Cloud Next Generation Firewall の URL フィルタリング サービスを使用すると、URL をブロックまたは許可することで、ウェブサイトやウェブページへのアクセスを制御できます。また、下り（外向き）の HTTP(S) メッセージに含まれているドメイン名と Server Name Indication（SNI）の情報を使用して、ワークロード トラフィックをフィルタリングできます。
URL フィルタリング サービスは HTTP メッセージ ヘッダーを検査するため、ブロックしたくない信頼できるサイトが宛先サーバーでホストされている場合や、DNS ベースのアクセス制限が有効でない場合でも、このサービスを使用して特定のドメインへのアクセスをブロックできます。URL フィルタリング サービスと侵入検知および防止サービスを併用すると、悪意のある URL へのトラフィックを拒否し、悪意のあるコマンド＆コントロール（C2）サーバーへのアクセスを防ぎ、実行可能ファイル内のマルウェアを検出できます。
Cloud NGFW URL フィルタリング サービスは、 Google Cloudのパケット インターセプト テクノロジーを使用して、構成されたドメイン名と SNI のリストと照合するためにトラフィックをリダイレクトして検査する Google 管理のゾーン ファイアウォール エンドポイントを作成します。
パケット インターセプトは、既存のルーティング ポリシーを変更することなく、選択したネットワーク トラフィックのパスにネットワーク アプライアンスを透過的に挿入する機能です。 Google Cloud
URL フィルタリング サービスを使用するメリット
URL フィルタリング サービスは、頻繁に変更される IP アドレス、DNS の変更、その他の時間のかかる IP アドレスベースのファイアウォール変更によって発生する必要なメンテナンスを削減するのに役立ちます。このサービスを使用すると、アクセスできるリモート URL を正確に制御できます。これにより、複数のサービスとドメインをホストできる IP アドレスよりもきめ細かい制御が可能になります。
TLS インスペクション
URL フィルタリング サービスは、暗号化されたトラフィックと暗号化されていないトラフィックの両方を処理できます。暗号化されたトラフィックの場合、TLS インスペクションを構成して、URL フィルタリング サービスがメッセージ ヘッダーを復号し、メッセージのホスト ヘッダーのドメイン名を検査できるようにします。
URL フィルタリング サービスは、ドメインの詳細と TLS ネゴシエーション中に送信された平文の SNI を使用して、関連付けられたセキュリティ プロファイルで定義された構成済み URL と照合します。
TLS インスペクションがなくても、URL フィルタリング サービスは暗号化された HTTP(S) トラフィックを処理できますが、URL フィルタリング サービスは URL の照合に TLS ネゴシエーション中の clientHello からの SNI のみに依存します。暗号化されていない HTTP トラフィックの場合、TLS インスペクションを有効にしているかどうかに関係なく、URL フィルタリング サービスは URL フィルタリングに HTTP ホスト ヘッダーを使用します。
Cloud NGFW は、選択された暗号化トラフィックのホスト ヘッダーにあるドメイン情報にアクセスするための TLS インターセプトと復号のみをサポートします。
URL フィルタリング サービスは、インターネットとの間のトラフィックや Google Cloud内のトラフィックなど、インバウンド接続とアウトバウンド接続の両方を検査します。
Cloud NGFW での TLS インスペクションの詳細については、TLS インスペクションの概要をご覧ください。
Cloud NGFW で TLS インスペクションを有効にする方法については、TLS インスペクションを設定するをご覧ください。
URL フィルタリング サービスのデプロイモデル
次の図は、リージョンの単一ゾーンの Virtual Private Cloud（VPC）ネットワーク用に構成されたファイアウォール エンドポイントを使用した URL フィルタリング サービスのデプロイ例を示しています。
URL フィルタリング サービスのコンポーネント
URL フィルタリング サービスには、構成する必要がある 3 つの主要なエンティティが必要です。URL フィルタリング セキュリティ プロファイルとその関連付けられたセキュリティ プロファイル グループ、トラフィックを受信するファイアウォール エンドポイント、エンドポイントにアタッチされたファイアウォール ポリシー。
セキュリティ プロファイルとセキュリティ プロファイル グループ
Cloud NGFW は、セキュリティ プロファイルとセキュリティ プロファイル グループを使用して URL フィルタリング サービスを実装します。
URL フィルタリング用のセキュリティ プロファイルは、マッチャー文字列を含む URL フィルタを含む
url-filteringタイプの汎用ポリシー構造です。URL フィルタリング サービスは、これらの文字列を使用して、HTTP(S) メッセージのドメイン名と SNI を照合します。各 URL フィルタには、マッチャー文字列のリスト、一意の優先度、アクションが含まれます。URL フィルタリング セキュリティ プロファイルの詳細については、URL フィルタリング セキュリティ プロファイルをご覧ください。