Mengonfigurasi aturan firewall

Halaman ini berisi panduan mengonfigurasi aturan firewall Google Cloud dan aturan firewall jaringan peer Anda.

Jika Anda mengonfigurasi tunnel Cloud VPN untuk terhubung ke jaringan peer, tinjau dan ubah aturan firewall di Google Cloud dan jaringan peer sehingga aturan tersebut memenuhi kebutuhan Anda. Jika jaringan peer Anda adalah jaringan Virtual Private Cloud (VPC) lain, konfigurasikan aturan firewall Google Cloud di kedua sisi koneksi jaringan.

Untuk mengetahui informasi selengkapnya tentang Cloud VPN, lihat referensi berikut:

• Untuk praktik terbaik yang perlu dipertimbangkan sebelum menyiapkan Cloud VPN, lihat Praktik terbaik.

• Untuk mengetahui informasi selengkapnya tentang Cloud VPN, lihat ringkasan Cloud VPN.

• Untuk mengetahui definisi istilah-istilah yang digunakan di halaman ini, lihat Istilah utama.

Aturan firewall Google Cloud

Aturan firewall Google Cloud berlaku untuk paket yang dikirim ke dan dari instance mesin virtual (VM) dalam jaringan VPC Anda dan melalui tunnel Cloud VPN.

Aturan izinkan traffic keluar yang tersirat memungkinkan instance VM dan resource lain di jaringan Google Cloud Anda membuat permintaan keluar dan menerima respons yang ditetapkan. Namun, aturan tolak traffic masuk yang tersirat memblokir seluruh traffic yang masuk ke resource Google Cloud.

Setidaknya buat aturan firewall untuk mengizinkan traffic masuk dari jaringan peer Anda ke Google Cloud. Jika Anda membuat aturan traffic keluar untuk menolak jenis traffic tertentu, Anda mungkin perlu membuat aturan traffic keluar lainnya.

Traffic yang berisi protokol UDP 500, UDP 4500, dan ESP (IPsec, IP protocol 50) selalu diizinkan ke dan dari satu atau beberapa alamat IP eksternal di gateway Cloud VPN. Namun, aturan firewall Google Cloud tidak berlaku pada paket IPsec setelah enkapsulasi yang dikirim dari gateway Cloud VPN ke gateway VPN peer.

Untuk mengetahui informasi selengkapnya tentang aturan firewall Google Cloud, lihat Ringkasan aturan firewall VPC.

Contoh konfigurasi

Untuk beberapa contoh pembatasan traffic masuk atau keluar, lihat contoh konfigurasi di dokumentasi VPC.

Contoh berikut membuat aturan firewall izinkan traffic masuk. Aturan ini mengizinkan semua traffic TCP, UDP, dan ICMP dari CIDR jaringan peer ke VMs di jaringan VPC Anda.

gcloud  compute --project PROJECT_ID firewall-rules create allow-tcp-udp-icmp \
    --network NETWORK \
    --allow tcp,udp,icmp \
    --source-ranges IPV4_PEER_SOURCE_RANGE

gcloud  compute --project PROJECT_ID firewall-rules create allow-ipv6-tcp-udp-icmpv6 \
    --network NETWORK \
    --allow tcp,udp,58 \
    --source-ranges IPV6_PEER_SOURCE_RANGE

Aturan firewall peer

Saat mengonfigurasi aturan firewall peer, pertimbangkan hal berikut:

• Konfigurasikan aturan untuk mengizinkan traffic keluar dan masuk ke dan dari rentang IP yang digunakan oleh subnet di jaringan VPC Anda.
• Anda dapat memilih untuk mengizinkan semua protokol dan port, atau membatasi traffic hanya ke rangkaian protokol dan port yang diperlukan untuk memenuhi kebutuhan Anda.
• Izinkan traffic ICMP jika Anda perlu menggunakan ping agar dapat berkomunikasi antar sistem peer dan instance atau resource di Google Cloud.
• Jika Anda perlu mengakses alamat IPv6 di jaringan peer dengan ping, izinkan ICMPv6 (58 protokol IP) di firewall peer.
• Perangkat jaringan (peralatan keamanan, perangkat firewall, switch, router, dan gateway) dan software yang berjalan di sistem Anda (seperti software firewall yang disertakan dengan sistem operasi) dapat mengimplementasikan aturan firewall lokal. Konfigurasi semua aturan firewall secara tepat di jalur jaringan VPC Anda.
• Jika tunnel VPN menggunakan perutean dinamis (BGP), pastikan traffic BGP diizinkan untuk alamat IP link-local. Untuk detail selengkapnya, lihat bagian berikutnya.

Pertimbangan BGP untuk gateway peer

Perutean dinamis (BGP) menggunakan TCP port 179 untuk bertukar informasi rute. Beberapa gateway VPN, termasuk gateway Cloud VPN, secara otomatis mengizinkan traffic saat Anda memilih perutean dinamis. Jika gateway VPN peer tidak mendukung, konfigurasikan gateway untuk mengizinkan traffic masuk dan keluar di TCP port 179. Semua alamat IP BGP menggunakan blok CIDR 169.254.0.0/16 link-local.

Jika gateway VPN peer Anda tidak terhubung langsung ke internet, pastikan gateway dan router peer, aturan firewall, dan peralatan keamanan dikonfigurasi untuk meneruskan traffic BGP (port TCP 179) dan traffic ICMP ke gateway VPN. ICMP tidak diwajibkan, tetapi berguna untuk menguji konektivitas Cloud Router dan gateway VPN Anda. Rentang alamat IP yang diterapkan aturan firewall peer harus menyertakan alamat IP BGP Cloud Router dan gateway Anda.

Langkah selanjutnya

• Untuk memastikan komponen berkomunikasi dengan benar menggunakan Cloud VPN, lihat Memeriksa status VPN.
• Untuk menggunakan skenario ketersediaan tinggi dan throughput tinggi atau beberapa skenario subnet, lihat Konfigurasi lanjutan.
• Untuk membantu memecahkan masalah umum yang mungkin Anda alami saat menggunakan Cloud VPN, lihat Pemecahan masalah.