防火牆政策規則元件

本文說明在階層式、全域或區域 防火牆政策中，設定適用於一般虛擬私有雲 (VPC) 網路的防火牆政策規則時，會用到哪些元件。這些元件包括方向、來源、目的地和第 4 層特性，例如通訊協定和目的地通訊埠 (如果通訊協定使用通訊埠)。

Google Cloud 中的防火牆政策規則可讓您控管流量，提升安全性和作業效率。建立防火牆政策規則時，您必須指定定義規則用途的元件。每項防火牆政策規則都會分別套用至傳入 (ingress) 或傳出 (egress) 連線，但不會同時套用至兩者。

如果是專用、高效能的網路設定檔，例如基於融合乙太網路的遠端直接記憶體存取 (RDMA) (RoCE)，防火牆政策規則功能和設定會與一般網路不同。如要進一步瞭解 RDMA 網路設定檔的防火牆規則，請參閱「RoCE 虛擬私有雲網路適用的 Cloud NGFW」。

本文適用對象為負責設定及管理防火牆政策規則的網路管理員和資安工程師。

優先順序

防火牆政策中的每項規則都必須有專屬的優先順序。

為防火牆政策規則指派優先順序時，請考量下列準則：

  • 優先順序是介於 0 至 2,147,483,547 之間的整數 (含首尾)。
  • 在防火牆政策中，每項規則都必須有不重複的優先順序編號。防火牆政策規則沒有名稱。
  • 優先順序編號 0 為最高優先順序，2,147,483,547 為最低。數字越大，優先順序越低。在防火牆政策中，如果封包符合多項規則，系統只會強制執行優先順序最高的相符規則。

請參考以下範例，其中與虛擬私有雲網路相關聯的全域網路防火牆政策，有兩項防火牆政策規則：

  • 來源 0.0.0.0/0 (任何 IPv4 位址) 的輸入規則，適用於所有目標、所有通訊協定和所有目的地通訊埠，具有 deny 動作和 1000 優先順序。

  • 來源 0.0.0.0/0 (任何 IPv4 位址) 的輸入規則，適用於具有安全標記 tagKeys/123/tagValues/456 (標記鍵 shortName role 和標記值 webserver) 的特定目標，用於 TCP 80 上的流量，並執行 allow 動作。

第二項規則的優先順序，決定是否允許 TCP 流量傳送至 webserver 目標的通訊埠 80：

  • 如果第二項規則的優先順序設為大於 1000 的數字，則優先順序較低，因此會套用拒絕所有流量的第一項規則。

  • 如果第二項規則的優先順序設為小於 1000 的數字，則優先順序較高。透過 TCP 80 傳送至 webserver 的封包會先比對第二項規則。流量獲准通過，防火牆停止查看其他規則。系統不會檢查這個特定封包的第一項規則。

上例示範如何使用優先順序建立選擇性 allow 規則和全域 deny 規則，以實施最小權限的安全性最佳做法。

相符時執行的動作

防火牆政策中的規則可執行下列其中一項動作：

動作參數 說明
allow

允許新連線的封包。停止評估包含比對規則的防火牆政策中的規則。不評估任何其他防火牆規則。

無論規則的方向為何，如果封包通訊協定和防火牆政策類型支援連線追蹤，允許規則就會建立防火牆連線追蹤表格項目，允許輸入和輸出封包。
deny

不允許新連線的封包。停止評估包含比對規則的防火牆政策中的規則。不會評估任何其他防火牆規則。

Cloud NGFW 一律會先檢查防火牆連線追蹤表格項目，再評估防火牆規則。因此，如果允許規則建立了連線追蹤表格項目，該連線追蹤表格項目會優先執行。
apply_security_profile_group

攔截新連線的封包，並傳送至防火牆端點或 攔截端點群組。停止評估包含比對規則的防火牆政策中的規則。不會評估任何其他防火牆規則。

無論規則的方向為何，如果封包通訊協定和防火牆政策類型支援連線追蹤，具有 apply_security_profile_group 動作的規則會建立防火牆連線追蹤表格項目，讓防火牆端點或攔截端點群組攔截輸入和輸出封包。

您無法在區域網路防火牆政策或區域系統防火牆政策中使用 apply_security_profile_group 動作。

apply_security_profile_group 動作有一些特殊要求，具體取決於規則的指定類型。詳情請參閱「目標」。
goto_next

停止評估防火牆政策中的其他規則，並評估 防火牆政策和規則評估順序中下一個步驟的規則。

防火牆政策和規則評估順序的下一個步驟，可能是評估其他防火牆政策中的規則，或隱含的防火牆規則。

強制執行

您可以將防火牆政策規則的狀態設為啟用或停用，選擇是否強制執行規則。您可以在建立或更新規則時設定強制執行狀態。

建立新的防火牆規則時，如果未設定強制執行狀態，系統會自動啟用防火牆規則。

通訊協定和通訊埠

防火牆政策規則會將通訊協定和通訊埠限制，儲存在第 4 層設定清單中。如果省略第 4 層設定資訊，防火牆政策規則會套用至所有通訊協定和目的地通訊埠。

清單中的每個第 4 層設定都可以指定下列其中一項：

  • IP 通訊協定名稱 (例如 tcp) 或 IANA IP 通訊協定編號 (例如 17)，不含任何目的地通訊埠：

    • 您可以使用下列 IP 通訊協定名稱：tcp、udp、icmp (適用於 IPv4 ICMP)、esp、ah、sctp 和 ipip。
    • 如果是其他通訊協定，請使用 IANA 通訊協定編號。大多數通訊協定在 IPv4 和 IPv6 中使用相同的名稱和編號，但某些通訊協定 (例如 ICMP) 則不使用。如要指定 IPv4 ICMP，請使用 icmp 或通訊協定編號 1。如要指定 IPv6 ICMP，請使用通訊協定編號 58。防火牆政策規則不支援 IPv6 逐躍點通訊協定。

  • 有效的 IP 通訊協定名稱和目的地通訊埠資訊組合：

    • 有效的 IP 通訊協定是指使用目的地通訊埠的通訊協定，例如 tcp 和 udp。
    • 如要指定目的地通訊埠，您必須加入單一通訊協定名稱。您可以指定通訊協定名稱，並搭配單一目的地通訊埠編號或目的地通訊埠範圍。

第 4 層設定不支援下列項目：

  • 使用來源通訊埠的通訊協定 (例如 tcp 和 udp) 的來源通訊埠資訊

  • ICMP 類型和代碼。

將防火牆政策規則的指定類型設為 INTERNAL_MANAGED_LB 時，適用下列額外限制：

  • 您只能指定 TCP 通訊協定 (tcp 或 IANA IP 通訊協定編號 6)。
  • 您必須省略目的地通訊埠資訊，因為負載平衡器的轉送規則會定義目的地通訊埠。

記錄

防火牆政策規則的記錄功能與虛擬私有雲防火牆規則記錄功能相同，但有下列差異：

  • 參照欄位包含防火牆政策 ID，以及指出政策附加資源層級的數字。例如，0 表示政策套用至組織，1 則表示政策套用至組織下的頂層資料夾。

  • 防火牆政策規則的記錄包含 target_resource 欄位，可識別規則適用的虛擬私有雲網路。

  • 記錄功能只能用於 allow、deny 和 apply_security_profile_group 規則，無法用於 goto_next 規則。

  • 如果為使用 apply_security_profile_group 動作的規則啟用記錄功能，Cloud NGFW 會在攔截流量工作階段，並將流量重新導向至防火牆端點進行深度封包檢查時，產生單一記錄項目。這項記錄項目確認防火牆規則與流量相符，並成功將流量重新導向至防火牆端點。詳情請參閱「防火牆政策規則記錄總覽」。

  • 防火牆端點會執行深度封包檢查，例如入侵偵測與防範服務和網址篩選服務，並產生一組記錄。這些記錄會提供攔截工作階段中連線的詳細資訊，並列出偵測到的威脅或網址篩選動作。這些深度封包檢查記錄可能會為每個工作階段產生多個記錄項目。

目標、來源、目的地

目標、來源和目的地參數會搭配運作，決定防火牆規則的範圍。

  • 目標參數：識別防火牆規則適用的資源。

  • 來源和目的地參數：定義流量條件。您可以同時指定輸入和輸出規則。來源和目的地參數的有效選項，取決於目標參數和防火牆規則的方向。

目標

目標類型參數和一或多個目標參數會定義防火牆規則的目標。防火牆規則的目標，就是規則保護的資源。

  • 如果省略目標類型或設為 INSTANCES，防火牆規則會套用至 Compute Engine 執行個體的網路介面，包括 Google Kubernetes Engine (GKE) 節點和 App Engine 彈性環境執行個體。系統支援輸入和輸出規則。

    如要指定防火牆規則適用的 VM 網路介面，請使用目標參數：

  • 如果將目標類型設為 INTERNAL_MANAGED_LB，防火牆規則會套用至代管 Envoy Proxy，用於處理內部應用程式負載平衡器和內部 Proxy 網路負載平衡器的流量。

    • 如果省略 目標轉送規則 參數，防火牆規則會套用至最廣泛的負載平衡器目標。

    • 如要將防火牆規則限制為單一負載平衡器，請使用目標轉送規則參數。您無法使用其他特定目標參數，例如安全標記或服務帳戶。詳情請參閱「特定目標」和「目標轉送規則格式」。

      如果全域網路防火牆政策中的規則，指定類型設為 INTERNAL_MANAGED_LB，且動作設為 apply_security_profile_group，則必須使用目標轉送規則參數，將規則限制在單一跨區域內部應用程式負載平衡器。

    • 如果防火牆規則的目標類型設為 INTERNAL_MANAGED_LB，則有下列限制：

      • 規則必須是輸入規則。

      • 您必須省略規則的目的地參數，因為負載平衡器的轉送規則會定義目的地 IP 位址。

      • 在規則的第 4 層設定中，您只能指定 TCP 通訊協定 (tcp 或 IANA IP 通訊協定編號 6)。由於負載平衡器的轉送規則會定義目的地通訊埠，因此您必須省略目的地通訊埠。

      • 您可以刪除內部應用程式負載平衡器或內部 Proxy 網路負載平衡器轉送規則，而不移除指定該規則的防火牆規則。目標轉送規則是依 ID (而非名稱) 繫結至防火牆規則。如果您建立同名的新轉送規則，防火牆規則不會自動重新繫結至新的轉送規則。如要重新套用防火牆規則，您必須更新規則，參照新的轉送規則。

最廣泛的執行個體目標

最廣泛的執行個體目標取決於防火牆政策類型：

  • 階層式防火牆政策中規則的最廣泛執行個體目標：任何虛擬私有雲網路中任何區域的子網路中，所有 VM 網路介面，該虛擬私有雲網路位於與階層式防火牆政策相關聯的 Resource Manager 節點 (資料夾或組織) 下的專案中。

  • 全域網路防火牆政策中規則的最廣泛執行個體目標：與全域網路防火牆政策相關聯的虛擬私有雲網路中，任何區域子網路內的所有 VM 網路介面。

  • 區域網路防火牆政策中規則的最廣泛執行個體目標：與區域網路防火牆政策相關聯的區域和虛擬私有雲網路中，子網路內的所有 VM 網路介面。

最廣泛的負載平衡器目標

最廣泛的負載平衡器目標取決於下列防火牆政策類型：

  • 全域網路防火牆政策中規則的最廣泛負載平衡器目標：與全域網路防火牆政策相關聯的虛擬私有雲網路中，任何區域子網路內，內部應用程式負載平衡器和內部 Proxy 網路負載平衡器的所有轉送規則。

  • 區域網路防火牆政策中規則的最廣泛負載平衡器目標：與區域網路防火牆政策相關聯的區域和虛擬私有雲網路中，子網路內內部應用程式負載平衡器和內部 Proxy 網路負載平衡器的所有轉送規則。

特定目標

下表列出目標參數、支援各參數規則的防火牆政策，以及支援的規則指定類型。如未指定目標參數，規則會根據規則的目標類型，使用最廣泛的執行個體目標或最廣泛的負載平衡器目標。 勾號表示支援該參數， 符號則表示不支援。

目標參數 防火牆政策支援 規則指定類型支援
階層 全球網路 區域性網路 INSTANCES INTERNAL_MANAGED_LB
目標虛擬私有雲網路資源

使用 target-resources 參數指定的一或多個虛擬私有雲網路清單。這份清單會將最廣泛的執行個體目標，縮小至至少位於其中一個指定虛擬私有雲網路的 VM 網路介面。
目標服務帳戶

使用 target-service-accounts 參數指定的一或多個服務帳戶清單。這份清單會將最廣泛的執行個體目標，縮小至 VM 網路介面，這些介面屬於與至少一個指定服務帳戶相關聯的 VM 執行個體。
從具有網路用途 資料 的標記鍵指定安全標記值

使用 target-secure-tags 參數的規則，其中包含標記索引鍵的一或多個標記值清單，其 purpose-data 指定單一虛擬私有雲網路。

這份清單會將最廣泛的執行個體目標縮小至符合下列兩項條件的 VM 網路介面：

  • 介面位於虛擬私有雲網路中，與標記鍵的 purpose-data 相符。
  • 介面屬於繫結至標記值的 VM。

詳情請參閱「防火牆的安全標記」。
指定含有組織用途資料的標記鍵安全標記值

使用 target-secure-tags 參數的規則，其中包含 purpose-data 為 organization=auto 的標記鍵中一或多個標記值的清單。

這份清單會將最廣泛的執行個體目標縮小至符合下列兩項條件的 VM 網路介面：

  • 介面位於組織的任何虛擬私有雲網路中。
  • 介面屬於繫結至標記值的 VM。

詳情請參閱「防火牆的安全標記」。
目標轉送規則

內部應用程式負載平衡器或內部 Proxy 網路負載平衡器的單一轉送規則，以目標轉送規則格式指定。這項參數會將最廣泛的負載平衡器目標縮小至特定內部應用程式負載平衡器或內部 Proxy 網路負載平衡器。

特定目標組合

支援 target-resources 參數的規則可與其他目標參數合併，建立目標參數組合。下表列出支援的目標參數組合、支援各參數規則的防火牆政策，以及支援的規則指定類型。如未指定目標參數，規則會根據其目標類型，使用最廣泛的執行個體目標或最廣泛的負載平衡器目標。

勾號表示支援該參數， 符號則表示不支援。

目標參數組合 防火牆政策支援 規則指定類型支援
階層 全球網路 區域性網路 INSTANCES INTERNAL_MANAGED_LB
目標虛擬私有雲網路資源和目標服務帳戶的組合

同時使用 target-resources 和 target-service-accounts 參數的規則。

這項組合會將最廣泛的執行個體目標縮小至符合下列兩項條件的 VM 網路介面：

  • 介面位於 target-resources 中指定的至少一個虛擬私有雲網路。
  • 介面所屬的 VM 執行個體至少與其中一個指定服務帳戶相關聯。
目標虛擬私有雲網路資源和目標安全標記值的組合

同時使用 target-resources 和 target-secure-tags 參數的規則。標記值必須來自 purpose-data 為 organization=auto 的標記鍵。

這項組合會將最廣泛的執行個體目標範圍縮小至符合下列兩項條件的 VM 網路介面：

  • 介面位於 target-resources 中指定的至少一個虛擬私有雲網路。
  • 介面屬於繫結至標記值的 VM。

目標轉送規則格式

將防火牆規則的指定類型設為 INTERNAL_MANAGED_LB 時，target-forwarding-rules 參數接受下列格式的值：

  • 區域性內部應用程式負載平衡器和區域性內部 Proxy 網路負載平衡器：

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME

  • 跨區域內部應用程式負載平衡器和跨區域內部 Proxy 網路負載平衡器：

    • https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME
    • projects/PROJECT_ID/global/forwardingRules/FORWARDING_RULE_NAME

輸入規則的目標和 IP 位址

如果省略防火牆規則目標類型，或設為 INSTANCES，規則會套用至轉送至目標 VM 網路介面的封包。

  • 如果輸入防火牆規則「包含」目的地 IP 位址範圍，封包的目的地必須符合其中一個明確定義的目的地 IP 位址範圍。

  • 如果輸入防火牆規則「不」包含目的地 IP 位址範圍，封包的目的地必須與各目標 VM 的下列其中一個 IP 位址相符：

    • 指派給執行個體 NIC 的主要內部 IPv4 位址。

    • 執行個體 NIC 上任何已設定的別名 IP 位址範圍。

    • 與執行個體 NIC 相關聯的外部 IPv4 位址。

    • 如果子網路已設定 IPv6，則為指派給 NIC 的任何 IPv6 位址。

    • 與轉送規則相關聯的內部或外部 IP 位址，用於直通式負載平衡，其中執行個體是內部直通式網路負載平衡器或外部直通式網路負載平衡器的後端。

    • 與轉送規則相關聯的內部或外部 IP 位址，用於通訊協定轉送，其中執行個體是由目標執行個體參照。

    • IP 位址位於自訂靜態路由的目的地範圍內，且該路由使用執行個體 (next-hop-instance 或 next-hop-address) 做為下一個躍點 VM。

    • 如果 VM 是該負載平衡器的後端，則為使用內部直通式網路負載平衡器 (next-hop-ilb) 做為下一個躍點的自訂靜態路由目的地範圍內的 IP 位址。

如果將防火牆規則的指定類型設為 INTERNAL_MANAGED_LB，則必須省略目的地參數。內部應用程式負載平衡器或內部 Proxy 網路負載平衡器轉送規則會定義目的地 IP 位址。

輸出規則的目標和 IP 位址

如果省略防火牆規則目標類型，或設為 INSTANCES，規則會套用至目標 VM 網路介面發出的封包。

  • 如果目標 VM 已停用 IP 轉送功能 (預設)，則 VM 只能發出具有下列來源的封包：

    • 執行個體 NIC 的主要內部 IPv4 位址。

    • 執行個體 NIC 上設定的任何別名 IP 位址範圍。

    • 如果子網路已設定 IPv6，則為指派給 NIC 的任何 IPv6 位址。

    • 與轉送規則相關聯的內部或外部 IP 位址，用於直通式負載平衡或通訊協定轉送。如果執行個體是內部直通式網路負載平衡器或外部直通式網路負載平衡器的後端，或由目標執行個體參照，則此設定有效。

    如果輸出防火牆規則「包含」來源 IP 位址範圍，目標 VM 仍會受限於先前所述的來源 IP 位址，但您可以使用來源參數來精細調整來源。在未啟用 IP 轉送的情況下使用來源參數，絕不會擴充可能的封包來源位址集。

    如果輸出防火牆規則「不」包含來源 IP 位址範圍，則允許上述所有來源 IP 位址。

  • 如果目標 VM 已啟用 IP 轉送功能，則可發出具有任意來源位址的封包。您可以使用來源參數，更精確地定義允許的封包來源組合。

來源

來源參數值取決於防火牆規則的方向。

輸入規則的來源

下表列出輸入規則的來源參數、支援各項參數的防火牆政策，以及與各項參數相容的規則指定類型。您必須指定至少一個來源參數。 勾號表示支援該參數， 符號則表示不支援。

輸入規則來源參數 防火牆政策支援 規則指定類型支援
階層 全球網路 區域性網路 INSTANCES INTERNAL_MANAGED_LB
來源 IP 位址範圍

由 CIDR 格式的 IPv4 位址或 CIDR 格式的 IPv6 位址組成的清單。這份清單會儲存在防火牆政策規則中。
來源位址群組

可重複使用的 IPv4 位址集合 (CIDR 格式) 或 IPv6 位址集合 (CIDR 格式)。防火牆規則會參照集合。詳情請參閱「防火牆政策的位址群組」。
從具有網路用途資料的標記鍵，取得安全標記值

標記鍵的一或多個標記值清單，其用途資料指定單一虛擬私有雲網路。詳情請參閱「防火牆的安全標記」和「來源安全標記如何暗示封包來源」。
從具有組織用途資料的標記鍵，取得安全標記值

用途資料為 organization=auto 的標記鍵中，一或多個標記值的清單。詳情請參閱「防火牆的安全標記」和「來源安全標記如何暗示封包來源」。
來源地理位置

一或多個來源地理位置的清單，以雙字母國家/地區代碼指定。詳情請參閱「地理位置物件」
來源 Google Threat Intelligence 清單

一或多個預先定義的 Google Threat Intelligence 清單名稱。 詳情請參閱「防火牆政策規則的 Google Threat Intelligence」。
來源網路情境

定義安全邊界的限制。有效值取決於規則的指定類型。詳情請參閱「網路環境」。
輸入規則來源組合

在單一輸入規則中，您可以使用兩個以上的來源參數，產生來源組合。Cloud NGFW 會對每項輸入規則的來源組合，強制執行下列限制：

  • 來源 IP 位址範圍必須包含 IPv4 或 IPv6 CIDR，不得同時包含兩者。
  • 含有 IPv4 CIDR 的來源位址群組，無法與含有 IPv6 CIDR 的來源位址群組搭配使用。
  • 包含 IPv4 CIDR 的來源 IP 位址範圍，無法與包含 IPv6 CIDR 的來源位址群組搭配使用。
  • 包含 IPv6 CIDR 的來源 IP 位址範圍，無法與包含 IPv4 CIDR 的來源位址群組搭配使用。
  • 網際網路網路背景資訊無法與來源安全標記搭配使用。
  • 非網際網路、虛擬私有雲網路和虛擬私有雲間情境，無法與 來源 Google Threat Intelligence 清單或 來源地理位置搭配使用。

Cloud NGFW 會套用下列邏輯，將封包與使用來源組合的輸入規則進行比對：

  • 如果來源組合「不」包含來源網路內容，封包只要符合來源組合中的至少一個來源參數，即符合輸入規則。

  • 如果來源組合包含來源網路情境，則封包必須符合來源網路情境，「且」符合來源組合中至少一個其他來源參數，才算符合輸入規則。

來源安全標記如何暗示封包來源

如果輸入防火牆規則省略目標類型，或將目標類型設為 INSTANCES，則可使用來源安全標記值。安全標記值會識別網路介面，而非 IP 位址等封包特性。

從 VM 執行個體網路介面傳送的封包，會根據下列規則，比對使用來源安全標記值的輸入規則：

  • 如果 ingress 規則位於區域性網路政策，VM 執行個體必須位於與區域性網路防火牆政策相同的區域。否則，VM 執行個體可以位於任何可用區。

  • VM 執行個體必須與相同安全標記值建立關聯，該值在輸入防火牆規則中做為來源安全標記。

  • 與 VM 執行個體相關聯，且由輸入防火牆規則使用的安全標記值，必須來自標記索引鍵，其 purpose-data 屬性會識別至少一個虛擬私有雲網路，其中包含 VM 執行個體的網路介面：

    • 如果標記索引鍵的目的資料指定單一虛擬私有雲網路，則使用來源安全標記值的輸入防火牆規則，會套用至該虛擬私有雲網路中 VM 執行個體的網路介面。

    • 如果標記索引鍵的目的資料指定組織，則使用來源安全標記值的輸入防火牆規則，會套用至組織任何虛擬私有雲網路中 VM 執行個體的網路介面。

  • 識別出的 VM 網路介面必須符合下列其中一項條件：

    • VM 網路介面與防火牆政策套用的虛擬私有雲網路，位於同一個虛擬私有雲網路。

    • VM 網路介面位於虛擬私有雲網路，該網路透過虛擬私有雲網路對接，連線至套用防火牆政策的虛擬私有雲網路。

    • VM 網路介面使用的虛擬私有雲網路，以及防火牆政策套用至的虛擬私有雲網路，都是同一個 Network Connectivity Center 中樞上的虛擬私有雲輪輻。

如要進一步瞭解防火牆的安全標記，請參閱「規格」。

輸出規則來源

在階層式防火牆政策和網路防火牆政策中，您可以將下列來源用於輸出規則：

  • 預設 (由目標隱含)：如果省略輸出規則的來源參數，封包來源會隱含定義，如「輸出規則的目標和 IP 位址」所述。

  • 來源 IPv4 位址範圍：CIDR 格式的 IPv4 位址清單。

  • 來源 IPv6 位址範圍：CIDR 格式的 IPv6 位址清單。

請按照下列規範，為輸出規則新增來源 IP 位址範圍：

  • 如果 VM 網路介面已指派外部 IPv4 位址，或沒有外部 IPv4 位址但使用 Cloud NAT 閘道，則在 Google Cloud 將傳出封包的來源從內部 IPv4 位址變更為外部 IPv4 位址之前，系統會先評估 egress 防火牆。如要套用輸出防火牆規則，您必須省略「Source」(來源) 參數，或在「Source」(來源) 參數中加入 VM 網路介面的內部 IPv4 位址。

  • 如果輸出規則中含有來源 IP 位址範圍和目的地參數，目的地參數會解析為與來源 IP 版本相同的 IP 版本。

目的地

目的地參數值取決於防火牆規則的方向。

輸入規則的目的地

在階層式和網路防火牆政策中，您可以將下列目的地用於輸入防火牆規則：

  • 預設：由目標隱含：如果您在輸入規則中省略目的地參數，封包目的地會隱含定義，如「輸入規則的目標和 IP 位址」一節所述。

  • 目的地 IPv4 位址範圍：CIDR 格式的 IPv4 位址清單。如果將防火牆規則的指定類型設為 INTERNAL_MANAGED_LB，則無法使用這個參數。

  • 目的地 IPv6 位址範圍：CIDR 格式的 IPv6 位址清單。如果將防火牆規則的指定類型設為 INTERNAL_MANAGED_LB，則無法使用這個參數。

請按照下列規範，為輸入規則新增目的地 IP 位址範圍：

  • 如果 VM 網路介面獲派外部 IPv4 位址，或沒有外部 IPv4 位址但使用 Cloud NAT 閘道，則 Google Cloud 將傳入封包的目的地從外部 IPv4 位址變更為內部 IPv4 位址後，系統會評估輸入防火牆。如要套用輸入防火牆規則，您必須省略 Destination 參數，或在 Destination 參數中加入 VM 網路介面的內部 IPv4 位址。

  • 如果您在輸入規則中同時定義來源和目的地參數，則來源參數會解析為與目的地 IP 版本相同的 IP 版本。如要進一步瞭解如何定義輸入規則的來源，請參閱「階層式防火牆政策中輸入規則的來源」和「網路防火牆政策中輸入規則的來源」。

    例如，在輸入規則中，目的地參數有 IPv6 位址範圍，來源參數有地理位置國家/地區代碼。強制執行規則時，系統只會針對指定的來源國家/地區代碼，使用對應的 IPv6 位址。

輸出規則的目的地

下表列出 egress 規則的目的地參數、支援各參數的防火牆政策，以及與各參數相容的規則目標類型。您必須指定至少一個目的地參數。 勾號表示支援該參數， 符號則表示不支援。

輸出規則目的地參數 防火牆政策支援 規則指定類型支援
階層 全球網路 區域性網路 INSTANCES INTERNAL_MANAGED_LB
目的地 IP 位址範圍

由 CIDR 格式的 IPv4 位址或 CIDR 格式的 IPv6 位址組成的清單。這份清單會儲存在防火牆政策規則中。
目的地地址群組

可重複使用的 IPv4 位址集合 (CIDR 格式) 或 IPv6 位址集合 (CIDR 格式)。防火牆政策規則會參照集合。詳情請參閱「防火牆政策的位址群組」。
目的地地理位置

一或多個來源地理位置的清單，以雙字母國家/地區代碼指定。詳情請參閱「地理位置物件」。
目的地 Google Threat Intelligence 清單

一或多個預先定義的 Google Threat Intelligence 清單名稱。 詳情請參閱「防火牆政策規則的 Google Threat Intelligence」。
目的地網路情境

定義安全邊界的限制。
輸出規則目的地組合

在單一輸出規則中，您可以使用兩個或多個目的地參數，產生目的地組合。Cloud NGFW 會對每項輸出規則的目的地組合強制執行下列限制：

  • 目的地 IP 位址範圍必須包含 IPv4 或 IPv6 CIDR，不得同時包含兩者。
  • 您無法同時使用含有 IPv4 CIDR 的目的地位置群組，以及含有 IPv6 CIDR 的目的地位置群組。
  • 您無法將包含 IPv4 CIDR 的目的地 IP 位址範圍，與包含 IPv6 CIDR 的目的地 IP 位址群組搭配使用。
  • 如果目的地 IP 位址範圍包含 IPv6 CIDR，則無法與包含 IPv4 CIDR 的目的地位址群組搭配使用。
  • 目的地 Google Threat Intelligence 清單或目的地 地理位置，無法與目的地非網際網路網路內容搭配使用。

Cloud NGFW 會套用下列邏輯，將封包與使用目的地組合的輸出規則進行比對：

  • 如果目的地組合「不」包含目的地網路內容，封包只要符合目的地組合中的至少一個目的地參數，即符合輸出規則。

  • 如果目的地組合包含目的地網路內容，則封包必須符合目的地網路內容，「以及」目的地組合中至少一個其他目的地參數，才符合輸出規則。

後續步驟