建立區域網路防火牆政策和規則

如要管理虛擬私有雲 (VPC) 網路特定區域內的網路流量，請設定區域網路防火牆政策和規則。本頁面說明如何建立區域網路防火牆政策、將其與特定虛擬私有雲網路和區域建立關聯，然後定義規則。這些規則可控管虛擬機器 (VM) 執行個體和內部負載平衡器的輸入和輸出流量。

閱讀本頁面之前，請務必先熟悉「區域網路防火牆政策」中說明的概念。

建立區域網路防火牆政策

使用 Google Cloud 控制台建立區域網路防火牆政策時，您可以在建立政策時，將政策與區域和虛擬私有雲網路建立關聯。如果使用 Google Cloud CLI 建立政策，您必須在建立政策後將政策與區域和網路建立關聯。

與區域網路防火牆政策相關聯的虛擬私有雲網路，必須與區域網路防火牆政策位於同一個專案。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器選單中，選取機構內的專案。

  3. 按一下「建立防火牆政策」。

  4. 在「Policy name」(政策名稱) 欄位中，輸入政策名稱。

  5. 在「政策類型」部分，選取「虛擬私有雲政策」或「RDMA RoCE 政策」。

  6. 在「部署範圍」部分，選取「區域」。選取要建立這項防火牆政策的區域。

  7. 如要為政策建立規則，請按一下「繼續」。

  8. 在「新增規則」部分，按一下「建立防火牆規則」。如要進一步瞭解如何建立防火牆規則，請參閱下列文章：

  9. 如要將政策與網路建立關聯，請按一下「繼續」。

  10. 在「將政策與網路建立關聯」部分中，按一下「建立關聯」。

    詳情請參閱「將政策與網路建立關聯」。

  11. 點選「建立」。

gcloud

gcloud compute network-firewall-policies create \
    NETWORK_FIREWALL_POLICY_NAME \
    --description DESCRIPTION \
    --policy-type POLICY_TYPE \
    --region=REGION_NAME

更改下列內容：

  • NETWORK_FIREWALL_POLICY_NAME：政策名稱
  • DESCRIPTION：政策說明
  • POLICY_TYPE：網路防火牆政策類型。詳情請參閱「規格」。
  • REGION_NAME：政策的區域

將政策與網路建立關聯

您可以將區域網路防火牆政策與虛擬私有雲網路的區域建立關聯，並對該網路區域套用政策中的規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器選單中，選取含有政策的專案。

  3. 按一下政策。

  4. 按一下「關聯項目」分頁標籤。

  5. 按一下「新增關聯」。

  6. 選取專案中的網路。

  7. 按一下「關聯」。

gcloud

gcloud compute network-firewall-policies associations create \
    --firewall-policy POLICY_NAME \
    --firewall-policy-region=POLICY_REGION \
    --network NETWORK_NAME \
    --name ASSOCIATION_NAME

更改下列內容：

  • POLICY_NAME：政策的簡稱或系統產生的名稱。
  • POLICY_REGION：包含規則的政策區域。
  • NETWORK_NAME：相關聯的網路名稱。
  • ASSOCIATION_NAME：關聯的選用名稱。 如未指定，名稱會設為 network-NETWORK_NAME。

在區域網路防火牆政策中新增規則

本節說明如何在區域網路防火牆政策中新增規則。

為 VM 目標建立輸入規則

本節說明如何建立適用於 Compute Engine 執行個體網路介面的輸入規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有區域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的區域網路防火牆政策名稱。

  4. 在「防火牆規則」部分，點選「建立防火牆規則」，並指定下列設定參數：

    1. 優先順序：規則的數值評估順序。

      系統會從最高優先順序到最低優先順序評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。 建議您將規則優先順序值間隔設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 目標類型：選取「執行個體」。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體做為目標。

    4. 目標：選取下列其中一個選項：

      • 套用至所有項目：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標縮小為使用您指定服務帳戶的 VM 執行個體網路介面：

        • 在「服務帳戶範圍」部分，選取「在這個專案中」>「目標服務帳戶」。這是為了在與區域網路防火牆政策相同的專案中指定服務帳戶。
        • 在「服務帳戶範圍」部分，選取「在其他專案中」> 目標服務帳戶。這是為了在 Shared VPC 服務專案中指定服務帳戶。
      • 安全標記：將最廣泛的執行個體目標縮小為 VM 執行個體的網路介面，這些介面至少繫結至您指定的其中一個安全標記值。按一下「Select scope for tags」(選取標記範圍)，然後選取包含要比對標記值的機構或專案。如要新增更多代碼值，請按一下「新增代碼」。

    5. 「Direction of traffic」(流量方向)：選取「Ingress」(輸入)。

    6. 「相符時執行的動作」：選取下列其中一項操作：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • 前往下一個步驟：繼續進行防火牆規則評估程序。

    7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能；選取「關閉」，停用這項規則的防火牆規則記錄功能。

    8. 來源網路情境：指定網路情境：

      • 如要略過依網路情境篩選連入流量，請選取「所有網路情境」。
      • 如要篩選特定網路情境的連入流量，請選取「特定網路情境」，然後選取網路情境：

    9. 來源篩選器：指定其他來源參數。部分來源參數無法同時使用，且您選擇的來源聯播網環境會限制可使用的來源參數。詳情請參閱「輸入規則的來源」和「輸入規則來源組合」。

      • 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv4 來源使用 0.0.0.0/0。
      • 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。使用 ::/0 代表任何 IPv6 來源。
      • 如要依來源安全代碼值篩選連入流量，請在「安全代碼」部分選取「選取代碼的範圍」。然後提供標記鍵和標記值。如要新增更多代碼值，請按一下「新增代碼」。
      • 如要依來源 FQDN 篩選連入流量，請在「FQDNs」欄位中輸入 FQDN。詳情請參閱 FQDN 物件。
      • 如要依來源地理位置篩選輸入流量，請從「地理位置」欄位選取一或多個位置。詳情請參閱「地理位置物件」。
      • 如要依來源位址群組篩選連入流量，請從「位址群組」欄位選取一或多個位址群組。詳情請參閱「防火牆政策的位址群組」。
      • 如要依來源 Google 威脅情報清單篩選連入流量，請從「Google Cloud Threat Intelligence」(Google Cloud 威脅情報) 欄位選取一或多個 Google 威脅情報清單。詳情請參閱「Google Threat Intelligence for firewall policy rules」。

    10. 目的地：指定選用的目的地參數。詳情請參閱「連入規則的目的地」。

      • 如要略過依目的地 IP 位址篩選輸入流量，請選取「無」。
      • 如要依目的地 IP 位址篩選傳入流量，請選取「IPv4」或「IPv6」，然後以來源 IPv4 範圍或來源 IPv6 範圍使用的格式，輸入一或多個 CIDR。

    11. 通訊協定和通訊埠：指定通訊協定和目的地通訊埠，讓流量符合規則。詳情請參閱「通訊協定和通訊埠」。

    12. 強制執行：指定是否強制執行防火牆規則：

      • 啟用：建立規則，並開始對新連線強制執行規則。
      • 已停用：建立規則，但不對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--src-secure-tags=SRC_SECURE_TAGS] \
    [--src-region-codes=SRC_COUNTRY_CODES] \
    [--src-threat-intelligence=SRC_THREAT_LIST_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會依優先順序 (由高到低) 評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。建議您將規則優先順序值間的差異設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。
  • POLICY_NAME：要建立規則的區域性網路防火牆政策名稱。
  • PROJECT_ID：包含區域網路防火牆政策的專案 ID。
  • POLICY_REGION：政策的區域。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

  • --enable-logging 和 --no-enable-logging 標記可啟用或停用虛擬私有雲防火牆規則記錄。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果省略 --target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
    • TARGET_SECURE_TAGS：以半形逗號分隔的安全代碼值清單，可將最廣泛的執行個體目標縮小至繫結至少一個安全代碼值的 VM 執行個體網路介面。
    • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標縮小為使用其中一個服務帳戶的 VM 執行個體網路介面。
  • LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：
    • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (17)，不含任何目的地通訊埠。
    • 以半形冒號 (tcp:80) 分隔的 IP 通訊協定名稱和目的地通訊埠。
    • IP 通訊協定名稱和目的地通訊埠範圍，以冒號分隔，並以破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。詳情請參閱「通訊協定和通訊埠」。
  • 為輸入規則指定來源。詳情請參閱「輸入規則來源組合」：

    • SRC_NETWORK_CONTEXT：定義要與其他支援的來源參數搭配使用的來源網路環境，以產生來源組合。--target-type=INSTANCES 的有效值為：INTERNET、NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC。詳情請參閱「網路環境」。
    • SRC_VPC_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，這些網路以網址 ID 指定。只有在 --src-network-context 為 VPC_NETWORKS 時，才指定這個旗標。
    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • SRC_ADDRESS_GROUPS：以半形逗號分隔的地址群組清單，這些群組以專屬網址 ID 指定。清單中的位址群組必須包含所有 IPv4 位址或所有 IPv6 位址，不得同時包含兩者。
    • SRC_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，格式為網域名稱。
    • SRC_SECURE_TAGS：以半形逗號分隔的標記清單。如果 --src-network-context 為 INTERNET，則無法使用 --src-secure-tags 旗標。
    • SRC_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「地理位置物件」。如果 --src-network-context 是 NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC，您就無法使用 --src-region-codes 旗標。
    • SRC_THREAT_LIST_NAMES：以半形逗號分隔的 Google Threat Intelligence 清單名稱。詳情請參閱「Google Threat Intelligence for 防火牆政策規則」。如果 --src-network-context 為 NON_INTERNET、VPC_NETWORKS 或 INTRA_VPC，您就無法使用 --src-threat-intelligence 標記。
  • (選用) 指定輸入規則的目的地：

    • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

為內部負載平衡器目標建立 Ingress 規則

如要限制對一或多個內部應用程式負載平衡器或內部 Proxy 網路負載平衡器轉送規則的存取權，請建立至少兩項以內部負載平衡器為目標的輸入規則。這是因為內部應用程式負載平衡器和內部 Proxy 網路負載平衡器目標的隱含動作允許連入。限制存取權所需的規則如下：

  • 優先順序較低的輸入拒絕防火牆規則，並使用 --src-ip-ranges=0.0.0.0/0。
  • 優先順序較高的允許輸入防火牆規則，且具有您指定的來源參數。

本節說明如何為內部應用程式負載平衡器和內部 Proxy 網路負載平衡器目標建立Ingress 規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有區域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的區域網路防火牆政策名稱。

  4. 在「防火牆規則」部分，點選「建立防火牆規則」，並指定下列設定參數：

    1. 優先順序：規則的數值評估順序。

      系統會從最高優先順序到最低優先順序評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。 建議您將規則優先順序值間隔設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 目標類型：選取「內部負載平衡器」。

      選取這個選項後，Cloud NGFW 會使用內部應用程式負載平衡器和內部 Proxy 網路負載平衡器做為目標。

    4. 目標：選取下列其中一個選項：

      • 適用於所有項目：Cloud NGFW 使用最廣泛的負載平衡器目標。
      • 轉送規則：如要選取轉送規則，請按照下列步驟操作：
        1. 按一下「選取專案」，然後選取專案。
        2. 在「Load balancer type」(負載平衡器類型) 中，選取負載平衡器類型。
        3. 在「Load balancer」(負載平衡器) 部分，選取負載平衡器。
        4. 在「Forwarding rule」(轉送規則)，選取轉送規則。

    5. 「相符時執行的動作」：選取下列其中一項操作：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • 前往下一個步驟：繼續進行防火牆規則評估程序。

    6. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能；選取「關閉」，停用這項規則的防火牆規則記錄功能。

    7. 來源網路情境：指定網路情境：

      • 如要略過依網路情境篩選連入流量，請選取「所有網路情境」。
      • 如要篩選特定網路情境的連入流量，請選取「特定網路情境」，然後選取網路情境：
      • 虛擬私有雲內部：傳入流量必須符合虛擬私有雲網路環境的條件。
      • 虛擬私有雲網路：輸入流量必須符合虛擬私有雲網路環境的條件。您必須選取至少一個虛擬私有雲網路：
        • 選取目前專案：可從包含防火牆政策的專案中，新增一或多個虛擬私有雲網路。
        • 手動輸入網路：可手動輸入專案和虛擬私有雲網路。
        • 「選取專案」：可供您選取專案，並從中選取虛擬私有雲網路。

    8. 來源篩選器：指定其他來源參數。部分來源參數無法同時使用，且您選擇的來源聯播網環境會限制可使用的來源參數。詳情請參閱「輸入規則的來源」和「輸入規則來源組合」。

      • 如要依來源 IPv4 範圍篩選傳入流量，請選取「IPv4」，然後在「IP 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv4 來源使用 0.0.0.0/0。
      • 如要依來源 IPv6 範圍篩選傳入流量，請選取「IPv6」，然後在「IPv6 ranges」(IPv6 範圍) 欄位中輸入 CIDR 區塊。使用 ::/0 代表任何 IPv6 來源。
      • 如要依來源 FQDN 篩選連入流量，請在「FQDNs」欄位中輸入 FQDN。詳情請參閱 FQDN 物件。
      • 如要依來源位址群組篩選連入流量，請從「位址群組」欄位選取一或多個位址群組。詳情請參閱「防火牆政策的位址群組」。

    9. 目的地：指定選用的目的地參數。詳情請參閱「連入規則的目的地」。

      • 如要略過依目的地 IP 位址篩選輸入流量，請選取「無」。
      • 如要依目的地 IP 位址篩選傳入流量，請選取「IPv4」或「IPv6」，然後以來源 IPv4 範圍或來源 IPv6 範圍使用的格式，輸入一或多個 CIDR。

    10. 通訊協定和通訊埠：指定通訊協定和目的地通訊埠，讓流量符合規則。詳情請參閱「通訊協定和通訊埠」。

    11. 強制執行：指定是否強制執行防火牆規則：

      • 啟用：建立規則，並開始對新連線強制執行規則。
      • 已停用：建立規則，但不對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=INGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    --target-type=INTERNAL_MANAGED_LB \
    [--target-forwarding-rules=TARGET_FORWARDING_RULES] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--src-network-context=SRC_NETWORK_CONTEXT] \
    [--src-networks=SRC_VPC_NETWORKS] \
    [--src-ip-ranges=SRC_IP_RANGES] \
    [--src-address-groups=SRC_ADDRESS_GROUPS] \
    [--src-fqdns=SRC_DOMAIN_NAMES] \
    [--dest-ip-ranges=DEST_IP_RANGES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會依優先順序 (由高到低) 評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。建議您將規則優先順序值間的差異設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。
  • POLICY_NAME：要建立規則的區域性網路防火牆政策名稱。
  • PROJECT_ID：包含區域網路防火牆政策的專案 ID。
  • POLICY_REGION：政策的區域。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

  • --enable-logging 和 --no-enable-logging 標記可啟用或停用虛擬私有雲防火牆規則記錄。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果省略 --target-forwarding-rules 旗標，Cloud NGFW 會使用最廣泛的負載平衡器目標。
    • TARGET_FORWARDING_RULES：內部應用程式負載平衡器或內部 Proxy 網路負載平衡器的單一轉送規則，以目標轉送規則格式指定。 這個參數會將最廣泛的負載平衡器目標，縮小至特定內部應用程式負載平衡器或內部 Proxy 網路負載平衡器。
  • LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：
    • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (17)，不含任何目的地通訊埠。
    • 以半形冒號 (tcp:80) 分隔的 IP 通訊協定名稱和目的地通訊埠。
    • IP 通訊協定名稱和目的地通訊埠範圍，以冒號分隔，並以破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。詳情請參閱「通訊協定和通訊埠」。
  • 為輸入規則指定來源。詳情請參閱「輸入規則來源組合」：

    • SRC_NETWORK_CONTEXT：定義要與其他支援的來源參數搭配使用的來源網路環境，以產生來源組合。--target-type=INTERNAL_MANAGED_LB 的有效值為 VPC_NETWORKS 或 INTRA_VPC。詳情請參閱「網路環境」。
    • SRC_VPC_NETWORKS：以半形逗號分隔的虛擬私有雲網路清單，這些網路以網址 ID 指定。只有在 --src-network-context 為 VPC_NETWORKS 時，才指定這個旗標。
    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • SRC_ADDRESS_GROUPS：以半形逗號分隔的地址群組清單，這些群組以專屬網址 ID 指定。清單中的位址群組必須包含所有 IPv4 位址或所有 IPv6 位址，不得同時包含兩者。
    • SRC_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，格式為網域名稱。
  • (選用) 指定輸入規則的目的地：

    • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

為 VM 目標建立輸出規則

以下說明如何建立輸出規則。輸出規則僅適用於 Compute Engine 執行個體的網路介面目標。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「Firewall policies」(防火牆政策)

  2. 在專案選取器清單中，選取含有區域網路防火牆政策的專案。

  3. 在「Network firewall policies」(網路防火牆政策) 區段中，按一下要建立規則的區域網路防火牆政策名稱。

  4. 在「防火牆規則」部分，點選「建立防火牆規則」，並指定下列設定參數：

    1. 優先順序：規則的數值評估順序。

      系統會從最高優先順序到最低優先順序評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。 建議您將規則優先順序值間隔設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。

    2. 說明：提供說明 (選填)。

    3. 目標類型：選取「執行個體」。

      選取這個選項後，Cloud NGFW 會將 VM 執行個體做為目標。

    4. 目標：選取下列其中一個選項：

      • 套用至所有項目：Cloud NGFW 會使用最廣泛的執行個體目標。
      • 服務帳戶：將最廣泛的執行個體目標縮小為使用您指定服務帳戶的 VM 執行個體網路介面：

        • 在「服務帳戶範圍」部分，選取「在這個專案中」>「目標服務帳戶」。這是為了在與區域網路防火牆政策相同的專案中指定服務帳戶。
        • 在「服務帳戶範圍」部分，選取「在其他專案中」> 目標服務帳戶。這是為了在 Shared VPC 服務專案中指定服務帳戶。
      • 安全標記：將最廣泛的執行個體目標縮小為 VM 執行個體的網路介面，這些介面至少繫結至您指定的其中一個安全標記值。按一下「Select scope for tags」(選取標記範圍)，然後選取包含要比對標記值的機構或專案。如要新增更多代碼值，請按一下「新增代碼」。

    5. 「流量方向」：選取「輸出」。

    6. 「相符時執行的動作」：選取下列其中一項操作：

      • 允許：允許符合規則參數的連線。
      • 拒絕：封鎖符合規則參數的連線。
      • 前往下一個步驟：繼續進行防火牆規則評估程序。

    7. 「記錄」：選取「開啟」，啟用防火牆規則記錄功能；選取「關閉」，停用這項規則的防火牆規則記錄功能。

    8. 目標網路情境：指定網路情境：

    9. 目的地篩選器：指定其他目的地參數。部分到達網頁參數無法同時使用，且您選擇的到達網頁聯播網內容會限制可使用的到達網頁篩選器。詳情請參閱「輸出規則目的地」和「輸出規則目的地組合」。

      • 如要依目的地 IPv4 範圍篩選傳出流量，請選取「IPv4」，然後在「IP ranges」(IP 範圍) 欄位中輸入 CIDR 區塊。針對任何 IPv4 目的地使用 0.0.0.0/0。
      • 如要依目的地 IPv6 範圍篩選傳出流量，請選取「IPv6」，然後在「IPv6 範圍」欄位中輸入 CIDR 區塊。針對任何 IPv6 目的地使用 ::/0。
      • 如要依目的地 FQDN 篩選輸出流量，請在「FQDNs」(FQDN) 欄位中輸入 FQDN。詳情請參閱 FQDN 物件。
      • 如要依目的地地理位置篩選輸出流量，請從「地理位置」欄位選取一或多個位置。詳情請參閱「地理位置物件」。
      • 如要依目的地地址群組篩選輸出流量，請從「地址群組」欄位選取一或多個地址群組。詳情請參閱「防火牆政策的位址群組」。
      • 如要依目的地 Google Threat Intelligence 清單篩選輸出流量，請從「Google Cloud Threat Intelligence」欄位選取一或多個 Google Threat Intelligence 清單。詳情請參閱「Google Threat Intelligence for firewall policy rules」。

    10. 來源：指定選用來源參數。詳情請參閱「輸出規則的來源」。

      • 如要略過依來源 IP 位址篩選輸出流量，請選取「無」。
      • 如要依來源 IP 位址篩選輸出流量，請選取「IPv4」或「IPv6」，然後輸入一或多個 CIDR，格式與目的地 IPv4 範圍或目的地 IPv6 範圍相同。

    11. 通訊協定和通訊埠：指定通訊協定和目的地通訊埠，讓流量符合規則。詳情請參閱「通訊協定和通訊埠」。

    12. 強制執行：指定是否強制執行防火牆規則：

      • 啟用：建立規則，並開始對新連線強制執行規則。
      • 已停用：建立規則，但不對新連線強制執行規則。

  5. 點選「建立」。

gcloud

gcloud compute network-firewall-policies rules create PRIORITY \
    --firewall-policy=POLICY_NAME \
    --project=PROJECT_ID \
    --firewall-policy-region=POLICY_REGION \
    --description=DESCRIPTION \
    --direction=EGRESS \
    --action=ACTION \
    [--enable-logging | --no-enable-logging] \
    [--disabled | --no-disabled] \
    [--target-secure-tags=TARGET_SECURE_TAGS] \
    [--target-service-accounts=TARGET_SERVICE_ACCOUNTS] \
    [--layer4-configs=LAYER_4_CONFIGS] \
    [--dest-network-context=DEST_NETWORK_CONTEXT] \
    [--dest-ip-ranges=DEST_IP_RANGES] \
    [--dest-address-groups=DEST_ADDRESS_GROUPS] \
    [--dest-fqdns=DEST_DOMAIN_NAMES] \
    [--dest-region-codes=DEST_COUNTRY_CODES] \
    [--dest-threat-intelligence=DEST_THREAT_LIST_NAMES] \
    [--src-ip-ranges=SRC_IP_RANGES]

更改下列內容：

  • PRIORITY：政策中規則的數值評估順序。系統會依優先順序 (由高到低) 評估規則，其中 0 為最高優先順序。每個規則的優先順序不得重複。建議您將規則優先順序值間的差異設為大於 1 (例如 100、200、300)，這樣之後就能在現有規則之間建立新規則。
  • POLICY_NAME：要建立規則的區域性網路防火牆政策名稱。
  • PROJECT_ID：包含區域網路防火牆政策的專案 ID。
  • POLICY_REGION：政策的區域。
  • DESCRIPTION：新規則的選用說明。
  • ACTION：指定下列其中一項動作：

  • --enable-logging 和 --no-enable-logging 標記可啟用或停用虛擬私有雲防火牆規則記錄。
  • --disabled 和 --no-disabled 旗標可控制規則是否停用 (不強制執行) 或啟用 (強制執行)。
  • 指定目標：

    • 如果省略 --target-secure-tags 和 --target-service-accounts 旗標，Cloud NGFW 會使用最廣泛的執行個體目標。
    • TARGET_SECURE_TAGS：以半形逗號分隔的安全代碼值清單，可將最廣泛的執行個體目標縮小至繫結至少一個安全代碼值的 VM 執行個體網路介面。
    • TARGET_SERVICE_ACCOUNTS：以半形逗號分隔的服務帳戶清單，可將最廣泛的執行個體目標縮小為使用其中一個服務帳戶的 VM 執行個體網路介面。
  • LAYER_4_CONFIGS：以半形逗號分隔的第 4 層設定清單。每個第 4 層設定可以是下列其中一種：
    • IP 通訊協定名稱 (tcp) 或 IANA IP 通訊協定編號 (17)，不含任何目的地通訊埠。
    • 以半形冒號 (tcp:80) 分隔的 IP 通訊協定名稱和目的地通訊埠。
    • IP 通訊協定名稱和目的地通訊埠範圍，以冒號分隔，並以破折號分隔起始和結束目的地通訊埠 (tcp:5000-6000)。詳情請參閱「通訊協定和通訊埠」。
  • 指定輸出規則的目的地。詳情請參閱「輸出規則目的地組合」：

    • DEST_NETWORK_CONTEXT：定義要與其他支援的目的地參數搭配使用的目的地網路環境，以產生目的地組合。有效值為 INTERNET 和 NON_INTERNET。詳情請參閱「網路環境」。
    • DEST_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。
    • DEST_ADDRESS_GROUPS：以半形逗號分隔的地址群組清單，這些地址群組由不重複網址識別碼指定。
    • DEST_DOMAIN_NAMES：以半形逗號分隔的 FQDN 物件清單，格式為網域名稱。
    • DEST_COUNTRY_CODES：以半形逗號分隔的雙字母國家/地區代碼清單。詳情請參閱「Geolocation 物件」。
    • DEST_THREAT_LIST_NAMES：以半形逗號分隔的 Google Threat Intelligence 清單名稱。詳情請參閱「Google Threat Intelligence for 防火牆政策規則」。
  • (選用) 指定輸出規則的來源：

    • SRC_IP_RANGES：以半形逗號分隔的 IP 位址範圍清單，格式為 CIDR。清單中的範圍必須全為 IPv4 CIDR 或 IPv6 CIDR，不得混用。

後續步驟