Le regole firewall VPC (Virtual Private Cloud) si applicano a un determinato progetto e a una determinata rete. Se vuoi applicare regole firewall a più reti VPC in un'organizzazione, consulta Policy e regole firewall. Il resto di questa pagina riguarda solo le regole firewall VPC.
Le regole firewall VPC consentono o negano le connessioni da o verso le istanze di macchine virtuali (VM) nella tua rete VPC. Le regole firewall abilitate per il VPC vengono applicate sempre in modo da proteggere le istanze a prescindere dalla configurazione e dal sistema operativo, anche se non sono state avviate.
Ogni rete VPC funziona come un firewall distribuito. Sebbene le regole firewall siano definite a livello di rete, le connessioni vengono consentite o negate a livello di singola istanza. Puoi considerare le regole firewall VPC come esistenti non solo tra le tue istanze e altre reti, ma anche tra singole istanze nella stessa rete.
Per saperne di più sui firewall, consulta Firewall (informatica).
Best practice per le regole firewall
Quando progetti e valuti le regole firewall, tieni presente le seguenti best practice:
- Implementa i principi del privilegio minimo. Blocca tutto il traffico per impostazione predefinita e consenti solo il traffico specifico di cui hai bisogno. Ciò include la limitazione della regola ai soli protocolli e porte necessari.
- Utilizza le regole dei criteri firewall gerarchici per bloccare il traffico che non deve mai essere consentito a livello di organizzazione o cartella.
- Per le regole "consenti", limitale a VM specifiche specificando il service account delle VM.
- Se devi creare regole basate sugli indirizzi IP, prova a ridurre al minimo il numero di regole. È più facile monitorare una regola che consente il traffico a un intervallo di 16 VM rispetto a 16 regole separate.
- Utilizza i criteri firewall per raggruppare le regole firewall per una configurazione e un deployment semplificati.
Le regole delle policy del firewall forniscono diversi componenti delle regole che offrono un controllo granulare del traffico:
- Utilizza i gruppi di indirizzi per semplificare l'utilizzo di più intervalli di indirizzi IP nelle regole firewall.
- Utilizza gli oggetti FQDN nella policy del firewall per filtrare il traffico in entrata o in uscita da o verso domini specifici. Potresti incorrere in addebiti per l'elaborazione dei dati di Cloud Next Generation Firewall Standard.
- Utilizza oggetti di geolocalizzazione nelle policy firewall quando devi filtrare il traffico IPv4 e IPv6 esterno in base a regioni o località geografiche specifiche. Potresti incorrere in costi di elaborazione standard di Cloud Next Generation Firewall.
- Attiva il logging delle regole firewall VPC e utilizza Firewall Insights per verificare che le regole firewall vengano utilizzate nel modo previsto. Il logging delle regole firewall VPC può comportare costi, quindi ti consigliamo di utilizzarlo in modo selettivo.
Regole firewall in Google Cloud
Quando crei una regola firewall VPC, specifichi una rete VPC e un insieme di componenti che definiscono la funzione della regola. I componenti ti consentono di scegliere come target determinati tipi di traffico in base a protocollo, porte di destinazione, origini e destinazioni del traffico. Per saperne di più, consulta Componenti delle regole firewall.
Crea o modifica le regole firewall VPC utilizzando la Google Cloud console, la Google Cloud CLI e l'API REST. Quando crei o modifichi una regola firewall, puoi specificare le istanze a cui deve essere applicata utilizzando il parametro target della regola. Per esempi di regole firewall, vedi Altri esempi di configurazione.
Oltre alle regole firewall che crei, Google Cloud ha altre regole che possono influire sulle connessioni in entrata o in uscita:
Google Cloud blocca o limita determinati tipi di traffico. Per ulteriori informazioni, consulta Traffico bloccato e limitato.
Google Cloud consente sempre la comunicazione tra un'istanza VM e il relativo server di metadati all'indirizzo
169.254.169.254. Per ulteriori informazioni, vedi Traffico sempre consentito.Le regole firewall VPC vengono valutate insieme alle regole nelle policy firewall in base alla procedura di valutazione delle regole firewall. Come ultimo passaggio, Cloud NGFW applica un'azione implicita se non viene applicata alcuna azione esplicita al traffico.
La rete predefinita è precompilata con regole firewall che puoi eliminare o modificare.
Specifiche
Le regole firewall VPC hanno le seguenti caratteristiche:
Ogni regola firewall si applica alle connessioni in entrata o in uscita, non a entrambe. Per saperne di più, vedi Direzione della connessione.
Le regole firewall supportano le connessioni IPv4. Le connessioni IPv6 sono supportate anche nelle reti VPC con IPv6 abilitato. Quando specifichi un'origine o una destinazione per una regola in entrata o in uscita per indirizzo, puoi specificare indirizzi o blocchi IPv4 o IPv6 nella notazione CIDR.
Ogni regola firewall può contenere intervalli IPv4 o IPv6, ma non entrambi.
L'azione di ogni regola firewall è
allowodeny. La regola si applica alle connessioni finché è applicata. Ad esempio, puoi disabilitare una regola per la risoluzione dei problemi.Quando crei una regola firewall, devi selezionare una rete VPC. Sebbene la regola venga applicata a livello di istanza, la sua configurazione è associata a una rete VPC. Ciò significa che non puoi condividere le regole firewall tra le reti VPC, incluse le reti connesse tramite peering di rete VPC o utilizzando tunnel Cloud VPN.
Le regole firewall VPC sono stateful:
- Quando una connessione è consentita attraverso il firewall in una delle due direzioni, è consentito anche il traffico di ritorno corrispondente a questa connessione. Non puoi configurare una regola firewall per negare il traffico di risposta associato.
- Il traffico di ritorno deve corrispondere alla 5-tupla (IP di origine, IP di destinazione, porta di origine, porta di destinazione, protocollo) del traffico di richiesta accettato, ma con gli indirizzi e le porte di origine e di destinazione invertiti.
- Google Cloud associa i pacchetti in entrata a quelli in uscita corrispondenti utilizzando una tabella di monitoraggio della connessione. Le connessioni IPv4 supportano i protocolli TCP, UDP, SCTP e ICMP. Le connessioni IPv6 supportano i protocolli TCP, UDP, SCTP e ICMPv6.
- Google Cloud implementa il monitoraggio delle connessioni indipendentemente dal fatto che il protocollo supporti le connessioni. Se una connessione è consentita tra un'origine e una destinazione (per una regola in entrata) o tra una destinazione e una destinazione (per una regola in uscita), tutto il traffico di risposta è consentito finché lo stato di monitoraggio della connessione del firewall è attivo. Lo stato di monitoraggio di una regola firewall è considerato attivo se viene inviato almeno un pacchetto ogni 10 minuti.
- Quando una connessione frammentata è consentita tramite il firewall, Google Cloud utilizza il monitoraggio della connessione per consentire solo il primo frammento del traffico di ritorno. Per consentire i frammenti di ritorno successivi, devi aggiungere una regola firewall.
- Il traffico di risposta ICMP, ad esempio "ICMP TYPE 3, DESTINATION UNREACHABLE", generato in risposta a una connessione TCP/UDP consentita, è consentito tramite il firewall. Questo comportamento è coerente con RFC 792.
Le regole firewall VPC non riassemblano i pacchetti TCP frammentati. Pertanto, una regola firewall applicabile al protocollo TCP può essere applicata solo al primo frammento perché contiene l'intestazione TCP. Le regole firewall applicabili al protocollo TCP non si applicano ai frammenti TCP successivi.
Il numero massimo di connessioni monitorate nella tabella delle regole firewall dipende dal numero di connessioni stateful supportate dal tipo di macchina dell'istanza. Se viene superato il numero massimo di connessioni monitorate, il monitoraggio viene interrotto per le connessioni con l'intervallo di inattività più lungo per consentire il monitoraggio di nuove connessioni.
Tipo di macchina dell'istanza Numero massimo di connessioni stateful Tipi di macchine con core condivisi 130.000 Istanze con 1-8 vCPU 130.000 connessioni per vCPU Istanze con più di 8 vCPU 1.040.000 (130.000 x 8) connessioni totali
Azioni implicite
Se nessuna regola firewall VPC si applica a una destinazione, il processo di valutazione delle regole firewall potrebbe raggiungere l'ultimo passaggio. In questo passaggio, Cloud NGFW utilizza un'azione implicita. L'azione implicita dipende dalla direzione del traffico e dal tipo di risorsa di destinazione.
Per saperne di più, consulta Procedura di valutazione delle regole firewall.
Regole precompilate nella rete predefinita
La rete predefinita è precompilata con regole firewall che consentono connessioni in entrata alle istanze. Queste regole possono essere eliminate o modificate in base alle esigenze:
| Nome regola | Direzione | Priorità | Intervalli di origine | Azione | Protocolli e porte | Descrizione |
|---|---|---|---|---|---|---|
default-allow-internal
|
ingress
|
65534
|
10.128.0.0/9
|
allow
|
tcp:0-65535
|
Consente le connessioni in entrata alle istanze VM da altre istanze all'interno della stessa rete VPC. |
default-allow-ssh
|
ingress
|
65534
|
0.0.0.0/0
|
allow
|
tcp:22
|
Consente di connetterti alle istanze con strumenti come ssh,
scp o sftp.
|
default-allow-rdp
|
ingress
|
65534
|
0.0.0.0/0
|
allow
|
tcp:3389
|
Consente di connetterti alle istanze utilizzando il protocollo Microsoft Remote Desktop Protocol (RDP). |
default-allow-icmp
|
ingress
|
65534
|
0.0.0.0/0
|
allow
|
icmp
|
Consente di utilizzare strumenti come ping.
|
Puoi creare regole firewall simili per reti diverse da quella predefinita. Per saperne di più, consulta Configurare le regole firewall per i casi d'uso comuni.
Traffico bloccato e limitato
Separate dalle regole firewall VPC e dalle norme firewall gerarchiche, Google Cloud bloccano o limitano determinati tipi di traffico come descritto nella tabella seguente.
| Tipo di traffico | Dettagli |
|---|---|
| Quantità di pacchetti e larghezza di banda
Si applica a:
|
Google Cloud tiene conto della larghezza di banda per ogni istanza VM, per ogni
interfaccia di rete (NIC) o indirizzo IP. Il tipo di macchina di una VM ne definisce il tasso in uscita massimo possibile. Tuttavia, puoi raggiungere questo tasso in uscita massimo solo in situazioni specifiche. Per maggiori dettagli, consulta Larghezza di banda di rete nella documentazione di Compute Engine. |
| Offerte e riconoscimenti DHCP
Si applica a:
|
Google Cloud blocca le offerte e gli acknowledgement DHCP in entrata da tutte le origini ad eccezione dei pacchetti DHCP provenienti dal server dei metadati. |
| Protocolli supportati dagli Google Cloud indirizzi IP esterni
Si applica a:
|
Gli indirizzi IPv4 ed IPv6 esterni accettano solo pacchetti TCP, UDP, ICMP, IPIP, AH, ESP, SCTP e GRE. Le risorse che utilizzano indirizzi IP esterni impongono ulteriori limitazioni del protocollo:
|
| Traffico SMTP (porta 25)
Si applica a:
|
Per contribuire a prevenire lo spam, per impostazione predefinita Google Cloud blocca i pacchetti in uscita inviati alla porta di destinazione TCP 25 di un indirizzo IP esterno (incluso un indirizzo IP esterno di un'altra risorsa Google Cloud ). Google Cloud rimuove automaticamente questo blocco una volta stabilito che un progetto presenta un basso rischio di invio di grandi volumi di email tramite connessioni non criptate. Google Cloud Esclude da questo blocco il traffico SMTP su TLS sulla porta 465 o 587. Per scoprire se il tuo progetto consente questo traffico, vai alla pagina Reti VPC o alla pagina Policy firewall nella console Google Cloud . Un messaggio banner su entrambe le pagine indica se il progetto consente questo traffico. Per ulteriori informazioni, contatta un esperto del team di vendita diGoogle Cloud . Questo blocco non si applica ai pacchetti in uscita inviati alla porta di destinazione TCP 25 di un indirizzo IP interno, incluso un indirizzo IP pubblico utilizzato privatamente in una rete VPC o in una rete on-premise. Se il traffico in uscita SMTP esterno sulla porta 25 è consentito nel tuo progetto e vuoi inviare questo tipo di traffico, devono essere soddisfatte le seguenti condizioni aggiuntive:
Puoi impedire il traffico SMTP in uscita esterno creando regole firewall VPC o policy firewall gerarchiche per il traffico in uscita. |
Traffico sempre consentito
Per le istanze VM, le regole firewall VPC e le policy dei firewall gerarchiche non si applicano a quanto segue:
- Pacchetti inviati e ricevuti dal Google Cloud server dei metadati
Pacchetti inviati a un indirizzo IP assegnato a una delle interfacce di rete (NIC) dell'istanza in cui i pacchetti rimangono all'interno della VM stessa. Gli indirizzi IP assegnati alla NIC di un'istanza includono:
- L'indirizzo IPv4 interno principale della NIC
- Qualsiasi indirizzo IPv4 interno di un intervallo IP alias della NIC
- Se IPv6 è configurato nella subnet, uno qualsiasi degli indirizzi IPv6 assegnati alla NIC
- Un indirizzo IPv4 interno o esterno associato a una regola di forwarding, per il bilanciamento del carico o il forwarding del protocollo, se l'istanza è un backend per il bilanciatore del carico o è un'istanza target per il forwarding del protocollo
- Indirizzi di loopback
- Indirizzi configurati nell'ambito del software di overlay di rete che esegui all'interno dell'istanza stessa
Server di metadatiGoogle Cloud
Google Cloud esegue un server di metadati locale insieme a ogni istanza. Il server è accessibile all'indirizzo 169.254.169.254 (per IPv4) e fd20:ce::254 (per
IPv6). Questo server è essenziale per il funzionamento dell'istanza, quindi l'istanza può accedervi indipendentemente dalle regole firewall che configuri. Il server di metadati fornisce i seguenti servizi di base all'istanza:
- DHCP
- Risoluzione DNS, seguendo l'ordine di risoluzione dei nomi DNS per la rete VPC.
- Metadati dell'istanza
- Network Time Protocol (NTP)
Interazioni con i prodotti
Le sezioni seguenti descrivono in che modo le regole firewall e i criteri firewall gerarchici interagiscono con altri prodotti Google Cloud .
Regole firewall e bilanciatori del carico pass-through
Le regole firewall VPC e i criteri firewall gerarchici controllano quali protocolli e porte supportati della regola di forwarding possono accedere ai backend del bilanciatore del carico pass-through. Per maggiori dettagli, vedi: