ファイアウォール エンドポイントは、ネットワークで侵入検知および防止サービスや URL フィルタリング サービスなどのレイヤ 7 の高度な保護機能を有効にする Cloud Next Generation Firewall リソースです。
このページでは、ファイアウォール エンドポイントとその機能について詳しく説明します。
仕様
このセクションでは、ファイアウォール エンドポイントのプロパティの概要について説明します。実装の要件と機能の詳細については、このページの該当するセクションをご覧ください。
ファイアウォール エンドポイントは、組織レベルまたはプロジェクト レベルで構成できるゾーンリソースです。
組織レベルのファイアウォール エンドポイント: 組織管理者は、組織全体またはフォルダレベルでセキュリティを一元管理するために、これらのエンドポイントを作成して管理します。
プロジェクト レベルのファイアウォール エンドポイント: プロジェクト管理者は、プロジェクト内でこれらのエンドポイントを作成して管理します。組織内の任意の VPC ネットワークをプロジェクト レベルのエンドポイントに関連付けることができます。組織レベルのファイアウォール エンドポイントを作成するための組織レベルの権限を取得できない場合は、プロジェクト レベルのファイアウォール エンドポイントを作成します。
ファイアウォール エンドポイントは、インターセプトされたトラフィックに対してレイヤ 7 ファイアウォール検査を実行します。詳細については、ファイアウォール エンドポイントの仕組みをご覧ください。
レイヤ 7 検査を有効にするエンドポイントとワークロードは、同じゾーンに存在する必要があります。詳細については、デプロイに関する考慮事項をご覧ください。
ゾーンにファイアウォール エンドポイントを作成して 1 つ以上の VPC ネットワークに接続すると、同じゾーン内のワークロードをモニタリングできます。VPC ネットワークが複数のゾーンにまたがっている場合は、各ゾーンに 1 つのファイアウォール エンドポイントを接続できます。特定のゾーンの VPC ネットワークにファイアウォール エンドポイントを接続しないと、そのゾーンのワークロード トラフィックにレイヤ 7 検査は実行されません。
ファイアウォール エンドポイントの関連付けを使用して、ファイアウォール エンドポイントを VPC ネットワークに接続します。
レイヤ 7 検査を有効にするエンドポイントとワークロードは、同じゾーンに存在する必要があります。詳細については、デプロイに関する考慮事項をご覧ください。
ファイアウォール エンドポイントは、Transport Layer Security（TLS）インスペクションで最大 2 Gbps のトラフィック、TLS インスペクションなしで 10 Gbps のトラフィックを処理できます。トラフィックが過剰になると、エンドポイントが過負荷になり、パケットロスが発生する可能性があります。ファイアウォール エンドポイントの容量使用率をモニタリングするには、
firewall_endpointネットワーク セキュリティ指標をご覧ください。エンドポイントは承認されていないメッセージを転送しないため、過負荷状態のエンドポイントは、トラフィックを検査できない場合、正当なトラフィックをドロップする可能性があります。
ファイアウォール エンドポイントでは、接続あたりの最大スループットは、TLS インスペクションありのトラフィックで 250 Mbps、TLS インスペクションなしのトラフィックで 1.25 Gbps です。
最大 8,588 バイトのジャンボ フレームを処理するファイアウォール エンドポイントを作成できます。ジャンボ フレームをサポートしないエンドポイントを作成することもできます。詳細については、サポートされているパケットサイズをご覧ください。
ファイアウォール エンドポイントを削除できるのは、関連付けられている VPC ネットワークがない場合のみです。詳細については、ファイアウォール エンドポイントの関連付けをご覧ください。
プロジェクト レベルのファイアウォール エンドポイントは、顧客管理の暗号鍵（CMEK）をサポートしています。CMEK を使用すると、独自の暗号鍵を使用してファイアウォール インフラストラクチャ内の保存データを保護できます。詳細については、顧客管理の暗号鍵をご覧ください。
ファイアウォール エンドポイントの仕組み
Cloud NGFW は、 Google Cloudのパケット インターセプト テクノロジーを使用して、Virtual Private Cloud（VPC）ネットワーク内の Google Cloud ワークロードからファイアウォール エンドポイントにトラフィックをリダイレクトします。パケット インターセプトは、トラフィックの既存のルーティング ポリシーを変更することなく、選択したネットワーク トラフィックのパスにネットワーク アプライアンスを挿入する Google Cloud 機能です。
Cloud NGFW は、このフローにレイヤ 7 検査を構成した場合にのみ、VPC ネットワーク内のワークロード トラフィックをファイアウォール エンドポイントにリダイレクトします。Cloud NGFW は、レイヤ 7 検査のためにファイアウォール エンドポイントにリダイレクトされる各パケットに VPC ネットワーク識別子を追加します。IP アドレス範囲が重複する複数の VPC ネットワークがある場合、このネットワーク識別子により、リダイレクトされる各パケットが VPC ネットワークに正しく関連付けられます。
容量とパフォーマンス
ファイアウォール エンドポイントは、TLS インスペクションで接続あたりの最大スループットが 250 Mbps、TLS インスペクションなしで 1.25 Gbps のトラフィックを処理できます。トラフィックが過剰になると、エンドポイントが過負荷になり、パケットロスが発生する可能性があります。エンドポイントは承認されていないメッセージを転送しないため、過負荷のエンドポイントはトラフィックを検査できない場合、正当なトラフィックをドロップする可能性があります。
ファイアウォール エンドポイントの容量使用率をモニタリングするには、firewall_endpoint ネットワーク セキュリティ指標をご覧ください。
サポートされているパケットサイズ
ファイアウォール エンドポイントは、ジャンボ フレームをサポートするか、サポートしないかのいずれかです。
ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,588 バイトのパケットを受け入れることができます。
Cloud NGFW は、GENEVE カプセル化（データ検査に必要）とその他の拡張機能用に 308 バイトを追加で予約します。したがって、8,896 バイトの合計パケットサイズは、 Google Cloud がサポートする最大伝送単位（MTU）の最大値と一致します。
ジャンボ フレームをサポートしていないファイアウォール エンドポイントは、最大 1,460 バイトのパケットを受け入れることができます。
レイヤ 7 インスペクションを正常に実行するには、エンドポイントに関連付けられた VPC ネットワークを構成して、次の MTU 制限に従うようにします。
ジャンボ フレームをサポートするエンドポイントの場合は、VPC ネットワークで 8,588 バイト以下の MTU が使用されていることを確認します。
ジャンボ フレームをサポートしていないエンドポイントの場合は、VPC ネットワークで 1,460 バイト以下の MTU が使用されていることを確認します。
ジャンボ フレームのサポートの有無にかかわらず、ファイアウォール エンドポイントを作成できます。ただし、既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを作成するをご覧ください。
デプロイに関する考慮事項
ファイアウォール エンドポイントの関連付けを使用して、ファイアウォール エンドポイントを VPC ネットワークに接続します。ワークロードをモニタリングするには、ゾーンにファイアウォール エンドポイントを作成して、同じゾーン内の 1 つ以上の VPC ネットワークに接続します。VPC ネットワークが複数のゾーンにまたがっている場合は、各ゾーンに 1 つのファイアウォール エンドポイントを接続できます。
ワークロードと同じゾーンにファイアウォール エンドポイントを作成すると、次の利点があります。
- レイテンシの短縮。ファイアウォール エンドポイントは、トラフィックをインターセプト、検査、再挿入できるため、異なるゾーンにあるファイアウォール エンドポイントよりもレイテンシが低くなります。
- ゾーン間トラフィックがない。トラフィックを同じゾーン内に維持することで、コストが削減されます。
- トラフィックの信頼性が向上。トラフィックを同じゾーン内に維持することで、ゾーンをまたいだサービスの停止のリスクを回避できます。
特定のゾーンの VPC ネットワークにファイアウォール エンドポイントを接続しないと、Cloud NGFW はそのゾーンのワークロード トラフィックにレイヤ 7 検査を実行しません。
インフラストラクチャと信頼性
ファイアウォール エンドポイントを作成すると、Google は一連の専用仮想マシン（VM）インスタンスを提供します。このアーキテクチャにより、トラフィックの信頼性、パフォーマンス、セキュリティの分離が確保され、証明書を管理できます。
Google では、ファイアウォール エンドポイントに適切なフェイルオーバー メカニズムを使用して高可用性を実現しています。これらのメカニズムにより、関連付けられた VPC ネットワーク内のすべての VM インスタンスに対して信頼性の高いファイアウォール保護が保証されます。
ファイアウォール エンドポイントの関連付け
ファイアウォール エンドポイントの関連付けは、ファイアウォール エンドポイントを同じゾーン内の VPC ネットワークにリンクします。この関連付けを定義すると、Cloud NGFW は、レイヤ 7 検査を必要とする VPC ネットワーク内のゾーン ワークロード トラフィックを、接続されたファイアウォール エンドポイントに転送します。
VPC ネットワークは、組織レベルまたはプロジェクト レベルのファイアウォール エンドポイントに関連付けることができます。VPC ネットワークを関連付ける場合は、次の点を考慮してください。
クロス プロジェクト関連付け: エンドポイントと VPC ネットワークが異なるプロジェクトにある場合、両方のプロジェクトが同じ組織に属している必要があります。
ゾーンの上限: VPC ネットワークをゾーンごとに 1 つのファイアウォール エンドポイントのみに関連付けます。この上限には、組織レベルとプロジェクト レベルの両方のエンドポイントが含まれます。
プロジェクト レベルのファイアウォール エンドポイントによるトラフィックのインターセプト
プロジェクト レベルのファイアウォール エンドポイントを使用してトラフィックをインターセプトして検査するには、次の要件を満たしていることを確認してください。
- VM インスタンスのゾーン内の VPC ネットワークが、ターゲット ファイアウォール エンドポイントに関連付けられています。
- トラフィックが
apply_security_profile_groupアクションを含むファイアウォール ポリシー ルールに一致する。 - セキュリティ プロファイル グループがファイアウォール エンドポイントと同じプロジェクトに存在する。
IAM ロール
Identity and Access Management（IAM）ロールは、次のファイアウォール エンドポイント アクションを管理します。
- 組織またはプロジェクトでのファイアウォール エンドポイントの作成
- 組織またはプロジェクトでのファイアウォール エンドポイントの変更または削除
- 組織またはプロジェクト内のファイアウォール エンドポイントの詳細を表示する
- 組織またはプロジェクトで構成されているすべてのファイアウォール エンドポイントの表示
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| ファイアウォール エンドポイントを作成する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントを変更する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントを削除する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの詳細を表示する | 次のいずれかのロール:
|
| すべてのファイアウォール エンドポイントを表示する | 次のいずれかのロール:
|
IAM ロールは、次のファイアウォール エンドポイントの関連付けアクションを管理します。
- プロジェクトでのファイアウォール エンドポイントの関連付けの作成
- ファイアウォール エンドポイントの関連付けの変更または削除
- ファイアウォール エンドポイントの関連付けの詳細の表示
- プロジェクトで構成されたすべてのファイアウォール エンドポイントの関連付けの表示
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| ファイアウォール エンドポイントの関連付けの作成 | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの関連付けを変更する | 次のいずれかのロール:
|
| ファイアウォール エンドポイントの関連付けを削除する | 次のいずれかのロール:
|
| プロジェクト内のファイアウォール エンドポイントの関連付けの詳細を表示する | 次のいずれかのロール:
|
| プロジェクト内のすべてのファイアウォール エンドポイントの関連付けを表示します。 | 次のいずれかのロール:
|