GSP609

개요

Cloud Next Generation Firewall(Cloud NGFW)은 고급 보호 기능, 마이크로 세분화, 광범위한 적용 범위를 갖춘 완전 분산형 방화벽 서비스로, 내부 및 외부 공격으로부터 Google Cloud 워크로드를 보호합니다.

전역 네트워크 방화벽 정책은 방화벽 규칙을 담는 컨테이너 역할을 합니다. 전역 네트워크 방화벽 정책에 정의된 규칙은 정책이 VPC 네트워크와 연결될 때까지 어디에도 적용되지 않습니다. 각 VPC 네트워크에는 네트워크 방화벽 정책을 하나씩 연결할 수 있습니다. 전역 네트워크 방화벽 정책은 방화벽 규칙에서 IAM 적용 태그(또는 간단히 태그)를 지원합니다. 이 태그는 기존 네트워크 태그를 대체하며 워크로드에 ID를 부여하는 데 사용할 수 있습니다.

전역 네트워크 방화벽 정책을 여러 네트워크에서 공유하고 IAM 적용 태그와 통합하면 방화벽 구성과 관리가 크게 간소화됩니다. VPC 방화벽 규칙과 전역 네트워크 방화벽 정책의 큰 차이는 적용 범위에 있습니다. VPC 방화벽 규칙은 단일 VPC 네트워크에만 적용할 수 있지만, 네트워크 방화벽 정책은 단일 VPC 또는 여러 VPC 그룹에 연결할 수 있으며, 일괄 업데이트 등의 이점도 제공합니다.

기본적으로 적용 순서는 다음 다이어그램과 같습니다.

VPC 방화벽 규칙과 전역 네트워크 방화벽 정책 간의 적용 순서를 바꿀 수 있습니다. compute networks update gcloud 명령어를 사용하면 언제든지 적용 순서를 지정할 수 있습니다.

태그

방화벽에 적용되는 새로운 태그는 네트워크 방화벽 정책 규칙에 통합되며 Google Cloud 리소스 계층의 조직 수준에서 정의되는 키-값 쌍 리소스입니다. 이름에서 알 수 있듯이 태그에는 IAM 액세스 제어가 포함되어, 누가 태그에 어떤 작업을 할 수 있는지를 지정합니다. 예를 들어 IAM 권한을 사용하면 어떤 보안 주체가 태그에 값을 할당할 수 있는지, 어떤 보안 주체가 리소스에 태그를 연결할 수 있는지 지정할 수 있습니다. 태그가 리소스에 적용되면 네트워크 방화벽 규칙에서 이를 사용하여 트래픽을 허용하거나 거부할 수 있습니다.

태그는 Google Cloud의 상속 리소스 모델을 따릅니다. 즉, 태그와 그 값은 계층 구조에서 상위 요소로부터 하위 요소로 전달됩니다. 따라서 태그를 한곳에서 만든 후 리소스 계층 전반의 다른 폴더와 프로젝트에서 사용할 수 있습니다. 태그 및 액세스 제한에 대한 자세한 내용은 태그 및 조건부 액세스를 참조하세요.

태그는 네트워크 태그와 다릅니다. 네트워크 태그는 키-값이 아닌 문자열입니다. VPC 방화벽 규칙에는 네트워크 태그가 포함될 수 있지만, 클라우드 리소스로 간주하지 않으므로 IAM 액세스 제어의 대상이 아닙니다.

기본 요건

필수는 아니지만 네트워크를 만들고 방화벽 규칙을 적용하는 방법을 이해하려면 커스텀 네트워크를 만들고 방화벽 규칙 적용하기 실습을 진행해 보시기 바랍니다. 본 실습은 이러한 개념을 이해하고 있다는 전제하에 진행됩니다.

학습할 내용

• Google Cloud 프로젝트에서 기존 VPC 방화벽 규칙 파악
• VPC 방화벽 규칙을 전역 네트워크 방화벽 정책으로 마이그레이션
• 로그를 확인하여 마이그레이션이 작동하는지 테스트 및 검증

설정 및 요건

실습 시작 버튼을 클릭하기 전에

다음 안내를 확인하세요. 실습에는 시간 제한이 있으며 일시중지할 수 없습니다. 실습 시작을 클릭하면 타이머가 시작됩니다. 이 타이머는 Google Cloud 리소스를 사용할 수 있는 시간이 얼마나 남았는지를 표시합니다.

실무형 실습을 통해 시뮬레이션이나 데모 환경이 아닌 실제 클라우드 환경에서 실습 활동을 진행할 수 있습니다. 실습 시간 동안 Google Cloud에 로그인하고 액세스하는 데 사용할 수 있는 새로운 임시 사용자 인증 정보가 제공됩니다.

이 실습을 완료하려면 다음을 준비해야 합니다.

• 표준 인터넷 브라우저 액세스 권한(Chrome 브라우저 권장)

참고: 이 실습을 실행하려면 시크릿 모드(권장) 또는 시크릿 브라우저 창을 사용하세요. 개인 계정과 학습자 계정 간의 충돌로 개인 계정에 추가 요금이 발생하는 일을 방지해 줍니다.

• 실습을 완료하기에 충분한 시간(실습을 시작하고 나면 일시중지할 수 없음)

참고: 이 실습에는 학습자 계정만 사용하세요. 다른 Google Cloud 계정을 사용하는 경우 해당 계정에 비용이 청구될 수 있습니다.

실습을 시작하고 Google Cloud 콘솔에 로그인하는 방법

1. 실습 시작 버튼을 클릭합니다. 실습 비용을 결제해야 하는 경우 결제 수단을 선택할 수 있는 대화상자가 열립니다. 오른쪽에는 다음과 같은 항목이 포함된 실습 설정 및 액세스 패널이 있습니다.

   • Google Cloud 콘솔 열기 버튼
   • 이 실습에 사용해야 하는 임시 사용자 인증 정보(사용자 이름 및 비밀번호)
   • 필요한 경우 실습 진행을 위한 기타 정보

   실습 타이머는 페이지 상단에 있으며 남은 시간을 표시합니다.

2. Google Cloud 콘솔 열기를 클릭합니다(Chrome 브라우저를 실행 중인 경우 마우스 오른쪽 버튼으로 클릭하고 시크릿 창에서 링크 열기를 선택합니다).

   실습에서 리소스가 가동되면 다른 탭이 열리고 로그인 페이지가 표시됩니다.

   팁: 두 개의 탭을 각각 별도의 창으로 나란히 정렬하세요.

   참고: 계정 선택 대화상자가 표시되면 다른 계정 사용을 클릭합니다.

3. 필요한 경우 아래의 사용자 이름을 복사하여 로그인 대화상자에 붙여넣습니다.

   {{{user_0.username | "Username"}}}

   실습 설정 및 액세스 패널에서도 사용자 이름을 확인할 수 있습니다.

4. 다음을 클릭합니다.

5. 아래의 비밀번호를 복사하여 시작하기 대화상자에 붙여넣습니다.

   {{{user_0.password | "Password"}}}

   실습 설정 및 액세스 패널에서도 비밀번호를 확인할 수 있습니다.

6. 다음을 클릭합니다.

   중요: 실습에서 제공하는 사용자 인증 정보를 사용해야 합니다. Google Cloud 계정 사용자 인증 정보를 사용하지 마세요. 참고: 이 실습에 자신의 Google Cloud 계정을 사용하면 추가 요금이 발생할 수 있습니다.

7. 이후에 표시되는 페이지를 클릭하여 넘깁니다.

   • 이용약관에 동의하세요.
   • 임시 계정이므로 복구 옵션이나 2단계 인증을 추가하지 마세요.
   • 무료 체험판을 신청하지 마세요.

잠시 후 Google Cloud 콘솔이 이 탭에서 열립니다.

참고: Google Cloud 제품 및 서비스에 액세스하려면 탐색 메뉴를 클릭하거나 검색창에 제품 또는 서비스 이름을 입력합니다.

Cloud Shell 활성화

Cloud Shell은 다양한 개발 도구가 탑재된 가상 머신으로, 5GB의 영구 홈 디렉터리를 제공하며 Google Cloud에서 실행됩니다. Cloud Shell을 사용하면 명령줄을 통해 Google Cloud 리소스에 액세스할 수 있습니다.

1. Google Cloud 콘솔 상단에서 Cloud Shell 활성화 를 클릭합니다.

2. 다음 창을 클릭합니다.

   • Cloud Shell 정보 창을 통해 계속 진행합니다.
   • 사용자 인증 정보를 사용하여 Google Cloud API를 호출할 수 있도록 Cloud Shell을 승인합니다.

연결되면 사용자 인증이 이미 처리된 것이며 프로젝트가 학습자의 PROJECT_ID, (으)로 설정됩니다. 출력에 이 세션의 PROJECT_ID를 선언하는 줄이 포함됩니다.

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud는 Google Cloud의 명령줄 도구입니다. Cloud Shell에 사전 설치되어 있으며 명령줄 자동 완성을 지원합니다.

3. (선택사항) 다음 명령어를 사용하여 활성 계정 이름 목록을 표시할 수 있습니다.

gcloud auth list

4. 승인을 클릭합니다.

출력:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (선택사항) 다음 명령어를 사용하여 프로젝트 ID 목록을 표시할 수 있습니다.

gcloud config list project

출력:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 참고: gcloud 전체 문서는 Google Cloud에서 gcloud CLI 개요 가이드를 참고하세요.

리전 및 영역 설정

특정 Compute Engine 리소스는 리전과 영역에 위치합니다. 리전은 리소스를 실행할 수 있는 특정한 지리적 위치로, 각 리전에는 영역이 하나 이상 있습니다.

1. Cloud Shell에서 다음 gcloud 명령어를 실행하여 실습의 기본 리전을 설정합니다.

gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

2. Cloud Shell에서 다음 gcloud 명령어를 실행하여 실습의 기본 영역을 설정합니다.

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone)

리전 및 영역을 설정할 때 경고가 표시될 수 있지만, 무시해도 됩니다.

3. 프로젝트 ID를 환경 변수로 설정합니다.

export PROJECT_ID=$(gcloud config get-value project)

4. 프로젝트의 네트워크를 나열합니다.

gcloud compute networks list

네트워크에서 기존 VPC 방화벽 규칙 수 확인

1. 콘솔의 탐색 메뉴에서 VPC 네트워크를 선택하고 이 실습에 사용할 수 있는 네트워크를 검토합니다.

2. 각 네트워크를 열고 방화벽 규칙을 기록합니다.

3. 각 VPC 방화벽 규칙과 연결된 우선순위를 기록해 둡니다.

4. 콘솔에서 방화벽 규칙에 있는 태그를 확인할 수 있습니다. VPC 네트워크로 이동한 다음 external-network를 클릭합니다. 방화벽 탭을 클릭한 다음 vpc-firewall-rules를 펼쳐서 방화벽 규칙과 네트워크 태그를 확인합니다. 행 오른쪽의 화살표를 클릭하여 각 행을 펼쳐 확인할 수도 있습니다.

5. Cloud Shell에서 다음 명령어를 실행하여 external-network의 방화벽 규칙을 확인합니다.

gcloud compute firewall-rules list --filter=network:external-network

작업 1. 전역 방화벽 규칙 생성

전역 네트워크 방화벽 정책 규칙은 전역 네트워크 방화벽 정책에서 만들어야 합니다. 규칙이 포함된 정책을 VPC 네트워크와 연결해야 규칙이 활성화됩니다.

각 전역 네트워크 방화벽 정책 규칙에는 IPv4 또는 IPv6 범위 중 하나만 포함될 수 있습니다.

gcloud compute firewall-rules create allow-ssh --direction=INGRESS --action=ALLOW --rules=tcp:22 --source-ranges=10.1.0.0/24,10.2.0.0/24 --description "allow-ssh" --network=external-network --target-tags=ssh gcloud compute firewall-rules create allow-web \ --allow tcp:80,tcp:443 \ --description "allow-web" \ --source-ranges 10.0.0.0/16 \ --network=external-network \ --target-tags=web 참고: Cloud Next Generation Firewall 규칙에는 암시적 인그레스 거부 규칙이 있으므로 허용할 항목을 정의해야 합니다.

4. [선택사항] 본 실습에서는 올바른 권한이 이미 선택되어 있습니다. 콘솔의 탐색 메뉴에서 IAM 및 관리자를 선택합니다. 이 실습에 부여된 권한을 확인할 수 있으며 할당된 역할은 다음과 같습니다.

compute.networkAdmin compute.networkViewer compute.securityAdmin compute.viewer resourcemanager.tagAdmin resourcemanager.tagViewer resourcemanager.tagUser

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 전역 방화벽 규칙 생성

작업 2. 기존 네트워크 태그의 세부정보 저장

다음으로 JSON 파일을 생성하여 기존 네트워크 태그의 세부정보를 저장합니다.

네트워크의 네트워크 태그를 매핑 JSON 파일로 내보내려면 --export-tag-mapping 플래그와 함께 compute firewall-rules migrate 명령어를 사용합니다.

다음을 바꿉니다.

NETWORK_NAME: 마이그레이션하려는 VPC 방화벽 규칙이 포함된 VPC 네트워크의 이름입니다. 이 실습에서는 external-network를 사용합니다.

TAG_MAPPING_FILE: JSON 매핑 파일의 이름을 만듭니다.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --export-tag-mapping \ --tag-mapping-file=TAG_MAPPING_FILE Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'external-network'. Found 0 Network Firewall Policies associated with the VPC Network 'external-network'. Found 1 VPC Firewalls associated with the VPC Network 'external-network'. 8 pattern(s) used to filter VPC Firewalls out: gke-(.+)-ipv6-all gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd)) k8s-fw-(l7-)?(.+) k8s-(.+)-((node)|(http)|(node-http))-hc (.+)-hc k8s2-(.+)-(.+)-(.+)-(.+)(-fw)? k8s2-(.+)-l4-shared-hc-fw gke((gw)|(mcg))1-l7-(.+)-(.+)

작업 3. 보안 태그 생성

매핑 파일에 나열된 네트워크 태그를 기준으로 네트워크에서 해당하는 보안 태그를 만듭니다.

새 보안 태그는 네트워크 태그를 대체하며 마이그레이션 후에도 원래 네트워크 구성을 그대로 유지합니다.

• TAG_KEY는 태그로 지정할 정보의 종류를 정의합니다.
• TAG_VALUE는 할당할 특정 정보를 정의합니다.

이 둘은 함께 키-값 쌍을 구성하여 Google Cloud 리소스를 유연하고 강력하게 관리할 수 있는 방법을 제공합니다.

1. 먼저 TAG_KEY를 만듭니다.

다음을 바꿉니다.

• TAG_KEY: 태그 키의 이름으로, 태그의 카테고리 또는 분류를 정의합니다. 이 실습에서는 vpc-tags를 사용합니다.
• PROJECT_ID: 이 실습을 위해 이미 변수로 정의했습니다.
• NETWORK_NAME: VPC 네트워크의 이름입니다. external-network를 사용합니다.
• TAG_VALUE: TAG_KEY의 특정 속성입니다. 이 실습에서는 ssh, external, web을 사용합니다.

gcloud resource-manager tags keys create TAG_KEY \ --parent projects/$PROJECT_ID \ --purpose GCE_FIREWALL \ --purpose-data network=$PROJECT_ID/NETWORK_NAME

2. 다음으로 방화벽 규칙마다 하나씩, 총 3개의 TAG_VALUES를 만듭니다.

gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY 참고: 보안 태그 키를 만들 때는 --purpose 필드의 값을 GCE_FIREWALL로 설정해야 합니다. 이러한 각 보안 태그에는 단일 대상 VPC 네트워크가 있어야 하며 태그는 해당 VPC 네트워크의 네트워크 인터페이스에만 연결할 수 있습니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 보안 태그 생성

작업 4. 네트워크 태그 및 서비스 계정을 태그에 매핑

VPC 방화벽 규칙에서 사용하는 각 네트워크 태그에 대해 IAM 적용 보안 태그를 만든 후에는 매핑 JSON 파일에서 태그를 상응하는 네트워크 태그에 매핑합니다.

• 네트워크 태그를 상응하는 보안 태그에 매핑하도록 JSON 파일을 수정합니다. 아래에 지정된 형식으로 Cloud Shell 편집기 또는 원하는 편집기를 사용할 수 있습니다.

{ "external": "tagValues/the numeric value for TAG_VALUE", "ssh": "tagValues/the numeric value for TAG_VALUE", "web": "tagValues/the numeric value for TAG_VALUE" }

이전 명령어의 출력 결과에서 TAG_VALUE의 숫자 값을 확인할 수 있습니다.

작업 5. VM에 태그 바인딩

태그 매핑 JSON 파일에 따라 새로 만든 보안 태그를 기존 네트워크 태그가 연결된 VM에 바인딩합니다.

• --bind-tags-to-instances 플래그와 함께 compute firewall-rules migrate 명령어를 사용합니다.

다음을 바꿉니다.

NETWORK_NAME: VPC 네트워크의 이름입니다.

TAG_MAPPING_FILE: 매핑 JSON 파일의 이름입니다.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --bind-tags-to-instances \ --tag-mapping-file=TAG_MAPPING_FILE 참고: --bind-tags-to-instances 플래그는 보안 태그를 실행 중인 VM에만 바인딩합니다. 또한 네트워크의 VM이 인스턴스 템플릿을 사용하여 생성되었거나 VM이 Google Kubernetes Engine(GKE) 클러스터의 일부라면 보안 태그를 수동으로 바인딩해야 합니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. VM에 태그 바인딩

작업 6. VPC 방화벽 규칙을 전역 네트워크 방화벽으로 마이그레이션

• VPC 방화벽 규칙을 전역 네트워크 방화벽 정책으로 마이그레이션하려면 gcloud beta compute firewall-rules migrate 명령어를 사용합니다.

다음을 바꿉니다.

NETWORK_NAME: 마이그레이션하려는 방화벽 규칙이 포함된 VPC 네트워크의 이름입니다. 이를 external-network로 바꿉니다.

POLICY_NAME: 마이그레이션 중에 만들 전역 네트워크 방화벽 정책의 이름입니다.

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --tag-mapping-file=FILE_NAME \ --target-firewall-policy=POLICY_NAME 참고: --exclusion-patterns-file 플래그를 사용하여 특정 방화벽 규칙을 마이그레이션에서 제외할 수 있지만, 이 실습에서는 다루지 않습니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. VPC 방화벽 규칙을 전역 네트워크 방화벽으로 마이그레이션

작업 7. VM 태그 검토

새로 만든 전역 정책을 VPC 네트워크에 연결하기 전에 정책을 검토하여 마이그레이션 프로세스가 정확하게 완료되었는지 확인합니다.

보안 태그가 올바른 VM에 연결되어 있는지 확인하려면 resource-manager tags bindings list 명령어를 사용합니다.

1. 콘솔에서 VPC 네트워크 > 방화벽으로 이동합니다.
2. 아래로 스크롤하여 네트워크 방화벽 정책 섹션으로 이동한 후 정책을 검토합니다.
3. 만든 방화벽 정책의 이름을 클릭합니다.
4. 방화벽 규칙의 행을 열어 대상 태그가 올바른지 확인합니다.

작업 8. 전역 네트워크 방화벽 정책을 네트워크와 연결

마이그레이션 도구는 기존 VPC 방화벽 규칙을 기반으로 전역 네트워크 방화벽 정책을 생성합니다. 이 정책을 필요한 VPC 네트워크와 수동으로 연결하여 해당 네트워크 내의 모든 VM에 대해 정책 규칙을 활성화해야 합니다. 전역 네트워크 방화벽 정책을 연결하려면 compute network-firewall-policies associations create 명령어를 사용합니다.

• 방화벽 정책 세부정보 페이지에서 연결 탭을 클릭합니다.
• 연결 추가 탭을 클릭합니다.
• external-network 옆의 체크박스를 선택한 다음 연결을 클릭합니다.

연결된 후에는 연결된 네트워크에 있는 VM의 정책 규칙이 활성화됩니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 전역 네트워크 방화벽 정책을 네트워크와 연결

작업 9. 정책 및 규칙 평가 순서 변경

기본적으로 Cloud Next Generation Firewall은 전역 네트워크 방화벽 정책을 평가하기 전에 VPC 방화벽 규칙을 평가합니다. 전역 네트워크 방화벽 정책이 VPC 방화벽 규칙보다 우선 적용되도록 하려면 compute networks update 명령어를 사용하여 규칙 평가 순서를 변경합니다.

1. NETWORK_NAME을 VPC 네트워크의 이름으로 바꿉니다.

gcloud compute networks update NETWORK_NAME \ --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

2. 전역 네트워크 방화벽 정책이 VPC 방화벽 규칙보다 먼저 평가되는지 확인하려면 compute networks get-effective-firewalls 명령어를 사용합니다.

gcloud compute networks get-effective-firewalls NETWORK_NAME | grep "TYPE:"

이전 명령어의 출력 결과에서 TYPE: network-firewall-policy가 TYPE: network-firewall보다 먼저 표시되면 전역 네트워크 방화벽 정책이 먼저 평가되는 것입니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 정책 및 규칙 평가 순서 변경

작업 10. 방화벽 규칙 로깅 사용 설정

방화벽 규칙 로깅을 사용하면 방화벽 규칙의 영향을 감사, 확인, 분석할 수 있습니다. 예를 들어 트래픽을 거부하도록 설계된 방화벽 규칙이 의도한 대로 작동하는지 확인할 수 있습니다. 방화벽 규칙 로깅은 특정 방화벽 규칙의 영향을 받는 연결 수를 파악해야 하는 경우에도 유용합니다.

로깅을 사용하면 방화벽 규칙이 의도한 대로 작동하는지 확인할 수 있습니다. 마이그레이션 도구는 새로운 전역 네트워크 방화벽 정책을 만들 때 기존 VPC 방화벽 규칙의 로깅 상태를 유지합니다. 방화벽 정책 규칙의 로깅을 사용 설정하려면 compute network-firewall-policies rules update 명령어를 사용하고, 전역 정책이 기존 VPC 방화벽 규칙보다 우선 적용되도록 우선순위를 추가합니다.

다음을 바꿉니다.

POLICY_NAME: 규칙을 업데이트할 전역 네트워크 방화벽 정책의 이름입니다.

gcloud compute network-firewall-policies rules update 1000 --firewall-policy=POLICY_NAME --enable-logging --global-firewall-policy

방화벽 정책이 네트워크에 연결되었는지 확인하려면 Cloud 콘솔에서 VPC 네트워크로 돌아가서 external-network > 방화벽을 클릭합니다.

참고: 조직에 적용되는 계층적 방화벽 정책이 표시됩니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 방화벽 규칙 로깅 사용 설정

작업 11. 전역 네트워크 방화벽 정책 테스트

적중 횟수를 지속적으로 모니터링하면 트래픽이 점차 새 규칙으로 전환되어, 결국 기존 규칙의 적중 횟수가 0이 되는 것을 확인할 수 있습니다. 이 시점이 되면 이전 규칙을 사용 중지하고, 발생할 수 있는 부정적인 영향을 검증한 다음, 기존 VPC 방화벽 규칙을 삭제할 수 있습니다.

이제 네트워크 수준의 액세스를 테스트합니다. '승인된' 외부 네트워크에 있다면 액세스할 수 있고, 그렇지 않으면 차단됩니다.

전역 방화벽 규칙이 있는 네트워크로 일부 트래픽을 전송합니다. 이를 위해 VPC 네트워크에 있는 VM의 외부 IP 주소를 가져와야 합니다.

1. 탐색 메뉴에서 Compute Engine > VM 인스턴스를 클릭합니다.
2. external-server의 외부 IP를 복사합니다.
3. 외부 IP를 핑하여 일부 트래픽을 전송합니다.

ping -c 20 <Enter a external IP here>

이제 로그 탐색기로 이동하여 결과를 확인합니다.

로그 확인

콘솔에서 로그 탐색기 페이지로 이동합니다.

1. Google Cloud 검색창에서 '로깅'을 검색한 다음 로그 탐색기를 마우스 오른쪽 버튼으로 클릭하여 새 탭을 엽니다.
2. 모든 리소스 > 서브네트워크를 클릭한 다음 적용을 클릭합니다.
3. 결과를 살펴보고 방화벽 이름을 찾습니다. 이름이 VPC 방화벽에서 전역 방화벽 정책으로 변경된 것을 확인할 수 있습니다. 응답은 다음과 유사합니다.

선택사항 - 연결 확인

이 테스트에서는 Network Intelligence Center를 사용합니다.

1. Google Cloud 검색창에서 '연결'을 검색한 다음, 결과에서 연결 테스트를 선택합니다.
2. Network Management API를 사용 설정합니다.
3. 이를 위해 VPC 네트워크에 있는 VM의 외부 IP 주소를 가져와야 합니다. 탐색 메뉴에서 Compute Engine을 마우스 오른쪽 버튼으로 클릭하여 새 창을 연 다음 VM 인스턴스를 클릭합니다.
4. external-server의 외부 IP를 복사합니다.
5. '연결 테스트 만들기' 화면에서 연결 테스트 만들기를 클릭합니다.
6. 테스트 이름 필드에 테스트 이름을 입력합니다.
7. 소스 엔드포인트 드롭다운에서 IP 주소를 선택한 다음 소스 IP 주소 필드에 IP 주소를 붙여넣습니다.
8. IP 주소 유형 목록에서 외부 IP 주소를 선택합니다.
9. VM 인스턴스 탭으로 돌아간 다음 internal-server-1의 외부 IP를 복사합니다.
10. 연결 테스트 만들기 화면의 대상 엔드포인트 드롭다운에서 IP 주소를 선택한 다음 대상 IP 주소 필드에 IP 주소를 붙여넣습니다.
11. 만들기를 클릭합니다.

테스트가 실패한 것을 확인할 수 있습니다. internal-server-1에 대한 TCP 트래픽을 허용하는 방화벽 규칙 정책이 없기 때문입니다.

이제 방향을 바꿔 테스트를 반복합니다. internal-server-1 IP를 소스 IP로 추가하고 external-server를 대상으로 추가합니다.

작업 12. 네트워크에서 VPC 방화벽 규칙 삭제

VPC 방화벽 규칙을 완전히 삭제하기 전에 먼저 사용 중지하는 것이 좋습니다. 마이그레이션 도구로 만든 전역 네트워크 방화벽 정책이 예상한 결과를 제공하지 못하는 경우 해당 규칙으로 되돌릴 수 있습니다. 이 실습에서는 전역 방화벽 정책으로 마이그레이션된 VPC 방화벽 규칙을 바로 삭제합니다.

개별 방화벽 규칙 이름을 사용해야 합니다.

1. VPC 방화벽 규칙을 사용 중지하려면 compute firewall-rules update 명령어를 사용합니다.

RULE_NAME을 사용 중지할 VPC 방화벽 규칙의 이름으로 바꿉니다.

gcloud compute firewall-rules update RULE_NAME --disabled

2. VPC 방화벽 규칙을 삭제하려면 compute firewall-rules delete 명령어를 사용합니다.

gcloud compute firewall-rules delete RULE_NAME

선택사항: 콘솔에서 방화벽 규칙을 삭제합니다.

1. 콘솔로 돌아가서 VPC 네트워크로 이동합니다.
2. external-network를 클릭한 다음 방화벽 탭을 클릭합니다.
3. VPC 방화벽 규칙 섹션에서 두 방화벽 규칙을 선택합니다.
4. 삭제를 클릭합니다.

내 진행 상황 확인하기를 클릭하여 목표를 확인합니다. 네트워크에서 VPC 방화벽 규칙 삭제

수고하셨습니다

지금까지 태그가 포함된 VPC 방화벽 규칙을 전역 방화벽 정책으로 마이그레이션하여 2개의 네트워크에 적용하고 정상적으로 작동하는지 확인한 후, 규칙 삭제를 위한 준비 단계로 기존 방화벽 규칙을 사용 중지하는 방법을 알아보았습니다.

다음 단계

• 기존 VPC 방화벽 규칙을 Cloud NGFW로 마이그레이션하는 방법에 관한 Google Cloud 네트워킹 블로그 게시물을 읽어보세요.
• Cloud Next Generation Firewall 규칙 만들기에 대해 자세히 알아보세요.
• 향후 참조할 수 있도록 VPC 방화벽 규칙 마이그레이션 도구 페이지를 북마크에 추가하세요.
• 전역 네트워크 방화벽 정책과 관련된 IAM 역할 및 태그용 IAM 역할에 관한 다음 문서를 읽어보세요.

Google Cloud 교육 및 자격증

Google Cloud 기술을 최대한 활용하는 데 도움이 됩니다. Google 강의에는 빠른 습득과 지속적인 학습을 지원하는 기술적인 지식과 권장사항이 포함되어 있습니다. 기초에서 고급까지 수준별 학습을 제공하며 바쁜 일정에 알맞은 주문형, 실시간, 가상 옵션이 포함되어 있습니다. 인증은 Google Cloud 기술에 대한 역량과 전문성을 검증하고 입증하는 데 도움이 됩니다.

설명서 최종 업데이트: 2026년 6월 23일

실습 최종 테스트: 2026년 6월 23일

Copyright 2026 Google LLC. All rights reserved. Google 및 Google 로고는 Google LLC의 상표입니다. 기타 모든 회사명 및 제품명은 해당 업체의 상표일 수 있습니다.