GSP609

Ringkasan

Cloud Next Generation Firewall (Cloud NGFW) adalah layanan firewall yang terdistribusi sepenuhnya dengan kemampuan perlindungan tingkat lanjut, mikro-segmentasi, dan cakupan luas untuk melindungi workload Google Cloud Anda dari serangan internal dan eksternal.

Kebijakan firewall jaringan global bertindak sebagai container untuk aturan firewall. Aturan yang ditentukan dalam kebijakan firewall jaringan global tidak akan diberlakukan di mana pun hingga kebijakan tersebut dikaitkan dengan jaringan VPC. Setiap jaringan VPC dapat memiliki satu kebijakan firewall jaringan yang terkait dengannya. Kebijakan firewall jaringan global mendukung Tag yang diatur IAM (atau hanya Tag) dalam aturan firewall, yang menggantikan tag jaringan saat ini dan dapat digunakan untuk memberikan identitas ke workload.

Berbagi kebijakan firewall jaringan global di seluruh jaringan, dan integrasi dengan Tag yang diatur IAM, sangat mempermudah konfigurasi dan pengelolaan firewall. Perbedaan besar antara aturan firewall VPC dan kebijakan firewall jaringan global adalah aturan firewall VPC hanya dapat diterapkan ke satu jaringan VPC, sedangkan kebijakan firewall jaringan dapat dihubungkan ke satu VPC atau grup VPC, di antara berbagai manfaat lainnya seperti kumpulan update.

Secara default, urutan penerapan ditampilkan dalam diagram berikut:

Urutan penerapan antara aturan firewall VPC dan kebijakan firewall jaringan global dapat ditukar. Anda dapat menentukan urutan penerapan kapan saja dengan perintah gcloud compute networks update.

Tags

Tag baru untuk firewall diintegrasikan dalam aturan kebijakan firewall jaringan dan merupakan resource pasangan kunci-nilai yang ditentukan di tingkat organisasi hierarki resource Google Cloud. Tag tersebut berisi kontrol akses IAM, seperti yang tersirat dalam namanya, yang menentukan siapa yang dapat melakukan apa pada Tag. Misalnya, izin IAM memungkinkan seseorang menentukan entitas mana yang dapat menetapkan nilai ke tag dan entitas mana yang dapat menghubungkan tag ke resource. Setelah Tag diterapkan ke resource, aturan firewall jaringan dapat menggunakannya untuk mengizinkan dan menolak traffic.

Tag mematuhi model resource pewarisan Google Cloud, yang berarti tag dan nilainya diturunkan melalui hierarki dari induknya. Akibatnya, tag dapat dibuat di satu tempat, lalu digunakan oleh folder dan project lain di seluruh hierarki resource. Kunjungi Tag dan akses bersyarat untuk mengetahui detail lebih lanjut tentang tag dan pembatasan akses.

Tag berbeda dengan tag jaringan. Tag jaringan adalah string, bukan nilai kunci. Aturan firewall VPC dapat mencakup tag jaringan, tetapi karena tidak dianggap sebagai resource cloud, aturan tersebut tidak tunduk pada kontrol akses IAM.

Prasyarat

Meskipun tidak wajib, ikuti lab Membuat Jaringan Kustom dan Menerapkan Aturan Firewall untuk memahami cara membuat jaringan dan menerapkan aturan firewall. Di lab ini, Anda diharapkan memahami konsep tersebut.

Yang akan Anda pelajari

• Mengidentifikasi aturan firewall VPC yang ada di project Google Cloud
• Memigrasikan aturan firewall VPC ke kebijakan firewall jaringan global
• Menguji dan memverifikasi keberhasilan migrasi dengan memeriksa log

Penyiapan dan persyaratan

Sebelum mengklik tombol Start Lab

Baca petunjuk ini. Lab memiliki timer dan Anda tidak dapat menjedanya. Timer yang dimulai saat Anda mengklik Start Lab akan menampilkan durasi ketersediaan resource Google Cloud untuk Anda.

Lab interaktif ini dapat Anda gunakan untuk melakukan aktivitas lab di lingkungan cloud sungguhan, bukan di lingkungan demo atau simulasi. Untuk mengakses lab ini, Anda akan diberi kredensial baru yang bersifat sementara dan dapat digunakan untuk login serta mengakses Google Cloud selama durasi lab.

Untuk menyelesaikan lab ini, Anda memerlukan:

• Akses ke browser internet standar (disarankan browser Chrome).

Catatan: Gunakan jendela Samaran (direkomendasikan) atau browser pribadi untuk menjalankan lab ini. Hal ini akan mencegah konflik antara akun pribadi Anda dan akun siswa yang dapat menyebabkan tagihan ekstra pada akun pribadi Anda.

• Waktu untuk menyelesaikan lab. Ingat, setelah dimulai, lab tidak dapat dijeda.

Catatan: Hanya gunakan akun siswa untuk lab ini. Jika Anda menggunakan akun Google Cloud yang berbeda, Anda mungkin akan dikenai tagihan ke akun tersebut.

Cara memulai lab dan login ke Konsol Google Cloud

1. Klik tombol Start Lab. Jika Anda perlu membayar lab, dialog akan terbuka untuk memilih metode pembayaran. Di sebelah kanan terdapat panel Lab setup and access yang berisi hal-hal berikut:

   • Tombol Open Google Cloud console
   • Kredensial sementara (nama pengguna dan sandi) yang harus Anda gunakan untuk lab ini
   • Informasi lain, jika diperlukan, untuk menyelesaikan lab ini

   Perhatikan bahwa timer lab terletak di dekat bagian atas halaman, yang menampilkan waktu yang tersisa.

2. Klik Open Google Cloud console (atau klik kanan dan pilih Open Link in Incognito Window jika Anda menjalankan browser Chrome).

   Lab akan menjalankan resource, lalu membuka tab lain yang menampilkan halaman Sign in.

   Tips: Atur tab di jendela terpisah secara berdampingan.

   Catatan: Jika Anda melihat dialog Choose an account, klik Use Another Account.

3. Jika perlu, salin Username di bawah dan tempel ke dialog Sign in.

   {{{user_0.username | "Username"}}}

   Anda juga dapat menemukan Username di panel Lab setup and access.

4. Klik Next.

5. Salin Password di bawah dan tempel ke dialog Welcome.

   {{{user_0.password | "Password"}}}

   Anda juga dapat menemukan Password di panel Lab setup and access.

6. Klik Next.

   Penting: Anda harus menggunakan kredensial yang diberikan lab. Jangan menggunakan kredensial akun Google Cloud Anda. Catatan: Penggunaan akun Google Cloud sendiri untuk lab ini mungkin dikenai biaya tambahan.

7. Klik untuk melanjutkan ke halaman berikutnya:

   • Setujui persyaratan dan ketentuan.
   • Jangan tambahkan opsi pemulihan atau autentikasi 2 langkah (karena ini akun sementara).
   • Jangan daftar uji coba gratis.

Setelah beberapa saat, Konsol Google Cloud akan terbuka di tab ini.

Catatan: Untuk mengakses produk dan layanan Google Cloud, klik Navigation menu atau ketik nama layanan atau produk di kolom Search.

Mengaktifkan Cloud Shell

Cloud Shell adalah mesin virtual yang dilengkapi dengan berbagai alat pengembangan. Mesin virtual ini menawarkan direktori beranda persisten berkapasitas 5 GB dan berjalan di Google Cloud. Cloud Shell menyediakan akses command-line untuk resource Google Cloud Anda.

1. Klik Activate Cloud Shell di bagian atas Konsol Google Cloud.

2. Klik jendela berikut:

   • Lanjutkan melalui jendela informasi Cloud Shell.
   • Beri otorisasi ke Cloud Shell untuk menggunakan kredensial Anda guna melakukan panggilan Google Cloud API.

Setelah terhubung, Anda sudah diautentikasi, dan project ditetapkan ke Project_ID, . Output berisi baris yang mendeklarasikan Project_ID untuk sesi ini:

Project Cloud Platform Anda dalam sesi ini disetel ke {{{project_0.project_id | "PROJECT_ID"}}}

gcloud adalah alat command line untuk Google Cloud. Alat ini sudah terinstal di Cloud Shell dan mendukung pelengkapan command line.

3. (Opsional) Anda dapat menampilkan daftar nama akun yang aktif dengan perintah ini:

gcloud auth list

4. Klik Authorize.

Output:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} Untuk menetapkan akun aktif, jalankan: $ gcloud config set account `ACCOUNT`

5. (Opsional) Anda dapat menampilkan daftar ID project dengan perintah ini:

gcloud config list project

Output:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} Catatan: Untuk mendapatkan dokumentasi gcloud yang lengkap di Google Cloud, baca panduan ringkasan gcloud CLI.

Menetapkan region dan zona

Resource Compute Engine tertentu berada di region dan zona. Region adalah lokasi geografis spesifik tempat Anda dapat menjalankan resource. Setiap region memiliki satu atau beberapa zona.

1. Jalankan perintah gcloud berikut di Cloud Shell guna menetapkan region default untuk lab Anda:

gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

2. Jalankan perintah gcloud berikut di Cloud Shell guna menetapkan zona default untuk lab Anda:

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone)

Anda mungkin mendapatkan peringatan saat menetapkan Region dan Zona. Peringatan ini dapat diabaikan.

3. Tetapkan Project ID Anda sebagai variabel lingkungan:

export PROJECT_ID=$(gcloud config get-value project)

4. Tampilkan daftar jaringan di project Anda:

gcloud compute networks list

Mengidentifikasi jumlah aturan firewall VPC yang ada di jaringan Anda

1. Di konsol, dari Navigation menu, pilih VPC Network dan tinjau jaringan yang tersedia untuk lab ini.

2. Buka setiap jaringan dan perhatikan aturan firewall.

3. Catat prioritas yang terkait dengan setiap aturan firewall VPC.

4. Anda akan dapat melihat tag yang dimiliki aturan firewall Anda di konsol. Buka VPC Networks, lalu klik external-network. Klik tab Firewalls, lalu perluas vpc-firewall-rules untuk melihat aturan firewall dan tag jaringannya. Anda mungkin perlu memperluas setiap baris dengan mengklik panah di sisi kanan baris.

5. Di Cloud Shell, jalankan perintah berikut untuk melihat aturan firewall untuk external-network:

gcloud compute firewall-rules list --filter=network:external-network

Tugas 1. Membuat aturan firewall global

Aturan kebijakan firewall jaringan global harus dibuat dalam kebijakan firewall jaringan global. Aturan tidak aktif hingga Anda mengaitkan kebijakan yang berisi aturan tersebut dengan jaringan VPC.

Setiap aturan kebijakan firewall jaringan global dapat mencakup rentang IPv4 atau IPv6, tetapi tidak keduanya.

gcloud compute firewall-rules create allow-ssh --direction=INGRESS --action=ALLOW --rules=tcp:22 --source-ranges=10.1.0.0/24,10.2.0.0/24 --description "allow-ssh" --network=external-network --target-tags=ssh gcloud compute firewall-rules create allow-web \ --allow tcp:80,tcp:443 \ --description "allow-web" \ --source-ranges 10.0.0.0/16 \ --network=external-network \ --target-tags=web Catatan: Karena aturan Cloud Next Generation Firewall memiliki aturan penolakan implisit untuk traffic ingress, Anda perlu menentukan apa yang diizinkan.

4. [Opsional] Untuk lab ini, izin yang tepat sudah dipilih. Di konsol, dari Navigation menu, pilih IAM & Admin. Anda akan melihat izin yang diberikan kepada Anda untuk lab ini. Peran yang akan Anda miliki adalah:

compute.networkAdmin compute.networkViewer compute.securityAdmin compute.viewer resourcemanager.tagAdmin resourcemanager.tagViewer resourcemanager.tagUser

Klik Periksa progres saya untuk memverifikasi tujuan. Membuat aturan firewall global.

Tugas 2. Menyimpan detail tag jaringan yang ada

Selanjutnya, Anda akan membuat file JSON untuk menyimpan detail tag jaringan yang ada.

Untuk mengekspor tag jaringan di jaringan Anda ke file JSON pemetaan, gunakan perintah compute firewall-rules migrate dengan flag --export-tag-mapping.

Ganti hal berikut:

NETWORK_NAME: nama jaringan VPC Anda yang berisi aturan firewall VPC yang ingin dimigrasikan. Untuk lab ini, gunakan external-network.

TAG_MAPPING_FILE: buat nama untuk file pemetaan JSON.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --export-tag-mapping \ --tag-mapping-file=TAG_MAPPING_FILE Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'external-network'. Found 0 Network Firewall Policies associated with the VPC Network 'external-network'. Found 1 VPC Firewalls associated with the VPC Network 'external-network'. 8 pattern(s) used to filter VPC Firewalls out: gke-(.+)-ipv6-all gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd)) k8s-fw-(l7-)?(.+) k8s-(.+)-((node)|(http)|(node-http))-hc (.+)-hc k8s2-(.+)-(.+)-(.+)-(.+)(-fw)? k8s2-(.+)-l4-shared-hc-fw gke((gw)|(mcg))1-l7-(.+)-(.+)

Tugas 3. Membuat Tag yang aman

Berdasarkan tag jaringan yang tercantum dalam file pemetaan, buat Tag aman yang sesuai di jaringan Anda.

Tag aman yang baru berfungsi sebagai pengganti tag jaringan dan mempertahankan konfigurasi jaringan asli setelah migrasi.

• TAG_KEY menentukan jenis informasi yang Anda beri tag.
• TAG_VALUE menentukan informasi spesifik yang Anda tetapkan.

Bersama-sama, keduanya membentuk pasangan kunci-nilai yang memberikan cara fleksibel dan efektif untuk mengelola resource Google Cloud Anda.

1. Pertama, buat TAG_KEY:

Ganti hal berikut:

• TAG_KEY: nama kunci Tag; menentukan kategori atau klasifikasi Tag. Untuk lab ini, gunakan vpc-tags.
• PROJECT_ID: Anda telah menentukannya sebagai variabel untuk lab ini.
• NETWORK_NAME: nama jaringan VPC Anda. Gunakan external-network.
• TAG_VALUE: atribut spesifik dari TAG_KEY. Untuk lab ini, gunakan ssh, external, dan web.

gcloud resource-manager tags keys create TAG_KEY \ --parent projects/$PROJECT_ID \ --purpose GCE_FIREWALL \ --purpose-data network=$PROJECT_ID/NETWORK_NAME

2. Selanjutnya, buat 3 TAG_VALUES, satu untuk setiap aturan firewall:

gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY Catatan: Saat Anda membuat kunci Tag yang aman, nilai kolom --purpose harus ditetapkan ke GCE_FIREWALL. Setiap Tag aman ini harus memiliki satu jaringan VPC target dan Tag hanya dapat dikaitkan dengan antarmuka jaringan di jaringan VPC tersebut.

Klik Periksa progres saya untuk memverifikasi tujuan. Membuat Tag yang aman.

Tugas 4. Memetakan tag jaringan dan akun layanan ke Tag

Setelah membuat Tag aman yang diatur IAM untuk setiap tag jaringan yang digunakan oleh aturan firewall VPC Anda, petakan Tag ke tag jaringan yang sesuai dalam file JSON pemetaan.

• Edit file JSON untuk memetakan tag jaringan ke Tag aman yang sesuai. Anda dapat menggunakan Cloud Shell Editor atau editor pilihan Anda, seperti format yang ditentukan di bawah.

{ "external": "tagValues/the numeric value for TAG_VALUE", "ssh": "tagValues/the numeric value for TAG_VALUE", "web": "tagValues/the numeric value for TAG_VALUE" }

Output perintah sebelumnya akan memberikan nilai numerik dari TAG_VALUE.

Tugas 5. Mengikat Tag ke VM

Berdasarkan file JSON pemetaan tag, ikat Tag aman yang baru dibuat ke VM yang terhubung ke tag jaringan yang ada:

• Gunakan perintah compute firewall-rules migrate dengan flag --bind-tags-to-instances.

Ganti hal berikut:

NETWORK_NAME: nama jaringan VPC Anda.

TAG_MAPPING_FILE: nama file JSON pemetaan.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --bind-tags-to-instances \ --tag-mapping-file=TAG_MAPPING_FILE Catatan:Flag --bind-tags-to-instances mengikat Tag aman hanya ke VM yang berjalan. Selain itu, jika VM di jaringan Anda dibuat menggunakan template instance atau jika VM merupakan bagian dari cluster Google Kubernetes Engine (GKE), Anda harus mengikat Tag aman secara manual.

Klik Periksa progres saya untuk memverifikasi tujuan. Mengikat Tag ke VM.

Tugas 6. Memigrasikan aturan firewall VPC ke firewall jaringan global

• Migrasikan aturan firewall VPC Anda ke kebijakan firewall jaringan global—gunakan perintah gcloud beta compute firewall-rules migrate.

Ganti hal berikut:

NETWORK_NAME: nama jaringan VPC Anda yang berisi aturan firewall yang ingin dimigrasikan. Ganti dengan external-network.

POLICY_NAME: nama kebijakan firewall jaringan global yang akan dibuat selama migrasi.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --tag-mapping-file=FILE_NAME \ --target-firewall-policy=POLICY_NAME Catatan: Pengecualian aturan firewall tertentu dari migrasi dilakukan dengan menggunakan flag --exclusion-patterns-file, tetapi hal ini tidak dibahas dalam lab ini.

Klik Periksa progres saya untuk memverifikasi tujuan. Memigrasikan aturan firewall VPC ke firewall jaringan global.

Tugas 7. Meninjau tag VM

Sebelum mengaitkan kebijakan global yang baru dibuat ke jaringan VPC, tinjau kebijakan tersebut untuk memastikan bahwa proses migrasi telah selesai dengan akurat.

Verifikasi apakah Tag aman sudah terhubung ke VM yang benar. Gunakan perintah resource-manager tags bindings list.

1. Di konsol, buka VPC Networks > Firewall.
2. Scroll ke bawah ke bagian Network firewall policies untuk meninjau kebijakan.
3. Klik nama kebijakan firewall yang Anda buat.
4. Buka baris aturan firewall agar Anda dapat melihat Tag target, lalu pastikan tag tersebut sudah benar.

Tugas 8. Mengaitkan kebijakan firewall jaringan global dengan jaringan Anda

Alat migrasi membuat kebijakan firewall jaringan global berdasarkan aturan firewall VPC yang ada. Anda harus mengaitkan kebijakan secara manual dengan jaringan VPC yang diperlukan untuk mengaktifkan aturan kebijakan untuk VM apa pun dalam jaringan tersebut. Untuk mengaitkan kebijakan firewall jaringan global, gunakan perintah compute network-firewall-policies associations create.

• Saat masih berada di halaman detail Firewall policies, klik tab Associations.
• Klik tab Add Associations.
• Centang kotak di samping external-network, lalu klik Associate.

Setelah dikaitkan, aturan kebijakan akan aktif untuk VM di jaringan yang dikaitkan.

Klik Periksa progres saya untuk memverifikasi tujuan. Mengaitkan kebijakan firewall jaringan global dengan jaringan Anda.

Tugas 9. Mengubah urutan evaluasi kebijakan dan aturan

Secara default, Cloud Next Generation Firewall mengevaluasi aturan firewall VPC sebelum mengevaluasi kebijakan firewall jaringan global. Untuk memastikan bahwa kebijakan firewall jaringan global lebih diutamakan daripada aturan firewall VPC, gunakan perintah compute networks update untuk mengubah urutan evaluasi aturan.

1. Ganti NETWORK_NAME dengan nama jaringan VPC Anda.

gcloud compute networks update NETWORK_NAME \ --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

2. Untuk memverifikasi apakah kebijakan firewall jaringan global dievaluasi sebelum aturan firewall VPC, gunakan perintah compute networks get-effective-firewalls.

gcloud compute networks get-effective-firewalls NETWORK_NAME | grep "TYPE:"

Dalam output perintah sebelumnya, jika TYPE: network-firewall-policy ditampilkan sebelum TYPE: network-firewall, kebijakan firewall jaringan global dievaluasi terlebih dahulu.

Klik Periksa progres saya untuk memverifikasi tujuan. Mengubah urutan evaluasi kebijakan dan aturan.

Tugas 10. Mengaktifkan logging aturan firewall

Firewall Rules Logging VPC memungkinkan Anda untuk mengaudit, memverifikasi, dan menganalisis efek aturan firewall Anda. Misalnya, Anda dapat menentukan apakah aturan firewall yang dirancang untuk menolak traffic berfungsi sebagaimana mestinya. Firewall Rules Logging juga berguna jika Anda perlu menentukan berapa banyak koneksi yang terpengaruh oleh aturan firewall tertentu.

Logging membantu Anda menentukan apakah aturan firewall berfungsi sebagaimana mestinya. Alat migrasi mempertahankan status logging aturan firewall VPC yang ada saat membuat kebijakan firewall jaringan global yang baru. Untuk mengaktifkan logging untuk aturan kebijakan firewall, gunakan perintah compute network-firewall-policies rules update, lalu tambahkan urutan prioritas untuk memastikan kebijakan global lebih diutamakan daripada aturan firewall VPC lama.

Ganti hal berikut:

POLICY_NAME: Nama kebijakan firewall jaringan global yang ingin Anda perbarui aturannya.

gcloud compute network-firewall-policies rules update 1000 --firewall-policy=POLICY_NAME --enable-logging --global-firewall-policy

Untuk memverifikasi bahwa kebijakan firewall terhubung ke jaringan, kembali ke VPC network di Konsol Cloud, lalu klik external-network > Firewalls.

Catatan: Anda akan melihat kebijakan firewall hierarkis, yang berlaku untuk Organisasi.

Klik Periksa progres saya untuk memverifikasi tujuan. Mengaktifkan logging aturan firewall.

Tugas 11. Menguji kebijakan firewall jaringan global

Pemantauan berkelanjutan terhadap jumlah hit menunjukkan pergeseran bertahap ke arah aturan baru, dengan aturan lama akhirnya tidak menerima hit sama sekali. Pada tahap ini, Anda seharusnya dapat menonaktifkan aturan lama, memvalidasi kemungkinan dampak negatif, lalu menghapus aturan firewall VPC lama.

Sekarang, uji akses tingkat jaringan Anda. Jika Anda berada di jaringan eksternal "yang disetujui", Anda dapat mengaksesnya. Jika tidak, Anda akan diblokir.

Kirim traffic ke jaringan yang memiliki aturan firewall global. Anda perlu mendapatkan alamat IP eksternal VM yang ada di Jaringan VPC Anda.

1. Dari Navigation menu, klik Compute Engine > VM Instances.
2. Salin IP Eksternal external-server.
3. Ping IP eksternal untuk mengirim traffic:

ping -c 20 <Enter a external IP here>

Sekarang, buka Logs Explorer untuk melihat hasilnya.

Memeriksa log

Di konsol, buka halaman Logs Explorer.

1. Di kotak penelusuran Google Cloud, cari "logging", lalu klik kanan Logs Explorer untuk membuka tab baru.
2. Klik All resources >Subnetwork, lalu klik Apply.
3. Lihat hasil dan cari nama firewall. Anda akan melihat bahwa nama akan berubah dari firewall VPC menjadi kebijakan firewall global. Hasil Anda akan terlihat seperti ini:

OPSIONAL – Memeriksa konektivitas

Untuk pengujian ini, Anda akan menggunakan Network Intelligence Center.

1. Di kolom penelusuran Google Cloud, cari "connectivity", lalu pilih Connectivity Test dari hasil penelusuran.
2. Aktifkan Network Management API.
3. Anda perlu mendapatkan alamat IP eksternal VM yang ada di Jaringan VPC Anda. Dari Navigation menu, klik kanan Compute Engine untuk membuka jendela baru, lalu klik VM Instances.
4. Salin IP Eksternal external-server.
5. Di layar Create Connectivity Test, klik Create connectivity test.
6. Di kolom Test name, masukkan nama untuk pengujian.
7. Dari dropdown Source endpoint, pilih IP address, lalu tempel alamat IP ke kolom Source IP address.
8. Dari daftar IP address type, pilih External IP address.
9. Kembali ke tab VM Instances, lalu salin IP Eksternal untuk internal-server-1.
10. Di layar Create Connectivity Test, di dropdown Destination endpoint, pilih IP address, lalu tempel alamat IP ke kolom Destination IP address.
11. Klik Create.

Anda akan melihat bahwa pengujian tidak berhasil. Tidak ada kebijakan aturan firewall untuk mengizinkan traffic tcp ke internal-server-1.

Sekarang ulangi pengujian, dengan mengubah arahnya. Tambahkan IP internal-server-1 sebagai Source IP dan external-server sebagai Destination.

Tugas 12. Menghapus aturan firewall VPC dari jaringan

Sebaiknya Anda menonaktifkan aturan firewall VPC terlebih dahulu sebelum menghapusnya sepenuhnya. Anda dapat kembali ke aturan tersebut jika kebijakan firewall jaringan global yang dibuat oleh alat migrasi gagal memberikan hasil yang diharapkan. Untuk lab ini, langsung hapus aturan firewall VPC sekarang setelah dimigrasikan ke kebijakan firewall global.

Pastikan untuk menggunakan nama aturan firewall individual.

1. Untuk menonaktifkan aturan firewall VPC, gunakan perintah compute firewall-rules update.

Ganti RULE_NAME dengan nama aturan firewall VPC yang akan dinonaktifkan.

gcloud compute firewall-rules update RULE_NAME --disabled

2. Untuk menghapus aturan firewall VPC, gunakan perintah compute firewall-rules delete.

gcloud compute firewall-rules delete RULE_NAME

Opsional: Menghapus aturan firewall di konsol.

1. Kembali ke Konsol dan buka VPC Networks.
2. Klik external-network, lalu klik tab Firewalls.
3. Di bagian VPC firewall rules, pilih kedua aturan firewall.
4. Klik Delete.

Klik Periksa progres saya untuk memverifikasi tujuan. Menghapus aturan firewall VPC dari jaringan.

Selamat

Anda telah mempelajari cara memigrasikan aturan firewall VPC dengan tag ke kebijakan firewall global, menerapkannya ke 2 jaringan, memverifikasi bahwa aturan tersebut berfungsi, dan menonaktifkan aturan firewall lama sebagai persiapan untuk menghapusnya.

Langkah Berikutnya

• Baca postingan blog Google Cloud Networking tentang memigrasikan aturan firewall VPC lama ke Cloud NGFW.
• Baca selengkapnya tentang membuat Aturan Next Generation Firewall.
• Beri bookmark pada halaman ini untuk alat migrasi aturan firewall VPC sebagai referensi di masa mendatang.
• Baca artikel berikut tentang peran IAM terkait kebijakan firewall jaringan global dan peran IAM untuk tag.

Sertifikasi dan pelatihan Google Cloud

...membantu Anda mengoptimalkan teknologi Google Cloud. Kelas kami mencakup keterampilan teknis dan praktik terbaik untuk membantu Anda memahami dengan cepat dan melanjutkan proses pembelajaran. Kami menawarkan pelatihan tingkat dasar hingga lanjutan dengan opsi on demand, live, dan virtual untuk menyesuaikan dengan jadwal Anda yang sibuk. Sertifikasi membantu Anda memvalidasi dan membuktikan keterampilan serta keahlian Anda dalam teknologi Google Cloud.

Manual terakhir diperbarui pada 23 Juni 2026

Lab terakhir diuji pada 23 Juni 2026

Hak cipta 2026 Google LLC. Semua hak dilindungi undang-undang. Google dan logo Google adalah merek dagang dari Google LLC. Semua nama perusahaan dan produk lain mungkin adalah merek dagang masing-masing perusahaan yang bersangkutan.