本文档介绍了您在分层、全球或区域级 防火墙政策中配置的防火墙政策规则的组成部分，该政策适用于常规 Virtual Private Cloud (VPC) 网络。这些组件包括方向、来源、目的地和第 4 层特征，例如协议和目的地端口（如果协议使用端口）。
Google Cloud 中的防火墙政策规则可让您控制流量，从而提高安全性和运营效率。创建防火墙政策规则时，您需要指定定义规则作用的组件。每条防火墙政策规则都适用于传入（入站流量）或传出（出站流量）连接，但不能同时适用于两者。
对于专用高性能网络配置文件（例如基于融合以太网的远程直接内存访问 [RoCE]），防火墙政策规则功能和配置与常规网络不同。如需详细了解 RDMA 网络配置文件的防火墙规则，请参阅适用于 RoCE VPC 网络的 Cloud NGFW。
本文档适用于配置和管理防火墙政策规则的网络管理员和安全工程师。
优先级
防火墙政策中的每个规则都必须具有唯一的优先级。
为防火墙政策规则分配优先级时，请考虑以下准则：
- 优先级是
0到2,147,483,547（含）之间的整数。 - 在防火墙政策中，每条规则都必须具有唯一的优先级编号。 防火墙政策规则没有名称。
- 优先级编号
0表示最高优先级，2,147,483,547表示最低优先级。优先级随着数字的增加而降低。在防火墙政策中，如果一个数据包与多条规则匹配，则系统只会强制执行优先级最高的匹配规则。
请考虑以下示例，其中存在与您的 VPC 网络关联的全球网络防火墙政策中的两个防火墙政策规则：
来自来源
0.0.0.0/0（任何 IPv4 地址）的入站流量规则适用于所有目标、所有协议和所有目的地端口，其操作为deny，优先级为1000。来自来源
0.0.0.0/0（任何 IPv4 地址）的入站流量规则适用于具有安全标记tagKeys/123/tagValues/456（标记键 shortNamerole和标记值webserver）的特定目标，针对 TCP 80 端口上的流量，操作为allow。
第二条规则的优先级决定了针对 webserver 目标，是否允许流向端口 80 的 TCP 流量：
如果第二条规则的优先级设置为大于
1000的数字，则该规则的优先级较低，因此系统将应用拒绝所有流量的第一条规则。如果第二条规则的优先级设置为小于
1000的数字，则该规则的优先级较高。在 TCP 80 上到达webserver的数据包首先与第二条规则匹配。流量被允许，防火墙停止查看任何其他规则。系统绝不会针对此特定数据包检查第一条规则。
前面的示例演示了如何使用优先级来创建选择性的 allow 规则和全局 deny 规则，以实现最小权限最佳安全做法。
对匹配项执行的操作
防火墙政策中的规则可以执行以下操作之一：
| 操作参数 | 说明 |
|---|---|
allow |
允许新连接的数据包。停止评估包含匹配规则的防火墙政策中的规则。不评估任何其他防火墙规则。 无论规则的方向如何，如果数据包协议和防火墙政策类型支持连接跟踪，则允许规则会创建一个防火墙连接跟踪表条目，该条目允许入站和出站数据包。 |
deny |
不允许新连接的数据包。停止评估包含匹配规则的防火墙政策中的规则。不评估任何其他防火墙规则。 Cloud NGFW 始终会在评估防火墙规则之前检查防火墙连接跟踪表条目。 因此，如果允许规则创建了连接跟踪表条目，则该连接跟踪表条目优先。 |
apply_security_profile_group |
拦截新连接的数据包，并将其发送到防火墙端点或 拦截端点组。停止评估包含匹配规则的防火墙政策中的规则。不评估任何其他防火墙规则。 无论规则的方向如何，如果数据包协议和防火墙政策类型支持连接跟踪，则具有 您无法在区域级网络防火墙政策或区域级系统防火墙政策中使用
|
goto_next |
停止评估防火墙政策中的其他规则，并评估 防火墙政策和规则评估顺序中下一步的规则。 防火墙政策和规则评估顺序的下一步可能是评估其他防火墙政策中的规则或隐式防火墙规则。 |
强制执行
您可以通过启用或停用防火墙政策规则来选择是否实施。您可以在创建规则或更新规则时设置实施状态。
如果您在创建新的防火墙规则时未设置实施状态，则防火墙规则会自动启用。
协议和端口
防火墙政策规则会在其第 4 层配置列表中存储协议和端口限制。如果您省略第 4 层配置信息，则防火墙政策规则适用于所有协议和所有目标端口。
列表中的每个第 4 层配置都可以指定以下其中一项：
IP 协议名称（例如
tcp）或 IANA IP 协议编号（例如17），不指定任何目标端口：- 您可以使用以下 IP 协议名称：
tcp、udp、icmp（适用于 IPv4 ICMP）、esp、ah、sctp、ipip。 - 对于所有其他协议，请使用 IANA 协议编号。大多数协议在 IPv4 和 IPv6 中使用相同的名称和编号，但某些协议（如 ICMP）并非如此。如需指定 IPv4 ICMP，请使用
icmp或协议编号1。如需指定 IPv6 ICMP，请使用协议编号58。防火墙政策规则不支持 IPv6 逐跳协议。
- 您可以使用以下 IP 协议名称：
有效的 IP 协议名称和目标端口信息的组合：
- 有效的 IP 协议是使用目标端口的协议，例如
tcp和udp。 - 如需指定目标端口，您必须添加单个协议名称。 您可以指定协议名称以及单个目标端口号或目标端口范围。
- 有效的 IP 协议是使用目标端口的协议，例如
第 4 层配置不支持以下各项：
使用来源端口的协议（例如
tcp和udp）的来源端口信息ICMP 类型和代码。
将防火墙政策规则的目标类型设置为 INTERNAL_MANAGED_LB 时，需遵循以下额外限制：
- 您只能指定 TCP 协议（
tcp或 IANA IP 协议编号6）。 - 您必须省略目标端口信息，因为负载均衡器的转发规则定义了目标端口。
日志记录
防火墙政策规则的日志记录与 VPC 防火墙规则日志记录相同，但以下方面除外：
引用字段包含防火墙政策 ID 和一个数字，该数字表明政策关联的资源的级层。例如，
0表示政策应用于组织，1表示政策应用于组织下的顶级文件夹。防火墙政策规则的日志包含一个
target_resource字段，用于标识规则要应用于的 VPC 网络。
只能为
allow、deny和apply_security_profile_group规则启用日志记录；不能为goto_next规则启用日志记录。如果您为使用
apply_security_profile_group操作的规则启用日志记录，则 Cloud NGFW 会在拦截流量会话并将流量重定向到防火墙端点以进行深度数据包检测时生成单个日志条目。此日志条目确认防火墙规则与流量匹配，并成功将其重定向到防火墙端点。 如需了解详情，请参阅防火墙政策规则日志记录概览。防火墙端点会执行深度数据包检测（例如入侵检测与防御服务和网址过滤服务），并生成自己的一组日志。这些日志提供有关被拦截会话中的连接的详细信息，并列出检测到的任何威胁或网址过滤操作。这些深度数据包检测日志可能会为每个会话生成多个日志条目。
目标、来源、目的地
目标、来源和目的地参数会协同工作，共同确定防火墙规则的范围。
目标参数：标识防火墙规则适用的资源。
来源和目标参数：定义流量条件。您可以同时为入站和出站规则指定。来源和目的地参数的有效选项取决于目标参数和防火墙规则的方向。
目标
目标类型参数和一个或多个目标参数定义了防火墙规则的目标。防火墙规则的这些目标是防火墙规则保护的资源。
如果省略目标类型或将其设置为
INSTANCES，则防火墙规则会应用于 Compute Engine 实例（包括 Google Kubernetes Engine [GKE] 节点和 App Engine 柔性环境实例）的网络接口。入站规则和出站规则均受支持。如需指定防火墙规则适用于哪些虚拟机网络接口，请使用目标参数：
如果您将目标类型设置为
INTERNAL_MANAGED_LB，则防火墙规则会应用于为内部应用负载均衡器和内部代理网络负载均衡器处理流量的代管式 Envoy 代理。如果您省略目标转发规则参数，则防火墙规则会应用于最大范围的负载均衡器目标。
如需将防火墙规则限制为单个负载均衡器，请使用目标转发规则参数。您不能使用其他特定目标参数，例如安全标记或服务账号。如需了解详情，请参阅特定目标和目标转发规则格式。
如果全球网络防火墙政策中的规则的目标类型设置为
INTERNAL_MANAGED_LB，且其操作设置为apply_security_profile_group，则您必须使用目标转发规则参数将该规则限制为单个跨区域内部应用负载均衡器。目标类型设置为
INTERNAL_MANAGED_LB的防火墙规则具有以下限制：该规则必须是入站流量规则。
您必须省略规则的目的地参数，因为负载均衡器的转发规则定义了目的地 IP 地址。
在规则的第 4 层配置中，您只能指定 TCP 协议（
tcp或 IANA IP 协议编号6）。您必须省略目标端口，因为负载均衡器的转发规则会定义目标端口。您可以删除内部应用负载均衡器或内部代理网络负载均衡器转发规则，而无需移除以其为目标的防火墙规则。目标转发规则通过其 ID（而非名称）绑定到防火墙规则。如果您创建了同名的新转发规则，防火墙规则不会自动重新绑定到新转发规则。如需重新应用防火墙规则，您必须更新该规则以引用新的转发规则。
最广泛的实例目标
最广泛的实例目标取决于防火墙政策类型：
分层防火墙政策中规则的最大范围实例目标：位于与分层防火墙政策关联的 Resource Manager 节点（文件夹或组织）下的项目中任何 VPC 网络的任何区域中的子网中的所有虚拟机网络接口。
全球网络防火墙政策中规则的最广泛实例目标：与全球网络防火墙政策关联的 VPC 网络任何区域中子网内的所有虚拟机网络接口。
区域级网络防火墙政策中规则的最宽泛实例目标：与区域级网络防火墙政策关联的区域和 VPC 网络内子网中的所有虚拟机网络接口。
最广泛的负载均衡器目标
最广泛的负载均衡器目标取决于以下防火墙政策类型：
全球网络防火墙政策中规则的最广泛负载均衡器目标：与全球网络防火墙政策关联的 VPC 网络任何区域中子网内内部应用负载均衡器和内部代理网络负载均衡器的所有转发规则。
区域级网络防火墙政策中规则的最广泛负载均衡器目标：与区域级网络防火墙政策关联的区域和 VPC 网络内子网中内部应用负载均衡器和内部代理网络负载均衡器的所有转发规则。
具体目标
下表列出了目标参数、支持包含各参数的规则的防火墙政策，以及支持的规则目标类型。如果您未指定目标参数，则规则会根据规则的目标类型使用最广泛的实例目标或最广泛的负载均衡器目标。对勾标记表示支持该参数，符号表示不支持该参数。
| 目标参数 | 防火墙政策支持 | 规则定位类型支持 | |||
|---|---|---|---|---|---|
| 分层 | 全球网络 | 地区级网络 | INSTANCES |
INTERNAL_MANAGED_LB |
|
| 目标 VPC 网络资源
使用 |
|||||
| 目标服务账号
使用 |
|||||
| 定位具有网络用途数据的标记键中的安全标记值
使用 此列表将最大范围的实例目标缩小到每个都满足以下两个条件的虚拟机网络接口：
如需了解详情，请参阅防火墙的安全标记。 |
|||||
| 定位到具有组织用途数据的标记键中的安全标记值
使用 此列表将最大范围的实例目标缩小到每个都满足以下两个条件的虚拟机网络接口：
如需了解详情，请参阅防火墙的安全标记。 |
|||||
| 目标转发规则
以目标转发规则格式指定的内部应用负载均衡器或内部代理网络负载均衡器的单个转发规则。此参数可将最广泛的负载均衡器目标范围缩小到特定的内部应用负载均衡器或内部代理网络负载均衡器。 |
|||||
特定目标组合
支持 target-resources 参数的规则可以将其与另一个目标参数组合，以创建目标参数组合。下表列出了支持的目标参数组合、支持包含各参数的规则的防火墙政策，以及支持的规则目标类型。如果您未指定参数，则规则会根据规则的定位类型使用最广泛的实例目标或最广泛的负载均衡器目标。
对勾标记表示支持该参数，符号表示不支持该参数。
| 目标参数组合 | 防火墙政策支持 | 规则定位类型支持 | |||
|---|---|---|---|---|---|
| 分层 | 全球网络 | 地区级网络 | INSTANCES |
INTERNAL_MANAGED_LB |
|
| 目标 VPC 网络资源和目标服务账号的组合
同时使用 此组合会将最大范围的实例目标缩小到每个都满足以下两个条件的虚拟机网络接口：
|
|||||
| 目标 VPC 网络资源和目标安全标记值的组合
同时使用 此组合会将最大范围的实例目标缩小到每个都满足以下两个条件的虚拟机网络接口：
|
|||||
目标转发规则格式
将防火墙规则的目标类型设置为 INTERNAL_MANAGED_LB 时，target-forwarding-rules 参数接受以下格式的值：
对于区域级内部应用负载均衡器和区域级内部代理网络负载均衡器，请使用以下命令：
https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAMEprojects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
对于跨区域内部应用负载均衡器和跨区域内部代理网络负载均衡器：
https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAMEprojects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
入站流量规则的目标和 IP 地址
如果省略防火墙规则目标类型或将其设置为 INSTANCES，则该规则会应用于路由到目标虚拟机网络接口的数据包。
如果入站流量防火墙规则包含目的地 IP 地址范围，则数据包的目的地必须在其中一个明确定义的目的地 IP 地址范围内。
如果入站流量防火墙规则不包含目的地 IP 地址范围，则数据包的目的地必须与每个目标虚拟机的以下 IP 地址之一匹配：
分配给实例的 NIC 的主要内部 IPv4 地址。
实例的 NIC 上任何已配置的别名 IP 地址范围。
与实例的 NIC 关联的外部 IPv4 地址。
如果在子网上配置 IPv6，则为分配给 NIC 的任何 IPv6 地址。
与用于直通式负载均衡的转发规则关联的内部或外部 IP 地址，其中实例是内部直通式网络负载均衡器或外部直通式网络负载均衡器的后端。
与用于协议转发的转发规则关联的内部或外部 IP 地址，其中实例由目标实例引用。
将实例（
next-hop-instance或next-hop-address）用作下一个跃点虚拟机的自定义静态路由的目的地范围内的 IP 地址。将内部直通式网络负载均衡器 (
next-hop-ilb) 用作下一个跃点的自定义静态路由的目的地范围内的 IP 地址（如果虚拟机是该负载均衡器的后端）。
如果您将防火墙规则的目标类型设置为 INTERNAL_MANAGED_LB，则必须省略目标参数。内部应用负载均衡器或内部代理网络负载均衡器转发规则定义了目标 IP 地址。
出站流量规则的目标和 IP 地址
如果省略防火墙规则目标类型或将其设置为 INSTANCES，则该规则适用于目标虚拟机的网络接口发出的数据包。
如果目标虚拟机停用了 IP 转发（默认），则该虚拟机只能发出具有以下来源的数据包：
实例的 NIC 的主要内部 IPv4 地址。
实例的 NIC 上任何已配置的别名 IP 地址范围。
如果在子网上配置 IPv6，则为分配给 NIC 的任何 IPv6 地址。
与用于直通式负载均衡或协议转发的转发规则相关联的内部或外部 IP 地址。如果实例是内部直通式网络负载均衡器、外部直通式网络负载均衡器的后端或由目标实例引用，这就有效。
如果出站流量防火墙规则包含来源 IP 地址范围，则目标虚拟机仍然仅限于之前提到的来源 IP 地址，但来源参数可用于优化来源。如果在未启用 IP 转发的情况下使用来源参数，则系统绝不会扩展可能的数据包来源地址集。
如果出站流量防火墙规则不包含来源 IP 地址范围，则允许之前提到的所有来源 IP 地址。
如果目标虚拟机启用了 IP 转发，则该虚拟机可以发送具有任意来源地址的数据包。您可以使用来源参数更精确地定义允许的数据包来源集。
来源
来源参数值取决于防火墙规则的方向。
入站流量规则的来源
下表列出了入站流量规则的来源参数、支持每个参数的防火墙政策，以及与每个参数兼容的规则目标类型。您必须至少指定一个来源参数。对勾标记表示支持该参数，符号表示不支持该参数。
| 入站流量规则来源参数 | 防火墙政策支持 | 规则定位类型支持 | |||
|---|---|---|---|---|---|
| 分层 | 全球网络 | 地区级网络 | INSTANCES |
INTERNAL_MANAGED_LB |
|
| 来源 IP 地址范围 由 CIDR 格式的 IPv4 地址或 CIDR 格式的 IPv6 地址组成的列表。该列表存储在防火墙政策规则本身中。 |
|||||
| 来源地址组
采用 CIDR 格式的 IPv4 地址或采用 CIDR 格式的 IPv6 地址的可重复使用集合。防火墙规则引用了该集合。如需了解详情，请参阅防火墙政策的地址组。 |
|||||
| 来自具有网络用途数据的标记键的来源安全标记值
来自标记键的一个或多个标记值的列表，其用途数据指定单个 VPC 网络。如需了解详情，请参阅防火墙的安全标记和来源安全标记如何表示数据包来源。 |
|||||
| 从具有组织用途数据的标记键中获取安全标记值
来自用途数据为 |
|||||
| 来源地理定位
一个或多个来源地理定位的列表，指定为两个字母的国家/地区代码。如需了解详情，请参阅地理定位对象 |
|||||
| 来源 Google Threat Intelligence 列表
一个或多个预定义的 Google Threat Intelligence 列表名称的列表。 如需了解详情，请参阅防火墙政策规则的 Google Threat Intelligence。 |
|||||
| 来源网络上下文
用于定义安全边界的限制条件。有效值取决于规则的定位类型。如需了解详情，请参阅网络上下文。 |
|||||
入站规则来源组合
在单个入站流量规则中，您可以使用两个或更多来源参数来生成来源组合。Cloud NGFW 会对每条入站流量规则的来源组合施加以下限制：
- 来源 IP 地址范围必须包含 IPv4 或 IPv6 CIDR，不能同时包含两者。
- 包含 IPv4 CIDR 的来源地址组不能与包含 IPv6 CIDR 的来源地址组搭配使用。
- 包含 IPv4 CIDR 的来源 IP 地址范围不能与包含 IPv6 CIDR 的来源地址组搭配使用。
- 包含 IPv6 CIDR 的来源 IP 地址范围不能与包含 IPv4 CIDR 的来源地址组搭配使用。
- 互联网网络上下文不能与来源安全标记一起使用。
- 非互联网上下文、VPC 网络上下文和 VPC 间上下文不能与 来源 Google Threat Intelligence 列表或 来源地理定位结合使用。
Cloud NGFW 会应用以下逻辑，将数据包与使用来源组合的入站流量规则进行匹配：
如果来源组合不包含来源网络上下文，则数据包只要与来源组合中的至少一个来源参数匹配，就会与入站流量规则匹配。
如果来源组合包含来源网络上下文，则数据包只要与来源网络上下文和来源组合中的至少一个其他来源参数匹配，就与入站流量规则匹配。
来源安全标记如何表示数据包来源
当入站防火墙规则的目标类型被省略或设置为 INSTANCES 时，该规则可以使用来源安全标记值。安全标记值用于标识网络接口，而不是 IP 地址等数据包特征。
根据以下规则，从虚拟机实例的网络接口发送的数据包会与使用来源安全标记值的入站流量规则匹配：
如果入站流量规则位于区域级网络政策中，则虚拟机实例必须位于与区域级网络防火墙政策相同的区域中的某个可用区。否则，虚拟机实例可以位于任何可用区。
虚拟机实例必须与在入站流量防火墙规则中用作来源安全标记的同一安全标记值相关联。
与虚拟机实例关联且由入站流量防火墙规则使用的安全标记值必须来自标记键，其
purpose-data属性标识至少一个包含虚拟机实例的网络接口的 VPC 网络：如果标记键的用途数据指定了单个 VPC 网络，则使用来源安全标记值的入站防火墙规则会应用于该 VPC 网络中虚拟机实例的网络接口。
如果标记键的用途数据指定了组织，则使用来源安全标记值的入站防火墙规则会应用于该组织任何 VPC 网络中的虚拟机实例的网络接口。
识别出的虚拟机网络接口必须满足以下条件之一：
- 虚拟机网络接口与应用防火墙政策的 VPC 网络位于同一 VPC 网络中。
虚拟机网络接口位于使用 VPC 网络对等互连连接到应用防火墙政策的 VPC 网络的 VPC 网络中。
虚拟机网络接口使用的 VPC 网络和防火墙政策适用的 VPC 网络都是同一 Network Connectivity Center hub 上的 VPC spoke。
如需详细了解防火墙的安全标记，请参阅规范。
出站流量规则的来源
您可以在分层防火墙政策和网络防火墙政策中针对出站流量规则使用以下来源：
默认 - 由目标决定：如果在出站流量规则中省略来源参数，则数据包来源会隐式定义，如出站流量规则的目标和 IP 地址中所述。
来源 IPv4 地址范围：采用 CIDR 格式的 IPv4 地址列表。
来源 IPv6 地址范围：采用 CIDR 格式的 IPv6 地址列表。
请遵循以下准则来为出站流量规则添加来源 IP 地址范围：
如果为虚拟机网络接口分配了外部 IPv4 地址，或者该接口没有外部 IPv4 地址但使用了 Cloud NAT 网关，则在 Google Cloud 将出站数据包的来源从内部 IPv4 地址更改为外部 IPv4 地址之前，会进行出站流量防火墙评估。如需应用出站流量防火墙规则，您必须省略来源参数，或在来源参数中包含虚拟机网络接口的内部 IPv4 地址。
如果出站流量规则中具有来源 IP 地址范围和目标参数，则目标参数将解析为与来源 IP 版本相同的 IP 版本。
目的地
目的地参数值取决于防火墙规则的方向。
入站流量规则的目的地
您可以在分层和网络防火墙政策中针对入站流量防火墙规则使用以下目的地：
默认 - 由目标决定：如果在入站流量规则中省略目的地参数，则数据包目的地将隐式定义，如入站流量规则的目标和 IP 地址中所述。
目的地 IPv4 地址范围：采用 CIDR 格式的 IPv4 地址列表。如果您将防火墙规则的目标类型设置为
INTERNAL_MANAGED_LB，则无法使用此参数。目的地 IPv6 地址范围：采用 CIDR 格式的 IPv6 地址列表。如果您将防火墙规则的目标类型设置为
INTERNAL_MANAGED_LB，则无法使用此参数。
请遵循以下准则为入站流量规则添加目标 IP 地址范围：
如果为虚拟机网络接口分配了外部 IPv4 地址，或者该接口没有外部 IPv4 地址但使用了 Cloud NAT 网关，则在 Google Cloud 将入站数据包的目标位置从外部 IPv4 地址更改为内部 IPv4 地址后，系统会进行入站防火墙评估。如需应用入站流量防火墙规则，您必须省略目的地参数，或在目的地参数中包含虚拟机网络接口的内部 IPv4 地址。
如果您在入站流量规则中同时定义了来源和目的地参数，则来源参数会解析为与目的地 IP 版本相同的 IP 版本。如需详细了解如何为入站流量规则定义来源，请参阅分层防火墙政策中的入站流量规则的来源和网络防火墙政策中的入站流量规则的来源。
例如，在入站流量规则中，目标参数中具有 IPv6 地址范围，来源参数中具有地理位置国家/地区代码。在规则实施期间，只有映射的 IPv6 地址用于指定的来源国家/地区代码。
出站流量规则的目的地
下表列出了出站规则的目标参数、支持每个参数的防火墙政策，以及与每个参数兼容的规则目标类型。您必须至少指定一个目标参数。对勾标记表示支持该参数，符号表示不支持该参数。
| 出站流量规则目的地参数 | 防火墙政策支持 | 规则定位类型支持 | |||
|---|---|---|---|---|---|
| 分层 | 全球网络 | 地区级网络 | INSTANCES |
INTERNAL_MANAGED_LB |
|
| 目的地 IP 地址范围： 由 CIDR 格式的 IPv4 地址或 CIDR 格式的 IPv6 地址组成的列表。该列表存储在防火墙政策规则本身中。 |
|||||
| 目标地址组 采用 CIDR 格式的 IPv4 地址或采用 CIDR 格式的 IPv6 地址的可重复使用集合。防火墙政策规则引用了该集合。如需了解详情，请参阅防火墙政策的地址组。 |
|||||
| 目标地理定位
一个或多个来源地理定位的列表，指定为两个字母的国家/地区代码。如需了解详情，请参阅地理定位对象。 |
|||||
| 目标 Google Threat Intelligence 列表
一个或多个预定义的 Google Threat Intelligence 列表名称的列表。 如需了解详情，请参阅防火墙政策规则的 Google Threat Intelligence。 |
|||||
| 目标网络上下文
用于定义安全边界的限制条件。 |
|||||
出站流量规则目的地组合
在单个出站流量规则中，您可以使用两个或更多目标参数来生成目标组合。Cloud NGFW 会对每条出站流量规则的目标组合施加以下限制：
- 目标 IP 地址范围必须包含 IPv4 或 IPv6 CIDR，不能同时包含两者。
- 您不能将包含 IPv4 CIDR 的目标地址组与包含 IPv6 CIDR 的目标地址组搭配使用。
- 您不能将包含 IPv4 CIDR 的目标 IP 地址范围与包含 IPv6 CIDR 的目标地址组搭配使用。
- 您不能将包含 IPv6 CIDR 的目标 IP 地址范围与包含 IPv4 CIDR 的目标地址组搭配使用。
- 您不能将目标 Google Threat Intelligence 列表或目标 地理定位与目标非互联网网络上下文搭配使用。
Cloud NGFW 会应用以下逻辑，将数据包与使用目标组合的出站流量规则进行匹配：
如果目标组合不包含目标网络上下文，则数据包只要与目标组合中的至少一个目标参数匹配，就会与出站流量规则匹配。
如果目标组合包含目标网络上下文，则数据包如果与目标网络上下文和目标组合中的至少一个其他目标参数匹配，则与出站流量规则匹配。