建立及管理鏡像規則

本頁說明如何使用 Google Cloud CLI 建立及管理鏡像規則。建立封包鏡像規則前，請先建立端點群組和端點群組關聯。詳情請參閱「設定消費者服務」。

建立及管理網路防火牆政策的鏡像規則

在本節中，瞭解如何建立及管理全域網路防火牆政策的鏡像規則。

建立含有鏡像規則的防火牆政策

在網路防火牆政策中建立封包鏡像規則。

控制台

如要建立網路防火牆政策，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「防火牆政策」頁面

  2. 在專案選取器清單中，選取機構內的 Google Cloud 專案。

  3. 按一下「建立防火牆政策」。

  4. 在「Policy name」(政策名稱) 欄位中，輸入政策名稱。

  5. 在「部署範圍」部分，選取「全域」。

  6. 如要為政策建立鏡像規則，請依序點選「繼續」>「繼續」。

  7. 在「新增鏡像規則」部分，按一下「建立鏡像規則」。

    1. 在「優先順序」欄位中，設定規則的順序編號，其中 0 為最高優先順序。
    2. 在「流量方向」部分，選擇「輸入」。
    3. 在「相符時執行的動作」部分，選擇「鏡像」。
    4. 在「安全性設定檔群組」中，選取自訂的鏡像安全性設定檔群組。
    5. 針對「Target」(目標)，指定規則的目標。
    6. 在「來源」部分，指定來源篩選器。
    7. 在「目的地」部分，指定目的地篩選器。
    8. 在「Protocols and ports」(通訊協定和通訊埠) 中，指定規則要套用至所有通訊協定和所有目的地通訊埠，或是要套用至哪些通訊協定和目的地通訊埠。
    9. 點選「建立」。

  8. 如要將政策與網路建立關聯，請按一下「繼續」，然後點選「將政策與網路建立關聯」。 詳情請參閱「將政策與網路建立關聯」。

  9. 點選「建立」。

gcloud

如要在網路防火牆政策中建立鏡像規則，請使用 gcloud compute network-firewall-policies mirroring-rules create 指令：

 gcloud compute network-firewall-policies mirroring-rules create PRIORITY \
     --action ACTION \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy \
     --security-profile-group SECURITY_PROFILE_GROUP \
     --description DESCRIPTION \
     --direction DIRECTION \
     --layer4-configs LAYER4_CONIFG \
     --src-ip-ranges SRC_IP_RANGE \
     --dest-ip-ranges DEST_IP_RANGE

更改下列內容：

  • PRIORITY：要新增規則的優先順序。

  • ACTION：要求符合比對條件時採取的動作。「ACTION」必須為 mirror 或 do_not_mirror。

  • FIREWALL_POLICY：要建立規則的防火牆政策 ID。

  • SECURITY_PROFILE_GROUP：安全性設定檔群組的名稱，該群組具有 CUSTOM_MIRRORING 安全性設定檔，且與 mirror 動作搭配使用。

  • DESCRIPTION：鏡像規則的選用說明。

  • DIRECTION：指出規則是 ingress 還是 egress 規則。如未指定方向，系統預設會對傳入流量套用規則。對於傳入流量，您無法指定目的地範圍。針對連出流量，您無法指定來源範圍或來源標籤。

  • LAYER4_CONFIG：防火牆規則適用的目的地通訊協定和通訊埠清單。

  • SRC_IP_RANGE：來源 IP 範圍。只有在 DIRECTION 為 ingress 時，才會指定此屬性。

  • DEST_IP_RANGE：目的地 IP 範圍。只有在 DIRECTION 為 egress 時，才會指定這項屬性。

Terraform

如要建立鏡像規則，可以使用 google_compute_network_firewall_policy_packet_mirroring_rule 資源。

resource "google_compute_network_firewall_policy_packet_mirroring_rule" "default" {
  provider               = google-beta
  firewall_policy        = google_compute_network_firewall_policy.default.name
  priority               = 1000
  action                 = "mirror"
  direction              = "INGRESS"
  security_profile_group = google_network_security_security_profile_group.default.id

  match {
    layer4_configs {
      ip_protocol = "tcp"
      ports       = ["80"]
    }
    src_ip_ranges = ["10.10.0.0/16"]
  }
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

說明鏡像規則

說明指定優先順序的網路防火牆政策鏡像規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「防火牆政策」頁面

  2. 在專案挑選器中，選取包含全域網路防火牆政策的 Google Cloud 專案。

  3. 按一下政策。

  4. 如要查看規則詳細資料，請按一下規則的優先順序。

gcloud

如要描述網路防火牆政策中的鏡像規則，請使用 gcloud compute network-firewall-policies mirroring-rules describe 指令：

 gcloud compute network-firewall-policies mirroring-rules describe PRIORITY \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy

更改下列內容：

  • PRIORITY：要說明的規則優先順序

  • FIREWALL_POLICY：用來說明規則的防火牆政策 ID

更新鏡像規則

更新網路防火牆政策中的鏡像規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「防火牆政策」頁面

  2. 在專案挑選器中，選取包含政策的 Google Cloud 專案。

  3. 按一下政策。

  4. 在「鏡像規則」部分，按一下要更新的規則優先順序。

  5. 按一下 [編輯]。

  6. 編輯完畢後，請按一下「儲存」。

gcloud

如要更新網路防火牆政策中的鏡像規則，請使用 gcloud compute network-firewall-policies mirroring-rules update 指令：

 gcloud compute network-firewall-policies mirroring-rules update PRIORITY \
     --action ACTION \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy \
     --security-profile-group SECURITY_PROFILE_GROUP \
     --description DESCRIPTION \
     --direction DIRECTION \
     --layer4-configs LAYER4_CONIFG \
     --src-ip-ranges SRC_IP_RANGE \
     --dest-ip-ranges DEST_IP_RANGE

更改下列內容：

  • PRIORITY：要更新的規則優先順序。

  • ACTION：要求符合比對條件時採取的動作。「ACTION」必須為 mirror 或 do_not_mirror。

  • FIREWALL_POLICY：要更新規則的防火牆政策 ID。

  • SECURITY_PROFILE_GROUP：安全性設定檔群組的名稱，其中包含 CUSTOM_MIRRORING 安全性設定檔，或 ACTION 是否為 mirror。

  • DESCRIPTION：鏡像規則的選用說明。

  • DIRECTION：指出規則是 ingress 還是 egress 規則。如未指定方向，系統預設會對傳入流量套用規則。對於傳入流量，您無法指定目的地範圍。針對連出流量，您無法指定來源範圍或來源標籤。

  • LAYER4_CONFIG：防火牆規則要套用的目的地通訊協定和通訊埠清單。

  • SRC_IP_RANGE：來源 IP 範圍。只有在 DIRECTION 為 ingress 時，才會指定此屬性。

  • DEST_IP_RANGE：目的地 IP 範圍。只有在 DIRECTION 為 egress 時，才會指定這項屬性。

刪除鏡像規則

刪除指定優先順序的封包鏡像規則。

控制台

  1. 前往 Google Cloud 控制台的「Firewall policies」(防火牆政策) 頁面。

    前往「防火牆政策」頁面

  2. 在專案挑選器中，選取包含政策的 Google Cloud 專案。

  3. 按一下政策。

  4. 選取要刪除的鏡像規則。

  5. 點選「刪除」。

gcloud

如要從網路防火牆政策刪除鏡像規則，請使用 gcloud compute network-firewall-policies mirroring-rules delete 指令：

 gcloud compute network-firewall-policies mirroring-rules delete PRIORITY \
     --firewall-policy FIREWALL_POLICY \
     --global-firewall-policy

更改下列內容：

  • PRIORITY：要刪除的規則優先順序

  • FIREWALL_POLICY：要刪除規則的防火牆政策 ID

後續步驟