GSP609

Übersicht

Cloud Next Generation Firewall (Cloud NGFW) ist ein vollständig verteilter Firewalldienst mit erweiterten Schutzfunktionen, Mikrosegmentierung und umfassender Abdeckung, um Ihre Google Cloud-Arbeitslasten vor internen und externen Angriffen zu schützen.

Die globale Netzwerk-Firewallrichtlinie dient als Container für Firewallregeln. In einer globalen Netzwerk-Firewallrichtlinie definierte Regeln werden erst erzwungen, wenn die Richtlinie mit einem VPC-Netzwerk verknüpft ist. Jedem VPC-Netzwerk kann eine Netzwerk-Firewallrichtlinie zugeordnet sein. Globale Netzwerk-Firewallrichtlinien unterstützen IAM-verwaltete Tags (oder einfach Tags) in Firewallregeln. Diese ersetzen die aktuellen Netzwerk-Tags und können verwendet werden, um Workloads zu kennzeichnen.

Die Möglichkeit, eine globale Netzwerk-Firewallrichtlinie netzwerkübergreifend zu verwenden, und die Einbindung IAM-verwalteter Tags vereinfachen die Konfiguration und Verwaltung von Firewalls erheblich. Ein großer Unterschied zwischen VPC-Firewallregeln und globalen Netzwerk-Firewallrichtlinien besteht darin, dass VPC-Firewallregeln nur auf ein einzelnes VPC-Netzwerk angewendet werden können, während Netzwerk-Firewallrichtlinien an eine einzelne VPC oder eine Gruppe von VPCs angehängt werden können. Dazu kommen weitere Vorteile wie Batch-Updates.

Das folgende Diagramm zeigt die standardmäßige Erzwingungsreihenfolge:

Die Reihenfolge, in der VPC-Firewallregeln und die globale Netzwerk-Firewallrichtlinie erzwungen werden, lässt sich ändern. Sie können sie jederzeit mit dem gcloud-Befehl compute networks update festlegen.

Tags

Die neuen Tags für Firewalls sind in Netzwerk-Firewallrichtlinienregeln eingebunden. Sie sind Schlüssel/Wert-Paare, die auf der Organisationsebene der Google Cloud-Ressourcenhierarchie definiert sind. Ein solches Tag beinhaltet eine IAM-Zugriffssteuerung, die angibt, wer was mit dem Tag tun darf. Mit IAM-Berechtigungen können Sie zum Beispiel angeben, welche Prinzipale Tags Werte zuweisen und Tags an Ressourcen anhängen können. Nachdem ein Tag auf eine Ressource angewendet wurde, können Netzwerk-Firewallregeln es verwenden, um Traffic zuzulassen oder abzulehnen.

Tags entsprechen dem Google Cloud-Modell der Übernahme von Ressourcen. Das bedeutet, dass Tags und ihre Werte in der Hierarchie von oben nach unten übergeben werden. Sie können also an einer Stelle erstellt und dann von anderen Ordnern und Projekten in der gesamten Ressourcenhierarchie verwendet werden. Unter Tags und bedingter Zugriff finden Sie weitere Informationen zu Tags und Zugriffsbeschränkungen.

Tags sind etwas anderes als Netzwerk-Tags. Netzwerk-Tags sind Strings, keine Schlüssel/Wert-Paare. VPC-Firewallregeln können Netzwerk-Tags enthalten. Da sie jedoch nicht als Cloud-Ressourcen gelten, unterliegen sie nicht der IAM-Zugriffssteuerung.

Vorbereitung

Das Lab Benutzerdefiniertes Netzwerk erstellen und Firewallregeln anwenden ist zwar nicht vorgeschrieben. Sie sollten es aber trotzdem absolvieren, damit Sie wissen, wie Sie ein Netzwerk erstellen und Firewallregeln anwenden. In diesem Lab wird davon ausgegangen, dass Ihnen diese Konzepte vertraut sind.

Lerninhalte

• Vorhandene VPC-Firewallregeln in einem Google Cloud-Projekt identifizieren
• VPC-Firewallregeln zu einer globalen Netzwerk-Firewallrichtlinie migrieren
• Migration testen und anhand der Logs überprüfen, ob sie funktioniert hat

Einrichtung und Anforderungen

Vor dem Klick auf „Start Lab“ (Lab starten)

Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange Google Cloud-Ressourcen für das Lab verfügbar sind.

In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.

Für dieses Lab benötigen Sie Folgendes:

• Einen Standardbrowser (empfohlen wird Chrome)

Hinweis: Nutzen Sie den privaten oder Inkognitomodus (empfohlen), um dieses Lab durchzuführen. So wird verhindert, dass es zu Konflikten zwischen Ihrem persönlichen Konto und dem Teilnehmerkonto kommt und zusätzliche Gebühren für Ihr persönliches Konto erhoben werden.

• Zeit für die Durchführung des Labs – denken Sie daran, dass Sie ein begonnenes Lab nicht unterbrechen können.

Hinweis: Verwenden Sie für dieses Lab nur das Teilnehmerkonto. Wenn Sie ein anderes Google Cloud-Konto verwenden, fallen dafür möglicherweise Kosten an.

Lab starten und bei der Google Cloud Console anmelden

1. Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Dialogfeld geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der rechten Seite befindet sich der Bereich Lab-Einrichtung und ‑Zugriff:

   • Button Google Cloud Console öffnen
   • Die temporären Anmeldedaten (Nutzername und Passwort), die Sie für dieses Lab verwenden müssen
   • Gegebenenfalls weitere Informationen für dieses Lab

   Der Lab-Timer befindet sich oben auf der Seite und zeigt die verbleibende Zeit an.

2. Klicken Sie auf Google Cloud Console öffnen. Wenn Sie Chrome verwenden, können Sie auch rechtsklicken und Link in Inkognitofenster öffnen auswählen.

   Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite „Anmelden“ geöffnet.

   Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.

   Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.

3. Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.

   {{{user_0.username | "Username"}}}

   Sie finden den Nutzernamen auch im Bereich Lab-Einrichtung und ‑Zugriff.

4. Klicken Sie auf Weiter.

5. Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.

   {{{user_0.password | "Password"}}}

   Sie finden das Passwort auch im Bereich Lab-Einrichtung und ‑Zugriff.

6. Klicken Sie auf Weiter.

   Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos. Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.

7. Klicken Sie sich durch die nachfolgenden Seiten:

   • Akzeptieren Sie die Nutzungsbedingungen.
   • Fügen Sie keine Wiederherstellungsoptionen oder 2-Faktor-Authentifizierung hinzu, da dies nur ein temporäres Konto ist.
   • Melden Sie sich nicht für kostenlose Testversionen an.

Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.

Hinweis: Wenn Sie auf Google Cloud-Produkte und ‑Dienste zugreifen möchten, klicken Sie auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.

Cloud Shell aktivieren

Cloud Shell ist eine virtuelle Maschine, auf der Entwicklertools installiert sind. Sie bietet ein Basisverzeichnis mit 5 GB nichtflüchtigem Speicher und läuft auf Google Cloud. Mit Cloud Shell erhalten Sie Befehlszeilenzugriff auf Ihre Google Cloud-Ressourcen.

1. Klicken Sie oben in der Google Cloud Console auf Cloud Shell aktivieren .

2. Klicken Sie sich durch die folgenden Fenster:

   • Fahren Sie mit dem Informationsfenster zu Cloud Shell fort.
   • Autorisieren Sie Cloud Shell, Ihre Anmeldedaten für Google Cloud API-Aufrufe zu verwenden.

Wenn eine Verbindung besteht, sind Sie bereits authentifiziert und das Projekt ist auf Project_ID, eingestellt. Die Ausgabe enthält eine Zeile, in der die Project_ID für diese Sitzung angegeben ist:

Ihr Cloud-Projekt in dieser Sitzung ist festgelegt als {{{project_0.project_id | "PROJECT_ID"}}}

gcloud ist das Befehlszeilentool für Google Cloud. Das Tool ist in Cloud Shell vorinstalliert und unterstützt die Tab-Vervollständigung.

3. (Optional) Sie können den aktiven Kontonamen mit diesem Befehl auflisten:

gcloud auth list

4. Klicken Sie auf Autorisieren.

Ausgabe:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} Um das aktive Konto festzulegen, führen Sie diesen Befehl aus: $ gcloud config set account `ACCOUNT`

5. (Optional) Sie können die Projekt-ID mit diesem Befehl auflisten:

gcloud config list project

Ausgabe:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} Hinweis: Die vollständige Dokumentation für gcloud finden Sie in Google Cloud in der Übersicht zur gcloud CLI.

Region und Zone einrichten

Bestimmte Compute Engine-Ressourcen befinden sich in Regionen und Zonen. Eine Region ist ein festgelegter geografischer Standort, an dem Sie Ihre Ressourcen ausführen können. Jede Region hat eine oder mehrere Zonen.

1. Führen Sie die folgenden gcloud-Befehle in der Cloud Shell aus, um die Standardregion für Ihr Lab festzulegen:

gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

2. Führen Sie die folgenden gcloud-Befehle in der Cloud Shell aus, um die Standardzone für Ihr Lab festzulegen:

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone)

Beim Festlegen von Region und Zone wird möglicherweise eine Warnung angezeigt. Diese Meldung können Sie ignorieren.

3. Legen Sie Ihre Projekt-ID als Umgebungsvariable fest:

export PROJECT_ID=$(gcloud config get-value project)

4. Listen Sie die Netzwerke in Ihrem Projekt auf:

gcloud compute networks list

Anzahl der vorhandenen VPC-Firewallregeln in Ihrem Netzwerk ermitteln

1. Wählen Sie in der Console im Navigationsmenü die Option VPC-Netzwerk aus und sehen Sie sich die für dieses Lab verfügbaren Netzwerke an.

2. Öffnen Sie die einzelnen Netzwerke und sehen Sie sich die Firewallregeln an.

3. Notieren Sie sich die Prioritäten für jede einzelne VPC-Firewallregel.

4. In der Console sehen Sie die Tags, die Ihre Firewallregeln haben. Rufen Sie VPC-Netzwerke auf und klicken Sie auf external-network. Klicken Sie auf den Tab Firewalls und maximieren Sie dann vpc-firewall-rules, um die Firewallregeln und ihre Netzwerk-Tags zu sehen. Möglicherweise müssen Sie die einzelnen Zeilen maximieren. Klicken Sie dazu jeweils rechts auf den Pfeil.

5. Führen Sie in der Cloud Shell den folgenden Befehl aus, um die Firewallregeln für external-network aufzurufen:

gcloud compute firewall-rules list --filter=network:external-network

Aufgabe 1: Globale Firewallregel erstellen

Regeln für globale Netzwerk-Firewallrichtlinien müssen in einer globalen Netzwerk-Firewallrichtlinie erstellt werden. Sie werden erst aktiv, wenn Sie die Richtlinie, die diese Regeln enthält, einem VPC-Netzwerk zuordnen.

Die Regeln in einer globalen Netzwerk-Firewallrichtlinien können entweder IPv4- oder IPv6-Bereiche umfassen, aber nicht beides.

gcloud compute firewall-rules create allow-ssh --direction=INGRESS --action=ALLOW --rules=tcp:22 --source-ranges=10.1.0.0/24,10.2.0.0/24 --description "allow-ssh" --network=external-network --target-tags=ssh gcloud compute firewall-rules create allow-web \ --allow tcp:80,tcp:443 \ --description "allow-web" \ --source-ranges 10.0.0.0/16 \ --network=external-network \ --target-tags=web Hinweis: Da Cloud Next Generation Firewall-Regeln eine implizite Regel zum Ablehnen von eingehendem Traffic haben, müssen Sie definieren, was zulässig ist.

4. [Optional] Für dieses Lab sind die richtigen Berechtigungen bereits ausgewählt. Wählen Sie in der Console im Navigationsmenü die Option IAM und Verwaltung aus. Ihnen werden die Berechtigungen angezeigt, die Sie für dieses Lab haben. Sie haben die folgenden Rollen:

compute.networkAdmin compute.networkViewer compute.securityAdmin compute.viewer resourcemanager.tagAdmin resourcemanager.tagViewer resourcemanager.tagUser

Klicken Sie auf Fortschritt prüfen. Globale Firewallregeln erstellen

Aufgabe 2: Details vorhandener Netzwerk-Tags speichern

Als Nächstes erstellen Sie eine JSON-Datei, um die Details der vorhandenen Netzwerk-Tags zu speichern.

Verwenden Sie den Befehl compute firewall-rules migrate mit dem Flag --export-tag-mapping, um die Netzwerk-Tags in Ihrem Netzwerk in eine JSON-Zuordnungsdatei zu exportieren.

Ersetzen Sie Folgendes:

NETWORK_NAME: Name des VPC-Netzwerks, das die zu migrierenden VPC-Firewallregeln enthält. Verwenden Sie für dieses Lab external-network.

TAG_MAPPING_FILE: Legen Sie einen Namen für die JSON-Zuordnungsdatei fest.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --export-tag-mapping \ --tag-mapping-file=TAG_MAPPING_FILE Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'external-network'. Found 0 Network Firewall Policies associated with the VPC Network 'external-network'. Found 1 VPC Firewalls associated with the VPC Network 'external-network'. 8 pattern(s) used to filter VPC Firewalls out: gke-(.+)-ipv6-all gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd)) k8s-fw-(l7-)?(.+) k8s-(.+)-((node)|(http)|(node-http))-hc (.+)-hc k8s2-(.+)-(.+)-(.+)-(.+)(-fw)? k8s2-(.+)-l4-shared-hc-fw gke((gw)|(mcg))1-l7-(.+)-(.+)

Aufgabe 3: Sichere Tags erstellen

Erstellen Sie basierend auf den in der Zuordnungsdatei aufgeführten Netzwerk-Tags die entsprechenden sicheren Tags in Ihrem Netzwerk.

Diese ersetzen die Netzwerk-Tags und bewahren die ursprüngliche Netzwerkkonfiguration nach der Migration.

• TAG_KEY definiert, welche Art von Informationen Sie taggen.
• TAG_VALUE definiert die konkreten Informationen, die Sie zuweisen.

Zusammen bilden sie ein Schlüssel/Wert-Paar, das eine flexible und leistungsstarke Möglichkeit zur Verwaltung Ihrer Google Cloud-Ressourcen bietet.

1. Erstellen Sie zuerst TAG_KEY:

Ersetzen Sie Folgendes:

• TAG_KEY: Der Name des Tag-Schlüssels. Er definiert die Kategorie oder Klassifizierung des Tags. Verwenden Sie für dieses Lab vpc-tags.
• PROJECT_ID: Sie haben sie bereits als Variable für dieses Lab definiert.
• NETWORK_NAME: Der Name Ihres VPC-Netzwerks. Verwenden Sie external-network.
• TAG_VALUE: Das spezifische Attribut von TAG_KEY. Verwenden Sie für dieses Lab ssh, external und web.

gcloud resource-manager tags keys create TAG_KEY \ --parent projects/$PROJECT_ID \ --purpose GCE_FIREWALL \ --purpose-data network=$PROJECT_ID/NETWORK_NAME

2. Erstellen Sie als Nächstes drei TAG_VALUES, einen für jede Firewallregel:

gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY Hinweis: Beim Erstellen sicherer Tag-Schlüssel muss der Wert des Felds --purpose auf GCE_FIREWALL festgelegt sein. Jedes der sicheren Tags muss ein einzelnes VPC-Zielnetzwerk haben und die Tags können nur mit den Netzwerkschnittstellen in diesem VPC-Netzwerk verknüpft werden.

Klicken Sie auf Fortschritt prüfen. Sichere Tags erstellen

Aufgabe 4: Netzwerk-Tags und Dienstkonten Tags zuordnen

Nachdem Sie IAM-verwaltete sichere Tags für alle von Ihren VPC-Firewallregeln verwendeten Netzwerk-Tags erstellt haben, müssen Sie sie den entsprechenden Netzwerk-Tags in der JSON-Zuordnungsdatei zuordnen.

• Bearbeiten Sie die JSON-Datei, um die Netzwerk-Tags den entsprechenden sicheren Tags zuzuordnen. Sie können den Cloud Shell-Editor oder einen Editor Ihrer Wahl nutzen und das folgende Format verwenden:

{ "external": "tagValues/the numeric value for TAG_VALUE", "ssh": "tagValues/the numeric value for TAG_VALUE", "web": "tagValues/the numeric value for TAG_VALUE" }

Die Ausgabe des vorherigen Befehls liefert den numerischen Wert von TAG_VALUE.

Aufgabe 5: Tags an VMs binden

Binden Sie basierend auf der JSON-Datei für die Tag-Zuordnung die neu erstellten sicheren Tags an die VMs, an die die vorhandenen Netzwerk-Tags angehängt sind.

• Verwenden Sie dafür den Befehl compute firewall-rules migrate mit dem Flag --bind-tags-to-instances.

Ersetzen Sie Folgendes:

NETWORK_NAME: Der Name Ihres VPC-Netzwerks.

TAG_MAPPING_FILE: Der Name der JSON-Zuordnungsdatei.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --bind-tags-to-instances \ --tag-mapping-file=TAG_MAPPING_FILE Hinweis: Das Flag --bind-tags-to-instances bindet die sicheren Tags nur an ausgeführte VMs. Wenn VMs in Ihrem Netzwerk mit Instanzvorlagen erstellt wurden oder Teil eines Google Kubernetes Engine-Clusters (GKE) sind, müssen Sie die sicheren Tags manuell binden.

Klicken Sie auf Fortschritt prüfen. Tags an VMs binden

Aufgabe 6: VPC-Firewallregeln zu einer globalen Netzwerkfirewall migrieren

• Verwenden Sie den Befehl gcloud beta compute firewall-rules migrate, um Ihre VPC-Firewallregeln zu einer globalen Netzwerk-Firewallrichtlinie zu migrieren.

Ersetzen Sie Folgendes:

NETWORK_NAME: Der Name des VPC-Netzwerks, das die zu migrierenden Firewallregeln enthält. Ersetzen Sie dies durch external-network.

POLICY_NAME: Der Name der globalen Netzwerk-Firewallrichtlinie, die während der Migration erstellt werden soll.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --tag-mapping-file=FILE_NAME \ --target-firewall-policy=POLICY_NAME Hinweis: Bestimmte Firewallregeln können mit dem Flag --exclusion-patterns-file von der Migration ausgeschlossen werden. Dies wird in diesem Lab jedoch nicht behandelt.

Klicken Sie auf Fortschritt prüfen. VPC-Firewallregeln zu einer globalen Netzwerkfirewall migrieren

Aufgabe 7: VM-Tags überprüfen

Bevor Sie die neu erstellte globale Richtlinie einem VPC-Netzwerk zuordnen, sollten Sie die Richtlinie prüfen, um sicherzugehen, dass die Migration korrekt abgeschlossen wurde.

Prüfen Sie, ob die sicheren Tags an die richtige VM angehängt sind. Dazu verwenden Sie den Befehl „resource-manager tags bindings list“.

1. Rufen Sie in der Console VPC-Netzwerke > Firewall auf.
2. Scrollen Sie nach unten zum Abschnitt „Netzwerk-Firewallrichtlinien“, um die Richtlinie zu prüfen.
3. Klicken Sie auf den Namen der Firewallrichtlinie, die Sie erstellt haben.
4. Öffnen Sie die Zeile der Firewallregel, um die Ziel-Tags zu sehen, und prüfen Sie, ob sie korrekt sind.

Aufgabe 8: Globale Netzwerk-Firewallrichtlinie mit Ihrem Netzwerk verknüpfen

Das Migrationstool erstellt die globale Netzwerk-Firewallrichtlinie basierend auf den vorhandenen VPC-Firewallregeln. Sie müssen die Richtlinie manuell mit dem erforderlichen VPC-Netzwerk verknüpfen, um die Richtlinienregeln für alle VMs innerhalb dieses Netzwerks zu aktivieren. Zum Verknüpfen der globalen Netzwerk-Firewallrichtlinie verwenden Sie den Befehl compute network-firewall-policies associations create.

• Klicken Sie auf der Detailseite mit den Firewallrichtlinien auf den Tab Verknüpfungen.
• Klicken Sie auf den Tab Verknüpfungen hinzufügen.
• Setzen Sie ein Häkchen neben external-network und klicken Sie auf Zuweisen.

Nach der Verknüpfung werden die Regeln der Richtlinie für VMs im zugehörigen Netzwerk aktiviert.

Klicken Sie auf Fortschritt prüfen. Globale Netzwerk-Firewallrichtlinie mit Ihrem Netzwerk verknüpfen

Aufgabe 9: Reihenfolge der Richtlinien- und Regelauswertung ändern

Standardmäßig wertet Cloud Next Generation Firewall die VPC-Firewallregeln aus, bevor es eine globale Netzwerk-Firewallrichtlinie auswertet. Damit globale Netzwerk-Firewallrichtlinien Vorrang vor VPC-Firewallregeln haben, ändern Sie mit dem Befehl compute networks update die Reihenfolge der Regelauswertung.

1. Ersetzen Sie NETWORK_NAME durch den Namen Ihres VPC-Netzwerks.

gcloud compute networks update NETWORK_NAME \ --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

2. Verwenden Sie den Befehl compute networks get-effective-firewalls, um zu prüfen, ob die globale Netzwerk-Firewallrichtlinie nun vor den VPC-Firewallregeln ausgewertet wird.

gcloud compute networks get-effective-firewalls NETWORK_NAME | grep "TYPE:"

Wenn in der Ausgabe des vorherigen Befehls TYPE: network-firewall-policy vor TYPE: network-firewall angezeigt wird, wird die globale Netzwerk-Firewallrichtlinie zuerst ausgewertet.

Klicken Sie auf Fortschritt prüfen. Reihenfolge der Richtlinien- und Regelauswertung ändern

Aufgabe 10: Logging von Firewallregeln aktivieren

Mit Firewallregel-Logging können Sie die Auswirkungen Ihrer Firewallregeln überwachen, überprüfen und analysieren. Beispielsweise lässt sich so feststellen, ob eine Firewallregel zum Ablehnen von Traffic wie vorgesehen funktioniert. Firewallregel-Logging ist auch nützlich, wenn Sie herausfinden möchten, wie viele Verbindungen von einer bestimmten Firewallregel betroffen sind.

Mithilfe des Loggings können Sie feststellen, ob eine Firewallregel wie gewünscht funktioniert. Das Migrationstool behält den Logging-Status der vorhandenen VPC-Firewallregeln bei, wenn es die neue globale Netzwerk-Firewallrichtlinie erstellt. Verwenden Sie den Befehl compute network-firewall-policies rules update, um das Logging für Firewallrichtlinien-Regeln zu aktivieren. Fügen Sie eine Prioritätsreihenfolge hinzu, um sicherzustellen, dass die globale Richtlinie Vorrang vor Legacy-VPC-Firewallregeln hat.

Ersetzen Sie Folgendes:

POLICY_NAME: Der Name der globalen Netzwerk-Firewallrichtlinie, deren Regel Sie aktualisieren möchten.

gcloud compute network-firewall-policies rules update 1000 --firewall-policy=POLICY_NAME --enable-logging --global-firewall-policy

Kehren Sie in der Cloud Console zu VPC-Netzwerk zurück und klicken Sie auf external-network > Firewalls, um zu prüfen, ob die Firewallrichtlinie an das Netzwerk angehängt ist.

Hinweis: Sie sehen Hierarchische Firewallrichtlinie. Diese gilt für die Organisation.

Klicken Sie auf Fortschritt prüfen. Logging von Firewallregeln aktivieren

Aufgabe 11: Globale Netzwerk-Firewallrichtlinie testen

Die fortlaufende Überwachung der Trefferzahlen zeigt die schrittweise Umstellung auf die neuen Regeln, bis die alten Regeln schließlich keine Treffer mehr erzielen. An diesem Punkt sollten Sie die Legacy-Regeln deaktivieren, mögliche negative Auswirkungen prüfen und dann die alten VPC-Firewallregeln löschen können.

Testen Sie nun Ihren Zugriff auf Netzwerkebene. Wenn Sie sich in einem „genehmigten“ externen Netzwerk befinden, haben Sie Zugriff. Wenn nicht, werden Sie blockiert.

Senden Sie Traffic an das Netzwerk mit der globalen Firewallregel. Dazu müssen Sie die externe IP-Adresse von VMs abrufen, die sich in Ihrem VPC-Netzwerk befinden.

1. Klicken Sie im Navigationsmenü auf Compute Engine > VM-Instanzen.
2. Kopieren Sie die externe IP-Adresse von external-server.
3. Pingen Sie die externe IP-Adresse an, um Traffic zu senden:

ping -c 20 <Enter a external IP here>

Wechseln Sie jetzt zum Log-Explorer, um die Ergebnisse zu sehen.

Logs prüfen

Rufen Sie in der Console die Seite Log-Explorer auf.

1. Suchen Sie in der Google Cloud-Suchleiste nach „Logging“ und klicken Sie dann mit der rechten Maustaste auf Log-Explorer, um einen neuen Tab zu öffnen.
2. Klicken Sie auf Alle Ressourcen > Subnetzwerk und dann auf Anwenden.
3. Sehen Sie sich die Ergebnisse an und suchen Sie nach dem Namen der Firewalls. Der Name ändert sich von der VPC-Firewall zur globalen Firewallrichtlinie. Die Ergebnisse sollten in etwa so aussehen:

OPTIONAL – Konnektivität prüfen

Für diesen Test verwenden Sie Network Intelligence Center.

1. Suchen Sie in der Google Cloud-Suchleiste nach „Konnektivität“ und wählen Sie dann in den Ergebnissen Konnektivitätstests aus.
2. Aktivieren Sie die Network Management API.
3. Dazu müssen Sie die externe IP-Adresse von VMs abrufen, die sich in Ihrem VPC-Netzwerk befinden. Klicken Sie im Navigationsmenü mit der rechten Maustaste auf Compute Engine, um ein neues Fenster zu öffnen, und klicken Sie dann auf VM-Instanzen.
4. Kopieren Sie die externe IP-Adresse von external-server.
5. Klicken Sie auf dem Bildschirm „Konnektivitätstest erstellen“ auf Konnektivitätstest erstellen.
6. Geben Sie im Feld Testname einen Namen für den Test ein.
7. Wählen Sie im Drop-down-Menü Quellendpunkt die Option IP-Adresse aus und fügen Sie die IP-Adresse in das Feld Quell-IP-Adresse ein.
8. Wählen Sie in der Liste IP-Adresstyp die Option Externe IP-Adresse aus.
9. Kehren Sie zum Tab VM-Instanzen zurück und kopieren Sie die externe IP-Adresse von internal-server-1.
10. Wählen Sie auf dem Bildschirm Konnektivitätstest erstellen im Drop-down-Menü Zielendpunkt die Option IP-Adresse aus und fügen Sie die IP-Adresse in das Feld Ziel-IP-Adresse ein.
11. Klicken Sie auf Erstellen.

Der Test ist nicht erfolgreich, da es keine Firewallregel gibt, die TCP-Traffic zu internal-server-1 zulässt.

Wiederholen Sie den Test und ändern Sie die Richtung. Fügen Sie die IP-Adresse von internal-server-1 als Quell-IP-Adresse und die von external-server als Ziel ein.

Aufgabe 12: VPC-Firewallregeln aus dem Netzwerk löschen

Sie sollten die VPC-Firewallregeln erst deaktivieren, bevor Sie sie vollständig löschen. So können Sie zu diesen Regeln zurückkehren, falls die vom Migrationstool erstellte globale Netzwerk-Firewallrichtlinie nicht die gewünschten Ergebnisse liefert. Im Rahmen dieses Labs können Sie die VPC-Firewallregeln direkt entfernen, nachdem sie zur globalen Firewallrichtlinie migriert wurden.

Geben Sie unbedingt die Namen der einzelnen Firewallregeln an.

1. Verwenden Sie zum Deaktivieren einer VPC-Firewallregel den Befehl compute firewall-rules update.

Ersetzen Sie RULE_NAME durch den Namen der VPC-Firewallregel, die deaktiviert werden soll.

gcloud compute firewall-rules update RULE_NAME --disabled

2. Verwenden Sie zum Löschen einer VPC-Firewallregel den Befehl compute firewall-rules delete.

gcloud compute firewall-rules delete RULE_NAME

Optional: Firewallregeln in der Console löschen

1. Kehren Sie zur Console zurück und rufen Sie VPC-Netzwerke auf.
2. Klicken Sie auf external-network und dann auf den Tab Firewalls.
3. Wählen Sie im Abschnitt VPC-Firewallregeln die beiden Firewallregeln aus.
4. Klicken Sie auf Löschen.

Klicken Sie auf Fortschritt prüfen. VPC-Firewallregeln aus dem Netzwerk löschen

Das wars! Sie haben das Lab erfolgreich abgeschlossen.

Sie haben gelernt, wie Sie eine VPC-Firewallregel mit Tags zu einer globalen Firewallrichtlinie migrieren, sie auf zwei Netzwerke angewendet, ihre Funktionsfähigkeit überprüft und die Legacy-Firewallregeln deaktiviert, um sie später zu löschen.

Weitere Informationen

• Networking-Blogpost von Google Cloud zur Migration von Legacy-VPC-Firewallregeln zu Cloud NGFW
• Referenz zu gcloud compute firewall-rules create
• Migrationstool für VPC-Firewallregeln
• IAM-Rollen für globale Netzwerk-Firewallrichtlinien und IAM-Rollen für Tags

Google Cloud-Schulungen und -Zertifizierungen

In unseren Schulungen erfahren Sie alles zum optimalen Einsatz unserer Google Cloud-Technologien und können sich entsprechend zertifizieren lassen. Unsere Kurse vermitteln technische Fähigkeiten und Best Practices, damit Sie möglichst schnell mit Google Cloud loslegen und Ihr Wissen fortlaufend erweitern können. Wir bieten On-Demand-, Präsenz- und virtuelle Schulungen für Anfänger wie Fortgeschrittene an, die Sie individuell in Ihrem eigenen Zeitplan absolvieren können. Mit unseren Zertifizierungen weisen Sie nach, dass Sie Experte im Bereich Google Cloud-Technologien sind.

Anleitung zuletzt am 23. Juni 2026 aktualisiert

Lab zuletzt am 23. Juni 2026 getestet

© 2026 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.