Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Auf dieser Seite wird erläutert, wann Sie Firewallregeln konfigurieren müssen, um die NFS-Dateisperrung zu aktivieren.
Bedingungen, die eine Firewallregel für eingehenden Traffic erfordern
In folgenden Fällen müssen Sie eine Firewallregel für eingehenden Traffic erstellen, um Traffic von Filestore-Instanzen zu Ihren Clients zu ermöglichen:
Sie verwenden die NFS-Dateisperre in den Anwendungen, die auf die Filestore-Instanz zugreifen.
Das von Ihnen verwendete VPC-Netzwerk hat Firewallregeln, die den TCP-Port 111 oder die von den Daemons statd und nlockmgr verwendeten Ports blockieren. Prüfen Sie die aktuellen Porteinstellungen, um festzustellen, welche Ports die Daemons statd und nlockmgr auf dem Client verwenden.
Wenn die Ports statd und nlockmgr nicht festgelegt sind und Sie möglicherweise irgendwann Firewallregeln konfigurieren müssen, empfehlen wir dringend, diese Ports auf allen Client-VM-Instanzen konsistent festzulegen. Weitere Informationen finden Sie unter NFS-Ports einrichten.
Bedingungen, die die Konfiguration einer Firewallregel für ausgehenden Traffic erfordern
In folgenden Fällen müssen Sie eine Firewallregel für ausgehenden Traffic erstellen, um Traffic von Ihren Clients zu Ihren Filestore-Instanzen zu ermöglichen:
Das von Ihnen verwendete VPC-Netzwerk hat eine Firewallregel für ausgehenden Traffic für die IP-Adressbereiche, die von Ihren Filestore-Instanzen verwendet werden.
Die Firewallregel für ausgehenden Traffic blockiert den Traffic zu den TCP-Ports 111, 2046, 2049, 2050 oder 4045.
Weitere Informationen zu Firewallregeln für VPC-Netzwerke finden Sie unter Firewallregeln verwenden.
Firewallregel für eingehenden Traffic erstellen
Mithilfe der folgenden Anleitung können Sie eine Firewallregel erstellen, um Traffic von Filestore-Instanzen zu ermöglichen.
Bevor Sie beginnen, prüfen Sie Folgendes:
Windows
Prüfen Sie, ob der Client mit der Filestore-Instanz kommunizieren darf und ob die erforderlichen Ports nicht von der lokalen Firewall blockiert werden.
Führen Sie den folgenden Befehl in PowerShell aus, um alle erforderlichen NFS-Ports zu öffnen:
'111','2046','2049','2050','4045'|%{C:\Windows\system32\netsh.exeadvfirewallfirewalladdrulename="NFS Shares allow TCP/UDP port $($_)"dir=INaction=ALLOWprotocol=TCP,UDPlocalport=$($_)}
Prüfen Sie die aktuellen Porteinstellungen, um festzustellen, welche Ports die Deamons statd und nlockmgr auf dem Client verwenden. Notieren Sie sich die Informationen für später.
Linux
Es sind keine Voraussetzungen für die Durchführung dieser Aufgabe erforderlich.
MacOS
Es sind keine Voraussetzungen für die Durchführung dieser Aufgabe erforderlich.
Rufen Sie in der Google Cloud Console die Seite Firewall auf. Zur Seite „Firewall“
Klicken Sie auf Firewallregel erstellen.
Geben Sie einen Namen für die Firewallregel ein.
Dieser Name muss für das Projekt eindeutig sein.
Geben Sie das Netzwerk an, in dem Sie die Firewallregel implementieren möchten.
Legen Sie die Priorität der Regel fest.
Wenn diese Regel keine Konflikte mit anderen Regeln verursacht, können Sie den Standardwert 1000 beibehalten. Wenn für eine vorhandene Regel für eingehenden Traffic Aktion bei Übereinstimmung: Ablehnen für denselben IP-Adressbereich, dieselben Protokolle und Ports festgelegt ist, legen Sie eine niedrigere Priorität als bei der vorhandenen Regel für eingehenden Traffic fest.
Wählen Sie Eingang bei der Option Richtung des Traffics.
Wählen Sie Zulassen bei Aktion bei Übereinstimmung.
Führen Sie bei Ziele eine der folgenden Aktionen aus:
Wenn Sie Traffic von Filestore-Instanzen zu allen Clients im Netzwerk zulassen möchten, wählen Sie Alle Instanzen im Netzwerk aus.
Wenn Sie Traffic zu bestimmten Clients aus Filestore-Instanzen zulassen möchten, wählen Sie Angegebene Zieltags aus. Geben Sie die Instanznamen der Clients bei Zieltags ein.
Behalten Sie den Standardwert für IP-Bereiche bei Quellfilter bei.
Geben Sie bei Quell-IP-Bereiche in CIDR-Notation die IP-Adressbereiche der Filestore-Instanzen ein, von denen Sie Zugriff zulassen möchten. Sie können die internen IP-Adressbereiche eingeben, die Sie mit Ihren Filestore-Instanzen verwenden, um den gesamten Filestore-Traffic zu ermöglichen. Sie können auch die IP-Adressen bestimmter Filestore-Instanzen eingeben.
Behalten Sie den Standardwert Keiner bei Zweiter Quellfilter bei.
Wählen Sie Specified protocols and ports für Protokolle und Ports und dann:
Klicken Sie auf das Kästchen tcp und geben Sie im zugehörigen Feld 111,STATDOPTS,nlm_tcpport ein. Dabei gilt:
STATDOPTS ist der Port, der vom statd-Daemon auf dem Client verwendet wird.
nlm_tcpport ist der tcp-Port, der vom nlockmgr-Daemon auf dem Client verwendet wird.
Aktivieren Sie das Kästchen udp und geben Sie den Wert nlm_udpport ein. Dies ist der von nlockmgr verwendete Port udp. Diese Spezifikationen gelten nur für die folgenden Dienstebenen:
Zonal
Regional
Unternehmen
Wählen Sie Erstellen aus.
Firewallregel für ausgehenden Traffic erstellen
Verwenden Sie das folgende Verfahren, um eine Firewallregel zu erstellen, mit Traffic zu Filestore-Instanzen ermöglicht wird.
Bevor Sie beginnen, prüfen Sie Folgendes:
Windows
Prüfen Sie, ob der Client mit der Filestore-Instanz kommunizieren darf und ob die erforderlichen Ports nicht von der lokalen Firewall blockiert werden.
Führen Sie den folgenden Befehl in PowerShell aus, um alle erforderlichen NFS-Ports zu öffnen:
'111','2046','2049','2050','4045'|%{C:\Windows\system32\netsh.exeadvfirewallfirewalladdrulename="NFS Shares allow TCP/UDP port $($_)"dir=OUTaction=ALLOWprotocol=TCP,UDPlocalport=$($_)}
Linux
Es sind keine Voraussetzungen für die Durchführung dieser Aufgabe erforderlich.
MacOS
Es sind keine Voraussetzungen für die Durchführung dieser Aufgabe erforderlich.
Rufen Sie in der Google Cloud Console die Seite Firewall auf. Zur Seite „Firewall“
Klicken Sie auf Firewallregel erstellen.
Geben Sie einen Namen für die Firewallregel ein.
Dieser Name muss für das Projekt eindeutig sein.
Geben Sie das Netzwerk an, in dem Sie die Firewallregel implementieren möchten.
Legen Sie die Priorität der Regel fest.
Wenn diese Regel keine Konflikte mit anderen Regeln verursacht, können Sie den Standardwert 1000 beibehalten. Wenn für eine vorhandene Regel für ausgehenden Traffic Aktion bei Übereinstimmung: Ablehnen für denselben IP-Adressbereich, dieselben Protokolle und Ports festgelegt ist, legen Sie eine niedrigere Priorität als bei der vorhandenen Regel für eingehenden Traffic fest.
Wählen Sie Ausgang bei der Option Richtung des Traffics.
Wählen Sie Zulassen bei Aktion bei Übereinstimmung.
Führen Sie bei Ziele eine der folgenden Aktionen aus:
Wenn Sie Traffic von allen Clients im Netzwerk zu Filestore-Instanzen zulassen möchten, wählen Sie Alle Instanzen im Netzwerk aus.
Wenn Sie Traffic von bestimmten Clients zu Filestore-Instanzen zulassen möchten, wählen Sie Angegebene Zieltags aus. Geben Sie die Instanznamen der Clients bei Zieltags ein.
Geben Sie für Ziel-IP-Bereiche in CIDR-Notation die IP-Adressbereiche der Filestore-Instanzen ein, auf die Sie zugreifen lassen möchten. Sie können die internen IP-Adressbereiche eingeben, die Sie mit Ihren Filestore-Instanzen verwenden, um Traffic zu allen Filestore-Instanzen zu aktivieren. Sie können auch die IP-Adressen bestimmter Filestore-Instanzen eingeben.
Wählen Sie für Protokolle und Ports die Option Angegebene Protokolle und Ports aus. Aktivieren Sie dann das Kästchen tcp und geben Sie 111,2046,2049,2050,4045 in das entsprechende Feld ein.
Wählen Sie Erstellen aus.
NFS-Ports prüfen
Wir empfehlen Ihnen, zu prüfen, ob Ihre NFS-Ports richtig geöffnet wurden. Weitere Informationen finden Sie unter NFS-Ports auf Client-VMs konfigurieren.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eFirewall ingress rules are necessary when using NFS file locking and the VPC network blocks TCP port 111 or the ports used by the \u003ccode\u003estatd\u003c/code\u003e or \u003ccode\u003enlockmgr\u003c/code\u003e daemons.\u003c/p\u003e\n"],["\u003cp\u003eFirewall egress rules are needed if the VPC network has a rule that blocks traffic to TCP ports 111, 2046, 2049, 2050, or 4045 from clients to the IP address ranges of Filestore instances.\u003c/p\u003e\n"],["\u003cp\u003eTo create an ingress firewall rule, specify the Filestore instance IP ranges as the source, and include TCP port 111, the \u003ccode\u003estatd\u003c/code\u003e port, and the \u003ccode\u003enlockmgr\u003c/code\u003e ports.\u003c/p\u003e\n"],["\u003cp\u003eTo create an egress firewall rule, specify the Filestore instance IP ranges as the destination, and include TCP ports 111, 2046, 2049, 2050, and 4045.\u003c/p\u003e\n"],["\u003cp\u003eIt is recommended to verify that the NFS ports have been opened correctly for proper communication.\u003c/p\u003e\n"]]],[],null,["# Configure firewall rules\n\nThis page explains when you must configure firewall rules to enable NFS file\nlocking.\n\nConditions that require firewall ingress rule configuration\n-----------------------------------------------------------\n\nYou must create a firewall ingress rule to enable traffic from\nFilestore instances to your clients if:\n\n- You are using NFS file locking in the applications accessing the Filestore instance.\n- The VPC network you are using has firewall rules that block TCP port 111\n or the ports used by the `statd` or `nlockmgr` daemons. To determine what\n ports the `statd` and `nlockmgr` daemons use on the client,\n [check current port settings](/filestore/docs/setting-nfs-ports#checking-ports).\n\n If the `statd` and `nlockmgr` ports aren't set, and you think you might need\n to configure firewall rules at any point, we strongly recommend setting those\n ports consistently on all client VM instances. For more information, see\n [Setting NFS ports](/filestore/docs/setting-nfs-ports).\n\nConditions that require firewall egress rule configuration\n----------------------------------------------------------\n\nYou must create a firewall egress rule to enable traffic from your clients to\nyour Filestore instances if:\n\n- The VPC network you're using has a firewall egress rule for the IP address ranges used by your Filestore instances.\n- The firewall egress rule blocks traffic to TCP ports 111, 2046, 2049, 2050, or 4045.\n\nYou can get the reserved IP address range for any Filestore\ninstance from\n[the Filestore instances page](https://console.cloud.google.com/filestore/instances)\nor by running `gcloud filestore instances describe`. For more information, see\n[Get information about a specific instance](/filestore/docs/getting-instance-information#get-instance).\n\nFor more information about VPC network firewall rules, see\n[Using Firewall Rules](/vpc/docs/using-firewalls).\n\nCreate a firewall ingress rule\n------------------------------\n\nUse the following procedure to create a firewall rule to enable traffic from\nFilestore instances.\n\n1. Before you begin, verify the following:\n\n ### Windows\n\n 1. Confirm that the client is allowed to communicate with the Filestore\n instance and that the local firewall is not blocking the required ports.\n To open all required NFS ports, run the following command in PowerShell:\n\n '111','2046','2049','2050','4045' | % {\n C:\\Windows\\system32\\netsh.exe advfirewall firewall add rule name=\"NFS Shares allow TCP/UDP port $($_)\" dir=IN action=ALLOW protocol=TCP,UDP localport=$($_)\n }\n\n 2. [Check current port settings](/filestore/docs/setting-nfs-ports#current-ports)\n to determine what ports the `statd` and `nlockmgr` daemons use on the\n client. Make note of them for later use.\n\n ### Linux\n\n No prerequisites for completing this task.\n\n ### MacOS\n\n No prerequisites for completing this task.\n2. Go to the **Firewall** page in the Google Cloud console. \n\n [Go to the Firewall page](https://console.cloud.google.com/networking/firewalls/list)\n\n3. Click **Create firewall rule**.\n\n4. Enter a **Name** for the firewall rule.\n This name must be unique for the project.\n\n5. Specify the **Network** in which you want to implement the firewall rule.\n\n6. Specify the **Priority** of the rule.\n\n If this rule doesn't conflict with any other rules, you can leave the default\n of `1000`. If an existing ingress rule has **Action on match: Deny** set for\n the same IP address range, protocols, and ports, then set a lower priority\n than the existing ingress rule.\n7. Choose **Ingress** for **Direction of traffic**.\n\n8. Choose **Allow** for **Action on match**.\n\n9. For **Targets**, take one of the following actions:\n\n - If you want to allow traffic to all clients in the network from Filestore instances, choose **All instances in the network**.\n - If you want to allow traffic to specific clients from Filestore instances, choose **Specified target tags** . Type the instance names of the clients in **Target tags**.\n10. Leave the default value of **IP ranges** for **Source filter**.\n\n11. For **Source IP ranges** , enter the IP address ranges of the Filestore\n instances you want to allow access from in CIDR notation. You can enter the\n [internal IP address ranges](https://www.arin.net/knowledge/address_filters.html)\n that you are using with your Filestore instances to enable all\n Filestore traffic. You can also enter the IP addresses of\n specific Filestore instances.\n\n12. Leave the default value of **None** for **Second source filter**.\n\n13. For **Protocols and ports** , choose **Specified protocols and ports** and\n then:\n\n - Select the **tcp** checkbox and enter `111,`\u003cvar translate=\"no\"\u003eSTATDOPTS\u003c/var\u003e`,`\u003cvar translate=\"no\"\u003enlm_tcpport\u003c/var\u003e in the associated field, where:\n - \u003cvar translate=\"no\"\u003eSTATDOPTS\u003c/var\u003e is the port used by the `statd` daemon on the client.\n - \u003cvar translate=\"no\"\u003enlm_tcpport\u003c/var\u003e is the `tcp` port used by the `nlockmgr` daemon on the client.\n - Select the **udp** checkbox and enter the value of `nlm_udpport`, which is the `udp` port used by `nlockmgr`. Note that these specifications apply to the following [service tiers](/filestore/docs/service-tiers) only:\n - Zonal\n - Regional\n - Enterprise\n14. Choose **Create**.\n\nCreate a firewall egress rule\n-----------------------------\n\nUse the following procedure to create a firewall rule to\nenable traffic to Filestore instances.\n\n1. Before you begin, verify the following:\n\n ### Windows\n\n Confirm that the client is allowed to communicate with the Filestore\n instance and that the local firewall is not blocking the required ports.\n To open all required NFS ports, run the following command in PowerShell: \n\n '111','2046','2049','2050','4045' | % {\n C:\\Windows\\system32\\netsh.exe advfirewall firewall add rule name=\"NFS Shares allow TCP/UDP port $($_)\" dir=OUT action=ALLOW protocol=TCP,UDP localport=$($_)\n }\n\n ### Linux\n\n No prerequisites for completing this task.\n\n ### MacOS\n\n No prerequisites for completing this task.\n2. Go to the **Firewall** page in the Google Cloud console. \n\n [Go to the Firewall page](https://console.cloud.google.com/networking/firewalls/list)\n\n3. Click **Create firewall rule**.\n\n4. Enter a **Name** for the firewall rule.\n This name must be unique for the project.\n\n5. Specify the **Network** in which you want to implement the firewall rule.\n\n6. Specify the **Priority** of the rule.\n\n If this rule doesn't conflict with any other rules, you can leave the default\n of `1000`. If an existing egress rule has **Action on match: Deny** set for\n the same IP address range, protocols, and ports, then set a lower priority\n than the existing ingress rule.\n7. Choose **Egress** for **Direction of traffic**.\n\n8. Choose **Allow** for **Action on match**.\n\n9. For **Targets**, take one of the following actions:\n\n - If you want to allow traffic from all clients in the network to Filestore instances, choose **All instances in the network**.\n - If you want to allow traffic from specific clients to Filestore instances, choose **Specified target tags** . Type the instance names of the clients in **Target tags**.\n10. For **Destination IP ranges** , enter the IP address ranges of the Filestore\n instances you want to allow access to in CIDR notation. You can enter the\n [internal IP address ranges](https://www.arin.net/knowledge/address_filters.html)\n that you are using with your Filestore instances to enable\n traffic to all Filestore instances. You can also enter the IP\n addresses of specific Filestore instances.\n\n11. For **Protocols and ports** , choose **Specified protocols and ports** . Then\n select the **tcp** checkbox and enter `111,2046,2049,2050,4045` in the\n associated field.\n\n12. Choose **Create**.\n\nVerify NFS ports\n----------------\n\nWe recommend verifying whether your NFS ports have been opened properly. For\nmore information, see [Configure NFS ports on client VMs](/filestore/docs/setting-nfs-ports#verify-ports).\n\nWhat's next\n-----------\n\n- [Learn more about the networking and IP resource requirements for using\n Filestore](/filestore/docs/networking).\n- [Configure NFS ports on client VMs](/filestore/docs/setting-nfs-ports)."]]
