Regole delle policy firewall

Quando crei una regola del criterio firewall, specifichi un insieme di componenti che definiscono l'azione della regola. Questi componenti specificano la direzione del traffico, l'origine, la destinazione e le caratteristiche del livello 4, come il protocollo e la porta di destinazione (se il protocollo utilizza le porte).

Ogni regola del criterio firewall si applica alle connessioni in entrata o in uscita, non a entrambe.

Regole in entrata

La direzione in entrata si riferisce alle connessioni in entrata inviate da origini specifiche a Google Cloud target. Le regole in entrata si applicano ai pacchetti in entrata, in cui la destinazione dei pacchetti è la destinazione.

Una regola di traffico in entrata con un'azione deny protegge tutte le istanze bloccando le connessioni in entrata. Una regola con priorità più alta potrebbe consentire l'accesso in entrata. Una rete predefinita creata automaticamente include alcune regole firewall VPC precompilate, che consentono l'ingresso per determinati tipi di traffico.

Regole in uscita

La direzione di uscita si riferisce al traffico in uscita inviato da una destinazione a una destinazione. Le regole in uscita si applicano ai pacchetti per le nuove connessioni in cui l'origine del pacchetto è la destinazione.

Una regola di uscita con un'azione allow consente a un'istanza di inviare traffico alle destinazioni specificate nella regola. Il traffico in uscita può essere negato da regole firewall denycon priorità più alta Google Cloud .Inoltre, blocca o limita determinati tipi di traffico.

Componenti delle regole dei criteri firewall

Le regole nei criteri firewall gerarchici, nei criteri firewall di rete globali e nei criteri firewall di rete regionali utilizzano i componenti descritti in questa sezione. Il termine criteri firewall si riferisce a uno di questi tre tipi di criteri. Per ulteriori informazioni sui tipi di policy firewall, vedi Policy firewall.

Le regole dei criteri firewall funzionano generalmente come le regole firewall VPC, ma ci sono alcune differenze descritte nelle sezioni seguenti.

Priorità

La priorità di una regola in un criterio firewall è un numero intero compreso tra 0 e 2.147.483.647 inclusi. I numeri interi più bassi indicano priorità più elevate. La priorità di una regola in un criterio firewall è simile alla priorità di una regola firewall VPC, con le seguenti differenze:

• Ogni regola di una policy firewall deve avere una priorità univoca.
• La priorità di una regola in un criterio firewall funge da identificatore univoco della regola. Le regole nelle norme firewall non utilizzano nomi per l'identificazione.
• La priorità di una regola in un criterio firewall definisce l'ordine di valutazione all'interno del criterio firewall stesso. Le regole firewall VPC e le regole nei criteri firewall gerarchici, nei criteri firewall di rete globali e nei criteri firewall di rete regionali vengono valutate come descritto in Ordine di valutazione di criteri e regole.

Azione in caso di corrispondenza

Una regola in un criterio firewall può avere una delle seguenti azioni:

• allow consente il traffico e interrompe l'ulteriore valutazione delle regole.
• deny non consente il traffico e interrompe l'ulteriore valutazione delle regole.

• apply_security_profile_group intercetta in modo trasparente il traffico e lo invia all'endpoint firewall configurato per l'ispezione di livello 7.

• goto_next continua la procedura di valutazione delle regole.

Applicazione

Puoi scegliere se una regola dei criteri firewall è applicata impostando il relativo stato su attivato o disattivato. Imposti lo stato di applicazione quando crei una regola o quando la aggiorni.

Se non imposti uno stato di applicazione quando crei una nuova regola firewall, questa viene attivata automaticamente.

Protocolli e porte

Analogamente alle regole firewall VPC, devi specificare uno o più vincoli di protocollo e porta quando crei una regola. Quando specifichi TCP o UDP in una regola, puoi specificare il protocollo, il protocollo e una porta di destinazione oppure il protocollo e un intervallo di porte di destinazione; non puoi specificare solo una porta o un intervallo di porte. Inoltre, puoi specificare solo le porte di destinazione. Le regole basate sulle porte di origine non sono supportate.

Puoi utilizzare i seguenti nomi di protocollo nelle regole firewall: tcp, udp, icmp (per ICMP IPv4), esp, ah, sctp e ipip. Per tutti gli altri protocolli, utilizza i numeri di protocollo IANA.

Molti protocolli utilizzano lo stesso nome e lo stesso numero sia in IPv4 che in IPv6, ma alcuni protocolli, come ICMP, non lo fanno. Per specificare ICMP IPv4, utilizza icmp o il numero di protocollo 1. Per specificare ICMP IPv6, utilizza il numero di protocollo 58.

Le regole firewall non supportano la specifica di tipi e codici ICMP, ma solo del protocollo.

Il protocollo Hop-by-Hop IPv6 non è supportato nelle regole firewall.

Se non specifichi i parametri di protocollo e porta, la regola si applica a tutti i protocolli e le porte di destinazione.

Logging

Il logging per le regole dei criteri firewall funziona allo stesso modo del logging delle regole firewall VPC, ad eccezione di quanto segue:

• Il campo Riferimento include l'ID della policy firewall e un numero che indica il livello della risorsa a cui è collegata la policy. Ad esempio, 0 indica che il criterio viene applicato a un'organizzazione, mentre 1 indica che il criterio viene applicato a una cartella di primo livello nell'organizzazione.

• I log per le regole dei criteri firewall includono un campo target_resource che identifica le reti VPC a cui si applica la regola.

• Il logging può essere attivato solo per le regole allow,deny e apply_security_profile_group; non può essere attivato per le regole goto_next.

Target, origine, destinazione

I parametri di destinazione identificano le interfacce di rete delle istanze a cui si applica una regola firewall.

Puoi specificare sia i parametri di origine sia i parametri di destinazione che si applicano alle origini o alle destinazioni dei pacchetti per le regole firewall in entrata e in uscita. La direzione della regola firewall determina i valori possibili per i parametri di origine e di destinazione.

I parametri target, origine e destinazione funzionano insieme.

Destinazioni

Il parametro target identifica le interfacce di rete delle istanze Compute Engine, inclusi i nodi Google Kubernetes Engine e le istanze dell'ambiente flessibile App Engine.

Puoi definire target per le regole in entrata e in uscita. Le opzioni di destinazione valide dipendono dal tipo di policy del firewall.

Target per le regole dei criteri firewall gerarchici

Le regole delle policy firewall gerarchiche supportano i seguenti target:

• Target più ampio predefinito: quando ometti la specifica del target in una regola dei criteri firewall gerarchici, la regola firewall si applica a tutte le istanze in tutte le reti VPC in tutti i progetti nel nodo Resource Manager (cartella o organizzazione) associato al criterio firewall. Questo è l'insieme più ampio di target.

• Reti specifiche: se specifichi una o più reti VPC utilizzando il parametro target-resources, il set più ampio di destinazioni viene ristretto alle VM con un'interfaccia di rete in almeno una delle reti VPC specificate.

• Istanze identificate dal service account: se specifichi uno o più service account utilizzando il parametro target-service-accounts, il set più ampio di target viene ristretto alle VM che utilizzano uno dei service account specificati.

• Reti e istanze specifiche identificate dall'account di servizio: se specifichi sia il parametro target-resources sia il parametro target-service-accounts, il set più ampio di destinazioni viene ristretto alle VM che soddisfano entrambi i seguenti criteri:

  • Le VM hanno un'interfaccia di rete in una delle reti VPC specificate.
  • Le VM utilizzano uno dei service account specificati.

Destinazioni per le regole dei criteri firewall di rete globali

Le regole dei criteri firewall di rete globali supportano le seguenti destinazioni:

• Destinazione predefinita: tutte le istanze nella rete VPC: quando ometti la specifica della destinazione in una regola di policy firewall di rete globale, la regola firewall si applica alle istanze che hanno un'interfaccia di rete nella rete VPC associata alla policy. Le istanze possono trovarsi in qualsiasi regione. Questo è l'insieme più ampio di target.

• Istanze per tag sicuri: se specifichi i tag di destinazione con il parametro target-secure-tags, il set più ampio di destinazioni viene ristretto in modo da includere solo le VM associate ai tag.

• Istanze per service account di destinazione: se specifichi service account con il parametro target-service-accounts, il set più ampio di destinazioni viene ristretto in modo da includere solo le VM che utilizzano uno dei service account specificati.

Destinazioni per le regole dei criteri firewall di rete regionali

Le regole dei criteri firewall di rete regionali supportano le seguenti destinazioni:

• Destinazione predefinita: tutte le istanze nella regione e nella rete VPC: quando ometti la specifica della destinazione in una regola dei criteri del firewall di rete regionale, la regola firewall si applica alle istanze che hanno un'interfaccia di rete nella rete VPC associata ai criteri. Le istanze devono trovarsi nella stessa regione della policy. Questo è l'insieme più ampio di target.

• Istanze per tag sicuri: se specifichi i tag di destinazione con il parametro target-secure-tags, il set più ampio di destinazioni viene ristretto in modo da includere solo le VM associate ai tag.

• Istanze per service account di destinazione: se specifichi service account con il parametro target-service-accounts, il set più ampio di destinazioni viene ristretto in modo da includere solo le VM che utilizzano uno dei service account specificati.

Destinazioni e indirizzi IP per le regole in entrata

I pacchetti instradati all'interfaccia di rete di una VM di destinazione vengono elaborati in base alle seguenti condizioni:

• Se la regola firewall in entrata include un intervallo di indirizzi IP di destinazione, la destinazione del pacchetto deve rientrare in uno degli intervalli di indirizzi IP di destinazione definiti in modo esplicito.

• Se la regola firewall in entrata non include un intervallo di indirizzi IP di destinazione, la destinazione del pacchetto deve corrispondere a uno dei seguenti indirizzi IP:

  • L'indirizzo IPv4 interno principale assegnato alla NIC dell'istanza.

  • Qualsiasi intervallo di indirizzi IP alias configurato sulla NIC dell'istanza.

  • L'indirizzo IPv4 esterno associato alla NIC dell'istanza.

  • Se IPv6 è configurato nella subnet, uno qualsiasi degli indirizzi IPv6 assegnati alla NIC.

  • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzata per il bilanciamento del carico pass-through, in cui l'istanza è un backend per un bilanciatore del carico di rete passthrough interno o un bilanciatore del carico di rete passthrough esterno.

  • Un indirizzo IP interno o esterno associato a una regola di forwarding utilizzata per il forwarding del protocollo, in cui l'istanza viene referenziata da un'istanza di destinazione.

  • Un indirizzo IP all'interno dell'intervallo di destinazione di una route statica personalizzata che utilizza l'istanza (next-hop-instance o next-hop-address) come VM hop successivo.

  • Un indirizzo IP all'interno dell'intervallo di destinazione di una route statica personalizzata che utilizza un bilanciatore del carico di rete passthrough interno (next-hop-ilb) come hop successivo se la VM è un backend per quel bilanciatore del carico.

Destinazioni e indirizzi IP per le regole in uscita

L'elaborazione dei pacchetti emessi dall'interfaccia di rete di una destinazione dipende dalla configurazione dell'inoltro IP sulla VM di destinazione. L'inoltro IP è disattivato per impostazione predefinita.

• Quando l'IP forwarding è disabilitato nella VM di destinazione, la VM può emettere pacchetti con le seguenti origini:

  • L'indirizzo IPv4 interno principale del NIC di un'istanza.

  • Qualsiasi intervallo di indirizzi IP alias configurato sulla NIC di un'istanza.

  • Se IPv6 è configurato nella subnet, uno qualsiasi degli indirizzi IPv6 assegnati alla NIC.

  • Un indirizzo IP interno o esterno associato a una regola di forwarding, per il bilanciamento del carico pass-through o l'inoltro di protocollo. Questo è valido se l'istanza è un backend per un bilanciatore del carico di rete passthrough interno, un bilanciatore del carico di rete passthrough esterno o se viene fatto riferimento a un'istanza di destinazione.

  Se la regola firewall in uscita include intervalli di indirizzi IP di origine, le VM di destinazione sono comunque limitate agli indirizzi IP di origine menzionati in precedenza, ma il parametro di origine può essere utilizzato per perfezionare questo insieme. L'utilizzo di un parametro di origine senza attivare l'inoltro IP non espande l'insieme di possibili indirizzi di origine dei pacchetti.

  Se la regola firewall di uscita non include un intervallo di indirizzi IP di origine, sono consentiti tutti gli indirizzi IP di origine menzionati in precedenza.

• Quando il forwarding IP è abilitato nella VM di destinazione, la VM può emettere pacchetti con indirizzi di origine arbitrari. Puoi utilizzare il parametro source per definire con maggiore precisione l'insieme delle origini dei pacchetti consentite.

Fonti

I valori dei parametri di origine dipendono da:

• Il tipo di criterio firewall che contiene la regola firewall
• La direzione della regola firewall

Origini delle regole in entrata

La seguente tabella elenca i parametri di origine che possono essere utilizzati singolarmente o in combinazione tra loro in una singola regola dei criteri firewall in entrata. Cloud NGFW richiede di specificare almeno un parametro di origine.

Parametro di origine della regola in entrata	Supporto nei criteri firewall gerarchici	Supporto nei criteri firewall di rete globali e regionali
Intervalli di indirizzi IP di origine Un semplice elenco composto da indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. L'elenco è memorizzato all'interno della regola di policy firewall stessa.
Gruppi di indirizzi di origine Raccolte riutilizzabili di indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. La regola firewall fa riferimento alla raccolta. Per saperne di più, vedi Gruppi di indirizzi per le norme firewall.
Nomi di dominio di origine Un elenco di uno o più nomi di dominio di origine. Per ulteriori informazioni, incluso il modo in cui i nomi di dominio vengono convertiti in indirizzi IP, consulta Oggetti basati sul nome di dominio completo (FQDN).
Tag protetti dell'origine Un elenco di uno o più tag protetti di origine. Per saperne di più, vedi In che modo i tag sicuri di origine implicano le origini dei pacchetti.
Localizzazioni di origine Un elenco di una o più località geografiche di origine specificate come codici paese o regione di due lettere. Per ulteriori informazioni, consulta Oggetti di geolocalizzazione.
Elenchi di Google Threat Intelligence di origine Un elenco di uno o più nomi di elenchi Google Threat Intelligence predefiniti. Per ulteriori informazioni, consulta Google Threat Intelligence per le regole delle policy firewall.
Tipo di rete di origine Un vincolo che definisce un limite di sicurezza. Per ulteriori informazioni, vedi Tipi di rete.

In una singola regola di ingresso, puoi utilizzare due o più parametri di origine per produrre una combinazione di origini. Cloud NGFW applica i seguenti vincoli alle combinazioni di origine di ogni regola di ingresso:

• Gli intervalli di indirizzi IP di origine devono contenere CIDR IPv4 o IPv6, non una combinazione di entrambi.
• Un gruppo di indirizzi di origine che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv6.
• Un intervallo di indirizzi IP di origine che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv6.
• Un intervallo di indirizzi IP di origine che contiene CIDR IPv6 non può essere utilizzato con un gruppo di indirizzi di origine che contiene CIDR IPv4.
• Il tipo di rete internet non può essere utilizzato con i tag sicuri dell'origine.
• I tipi non internet, reti VPC e inter-VPC non possono essere utilizzati con elenchi di Google Threat Intelligence di origine o geolocalizzazioni di origine.

Cloud NGFW applica la seguente logica per abbinare i pacchetti a una regola di ingresso che utilizza una combinazione di origine:

• Se la combinazione di origine non include un tipo di rete di origine, i pacchetti corrispondono alla regola di ingresso se corrispondono ad almeno un parametro di origine nella combinazione di origine.

• Se la combinazione di origine include un tipo di rete di origine, i pacchetti corrispondono alla regola di ingresso se corrispondono al tipo di rete di origine e ad almeno uno degli altri parametri di origine nella combinazione di origine.

Come i tag di origine protetti implicano le origini dei pacchetti

Le regole in entrata nelle policy firewall di rete globali e regionali possono specificare le origini utilizzando tag sicuri. Ogni tag sicuro è associato a una singola rete VPC e può essere associato solo a una VM che ha un'interfaccia di rete nella rete VPC a cui è associato il tag sicuro.

I pacchetti inviati da un'interfaccia di rete di una VM corrispondono a una regola in entrata che utilizza un'origine tag sicura quando sono vere le seguenti condizioni:

• La VM deve essere associata al tag sicuro.

• Se la regola in entrata si trova in un criterio di rete regionale, la VM deve trovarsi in una zona della regione del criterio firewall di rete. Se la regola in entrata si trova in un criterio firewall di rete globale, la VM può trovarsi in qualsiasi zona.

• L'interfaccia di rete della VM che invia i pacchetti soddisfa uno dei seguenti criteri:

  • L'interfaccia di rete della VM si trova nella stessa rete VPC della rete VPC a cui si applicano i criteri firewall di rete globali o regionali.
  • L'interfaccia di rete della VM si trova in una rete VPC connessa, tramite peering di rete VPC, alla rete VPC a cui si applicano i criteri firewall di rete globali o regionali.

Origini per le regole in uscita

Puoi utilizzare le seguenti origini per le regole di uscita sia nei criteri firewall gerarchici sia nei criteri firewall di rete:

• Predefinito, implicito per la destinazione: se ometti il parametro di origine da una regola di uscita, le origini dei pacchetti vengono definite implicitamente come descritto in Destinazioni e indirizzi IP per le regole di uscita.

• Intervalli di indirizzi IPv4 di origine: un elenco di indirizzi IPv4 in formato CIDR.

• Intervalli di indirizzi IPv6 di origine: un elenco di indirizzi IPv6 in formato CIDR.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di origine per le regole di uscita:

• Se a un'interfaccia VM sono assegnati indirizzi IPv4 sia interni che esterni, durante la valutazione della regola viene utilizzato solo l'indirizzo IPv4 interno.

• Se nella regola di uscita hai un intervallo di indirizzi IP di origine e parametri di destinazione, questi ultimi vengono risolti nella stessa versione IP dell'IP di origine.

  Ad esempio, in una regola di uscita, hai un intervallo di indirizzi IPv4 nel parametro di origine e un oggetto FQDN nel parametro di destinazione. Se l'FQDN viene risolto in indirizzi IPv4 e IPv6, durante l'applicazione della regola viene utilizzato solo l'indirizzo IPv4 risolto.

Destinazioni

Le destinazioni possono essere specificate utilizzando intervalli di indirizzi IP, supportati dalle regole in entrata e in uscita nei criteri firewall gerarchici e di rete. Il comportamento predefinito della destinazione dipende dalla direzione della regola.

Destinazioni per le regole in entrata

Puoi utilizzare le seguenti destinazioni per le regole firewall in entrata sia nei criteri firewall gerarchici sia in quelli di rete:

• Predefinito, implicito per la destinazione: se ometti il parametro di destinazione da una regola di ingresso, le destinazioni dei pacchetti vengono definite implicitamente come descritto in Destinazioni e indirizzi IP per le regole di ingresso.

• Intervalli di indirizzi IPv4 di destinazione: un elenco di indirizzi IPv4 in formato CIDR.

• Intervalli di indirizzi IPv6 di destinazione: un elenco di indirizzi IPv6 in formato CIDR.

Segui queste linee guida per aggiungere intervalli di indirizzi IP di destinazione per le regole di ingresso:

• Se a un'interfaccia VM sono assegnati indirizzi IPv4 sia interni che esterni, durante la valutazione della regola viene utilizzato solo l'indirizzo IPv4 interno.

• Se hai definito parametri di origine e di destinazione in una regola di ingresso, i parametri di origine vengono risolti nella stessa versione IP della versione IP di destinazione. Per scoprire di più su come definire un'origine per le regole in entrata, vedi Origini per le regole in entrata nelle policy firewall gerarchiche e Origini per le regole in entrata nelle policy firewall di rete.

  Ad esempio, in una regola di ingresso, hai un intervallo di indirizzi IPv6 nel parametro di destinazione e un codice paese di geolocalizzazione nel parametro di origine. Durante l'applicazione delle regole, per il codice paese di origine specificato viene utilizzato solo l'indirizzo IPv6 mappato.

Destinazioni per le regole in uscita

La seguente tabella elenca i parametri di destinazione che possono essere utilizzati singolarmente o in combinazione tra loro in una singola regola della policy firewall in uscita. Cloud NGFW richiede di specificare almeno un parametro di destinazione.

Parametro di destinazione della regola in uscita	Supporto nei criteri firewall gerarchici	Supporto nei criteri firewall di rete globali e regionali
Intervalli di indirizzi IP di destinazione Un semplice elenco composto da indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. L'elenco è memorizzato all'interno della regola di policy firewall stessa.
Gruppi di indirizzi di destinazione Raccolte riutilizzabili di indirizzi IPv4 in formato CIDR o indirizzi IPv6 in formato CIDR. La regola del criterio firewall fa riferimento alla raccolta. Per saperne di più, vedi Gruppi di indirizzi per le norme firewall.
Nomi di dominio di destinazione Un elenco di uno o più nomi di dominio di origine. Per ulteriori informazioni, incluso il modo in cui i nomi di dominio vengono convertiti in indirizzi IP, consulta Oggetti basati sul nome di dominio completo (FQDN).
Geolocalizzazioni delle destinazioni Un elenco di una o più località geografiche di origine specificate come codici paese o regione di due lettere. Per ulteriori informazioni, consulta Oggetti di geolocalizzazione.
Elenchi di destinazione di Google Threat Intelligence Un elenco di uno o più nomi di elenchi Google Threat Intelligence predefiniti. Per ulteriori informazioni, vedi Google Threat Intelligence per le regole delle policy firewall.
Tipo di rete di destinazione Un vincolo che definisce un limite di sicurezza. Per saperne di più, consulta Tipi di rete.

In una singola regola di uscita, puoi utilizzare due o più parametri di destinazione per produrre una combinazione di destinazioni. Cloud NGFW applica i seguenti vincoli alle combinazioni di destinazione di ogni regola di uscita:

• Gli intervalli di indirizzi IP di destinazione devono contenere CIDR IPv4 o IPv6, non una combinazione di entrambi.
• Un gruppo di indirizzi di destinazione che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di destinazione che contiene CIDR IPv6.
• Un intervallo di indirizzi IP di destinazione che contiene CIDR IPv4 non può essere utilizzato con un gruppo di indirizzi di destinazione che contiene CIDR IPv6.
• Un intervallo di indirizzi IP di destinazione che contiene CIDR IPv6 non può essere utilizzato con un gruppo di indirizzi di destinazione che contiene CIDR IPv4.
• Gli elenchi di Google Threat Intelligence o le geolocalizzazioni di destinazione non possono essere utilizzati con il tipo di rete non internet di destinazione.

Cloud NGFW applica la seguente logica per abbinare i pacchetti a una regola di uscita che utilizza una combinazione di destinazione:

• Se la combinazione di destinazioni non include un tipo di rete di destinazione, i pacchetti corrispondono alla regola di uscita se corrispondono ad almeno un parametro di destinazione nella combinazione di destinazioni.

• Se la combinazione di destinazioni include un tipo di rete di destinazione, i pacchetti corrispondono alla regola di uscita se corrispondono al tipo di rete di destinazione e ad almeno uno degli altri parametri di destinazione nella combinazione di destinazioni.

Tipi di rete

I tipi di rete ti aiutano a raggiungere i tuoi obiettivi di sicurezza utilizzando in modo più efficiente un numero inferiore di regole delle policy firewall. Cloud NGFW supporta quattro tipi di rete che possono essere utilizzati per creare una combinazione di origine o di destinazione in una regola di un criterio firewall gerarchico, di un criterio firewall di rete globale o di un criterio firewall di rete regionale.

La tabella seguente elenca i quattro tipi di rete e indica se un tipo di rete può essere utilizzato in una combinazione di origine di una regola di ingresso, in una combinazione di destinazione di una regola di uscita o in entrambi.

Tipo di rete	Origini delle regole in entrata	Destinazioni per le regole in uscita
Internet (INTERNET)
Non internet (NON_INTERNET)
Reti VPC (VPC_NETWORKS)
Interno al VPC (INTRA_VPC)

I tipi di rete internet e non internet si escludono a vicenda. I tipi di rete VPC e intra-VPC sono sottoinsiemi del tipo di rete non internet.

Tipo di rete internet

Il tipo di rete internet (INTERNET) può essere utilizzato come parte di una combinazione di origine di una regola di ingresso o come parte di una combinazione di destinazione di una regola di uscita:

• Per una regola in entrata, specifica l'origine del tipo di internet e almeno un altro parametro di origine, ad eccezione di un'origine tag sicura. I pacchetti corrispondono alla regola di ingresso se corrispondono ad almeno uno degli altri parametri di origine e corrispondono al parametro di origine del tipo di internet.

• Per una regola di uscita, specifica la destinazione di tipo internet e almeno un altro parametro di destinazione. I pacchetti corrispondono alla regola di uscita se corrispondono ad almeno uno degli altri parametri di destinazione e al parametro di destinazione del tipo di internet.

Il resto di questa sezione descrive i criteri utilizzati da Cloud NGFW per determinare se un pacchetto appartiene al tipo di rete internet.

Tipo di rete internet per i pacchetti in entrata

I pacchetti in entrata instradati a un'interfaccia di rete VM da un Maglev di Google sono considerati appartenenti al tipo di rete internet. I pacchetti vengono instradati da Maglev a un'interfaccia di rete VM quando la destinazione del pacchetto corrisponde a una delle seguenti:

• Un indirizzo IPv4 esterno regionale di un'interfaccia di rete VM, una regola di forwarding di un bilanciatore del carico di rete passthrough esterno o una regola di forwarding per il forwarding di protocollo esterno.
• Un indirizzo IPv6 esterno regionale di un'interfaccia di rete VM, una regola di forwarding di un bilanciatore del carico di rete passthrough esterno o una regola di forwarding per l'inoltro di protocollo esterno, e il pacchetto non è stato instradato utilizzando una route di subnet importata dal peering di rete VPC o da un VPC spoke su un hub Network Connectivity Center.

Per ulteriori informazioni sui pacchetti instradati da Maglev alle VM di backend per un bilanciatore del carico di rete passthrough esterno o per il forwarding del protocollo esterno, consulta Percorsi per bilanciatori del carico di rete passthrough esterni e forwarding del protocollo esterno.

Tipo di rete internet per i pacchetti in uscita

I pacchetti in uscita inviati dalle interfacce di rete VM e instradati utilizzando route statiche che utilizzano l'hop successivo del gateway internet predefinito sono considerati appartenenti al tipo di rete internet. Tuttavia, se l'indirizzo IP di destinazione di questi pacchetti in uscita è per le API e i servizi Google, questi pacchetti vengono considerati appartenenti al tipo di rete non internet. Per ulteriori informazioni sulla connettività ai servizi e alle API di Google, consulta Tipo di rete non internet.

Quando i pacchetti vengono instradati utilizzando una route statica che utilizza l'hop successivo del gateway internet predefinito, tutti i pacchetti inviati dalle interfacce di rete della VM alle seguenti destinazioni sono considerati di tipo internet:

• Una destinazione con indirizzo IP esterno al di fuori della rete di Google.
• Un indirizzo IPv4 esterno regionale di una scheda di rete VM, di una regola di forwarding di un bilanciatore del carico esterno regionale o di una regola di forwarding per l'inoltro di protocollo esterno.
• Un indirizzo IPv6 esterno regionale di un'interfaccia di rete VM, di una regola di forwarding di un bilanciatore del carico esterno regionale o di una regola di forwarding per l'inoltro di protocollo esterno.
• Un indirizzo IPv4 e IPv6 esterno globale di destinazione di una regola di forwarding di un bilanciatore del carico esterno globale.

I pacchetti inviati dalle interfacce di rete VM ai gateway Cloud VPN e Cloud NAT sono considerati di tipo internet:

• I pacchetti in uscita inviati da un'interfaccia di rete di una VM che esegue il software VPN a un indirizzo IPv4 esterno regionale di un gateway Cloud VPN sono considerati appartenenti al tipo internet.
• I pacchetti in uscita inviati da un gateway Cloud VPN a un altro gateway Cloud VPN non sono considerati appartenenti a nessun tipo di rete perché le regole firewall si applicano solo alle VM.
• Per Public NAT, i pacchetti di risposta inviati da un'interfaccia di rete VM a un indirizzo IPv4 esterno regionale di un gateway Cloud NAT sono considerati di tipo internet.

Se le reti VPC sono connesse utilizzando il peering di rete VPC o se le reti VPC partecipano come spoke VPC nello stesso hub Network Connectivity Center, le route di subnet IPv6 possono fornire connettività alle destinazioni di indirizzi IPv6 esterni regionali delle interfacce di rete VM, alle regole di forwarding del bilanciatore del carico esterno regionale e alle regole di forwarding del protocollo esterno. Quando la connettività a queste destinazioni di indirizzi IPv6 esterni regionali viene fornita utilizzando una route di subnet, le destinazioni si trovano invece nel tipo di rete non internet.

Tipo di rete non internet

Il tipo di rete non-internet (NON-INTERNET) può essere utilizzato come parte di una combinazione di origine di una regola di ingresso o come parte di una combinazione di destinazione di una regola di uscita:

• Per una regola in entrata, specifica l'origine di tipo non internet e almeno un altro parametro di origine, ad eccezione di un'origine elenco di intelligence sulle minacce o un'origine di geolocalizzazione. I pacchetti corrispondono alla regola di ingresso se corrispondono ad almeno uno degli altri parametri di origine e corrispondono al parametro di origine di tipo non internet.

• Per una regola di uscita, specifica la destinazione di tipo non internet e almeno un altro parametro di destinazione. I pacchetti corrispondono alla regola di uscita se corrispondono ad almeno uno degli altri parametri di destinazione e corrispondono al parametro di destinazione di tipo non internet.

Il resto di questa sezione descrive i criteri utilizzati da Cloud NGFW per determinare se un pacchetto appartiene al tipo di rete non internet.

Tipo di rete non internet per i pacchetti in entrata

I pacchetti in entrata indirizzati a un'interfaccia di rete VM utilizzando hop successivi all'interno di una rete VPC o dalle API e dai servizi Google sono considerati appartenenti al tipo di rete non internet.

I pacchetti vengono instradati utilizzando gli hop successivi all'interno di una rete VPC o dalle API e dai servizi Google nei seguenti scenari:

• La destinazione del pacchetto corrisponde a una delle seguenti:

  • Un indirizzo IPv4 o IPv6 interno regionale di un'interfaccia di rete VM, di una regola di forwarding di un bilanciatore del carico di rete passthrough interno o di una regola di forwarding per l'inoltro di protocollo interno.
  • Un indirizzo IPv6 esterno regionale di un'interfaccia di rete VM, una regola di forwarding di un bilanciatore del carico di rete passthrough esterno o una regola di forwarding per l'inoltro di protocolli esterni, e il pacchetto è stato instradato utilizzando una route di subnet locale, una route di subnet di peering o una route di subnet di Network Connectivity Center.
  • Qualsiasi indirizzo all'interno dell'intervallo di destinazione di una route statica in cui la VM di ricezione è una VM di hop successivo o una VM di backend di un bilanciatore del carico di rete passthrough interno di hop successivo.

• L'origine del pacchetto corrisponde a uno dei seguenti elementi:

  • Un indirizzo IP per i domini predefiniti utilizzati dalle API e dai servizi Google globali.
  • Un indirizzo IP per private.googleapis.com o restricted.googleapis.com.
  • Un indirizzo IP di un Google Front End (GFE) utilizzato da un bilanciatore del carico delle applicazioni esterno globale, da un bilanciatore del carico delle applicazioni classico, da un bilanciatore del carico di rete con proxy esterno globale o da un bilanciatore del carico di rete con proxy classico. Per ulteriori informazioni, vedi Percorsi tra i front-end e i backend di Google.
  • Un indirizzo IP di un prober del controllo di integrità. Per saperne di più, consulta Percorsi per i controlli di integrità.
  • Un indirizzo IP utilizzato da Identity-Aware Proxy per l'inoltro TCP. Per saperne di più, consulta Percorsi per Identity-Aware Proxy (IAP).
  • Un indirizzo IP utilizzato da Cloud DNS o Service Directory. Per saperne di più, consulta Percorsi per Cloud DNS e Service Directory.
  • Un indirizzo IP utilizzato da Accesso VPC serverless. Per saperne di più, consulta Percorsi per l'accesso VPC serverless.
  • Un indirizzo IP di un endpoint Private Service Connect per le API di Google globali. Per ulteriori informazioni, consulta Percorsi per gli endpoint Private Service Connect per le API di Google globali.

Tipo di rete non internet per i pacchetti in uscita

I pacchetti in uscita inviati dalle interfacce di rete VM e instradati all'interno di una rete VPC o inviati alle API e ai servizi di Google sono considerati appartenenti al tipo di rete non internet.

I pacchetti vengono instradati utilizzando gli hop successivi all'interno di una rete VPC o alle API e ai servizi Google nei seguenti scenari:

• I pacchetti vengono instradati utilizzando le route di subnet, che includono le seguenti destinazioni:
  • Un indirizzo IPv4 o IPv6 interno regionale di destinazione di un'interfaccia di rete VM, di una regola di forwarding di un bilanciatore del carico interno o di una regola di forwarding per l'inoltro di protocollo interno.
  • Un indirizzo IPv6 esterno regionale di un'interfaccia di rete VM, di una regola di forwarding di un bilanciatore del carico esterno regionale o di una regola di forwarding per l'inoltro di protocollo esterno.
• I pacchetti vengono instradati utilizzando route dinamiche.
• I pacchetti vengono instradati utilizzando route statiche che utilizzano un hop successivo che non è il gateway internet predefinito.
• I pacchetti vengono indirizzati alle API e ai servizi Google globali a cui si accede utilizzando una route statica con un hop successivo del gateway internet predefinito. Le destinazioni globali delle API e dei servizi Google includono gli indirizzi IP per i domini predefiniti e gli indirizzi IP per private.googleapis.com e restricted.googleapis.com.
• Destinazioni per i servizi Google a cui si accede utilizzando uno dei seguenti percorsi:
  • Percorsi tra i frontend e i backend di Google
  • Percorsi per i controlli di integrità
  • Percorsi per Identity-Aware Proxy (IAP)
  • Percorsi per Cloud DNS e Service Directory
  • Percorsi per l'accesso VPC serverless
  • Percorsi per gli endpoint Private Service Connect per le API di Google globali

Tipo di reti VPC

Il tipo di reti VPC (VPC_NETWORKS) può essere utilizzato solo come parte di una combinazione di origine di una regola di ingresso. Non puoi utilizzare il tipo di reti VPC come parte di una combinazione di destinazione di una regola di uscita.

Per utilizzare il tipo di reti VPC come parte di una combinazione di origine di una regola di ingresso:

1. Devi specificare un elenco di reti VPC di origine:

   • L'elenco delle reti di origine deve contenere almeno una rete VPC. Puoi aggiungere un massimo di 250 reti VPC all'elenco delle reti di origine.
   • Una rete VPC deve esistere prima di poter essere aggiunta all'elenco delle reti di origine.
   • Puoi aggiungere l'emittente utilizzando l'identificatore URL parziale o completo.
   • Le reti VPC che aggiungi all'elenco delle reti di origine non devono essere connesse tra loro. Ogni rete VPC può trovarsi in qualsiasi progetto.
   • Se una rete VPC viene eliminata dopo essere stata aggiunta all'elenco delle reti di origine, il riferimento alla rete eliminata rimane nell'elenco. Cloud NGFW ignora le reti VPC eliminate quando applica una regola di traffico in entrata. Se tutte le reti VPC nell'elenco delle reti di origine vengono eliminate, le regole in entrata che si basano sull'elenco non sono efficaci perché non corrispondono ad alcun pacchetto.

2. Devi specificare almeno un altro parametro di origine, ad eccezione di un'origine elenco di intelligence sulle minacce o di un'origine di geolocalizzazione .

Un pacchetto corrisponde a una regola di ingresso che utilizza il tipo di reti VPC nella combinazione di origine se sono vere tutte le seguenti condizioni:

• Il pacchetto corrisponde ad almeno uno degli altri parametri di origine.

• Il pacchetto viene inviato da una risorsa che si trova in una delle reti VPC di origine.

• La rete VPC di origine e la rete VPC a cui si applica la policy del firewall contenente la regola di ingresso sono la stessa rete VPC o sono connesse tramite il peering di rete VPC o come spoke VPC in un hub Network Connectivity Center.

Le seguenti risorse si trovano in una rete VPC:

• Interfacce di rete VM
• Tunnel Cloud VPN
• Collegamenti VLAN di Cloud Interconnect
• Appliance router
• Proxy Envoy in una subnet solo proxy
• Endpoint di Private Service Connect
• Connettori di accesso VPC serverless

Tipo di rete VPC interna

Il tipo di rete intra-VPC (INTRA_VPC) può essere utilizzato solo come parte di una combinazione di origine di una regola di ingresso. Non puoi utilizzare il tipo di rete intra-VPC come parte di una combinazione di destinazione di una regola di uscita.

Per utilizzare il tipo intra-VPC come parte di una combinazione di origine di una regola di ingresso, devi specificare almeno un altro parametro di origine, ad eccezione di un'origine elenco di intelligence sulle minacce o un'origine di geolocalizzazione.

Un pacchetto corrisponde a una regola di ingresso che utilizza il tipo intra-VPC nella combinazione di origine se sono vere tutte le seguenti condizioni:

• Il pacchetto corrisponde ad almeno uno degli altri parametri di origine.

• Il pacchetto viene inviato da una risorsa che si trova nella rete VPC a cui si applica la policy firewall contenente la regola in entrata.

Le seguenti risorse si trovano in una rete VPC:

• Interfacce di rete VM
• Tunnel Cloud VPN
• Collegamenti VLAN di Cloud Interconnect
• Appliance router
• Proxy Envoy in una subnet solo proxy
• Endpoint di Private Service Connect
• Connettori di accesso VPC serverless

Oggetti di geolocalizzazione

Utilizza gli oggetti di geolocalizzazione nelle regole dei criteri firewall per filtrare il traffico IPv4 esterno e IPv6 esterno in base a regioni o località geografiche specifiche.

Puoi applicare regole con oggetti di geolocalizzazione al traffico in entrata e in uscita. A seconda della direzione del traffico, gli indirizzi IP associati ai codici paese vengono confrontati con l'origine o la destinazione del traffico.

• Puoi configurare gli oggetti di geolocalizzazione per i criteri firewall gerarchici, i criteri firewall di rete globali e i criteri firewall di rete regionali.

• Per aggiungere geolocalizzazioni alle regole dei criteri del firewall, utilizza i codici paese o regione di due lettere definiti nei codici paese ISO 3166 alpha-2.

  Ad esempio, se vuoi consentire il traffico in entrata solo dagli Stati Uniti nella rete, crea una regola del criterio firewall in entrata con il codice paese di origine impostato su US e l'azione impostata su allow. Analogamente, se vuoi consentire il traffico in uscita solo verso gli Stati Uniti, configura una regola della policy del firewall in uscita con il codice paese di destinazione impostato su US e l'azione impostata su allow.

• Cloud NGFW ti consente di configurare regole firewall per i seguenti territori soggetti a sanzioni statunitensi complete:

  Territori	Codice assegnato
  Crimea	XC
  Le cosiddette repubbliche popolari di Donetsk e Lugansk	XD

• Se in una singola regola firewall sono inclusi codici paese duplicati, viene conservata una sola voce per quel codice paese. La voce duplicata viene rimossa. Ad esempio, nell'elenco dei codici paese ca,us,us, viene mantenuto solo ca,us.

• Google gestisce un database con mapping di indirizzi IP e codici paese. I firewallGoogle Cloud utilizzano questo database per mappare gli indirizzi IP del traffico di origine e di destinazione al codice paese, quindi applicano la regola di policy firewall corrispondente con gli oggetti di geolocalizzazione.

• A volte, le assegnazioni degli indirizzi IP e i codici paese cambiano a causa delle seguenti condizioni:

  • Spostamento degli indirizzi IP tra località geografiche
  • Aggiornamenti allo standard dei codici paese ISO 3166 alpha-2

  Poiché è necessario del tempo prima che queste modifiche vengano riportate nel database di Google, potresti notare alcune interruzioni del traffico e cambiamenti nel comportamento di alcuni tipi di traffico bloccati o consentiti.

Utilizzare gli oggetti di geolocalizzazione con altri filtri delle regole dei criteri firewall

Puoi utilizzare gli oggetti di geolocalizzazione insieme ad altri filtri di origine o destinazione. A seconda della direzione della regola, la regola del criterio firewall viene applicata al traffico in entrata o in uscita che corrisponde all'unione di tutti i filtri specificati.

Per informazioni su come funzionano gli oggetti di geolocalizzazione con altri filtri di origine nelle regole in entrata, vedi Origini per le regole in entrata nelle policy firewall gerarchiche e Origini per le regole in entrata nelle policy firewall di rete.

Per informazioni su come funzionano gli oggetti di geolocalizzazione con altri filtri di destinazione nelle regole di uscita, vedi Destinazioni per le regole di uscita.

Google Threat Intelligence per le regole dei criteri firewall

Le regole delle policy firewall ti consentono di proteggere la tua rete consentendo o bloccando il traffico in base ai dati di Google Threat Intelligence. I dati di Google Threat Intelligence includono elenchi di indirizzi IP in base alle seguenti categorie:

• Nodi di uscita Tor: Tor è un software open source che consente la comunicazione anonima. Per escludere gli utenti che nascondono la propria identità, blocca gli indirizzi IP dei nodi di uscita Tor (endpoint in cui il traffico esce dalla rete Tor).
• Indirizzi IP dannosi noti: indirizzi IP noti per essere l'origine di attacchi alle applicazioni web. Per migliorare la strategia di sicurezza della tua applicazione, blocca questi indirizzi IP.
• Motori di ricerca: indirizzi IP che puoi consentire per attivare l'indicizzazione del sito.
• Intervalli di indirizzi IP del cloud pubblico: questa categoria può essere bloccata per evitare che strumenti automatizzati dannosi navighino nelle applicazioni web o consentita se il tuo servizio utilizza altri cloud pubblici. Questa categoria è ulteriormente suddivisa nelle seguenti sottocategorie:
  • Intervalli di indirizzi IP utilizzati da Amazon Web Services
  • Intervalli di indirizzi IP utilizzati da Microsoft Azure
  • Intervalli di indirizzi IP utilizzati da Google Cloud
  • Intervalli di indirizzi IP utilizzati dai servizi Google

Gli elenchi di dati di Google Threat Intelligence possono includere indirizzi IPv4, indirizzi IPv6 o entrambi. Per configurare Google Threat Intelligence nelle regole dei criteri del firewall, utilizza i nomi degli elenchi Google Threat Intelligence predefiniti in base alla categoria che vuoi consentire o bloccare. Questi elenchi vengono aggiornati continuamente, proteggendo i servizi da nuove minacce senza ulteriori passaggi di configurazione. I nomi degli elenchi validi sono i seguenti.

Nome elenco	Descrizione
iplist-tor-exit-nodes	Corrisponde agli indirizzi IP dei nodi di uscita TOR
iplist-known-malicious-ips	Corrisponde agli indirizzi IP noti per gli attacchi alle applicazioni web
iplist-search-engines-crawlers	Corrisponde agli indirizzi IP dei crawler dei motori di ricerca
iplist-vpn-providers	Corrisponde agli indirizzi IP appartenenti a provider VPN con una reputazione scarsa
iplist-anon-proxies	Corrisponde agli indirizzi IP appartenenti a proxy anonimi aperti
iplist-crypto-miners	Corrisponde agli indirizzi IP appartenenti a siti di mining di criptovalute
iplist-public-clouds iplist-public-clouds-aws iplist-public-clouds-azure iplist-public-clouds-gcp iplist-public-clouds-google-services	Corrisponde agli indirizzi IP appartenenti ai cloud pubblici Corrisponde agli intervalli di indirizzi IP utilizzati da Amazon Web Services Corrisponde agli intervalli di indirizzi IP utilizzati da Microsoft Azure Corrisponde agli intervalli di indirizzi IP utilizzati da Google Cloud Corrisponde agli intervalli di indirizzi IP utilizzati dai servizi Google

Utilizzare Google Threat Intelligence con altri filtri delle regole dei criteri firewall

Per definire una regola del criterio firewall con Google Threat Intelligence, segui queste linee guida:

• Per le regole in uscita, specifica la destinazione utilizzando uno o più elenchi di Google Threat Intelligence.

• Per le regole in entrata, specifica l'origine utilizzando uno o più elenchi Google Threat Intelligence.

• Puoi configurare gli elenchi di Google Threat Intelligence per i criteri firewall gerarchici, i criteri firewall di rete globali e i criteri firewall di rete regionali.

• Puoi utilizzare questi elenchi insieme ad altri componenti di filtro delle regole di origine o destinazione.

  Per informazioni su come gli elenchi di Google Threat Intelligence funzionano con altri filtri di origine nelle regole in entrata, consulta Origini per le regole in entrata nelle policy firewall gerarchiche e Origini per le regole in entrata nelle policy firewall di rete.

  Per informazioni su come funzionano gli elenchi di Google Threat Intelligence con altri filtri di destinazione nelle regole di uscita, vedi Destinazioni per le regole di uscita.

• Il logging dei firewall viene eseguito a livello di regola. Per semplificare il debug e l'analisi dell'effetto delle regole firewall, non includere più elenchi di Google Threat Intelligence in una singola regola firewall.

• Puoi aggiungere più elenchi di Google Threat Intelligence a una regola del criterio firewall. Ogni nome di elenco incluso nella regola viene conteggiato come un attributo, indipendentemente dal numero di indirizzi IP o intervalli di indirizzi IP inclusi nell'elenco. Ad esempio, se hai incluso i nomi degli elenchi iplist-tor-exit-nodes, iplist-known-malicious-ips e iplist-search-engines-crawlers nella regola del criterio firewall, il conteggio degli attributi della regola per criterio firewall viene aumentato di tre. Per ulteriori informazioni sul conteggio degli attributi delle regole, consulta Quote e limiti.

Creare eccezioni agli elenchi di Google Threat Intelligence

Se hai regole che si applicano agli elenchi Google Threat Intelligence, puoi utilizzare le seguenti tecniche per creare regole di eccezione applicabili a determinati indirizzi IP all'interno di un elenco Google Threat Intelligence:

• Regola firewall di autorizzazione selettiva: supponiamo che tu abbia una regola firewall in entrata o in uscita che nega i pacchetti da o verso un elenco di Google Threat Intelligence. Per consentire i pacchetti da o verso un indirizzo IP selezionato all'interno di questo elenco di Google Threat Intelligence, crea una regola firewall di autorizzazione in entrata o in uscita separata con priorità più elevata che specifichi l'indirizzo IP di eccezione come origine o destinazione.

• Regola firewall di negazione selettiva: supponiamo che tu abbia una regola firewall in entrata o in uscita che consente i pacchetti da o verso un elenco di Google Threat Intelligence. Per negare i pacchetti da o verso un indirizzo IP selezionato all'interno di questo elenco di Google Threat Intelligence, crea una regola firewall di negazione in entrata o in uscita con priorità più elevata che specifichi l'indirizzo IP di eccezione come origine o destinazione.

Gruppi di indirizzi per le policy firewall

I gruppi di indirizzi sono una raccolta logica di intervalli di indirizzi IPv4 o IPv6 nel formato CIDR. Puoi utilizzare i gruppi di indirizzi per definire origini o destinazioni coerenti a cui fanno riferimento molte regole firewall. I gruppi di indirizzi possono essere aggiornati senza modificare le regole firewall che li utilizzano. Per saperne di più sui gruppi di indirizzi, vedi Gruppi di indirizzi per i criteri firewall.

Puoi definire gruppi di indirizzi di origine e di destinazione rispettivamente per le regole firewall in ingresso e in uscita.

Per informazioni su come funzionano i gruppi di indirizzi di origine con altri filtri di origine nelle regole in entrata, vedi Origini per le regole in entrata nelle policy firewall gerarchiche e Origini per le regole in entrata nelle policy firewall di rete.

Per informazioni su come funzionano i gruppi di indirizzi di destinazione con altri filtri di destinazione nelle regole di uscita, vedi Destinazioni per le regole di uscita.

Oggetti FQDN

Utilizza gli oggetti di nome di dominio completo (FQDN) nelle regole dei criteri firewall per filtrare il traffico in entrata o in uscita da o verso domini specifici.

Puoi applicare regole dei criteri firewall che utilizzano oggetti FQDN sia al traffico in entrata che a quello in uscita. In base alla direzione del traffico, gli indirizzi IP associati ai nomi di dominio vengono confrontati con l'origine o la destinazione del traffico.

• Puoi configurare gli oggetti FQDN nelle regole dei criteri firewall per i criteri firewall gerarchici, i criteri firewall di rete globali e i criteri firewall di rete regionali.

• Devi specificare gli oggetti FQDN nella sintassi FQDN standard.

  Per ulteriori informazioni sui formati dei nomi di dominio, consulta Formato del nome di dominio.

• A intervalli periodici, Cloud NGFW aggiorna le regole dei criteri firewall che contengono oggetti FQDN con i risultati più recenti della risoluzione dei nomi di dominio.

• I nomi di dominio specificati nelle regole delle policy firewall vengono risolti in indirizzi IP in base all'ordine di risoluzione dei nomi VPC di Cloud DNS. Cloud DNS notifica a Cloud NGFW eventuali modifiche nei risultati di risoluzione dei nomi di dominio, noti anche come record DNS (Domain Name System).

• Se due nomi di dominio vengono risolti nello stesso indirizzo IP, la regola del criterio firewall si applica a quell'indirizzo IP, non solo a un dominio. In altre parole, gli oggetti FQDN sono entità di livello 3.

• Se l'oggetto FQDN nella regola del criterio firewall in uscita include un dominio che contiene CNAME nel record DNS, devi configurare la regola del criterio firewall in uscita con tutti i nomi di dominio che le tue VM possono interrogare, inclusi tutti i potenziali alias, per garantire un comportamento affidabile della regola firewall. Se le tue VM eseguono query sui record CNAME non configurati nella regola del criterio firewall di uscita, il criterio potrebbe non funzionare durante la modifica dei record DNS.

• Puoi anche utilizzare i nomi DNS interni di Compute Engine nelle regole delle policy firewall di rete. Tuttavia, assicurati che la tua rete non sia configurata per utilizzare un server dei nomi alternativo nel criterio del server in uscita.

• Se vuoi aggiungere nomi di dominio personalizzati nelle regole dei criteri firewall di rete, puoi utilizzare le zone gestite di Cloud DNS per la risoluzione dei nomi di dominio. Tuttavia, assicurati che la tua rete non sia configurata per utilizzare un server dei nomi alternativo nel criterio del server in uscita. Per saperne di più sulla gestione delle zone, vedi Creare, modificare ed eliminare le zone.

Limitazioni

Le seguenti limitazioni si applicano alle regole firewall in entrata e in uscita che utilizzano oggetti FQDN:

• Gli oggetti FQDN non supportano i caratteri jolly (*) e i nomi di dominio di primo livello (root). Ad esempio, *.example.com. e .org non sono supportati.

• Gli oggetti FQDN non sono compatibili con Cloud DNS DNS64. Se abiliti DNS64 con FQDN, le VM non riceveranno indirizzi IPv6 tradotti da NAT.

Puoi utilizzare gli oggetti FQDN nelle regole dei criteri firewall in entrata. Quando definisci gli oggetti FQDN per le regole di ingresso, devi prendere in considerazione le seguenti limitazioni:

• Un nome di dominio può essere risolto in un massimo di 32 indirizzi IPv4 e 32 indirizzi IPv6. Le query DNS che vengono risolte in più di 32 indirizzi IPv4 e 32 indirizzi IPv6 vengono troncate in modo da includere solo 32 indirizzi IPv4 o IPv6 di questi indirizzi IP risolti. Pertanto, non includere nomi di dominio che vengono risolti in più di 32 indirizzi IPv4 e IPv6 nelle regole di criterio firewall in entrata.

• Alcune query sui nomi di dominio hanno risposte uniche in base alla posizione del client richiedente. La località da cui viene eseguita la risoluzione DNS della regola del criterio firewall è la regione Google Cloud che contiene la VM a cui si applica la regola del criterio firewall.

• Non utilizzare regole di ingresso che utilizzano oggetti FQDN se i risultati della risoluzione del nome di dominio sono molto variabili o se la risoluzione del nome di dominio utilizza una forma di bilanciamento del carico basato su DNS. Ad esempio, molti nomi di dominio Google utilizzano uno schema di bilanciamento del carico basato sul DNS.

Puoi utilizzare gli oggetti FQDN nelle regole delle policy firewall di uscita, ma non consigliamo di utilizzare gli oggetti FQDN con record DNS A con un TTL (time-to-live) inferiore a 90 secondi.

Utilizzare gli oggetti FQDN con altri filtri delle regole dei criteri firewall

In una regola dei criteri firewall, puoi definire oggetti FQDN insieme ad altri filtri di origine o di destinazione.

Per informazioni su come funzionano gli oggetti FQDN con altri filtri di origine nelle regole in entrata, vedi Origini per le regole in entrata nelle policy firewall gerarchiche e Origini per le regole in entrata nelle policy firewall di rete.

Per informazioni su come funzionano gli oggetti FQDN con altri filtri di destinazione nelle regole di uscita, consulta Destinazioni per le regole di uscita.

Formato del nome di dominio

I firewall VPC supportano il formato del nome di dominio definito in RFC 1035 , RFC 1123 e RFC 4343.

Per aggiungere nomi di dominio alle regole delle policy firewall, segui queste linee guida di formattazione:

• Il nome di dominio deve contenere almeno due etichette descritte di seguito:

  • Ogni etichetta corrisponde a espressioni regolari che includono solo questi caratteri: [a-z]([-a-z0-9][a-z0-9])?..
  • Ogni etichetta è composta da 1-63 caratteri.
  • Le etichette vengono concatenate con un punto (.).

• La lunghezza codificata massima del nome di dominio non deve superare i 255 byte.

• Puoi anche aggiungere un nome di dominio internazionalizzato (IDN) alle regole delle policy firewall.

• I nomi di dominio devono essere in formato Unicode o Punycode.

• Se specifichi un IDN in formato Unicode, il Google Cloud firewall lo converte in formato Punycode prima dell'elaborazione. In alternativa, puoi utilizzare lo strumento di conversione IDN per ottenere una rappresentazione Punycode di un IDN.

• Il firewall Google Cloud non supporta nomi di dominio equivalenti nella stessa regola di policy firewall. Dopo aver convertito il nome di dominio in Punycode, se i due nomi di dominio differiscono al massimo per un punto finale, sono considerati equivalenti.

Scenari di eccezioni FQDN

Quando utilizzi oggetti FQDN nelle regole dei criteri firewall, potresti riscontrare le seguenti eccezioni durante la risoluzione dei nomi DNS:

• Nome di dominio non valido: se specifichi uno o più nomi di dominio che utilizzano un formato non valido quando crei una regola del criterio firewall, ricevi un errore. La regola di policy firewall non può essere creata a meno che tutti i nomi di dominio non siano formattati correttamente.

• Il nome di dominio non esiste (NXDOMAIN): se il nome di dominio non esiste, Google Cloud ignora l'oggetto FQDN dalla regola dei criteri firewall.

• Nessuna risoluzione dell'indirizzo IP: se il nome di dominio non viene risolto in alcun indirizzo IP, l'oggetto FQDN viene ignorato.

• Il server Cloud DNS non è raggiungibile: se un server DNS non è raggiungibile, le regole delle policy del firewall che utilizzano oggetti FQDN si applicano solo se sono disponibili i risultati della risoluzione DNS memorizzati nella cache in precedenza. Gli oggetti FQDN della regola vengono ignorati se non sono presenti risultati di risoluzione DNS memorizzati nella cache o se i risultati DNS memorizzati nella cache sono scaduti.

Passaggi successivi

• Criteri firewall gerarchici
• Policy del firewall di rete globali
• Policy firewall di rete regionali