pun. - Untuk memfilter traffic keluar menurut rentang IPv6 sumber, pilih IPv6 ranges dan masukkan blok CIDR ke kolom Source IPv6 ranges. Gunakan
::/0
untuk tujuan IPv6 apa pun. Untuk informasi selengkapnya, lihat Sumber untuk aturan traffic keluar.
- Untuk memfilter traffic keluar menurut rentang IPv4 sumber, pilih IPv4 ranges dan masukkan blok CIDR ke kolom Source IPv4 ranges. Gunakan
Tentukan Protokol dan port tempat aturan diterapkan:
- Agar aturan ini diterapkan ke semua protokol dan port tujuan, pilih Allow all atau Deny all, bergantung pada tindakannya.
Untuk menentukan protokol dan port tujuan tertentu, pilih Specified protocols and ports:
- Pilih TCP untuk menyertakan protokol TCP dan port
tujuan. Masukkan
all
atau daftar port tujuan yang dipisahkan koma, seperti20-22, 80, 8080
. - Pilih UDP untuk menyertakan protokol UDP dan port
tujuan. Masukkan
all
atau daftar port tujuan yang dipisahkan koma, seperti67-69, 123
. Pilih Other untuk menyertakan protokol seperti
icmp
,sctp
, atau nomor protokol. Misalnya, gunakanicmp
atau nomor protokol1
untuk ICMP IPv4. Gunakan nomor protokol58
untuk ICMP IPv6.Untuk informasi selengkapnya, lihat protokol dan port tujuan.
- Pilih TCP untuk menyertakan protokol TCP dan port
tujuan. Masukkan
(Opsional) Anda dapat membuat aturan firewall, tetapi tidak dapat menerapkannya dengan menyetel status penerapannya ke dinonaktifkan. Klik Disable rule, lalu pilih Disabled.
Klik Create.
gcloud
Untuk membuat aturan firewall VPC, gunakan
perintah gcloud compute firewall-rules create
:
gcloud compute firewall-rules create RULE_NAME \ [--network NETWORK; default="default"] \ [--priority PRIORITY;default=1000] \ [--direction (ingress|egress|in|out); default="ingress"] \ [--action (deny | allow )] \ [--target-tags TAG[,TAG,...]] \ [--target-service-accounts=IAM_SERVICE_ACCOUNT[,IAM_SERVICE_ACCOUNT,...]] \ [--source-ranges CIDR_RANGE[,CIDR_RANGE,...]] \ [--source-tags TAG,TAG,] \ [--source-service-accounts=IAM_SERVICE_ACCOUNT[,IAM_SERVICE_ACCOUNT,...]] \ [--destination-ranges CIDR_RANGE[,CIDR_RANGE,...]] \ [--rules (PROTOCOL[:PORT[-PORT]],[PROTOCOL[:PORT[-PORT]],...]] | all ) \ [--disabled | --no-disabled] \ [--enable-logging | --no-enable-logging] \ [--logging-metadata LOGGING_METADATA]
Gunakan parameter sebagai berikut. Detail selengkapnya tentang setiap fitur tersedia dalam dokumentasi referensi SDK.
--network
Jaringan untuk aturan. Jika dihilangkan, aturan akan dibuat di jaringandefault
. Jika tidak memiliki jaringan default atau ingin membuat aturan di jaringan tertentu, Anda harus menggunakan kolom ini.--priority
Nilai numerik yang menunjukkan prioritas untuk aturan tersebut. Semakin rendah angkanya, semakin tinggi prioritasnya.--direction
Arah traffic,ingress
atauegress
.--action
Tindakan pada kecocokan, baikallow
maupundeny
. Harus digunakan dengan flag--rules
.- Tentukan target menggunakan salah satu cara berikut:
Untuk aturan masuknya, guna menyaring tujuan lebih lanjut, gunakan
--destination-ranges
untuk menentukan rentang alamat IPv4 atau IPv6 dalam format CIDR. Jika--destination-ranges
dihilangkan, tujuan masuknya adalah alamat IPv4 apa pun,0.0.0.0/0
. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan masuk serta Alamat IP dan target untuk aturan masuk.Untuk aturan masuk, tentukan source:
--source-ranges
Gunakan flag ini untuk menentukan rentang alamat IPv4 atau IPv6 sumber dalam format CIDR.- Jika
--source-ranges
,source-tags
, dan--source-service-accounts
dihilangkan, sumber masuknya adalah alamat IPv4 apa pun,0.0.0.0/0
. --source-tags
Gunakan tanda ini untuk menentukan instance sumber berdasarkan tag jaringan. Pemfilteran menurut tag sumber hanya tersedia jika target tidak ditentukan oleh akun layanan. Untuk informasi selengkapnya, lihat memfilter berdasarkan akun layanan versus tag jaringan.--source-ranges
dan--source-tags
dapat digunakan bersama. Jika keduanya ditentukan, set sumber yang efektif adalah gabungan alamat IP rentang sumber dan instance yang diidentifikasi oleh tag jaringan, meskipun instance yang diberi tag tidak memiliki IP dalam rentang sumber.--source-service-accounts
Gunakan tanda ini untuk menentukan instance berdasarkan akun layanan yang digunakannya. Pemfilteran menurut akun layanan sumber hanya tersedia jika target tidak ditentukan oleh tag jaringan. Untuk informasi selengkapnya, lihat memfilter berdasarkan akun layanan versus tag jaringan.--source-ranges
dan--source-service-accounts
dapat digunakan bersama. Jika keduanya ditentukan, set sumber yang efektif adalah gabungan alamat IP rentang sumber dan instance yang diidentifikasi oleh akun layanan sumber, meskipun instance yang diidentifikasi oleh akun layanan sumber tidak memiliki IP dalam rentang sumber.
Untuk aturan traffic keluar, guna lebih menyaring sumber, gunakan
--source-ranges
untuk
menentukan rentang alamat IPv4 atau IPv6 dalam format CIDR. Jika--source-ranges
dihilangkan, sumber traffic keluar adalah semua alamat IPv4,0.0.0.0/0
. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan keluar serta Alamat target dan IP untuk aturan keluar.Untuk aturan keluar, tentukan destination:
--destination-ranges
Gunakan flag ini untuk menentukan rentang alamat IPv4 atau IPv6 tujuan dalam format CIDR.- Jika
--destination-ranges
dihilangkan, tujuan keluar adalah alamat IPv4 apa pun,0.0.0.0/0
.
--rules
Daftar protokol dan port tujuan tempat aturan berlaku. Gunakanall
untuk membuat aturan berlaku untuk semua protokol dan semua port tujuan. Memerlukan flag--action
.Secara default, aturan firewall dibuat dan diterapkan secara otomatis, tetapi perilaku ini dapat diubah.
- Jika
--disabled
dan--no-disabled
dihilangkan, aturan firewall akan dibuat dan diterapkan. --disabled
Tambahkan flag ini untuk membuat aturan firewall, tetapi tidak menerapkannya. Aturan firewall akan tetap nonaktif hingga Anda mengupdate aturan firewall untuk mengaktifkannya.--no-disabled
Tambahkan flag ini untuk memastikan aturan firewall diterapkan.
- Jika
--enable-logging | --no-enable-logging
Anda dapat mengaktifkan Logging Aturan Firewall untuk aturan saat Anda membuat atau memperbaruinya. Firewall Rules Logging memungkinkan Anda mengaudit, memverifikasi, dan menganalisis efek aturan firewall Anda. Lihat Firewall Rules Logging untuk mengetahui detailnya.--logging-metadata
Jika Anda mengaktifkan logging, secara default, Firewall Rules Logging akan menyertakan kolom dasar dan metadata. Anda dapat menghilangkan kolom metadata untuk menghemat biaya penyimpanan. Untuk mengetahui informasi selengkapnya, lihat Menggunakan Logging Aturan Firewall.
Terraform
Untuk membuat aturan firewall, Anda dapat menggunakan resource google_compute_firewall
.
Untuk mempelajari cara menerapkan atau menghapus konfigurasi Terraform, lihat Perintah dasar Terraform.
API
Membuat aturan firewall VPC.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "name": "RULE_NAME", "network": "projects/PROJECT-ID/global/networks/NETWORK", ... other fields }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.NETWORK
: nama jaringan VPC tempat aturan firewall dibuat.RULE_NAME
: nama aturan firewall.Untuk aturan firewall masuk, tentukan sumber dan tujuan masuk:
Gunakan kolom
sourceRanges
,sourceTags
, atausourceServiceAccounts
untuk menentukan sumber masuk.sourceRanges
dapat berupa rentang IPv4 atau IPv6, tetapi bukan kombinasi keduanya. Untuk menggunakan rentang0.0.0.0/0
, jangan tentukan kolom apa pun.Anda tidak dapat menggunakan kolom
sourceTags
dansourceServiceAccounts
bersama-sama. Namun, Anda dapat menggunakansourceRanges
dengansourceTags
atausourceServiceAccounts
. Jika Anda melakukannya, koneksi hanya perlu cocok dengan salah satunya agar aturan firewall dapat diterapkan.Untuk kolom target, jika menggunakan kolom
sourceTags
, Anda tidak dapat menggunakan kolomtargetServiceAccounts
. Anda harus menggunakan kolomtargetTags
atau tanpa kolom target. Demikian pula, jika menggunakan kolomsourceServiceAccounts
, Anda tidak dapat menggunakan kolomtargetTags
. Jika Anda tidak menentukan kolom target, aturan akan diterapkan ke semua target dalam jaringan.Gunakan kolom
destinationRanges
untuk menentukan tujuan masuk.destinationRanges
dapat berupa rentang IPv4 atau IPv6, tetapi bukan kombinasi keduanya.
Jika Anda tidak menentukan tujuan, Google Cloud akan menggunakan0.0.0.0/0
. Untuk mengetahui informasi selengkapnya, lihat Tujuan untuk aturan masuk serta Target dan alamat IP untuk aturan masuk.
Untuk aturan firewall keluar, tentukan sumber dan tujuan traffic keluar:
Gunakan kolom
sourceRanges
untuk menentukan sumber traffic keluar.sourceRange
dapat berupa rentang IPv4 atau IPv6, tetapi bukan kombinasi keduanya.
Jika Anda tidak menentukan sumber, Google Cloud akan menggunakan0.0.0.0/0
. Untuk mengetahui informasi selengkapnya, lihat Sumber untuk aturan keluar serta Alamat target dan IP untuk aturan keluar.Gunakan kolom
destinationRanges
untuk menentukan tujuan.destinationRanges
dapat berupa rentang IPv4 atau IPv6, tetapi bukan kombinasi dari keduanya.
Jika Anda tidak menentukan tujuan, Google Cloud akan menggunakan0.0.0.0/0
. Gunakan kolomtargetTags
atautargetServiceAccounts
untuk menentukan target tempat aturan diterapkan. Jika Anda tidak menentukan kolom target, aturan akan diterapkan ke semua target dalam jaringan.
Untuk informasi selengkapnya dan deskripsi untuk setiap kolom, lihat metode firewalls.insert
.
C#
Go
Java
Node.js
PHP
Python
Ruby
Memperbarui aturan firewall VPC
Anda dapat memodifikasi beberapa komponen aturan firewall VPC, seperti protokol dan port tujuan yang ditentukan untuk kondisi kecocokan. Anda tidak dapat mengubah nama aturan firewall, jaringan, tindakan pada kecocokan, dan arah traffic.
Jika perlu mengubah nama, jaringan, atau komponen tindakan atau arah, Anda harus menghapus aturan dan membuat aturan baru.
Jika Anda ingin menambahkan atau menghapus beberapa akun layanan, gunakan gcloud CLI, API, atau library klien. Anda tidak dapat menggunakan konsol Google Cloud untuk menentukan beberapa akun layanan target atau akun layanan sumber.
Konsol
Di Konsol Google Cloud, buka halaman Firewall policies.
Klik aturan firewall yang ingin Anda ubah.
Klik Edit.
Modifikasi komponen yang dapat diedit untuk memenuhi kebutuhan Anda.
Klik Save.
gcloud
Untuk mengupdate aturan firewall VPC, gunakan
perintah gcloud compute firewall-rules update
:
gcloud compute firewall-rules update RULE_NAME \ [--priority=PRIORITY] \ [--description=DESCRIPTION] \ [--target-tags=TAG,...] \ [--target-service-accounts=IAM_SERVICE_ACCOUNT,_] \ [--source-ranges=CIDR_RANGE,...] \ [--source-tags=TAG,...] \ [--source-service-accounts=IAM_SERVICE_ACCOUNT,_] \ [--destination-ranges=CIDR_RANGE,...] \ [--rules=[PROTOCOL[:PORT[-PORT]],…]] \ [--disabled | --no-disabled] \ [--enable-logging | --no-enable-logging]
Deskripsi untuk setiap flag sama dengan membuat aturan firewall, dan detail selengkapnya tentang setiap flag tersedia di dokumentasi referensi SDK.
API
Gunakan PATCH untuk memperbarui kolom berikut: allowed
, description
,
sourceRanges
, sourceTags
, atau targetTags
. Gunakan PUT atau POST untuk semua kolom lainnya.
(PATCH|(POST|PUT)) https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME { "name": "RULE_NAME", "network": "projects/PROJECT-ID/global/networks/NETWORK", ... other fields }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.NETWORK
: nama jaringan VPC tempat aturan firewall berada.RULE_NAME
: nama aturan firewall yang akan diperbarui.
Untuk informasi selengkapnya dan deskripsi untuk setiap kolom, lihat metode firewalls.patch
atau firewalls.update
.
C#
Go
Java
Node.js
PHP
Python
Ruby
Membuat daftar aturan firewall VPC untuk jaringan VPC
Anda dapat membuat daftar semua aturan firewall VPC untuk project Anda atau untuk jaringan VPC tertentu. Untuk setiap aturan firewall, Google Cloud menampilkan detail seperti jenis, target, dan filter aturan.
Jika Anda mengaktifkan Firewall Rules Logging, Analisis Firewall dapat memberikan insight tentang aturan firewall guna membantu Anda lebih memahami dan mengoptimalkan konfigurasinya dengan lebih aman. Misalnya, Anda dapat melihat aturan allow
yang belum digunakan dalam enam minggu terakhir.
Untuk mengetahui informasi selengkapnya, lihat Menggunakan layar Detail aturan firewall dalam dokumentasi Analisis Firewall.
Konsol
Untuk menampilkan semua aturan firewall VPC untuk semua jaringan di project Anda:
Pada konsol Google Cloud, buka halaman Kebijakan Firewall.
Untuk menampilkan aturan firewall VPC dalam jaringan tertentu:
Di Konsol Google Cloud, buka halaman jaringan VPC.
Klik Nama jaringan VPC untuk membuka halaman detailnya.
Pada halaman detail untuk jaringan, klik tab Firewalls.
Luaskan vpc-firewall-rules.
gcloud
Untuk membuat daftar aturan firewall VPC yang diurutkan untuk jaringan tertentu, gunakan perintah gcloud compute firewall-rules list
:
gcloud compute firewall-rules list --filter network=NETWORK \ --sort-by priority \ --format="table( name, network, direction, priority, sourceRanges.list():label=SRC_RANGES, destinationRanges.list():label=DEST_RANGES, allowed[].map().firewall_rule().list():label=ALLOW, denied[].map().firewall_rule().list():label=DENY, sourceTags.list():label=SRC_TAGS, targetTags.list():label=TARGET_TAGS )"
Ganti NETWORK
dengan nama jaringan yang akan mencantumkan aturan firewall.
API
Membuat daftar semua aturan firewall VPC untuk jaringan tertentu.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/?filter=network="NETWORK
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.NETWORK
: nama jaringan VPC yang berisi aturan firewall yang akan dicantumkan.
Untuk informasi selengkapnya, lihat metode firewalls.list
.
C#
Go
Java
Node.js
PHP
Python
Ruby
Membuat daftar aturan firewall VPC untuk antarmuka jaringan instance VM
Untuk setiap antarmuka jaringan, Konsol Google Cloud mencantumkan semua aturan firewall VPC yang berlaku untuk antarmuka tersebut dan aturan yang sebenarnya digunakan oleh antarmuka tersebut. Aturan firewall dapat menyamarkan aturan lain, sehingga semua aturan yang berlaku pada antarmuka mungkin belum benar-benar digunakan oleh antarmuka.
Aturan firewall dikaitkan dengan dan diterapkan ke instance VM melalui parameter target aturan. Dengan melihat semua aturan yang diterapkan, Anda dapat memeriksa apakah aturan tertentu sedang diterapkan ke antarmuka.
Jika Anda mengaktifkan Firewall Rules Logging, Analisis Firewall dapat memberikan insight tentang aturan firewall guna membantu Anda lebih memahami dan mengoptimalkan konfigurasinya dengan lebih aman. Misalnya, Anda dapat melihat aturan mana pada antarmuka yang mendapatkan hit dalam enam minggu terakhir. Untuk mengetahui informasi selengkapnya, lihat Menggunakan layar detail antarmuka jaringan VM dalam dokumentasi Analisis Firewall.
Konsol
Untuk melihat aturan VPC yang berlaku pada antarmuka jaringan tertentu dari instance VM:
Di konsol Google Cloud, buka halaman Instance VM.
Temukan instance yang akan dilihat.
Di menu more actions pada instance (
), pilih View network details.Jika sebuah instance memiliki beberapa antarmuka jaringan, pilih antarmuka jaringan yang akan dilihat di kolom Antarmuka jaringan yang dipilih.
Di bagian Firewall and routes details, pilih tab Firewalls.
Luaskan vpc-firewall-rules.
Lihat tabel ini untuk menentukan apakah traffic ke atau dari alamat IP tertentu diizinkan.
Lihat detail aturan firewall VPC
Anda dapat memeriksa aturan firewall VPC untuk melihat nama, jaringan yang berlaku, dan komponen, termasuk apakah aturan tersebut diaktifkan atau dinonaktifkan.
Konsol
- Cantumkan aturan firewall Anda. Anda dapat melihat daftar semua aturan atau hanya aturan di jaringan tertentu.
- Klik aturan untuk melihat.
gcloud
Perintah berikut menjelaskan aturan firewall VPC individual. Karena nama aturan firewall bersifat unik untuk project, Anda tidak perlu menentukan jaringan saat menjelaskan aturan firewall yang ada.
gcloud compute firewall-rules describe RULE_NAME
Ganti RULE_NAME
dengan nama aturan firewall.
API
Menjelaskan aturan firewall VPC yang diberikan.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
Ganti placeholder dengan nilai yang valid:
PROJECT_ID
: ID project tempat aturan firewall berada.RULE_NAME
: nama aturan firewall yang akan dijelaskan.
Untuk informasi selengkapnya, lihat metode firewalls.get
.
Menghapus aturan firewall VPC
Konsol
- Buat daftar aturan firewall VPC Anda. Anda dapat melihat daftar semua aturan atau hanya aturan di jaringan tertentu.
- Klik aturan yang akan dihapus.
- Klik Delete.
- Klik Delete lagi untuk mengonfirmasi.
gcloud
Untuk menghapus aturan firewall VPC, gunakan
perintah gcloud compute firewall-rules delete
:
gcloud compute firewall-rules delete RULE_NAME
Ganti RULE_NAME
dengan nama aturan yang akan dihapus.
API
Menghapus aturan firewall VPC.
DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
Ganti kode berikut:
PROJECT_ID
: ID project tempat aturan firewall berada.RULE_NAME
: nama aturan firewall yang akan dihapus.
Untuk mengetahui informasi selengkapnya, lihat metode firewalls.delete
.
C#
Go
Java
Node.js
PHP
Python
Ruby
Memantau aturan firewall VPC
Anda dapat mengaktifkan logging untuk aturan firewall VPC guna melihat aturan mana yang mengizinkan atau memblokir traffic tertentu. Lihat Menggunakan Logging Aturan Firewall untuk mengetahui petunjuknya.
Mengonfigurasi aturan firewall VPC untuk kasus penggunaan umum
Bagian berikut memberikan contoh cara menggunakan gcloud CLI dan API untuk membuat ulang aturan firewall VPC yang telah ditetapkan yang dibuat untuk jaringan default. Anda dapat menggunakan contoh ini untuk membuat aturan serupa bagi jaringan mode kustom dan otomatis. Setiap aturan {i>firewall<i} dapat mencakup rentang alamat IPv4 atau IPv6, tetapi tidak keduanya.
Mengizinkan koneksi masuk internal antar-VM
Contoh berikut membuat aturan firewall untuk mengizinkan koneksi TCP, UDP, dan ICMP internal ke instance VM Anda, mirip dengan aturan allow-internal
untuk jaringan default.
gcloud
Gunakan perintah gcloud compute firewall-rules create
:
gcloud compute firewall-rules create RULE_NAME \ --action=ALLOW \ --direction=INGRESS \ --network=NETWORK \ --priority=1000 \ --rules=tcp:0-65535,udp:0-65535,ICMP_PROTOCOL \ --source-ranges=SUBNET_RANGES
Ganti kode berikut:
RULE_NAME
: nama untuk aturan firewall ini.NETWORK
: nama jaringan tempat aturan firewall ini diterapkan. Nilai defaultnya adalahdefault
.ICMP_PROTOCOL
: jenis protokol ICMP. Tentukan ICMPv4 menggunakan nama protokolicmp
atau nomor protokol1
. Tentukan ICMPv6 menggunakan nomor protokol58
.SUBNET_RANGES
: satu atau beberapa rentang alamat IP. Menyertakan rentang alamat IP berarti traffic dari rentang tersebut dapat mencapai tujuan VM mana pun di jaringan VPC. Anda dapat menentukan rentang IPv4 atau IPv6 di aturan firewall tertentu.Rentang subnet IPv4:
- Jaringan VPC mode otomatis menggunakan rentang alamat IP yang berada dalam
10.128.0.0/9
. - Jaringan mode kustom dapat menggunakan rentang IPv4 yang valid. Jika tidak menggunakan rentang yang berdekatan untuk subnet di jaringan VPC, Anda mungkin perlu menentukan beberapa rentang.
- Anda dapat menggunakan
10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
untuk mengizinkan traffic dari semua rentang alamat IPv4 pribadi (rentang RFC 1918).
Rentang subnet IPv6:
Jika telah menetapkan rentang alamat IPv6 internal ke jaringan VPC, Anda dapat menggunakan rentang tersebut sebagai rentang sumber. Dengan menggunakan rentang IPv6 internal jaringan VPC, aturan firewall tersebut mencakup semua rentang subnet IPv6 internal saat ini dan di masa mendatang. Anda dapat menemukan rentang IPv6 internal jaringan VPC dengan menggunakan perintah berikut:
gcloud compute networks describe NETWORK \ --format="flattened(internalIpv6Range)"
Anda juga dapat menentukan rentang subnet IPv6 internal tertentu.
Untuk mengizinkan traffic dari rentang subnet IPv6 eksternal subnet dual stack, Anda harus menentukan rentang alamat IPv6 dari setiap subnet yang ingin Anda sertakan.
- Jaringan VPC mode otomatis menggunakan rentang alamat IP yang berada dalam
API
POST https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "kind": "compute#firewall", "name": "RULE_NAME", "network": "projects/PROJECT_ID/global/networks/NETWORK", "direction": "INGRESS", "priority": 1000, "targetTags": [], "allowed": [ { "IPProtocol": "tcp", "ports": [ "0-65535" ] }, { "IPProtocol": "udp", "ports": [ "0-65535" ] }, { "IPProtocol": "ICMP_PROTOCOL" } ], "sourceRanges": [ "SUBNET_RANGES" ] }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.RULE_NAME
: nama aturan firewall.NETWORK
: nama jaringan VPC tempat aturan firewall dibuat. Nilai defaultnya adalahdefault
.ICMP_PROTOCOL
: jenis protokol ICMP. Tentukan ICMPv4 menggunakan nama protokolicmp
atau nomor protokol1
. Tentukan ICMPv6 menggunakan nomor protokol58
.INTERNAL_SOURCE_RANGES
: satu atau beberapa rentang IP. Untuk mengizinkan traffic internal dalam semua subnet di jaringan VPC Anda, tentukan rentang alamat IP yang digunakan di jaringan VPC Anda. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu.Rentang subnet IPv4:
- Jaringan VPC mode otomatis menggunakan rentang alamat IP yang berada dalam
10.128.0.0/9
. - Jaringan mode kustom dapat menggunakan rentang IPv4 yang valid. Jika tidak menggunakan rentang yang berdekatan untuk subnet di jaringan VPC, Anda mungkin perlu menentukan beberapa rentang.
- Anda dapat menggunakan
10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
untuk mengizinkan traffic dari semua rentang alamat IPv4 pribadi (rentang RFC 1918).
Rentang subnet IPv6:
Jika telah menetapkan rentang alamat IPv6 internal ke jaringan VPC, Anda dapat menggunakan rentang tersebut sebagai rentang sumber. Dengan menggunakan rentang IPv6 internal jaringan VPC, aturan firewall tersebut mencakup semua rentang subnet IPv6 internal saat ini dan di masa mendatang. Anda dapat menemukan rentang IPv6 internal jaringan VPC dengan menggunakan perintah berikut:
gcloud compute networks describe NETWORK \ --format="flattened(internalIpv6Range)"
Anda juga dapat menentukan rentang subnet IPv6 internal tertentu.
Untuk mengizinkan traffic dari rentang subnet IPv6 eksternal subnet dual stack, Anda harus menentukan rentang alamat IPv6 dari setiap subnet yang ingin Anda sertakan.
- Jaringan VPC mode otomatis menggunakan rentang alamat IP yang berada dalam
Mengizinkan koneksi ssh masuk ke VM
Contoh berikut membuat aturan firewall untuk mengizinkan koneksi SSH ke instance VM Anda, mirip dengan aturan allow-ssh
untuk jaringan default.
gcloud
Gunakan perintah gcloud compute firewall-rules create
:
gcloud compute firewall-rules create RULE_NAME \ --action=ALLOW \ --direction=INGRESS \ --network=NETWORK \ --priority=1000 \ --rules=tcp:22 \ --source-ranges=RANGES_OUTSIDE_VPC_NETWORK
Ganti kode berikut:
RULE_NAME
: nama untuk aturan firewall ini.NETWORK
: nama jaringan tempat aturan firewall ini diterapkan. Nilai defaultnya adalahdefault
.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Menyertakan
35.235.240.0/20
dalam rentang sumber memungkinkan koneksi SSH menggunakan penerusan TCP Identity-Aware Proxy (IAP) jika semua prasyarat lainnya terpenuhi. Untuk mengetahui informasi selengkapnya, lihat Menggunakan IAP untuk penerusan TCP. - Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Menyertakan
API
POST https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "kind": "compute#firewall", "name": "RULE_NAME", "network": "projects/PROJECT_ID/global/networks/NETWORK", "direction": "INGRESS", "priority": 1000, "targetTags": [], "allowed": [ { "IPProtocol": "tcp", "ports": [ "22" ] } ], "sourceRanges": [ "RANGES_OUTSIDE_VPC_NETWORK" ] }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.RULE_NAME
: nama aturan firewall.NETWORK
: nama jaringan VPC tempat aturan firewall dibuat.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Menyertakan
35.235.240.0/20
dalam rentang sumber memungkinkan koneksi SSH menggunakan penerusan TCP Identity-Aware Proxy (IAP) jika semua prasyarat lainnya terpenuhi. Untuk mengetahui informasi selengkapnya, lihat Menggunakan IAP untuk penerusan TCP. - Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Menyertakan
Mengizinkan koneksi RDP masuk ke VM
Contoh berikut membuat aturan firewall untuk mengizinkan koneksi Microsoft Remote Desktop
Protocol (RDP) ke instance VM Anda, mirip dengan aturan allow-rdp
untuk jaringan default.
gcloud
Gunakan perintah gcloud compute firewall-rules create
:
gcloud compute firewall-rules create RULE_NAME \ --action=ALLOW \ --direction=INGRESS \ --network=NETWORK \ --priority=1000 \ --rules=tcp:3389 \ --source-ranges=RANGES_OUTSIDE_VPC_NETWORK
Ganti kode berikut:
RULE_NAME
: nama untuk aturan firewall ini.NETWORK
: nama jaringan tempat aturan firewall ini diterapkan. Nilai defaultnya adalahdefault
.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Menyertakan
35.235.240.0/20
dalam rentang sumber memungkinkan koneksi RDP menggunakan penerusan TCP Identity-Aware Proxy (IAP) jika semua prasyarat lainnya terpenuhi. Untuk mengetahui informasi selengkapnya, lihat Menggunakan IAP untuk penerusan TCP. - Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Menyertakan
API
POST https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "kind": "compute#firewall", "name": "RULE_NAME", "network": "projects/PROJECT_ID/global/networks/NETWORK", "direction": "INGRESS", "priority": 1000, "allowed": [ { "IPProtocol": "tcp", "ports": [ "3389" ] } ], "sourceRanges": [ "EXTERNAL_SOURCE_RANGES" ] }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.RULE_NAME
: nama aturan firewall.NETWORK
: nama jaringan VPC tempat aturan firewall dibuat.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Menyertakan
35.235.240.0/20
dalam rentang sumber memungkinkan koneksi RDP menggunakan penerusan TCP Identity-Aware Proxy (IAP) jika semua prasyarat lainnya terpenuhi. Untuk mengetahui informasi selengkapnya, lihat Menggunakan IAP untuk penerusan TCP. - Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Menyertakan
Mengizinkan koneksi ICMP masuk ke VM
Contoh berikut membuat aturan firewall untuk mengizinkan koneksi ICMP ke instance VM Anda, mirip dengan aturan allow-icmp
untuk jaringan default.
gcloud
Gunakan perintah gcloud compute firewall-rules create
:
gcloud compute firewall-rules create RULE_NAME \ --action=ALLOW \ --direction=INGRESS \ --network=NETWORK \ --priority=1000 \ --rules=ICMP_PROTOCOL \ --source-ranges=RANGES_OUTSIDE_VPC_NETWORK
Ganti kode berikut:
RULE_NAME
: nama aturan firewall.NETWORK
: nama jaringan tempat aturan firewall ini diterapkan. Nilai defaultnya adalahdefault
.ICMP_PROTOCOL
: jenis protokol ICMP. Tentukan ICMPv4 menggunakan nama protokolicmp
atau nomor protokol1
. Tentukan ICMPv6 menggunakan nomor protokol58
.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Penggunaan
API
POST https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls { "kind": "compute#firewall", "name": "RULE_NAME", "network": "projects/PROJECT_ID/global/networks/NETWORK", "direction": "INGRESS", "priority": 1000, "targetTags": [], "allowed": [ { "IPProtocol": "ICMP_PROTOCOL" } ], "sourceRanges": [ "RANGES_OUTSIDE_VPC_NETWORK" ] }
Ganti kode berikut:
PROJECT_ID
: ID project tempat jaringan VPC berada.RULE_NAME
: nama aturan firewall.NETWORK
: nama jaringan VPC tempat aturan firewall dibuat.ICMP_PROTOCOL
: jenis protokol ICMP yang akan digunakan. Tentukan ICMPv4 menggunakan nama protokolicmp
atau nomor protokol1
. Tentukan ICMPv6 menggunakan nomor protokol58
.RANGES_OUTSIDE_VPC_NETWORK
: satu atau beberapa rentang alamat IP. Anda dapat menentukan rentang IPv4 atau IPv6 dalam aturan firewall tertentu. Sebagai praktik terbaik, tentukan rentang alamat IP spesifik yang ingin Anda izinkan aksesnya, bukan semua sumber IPv4 atau IPv6.- Penggunaan
0.0.0.0/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv4, termasuk sumber di luar Google Cloud. - Penggunaan
::/0
sebagai rentang sumber memungkinkan traffic dari semua sumber IPv6, termasuk sumber di luar Google Cloud.
- Penggunaan
Contoh konfigurasi lainnya
Gambar 1 menjelaskan contoh konfigurasi untuk jaringan VPC
bernama my-network
. Jaringan berisi hal-hal berikut:
- Subnet bernama
subnet1
, dengan rentang IP10.240.10.0/24
dan satu instance - Subnet bernama
subnet2
, dengan rentang IP192.168.1.0/24
- Instance bernama
vm1
disubnet2
dengan tagwebserver
dan alamat IP internal192.168.1.2
- Instance bernama
vm2
disubnet2
dengan tagdatabase
dan alamat IP internal192.168.1.3
Contoh 1: Menolak semua koneksi TCP masuk kecuali yang ke port 80 dari subnet1
Contoh ini membuat sekumpulan aturan VPC firewall yang menolak semua koneksi TCP masuk, kecuali koneksi yang ditujukan ke port 80
dari subnet1
.
gcloud
Buat aturan firewall untuk menolak semua traffic TCP masuk ke instance yang diberi tag
webserver
.gcloud compute firewall-rules create deny-subnet1-webserver-access \ --network NETWORK_NAME \ --action deny \ --direction ingress \ --rules tcp \ --source-ranges 0.0.0.0/0 \ --priority 1000 \ --target-tags webserver
Ganti
NETWORK_NAME
dengan nama jaringan.Buat aturan firewall untuk mengizinkan semua alamat IP di
subnet1
(10.240.10.0/24
) mengakses port TCP80
pada instance yang diberi tag denganwebserver
.gcloud compute firewall-rules create vm1-allow-ingress-tcp-port80-from-subnet1 \ --network NETWORK_NAME \ --action allow \ --direction ingress \ --rules tcp:80 \ --source-ranges 10.240.10.0/24 \ --priority 50 \ --target-tags webserver
Ganti
NETWORK_NAME
dengan nama jaringan.
Contoh 2: Menolak semua koneksi TCP keluar kecuali yang ke port 80 dari vm1
gcloud
Buat aturan firewall untuk menolak semua traffic TCP keluar.
gcloud compute firewall-rules create deny-all-access \ --network NETWORK_NAME \ --action deny \ --direction egress \ --rules tcp \ --destination-ranges 0.0.0.0/0 \ --priority 1000
Ganti
NETWORK_NAME
dengan nama jaringan.Buat aturan firewall untuk mengizinkan traffic TCP yang ditujukan ke
vm1
port80
.gcloud compute firewall-rules create vm1-allow-egress-tcp-port80-to-vm1 \ --network NETWORK_NAME \ --action allow \ --direction egress \ --rules tcp:80 \ --destination-ranges 192.168.1.2/32 \ --priority 60
Ganti
NETWORK_NAME
dengan nama jaringan.
Contoh 3: Mengizinkan koneksi TCP keluar ke port 443 dari host eksternal
Buat aturan firewall yang mengizinkan instance yang diberi tag dengan webserver
untuk mengirim traffic TCP keluar ke port 443
dari contoh alamat IP eksternal, 192.0.2.5
.
gcloud
gcloud compute firewall-rules create vm1-allow-egress-tcp-port443-to-192-0-2-5 \ --network NETWORK_NAME \ --action allow \ --direction egress \ --rules tcp:443 \ --destination-ranges 192.0.2.5/32 \ --priority 70 \ --target-tags webserver
Ganti NETWORK_NAME
dengan nama jaringan.
Contoh 4: Mengizinkan koneksi SSH dari vm2 ke vm1
Buat aturan firewall yang mengizinkan traffic SSH dari instance dengan tag database
(vm2
) untuk menjangkau instance dengan tag webserver
(vm1
).
gcloud
gcloud compute firewall-rules create vm1-allow-ingress-tcp-ssh-from-vm2 \ --network NETWORK_NAME \ --action allow \ --direction ingress \ --rules tcp:22 \ --source-tags database \ --priority 80 \ --target-tags webserver
Ganti NETWORK_NAME
dengan nama jaringan.
Contoh 5: Mengizinkan TCP:1443 dari server web ke database menggunakan akun layanan
Untuk mengetahui informasi tambahan tentang peran dan akun layanan, lihat Memberikan peran ke akun layanan.
Pertimbangkan skenario pada gambar 2, di mana ada dua aplikasi
yang diskalakan otomatis melalui template: aplikasi server web yang
terkait dengan akun layanan my-sa-webserver
dan aplikasi database
yang terkait dengan akun layanan my-sa-database
. Admin Keamanan ingin mengizinkan traffic TCP dari VM dengan akun layanan my-sa-webserver
ke port tujuan 1443
pada VM dengan akun layanan my-sa-database
.
Langkah-langkah konfigurasi, termasuk pembuatan akun layanan, adalah sebagai berikut.
gcloud
EDITOR project atau PEMILIK project membuat akun layanan
my-sa-webserver
danmy-sa-database
.gcloud iam service-accounts create my-sa-webserver \ --display-name "webserver service account"
gcloud iam service-accounts create my-sa-database \ --display-name "database service account"
PEMILIK project menetapkan peran serviceAccountUser kepada developer server web web-dev@example.com untuk akun layanan
my-sa-webserver
dengan menyetel kebijakan Identity and Access Management (IAM).gcloud iam service-accounts add-iam-policy-binding \ my-sa-webserver@my-project.iam.gserviceaccount.com \ --member='user:web-dev@example.com' \ --role='roles/iam.serviceAccountUser'
PEMILIK project menetapkan peran serviceAccountUser kepada developer database
db-dev@example.com
untuk akun layananmy-sa-database
dengan menetapkan kebijakan IAM.gcloud iam service-accounts add-iam-policy-binding \ my-sa-database@my-project.iam.gserviceaccount.com \ --member='user:db-dev@example.com' \ --role='roles/iam.serviceAccountUser'
Developer
web-dev@example.com
, yang memiliki peran admin Instance, membuat template instance server web dan mengizinkan instance untuk dijalankan sebagai akun layananmy-sa-webserver
.gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \ --service-account my-sa-webserver@my-project-123.iam.gserviceaccount.com
Developer
db-dev@example.com
, yang memiliki peran Instance Admin, membuat template instance database dan mengizinkan instance untuk dijalankan sebagai akun layananmy-sa-database
.gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \ --service-account my-sa-database@my-project-123.iam.gserviceaccount.com
Admin Keamanan membuat aturan firewall yang memungkinkan traffic TCP dari VM dengan akun layanan
my-sa-webserver
mencapai port 1443 VM dengan akun layananmy-sa-database
.gcloud compute firewall-rules create RULE_NAME \ --network network_a \ --allow TCP:1443 \ --source-service-accounts my-sa-webserver@my-project.iam.gserviceaccount.com \ --target-service-accounts my-sa-database@my-project.iam.gserviceaccount.com
Pemecahan masalah
Pesan error saat membuat atau memperbarui aturan firewall VPC
Anda mungkin melihat salah satu pesan error berikut:
Should not specify destination range for ingress direction.
Rentang tujuan bukan parameter yang valid untuk aturan firewall masuk. Aturan firewall diasumsikan sebagai aturan ingress, kecuali jika arah
egress
secara khusus ditentukan. Jika Anda membuat aturan yang tidak menentukan arah, aturan tersebut akan dibuat sebagai aturan masuk, yang tidak mengizinkan rentang tujuan. Selain itu, rentang sumber bukanlah parameter yang valid untuk aturan keluar.Firewall direction cannot be changed once created.
Anda tidak dapat mengubah arah aturan firewall yang sudah ada. Anda harus membuat aturan baru dengan parameter yang benar, lalu menghapus yang lama.
Firewall traffic control action cannot be changed once created.
Anda tidak dapat mengubah tindakan aturan firewall yang sudah ada. Anda harus membuat aturan baru dengan parameter yang benar, lalu menghapus yang lama.
Service accounts must be valid RFC 822 email addresses.
Akun layanan yang ditentukan dalam aturan firewall harus berupa alamat email yang diformat sesuai RFC 822.gcloud compute firewall-rules create bad --allow tcp --source-service-accounts invalid-email
Creating firewall...failed. ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource: – Invalid value for field 'resource.sourceServiceAccounts[0]': 'invalid-email'. Service accounts must be valid RFC 822 email addresses.
ServiceAccounts and Tags are mutually exclusive and can't be combined in the same firewall rule.
Anda tidak dapat menentukan akun dan tag layanan dalam aturan yang sama.gcloud compute firewall-rules create bad --allow tcp --source-service-accounts test@google.com --target-tags target
Creating firewall...failed. ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource: – ServiceAccounts and Tags are mutually exclusive and can't be combined in the same firewall rule.
Error resource tidak ditemukan
Saat menghapus jaringan VPC atau aturan firewall, Anda mungkin melihat pesan yang mirip dengan berikut ini:
The resource "aet-uscentral1-subnet--1-egrfw" was not found.
Error ini dapat mencegah Anda menghapus aturan firewall tersirat atau melihat detailnya. Aturan firewall yang ada dalam status ini mungkin juga memblokir Anda agar tidak menghapus jaringan VPC.
Untuk menghapus aturan firewall atau jaringan yang diblokir dengan cara ini, hapus terlebih dahulu konektor Akses VPC Serverless terkait, lalu coba lagi. Untuk informasi selengkapnya tentang cara menghapus konektor Akses VPC Serverless, lihat menghapus konektor.
Terlalu banyak kesalahan firewall besar
Anda mungkin melihat pesan error berikut:
Google Compute Engine: The network contains too many large firewalls.
Untuk menjaga keamanan dan performa, ada batas kompleksitas dan jumlah aturan firewall yang dapat diterapkan dalam jaringan VPC. Jika melihat error ini, minta tim pengelolaan akun Anda untuk menyederhanakan atau menggabungkan aturan firewall.
Tidak dapat terhubung ke instance VM
Jika tidak dapat terhubung ke instance VM, periksa aturan firewall Anda.
gcloud
Jika Anda memulai koneksi dari instance VM lain, cantumkan aturan firewall keluar untuk instance tersebut.
gcloud compute firewall-rules list --filter network=NETWORK_NAME \ --filter EGRESS \ --sort-by priority \ --format="table( name, network, direction, priority, sourceRanges.list():label=SRC_RANGES, destinationRanges.list():label=DEST_RANGES, allowed[].map().firewall_rule().list():label=ALLOW, denied[].map().firewall_rule().list():label=DENY, sourceTags.list():label=SRC_TAGS, sourceServiceAccounts.list():label=SRC_SVC_ACCT, targetTags.list():label=TARGET_TAGS, targetServiceAccounts.list():label=TARGET_SVC_ACCT )"
Ganti
NETWORK_NAME
dengan nama jaringan.Periksa apakah IP tujuan ditolak oleh aturan traffic keluar. Aturan dengan prioritas tertinggi (angka prioritas terendah) akan menggantikan aturan prioritas yang lebih rendah. Untuk dua aturan dengan prioritas yang sama, aturan penolakan lebih diutamakan.
Periksa aturan firewall masuk untuk jaringan yang berisi instance VM tujuan.
gcloud compute firewall-rules list --filter network=NETWORK_NAME \ --filter INGRESS \ --sort-by priority \ --format="table( name, network, direction, priority, sourceRanges.list():label=SRC_RANGES, destinationRanges.list():label=DEST_RANGES, allowed[].map().firewall_rule().list():label=ALLOW, denied[].map().firewall_rule().list():label=DENY, sourceTags.list():label=SRC_TAGS, sourceServiceAccounts.list():label=SRC_SVC_ACCT, targetTags.list():label=TARGET_TAGS, targetServiceAccounts.list():label=TARGET_SVC_ACCT )"
Ganti
NETWORK_NAME
dengan nama jaringan.Contoh output. Output Anda akan bergantung pada daftar aturan firewall.
NAME NETWORK DIRECTION PRIORITY SRC_RANGES DEST_RANGES ALLOW DENY SRC_TAGS SRC_SVC_ACCT TARGET_TAGS TARGET_SVC_ACCT default-allow-icmp default INGRESS 65534 0.0.0.0/0 icmp default-allow-internal default INGRESS 65534 10.128.0.0/9 tcp:0-65535,udp:0-65535,icmp default-allow-rdp default INGRESS 65534 0.0.0.0/0 tcp:3389 default-allow-ssh default INGRESS 65534 0.0.0.0/0 tcp:22 firewall-with-sa default INGRESS 1000 tcp:10000 test1@google.com target@google.com
Anda juga dapat menjalankan uji konektivitas ke/dari instance VM di jaringan VPC ke jaringan VPC lain atau jaringan cloud non-Google untuk memecahkan masalah jika traffic berkurang akibat aturan firewall masuk atau keluar. Untuk mengetahui informasi selengkapnya tentang cara menjalankan uji konektivitas guna memecahkan masalah berbagai skenario, lihat Menjalankan Uji Konektivitas.
Apakah aturan firewall VPC saya diaktifkan atau dinonaktifkan?
Untuk melihat apakah aturan firewall diaktifkan atau dinonaktifkan, lihat detail aturan firewall.
Di Konsol Google Cloud, cari Enabled atau Disabled di bagian Enforcement.
Pada output gcloud CLI, cari kolom disabled
.
Jika tertulis disabled:false
, aturan diaktifkan dan diterapkan. Jika tertulis disabled: true
, aturan akan dinonaktifkan.
Aturan mana yang diterapkan pada instance VM?
Setelah membuat aturan, Anda dapat memeriksa apakah aturan tersebut diterapkan dengan benar pada instance tertentu. Untuk mengetahui informasi selengkapnya, baca Mendaftarkan aturan firewall untuk antarmuka jaringan instance VM.
Aturan firewall VPC dengan tag sumber tidak langsung diterapkan
Aturan firewall masuk yang menggunakan tag sumber mungkin memerlukan waktu beberapa saat untuk diterapkan. Untuk mengetahui detailnya, lihat pertimbangan yang terkait dengan tag sumber untuk aturan firewall masuk.
Langkah selanjutnya
- Untuk pengenalan aturan firewall, lihat Aturan firewall VPC.