GSP609

概览

Cloud Next Generation Firewall (Cloud NGFW) 是一款完全分布式的防火墙服务，具有高级保护功能、微细分和广泛的覆盖范围，可保护您的 Google Cloud 工作负载免遭内部和外部攻击。

全球网络防火墙政策将充当防火墙规则的容器。在全球网络防火墙政策与 VPC 网络关联之前，系统不会在任何地方强制执行该政策中定义的规则。每个 VPC 网络可以关联一个网络防火墙政策。全球网络防火墙政策支持在防火墙规则中使用 IAM 治理的标记（或简称“安全标记”）。这些安全标记取代了当前的网络标记，可用于为工作负载提供身份。

通过跨网络共享全球网络防火墙政策，并集成 IAM 治理的标记，这款服务大大简化了防火墙的配置和管理。VPC 防火墙规则与全球网络防火墙政策之间的一大区别是：VPC 防火墙规则只能应用于单个 VPC 网络；而网络防火墙政策可以附加到单个 VPC 或一组 VPC，而且还具有支持批量更新等诸多优势。

默认情况下，强制执行顺序如下图所示：

VPC 防火墙规则与全球网络防火墙政策之间的强制执行顺序可以互换。您可以随时使用 compute networks update gcloud 命令指定强制执行顺序。

IAM 治理的标记

这种新型的防火墙标记集成在网络防火墙政策规则中，是在 Google Cloud 资源层次结构的组织级层定义的键值对资源。顾名思义，此类标记包含 IAM 访问权限控制，用于指定谁可以对其执行何种操作。例如，通过 IAM 权限，您可以指定哪些主体可为此类标记分配值，以及哪些主体可将此类标记附加到资源。将 IAM 治理的标记应用于资源后，网络防火墙规则可以使用该标记来允许和拒绝流量。

此类标记遵循 Google Cloud 的继承资源模型，这意味着这些标记及其值会沿着资源层次结构从父级向下传递。因此，IAM 治理的标记可以在一个位置创建，然后供整个资源层次结构中的不同文件夹和项目使用。如需详细了解此类标记和访问权限限制，请访问标记和条件式访问权限。

IAM 治理的标记与网络标记不同。网络标记是字符串，而不是键值。VPC 防火墙规则可能包含网络标记，但由于网络标记不被视为云资源，因此不受 IAM 访问权限控制的约束。

前提条件

虽然并非必需，但要了解如何创建网络并应用防火墙规则，建议先完成创建自定义网络并应用防火墙规则实验。本实验假定您已了解这些概念。

学习内容

• 确定 Google Cloud 项目中现有的 VPC 防火墙规则
• 将 VPC 防火墙规则迁移到全球网络防火墙政策
• 通过检查日志来测试并验证迁移是否成功

设置和要求

点击“开始实验”按钮前的注意事项

请阅读以下说明。实验是计时的，并且您无法暂停实验。计时器在您点击开始实验后即开始计时，显示 Google Cloud 资源可供您使用多长时间。

此实操实验可让您在真实的云环境中开展实验活动，免受模拟或演示环境的局限。为此，我们会向您提供新的临时凭据，您可以在该实验的规定时间内通过此凭据登录和访问 Google Cloud。

为完成此实验，您需要：

• 能够使用标准的互联网浏览器（建议使用 Chrome 浏览器）。

注意：请使用无痕模式（推荐）或无痕浏览器窗口运行此实验。这可以避免您的个人账号与学生账号之间发生冲突，这种冲突可能导致您的个人账号产生额外费用。

• 完成实验的时间 - 请注意，实验开始后无法暂停。

注意：请仅使用学生账号完成本实验。如果您使用其他 Google Cloud 账号，则可能会向该账号收取费用。

如何开始实验并登录 Google Cloud 控制台

1. 点击开始实验按钮。如果该实验需要付费，系统会打开一个对话框供您选择支付方式。右侧是实验设置和访问权限面板，其中包含以下内容：

   • 打开 Google Cloud 控制台按钮
   • 您在本实验中必须使用的临时凭证（用户名和密码）
   • 帮助您逐步完成该实验所需的其他信息（如果需要）

   请注意，实验计时器位于页面顶部附近，将显示剩余时间。

2. 点击打开 Google Cloud 控制台（如果您使用的是 Chrome 浏览器，请右键点击并选择在无痕式窗口中打开链接）。

   该实验会启动资源并打开另一个标签页，显示“登录”页面。

   提示：可以将这些标签页分别放在不同的窗口中，并排显示。

   注意：如果您看见选择账号对话框，请点击使用其他账号。

3. 如有必要，请复制下方的用户名，然后将其粘贴到登录对话框中。

   {{{user_0.username | "<用户名>"}}}

   您也可以在实验设置和访问权限面板中找到“用户名”。

4. 点击下一步。

5. 复制下面的密码，然后将其粘贴到欢迎对话框中。

   {{{user_0.password | "<密码>"}}}

   您也可以在实验设置和访问权限面板中找到“密码”。

6. 点击下一步。

   重要提示：您必须使用实验提供的凭证。请勿使用您的 Google Cloud 账号凭证。 注意：在本实验中使用您自己的 Google Cloud 账号可能会产生额外费用。

7. 依次点击进入后续页面：

   • 接受条款及条件。
   • 由于这是临时账号，请勿添加账号恢复选项或双重身份验证。
   • 请勿注册免费试用。

片刻之后，系统会在此标签页中打开 Google Cloud 控制台。

注意：如需访问 Google Cloud 产品和服务，请点击导航菜单，或在搜索字段中输入服务或产品的名称。

激活 Cloud Shell

Cloud Shell 是一种装有开发者工具的虚拟机。它提供了一个永久性的 5GB 主目录，并且在 Google Cloud 上运行。Cloud Shell 提供可用于访问您的 Google Cloud 资源的命令行工具。

1. 点击 Google Cloud 控制台顶部的激活 Cloud Shell 。

2. 在弹出的窗口中执行以下操作：

   • 继续完成 Cloud Shell 信息窗口中的设置。
   • 授权 Cloud Shell 使用您的凭据进行 Google Cloud API 调用。

如果您连接成功，即表示您已通过身份验证，且项目 ID 会被设为您的 Project_ID 。输出内容中有一行说明了此会话的 Project_ID：

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud 是 Google Cloud 的命令行工具。它已预先安装在 Cloud Shell 上，且支持 Tab 自动补全功能。

3. （可选）您可以通过此命令列出活跃账号名称：

gcloud auth list

4. 点击授权。

输出：

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. （可选）您可以通过此命令列出项目 ID：

gcloud config list project

输出：

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注意：如需查看在 Google Cloud 中使用 gcloud 的完整文档，请参阅 gcloud CLI 概览指南。

设置区域和可用区

某些 Compute Engine 资源位于相应区域和可用区内。区域是指某个地理位置，您可以在其中运行自己的资源。每个区域包含一个或多个可用区。

1. 在 Cloud Shell 中运行以下 gcloud 命令，设置实验的默认区域：

gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

2. 在 Cloud Shell 中运行以下 gcloud 命令，设置实验的默认可用区：

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone)

设置区域和可用区时，您可能会收到警告。您可以忽略此问题。

3. 将项目 ID 设置为环境变量：

export PROJECT_ID=$(gcloud config get-value project)

4. 列出项目中包含的网络：

gcloud compute networks list

确定网络中现有 VPC 防火墙规则的数量

1. 在控制台的导航菜单中，选择 VPC 网络，查看本实验中可用的网络。

2. 逐一打开各个网络并留意防火墙规则。

3. 记下与每个 VPC 防火墙规则关联的优先级。

4. 您将能够在控制台中看到防火墙规则使用的标记。前往 VPC 网络，然后点击 external-network。点击防火墙标签页，然后展开 vpc-firewall-rules，查看防火墙规则及其网络标记。您可能需要点击各行右侧的箭头来展开各行。

5. 在 Cloud Shell 中，运行以下命令以查看 external-network 的防火墙规则：

gcloud compute firewall-rules list --filter=network:external-network

任务 1. 创建全球防火墙规则

全球网络防火墙政策规则必须在全球网络防火墙政策中创建。在将包含这些规则的政策与 VPC 网络关联之前，这些规则处于无效状态。

每条全球网络防火墙政策规则都可以包含 IPv4 或 IPv6 范围，但不能同时包含这两者。

gcloud compute firewall-rules create allow-ssh --direction=INGRESS --action=ALLOW --rules=tcp:22 --source-ranges=10.1.0.0/24,10.2.0.0/24 --description "allow-ssh" --network=external-network --target-tags=ssh gcloud compute firewall-rules create allow-web \ --allow tcp:80,tcp:443 \ --description "allow-web" \ --source-ranges 10.0.0.0/16 \ --network=external-network \ --target-tags=web 注意：Cloud Next Generation Firewall 规则具有隐含拒绝入站流量规则，因此您需要定义允许的流量。

4. [可选] 本实验已为您选择了正确的权限。在控制台的导航菜单中，选择 IAM 和管理。您将看到本实验为您授予的各项权限。您将拥有以下角色：

compute.networkAdmin compute.networkViewer compute.securityAdmin compute.viewer resourcemanager.tagAdmin resourcemanager.tagViewer resourcemanager.tagUser

点击“检查我的进度”以验证是否完成了以下目标： 创建全球防火墙规则。

任务 2. 保存现有网络标记的详细信息

接下来，您将创建一个 JSON 文件来保存现有网络标记的详细信息。

如需将您网络中的网络标记导出到 JSON 映射文件，请结合使用 compute firewall-rules migrate 命令与 --export-tag-mapping 标志。

以下是需要替换的内容：

NETWORK_NAME：相应 VPC 网络的名称，该网络包含您要迁移的 VPC 防火墙规则。在本实验中，请使用 external-network。

TAG_MAPPING_FILE：请为该 JSON 映射文件提供一个名称。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --export-tag-mapping \ --tag-mapping-file=TAG_MAPPING_FILE Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'external-network'. Found 0 Network Firewall Policies associated with the VPC Network 'external-network'. Found 1 VPC Firewalls associated with the VPC Network 'external-network'. 8 pattern(s) used to filter VPC Firewalls out: gke-(.+)-ipv6-all gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd)) k8s-fw-(l7-)?(.+) k8s-(.+)-((node)|(http)|(node-http))-hc (.+)-hc k8s2-(.+)-(.+)-(.+)-(.+)(-fw)? k8s2-(.+)-l4-shared-hc-fw gke((gw)|(mcg))1-l7-(.+)-(.+)

任务 3. 创建安全标记

请根据映射文件中列出的网络标记，在您的网络中创建相应的安全标记。

新的安全标记旨在替代这些网络标记，并在迁移后保留原始网络配置。

• TAG_KEY 定义的是您要标记的信息种类。
• TAG_VALUE 定义的是您要分配的具体信息。

它们共同构成一个键值对，让您可以通过一种灵活而强大的方式来管理 Google Cloud 资源。

1. 首先，创建 TAG_KEY：

以下是需要替换的内容：

• TAG_KEY：安全标记键的名称；它定义的是安全标记的类别或分类。在本实验中，请使用 vpc-tags。
• PROJECT_ID：您已将其定义为本实验的变量。
• NETWORK_NAME：您的 VPC 网络的名称。请使用 external-network。
• TAG_VALUE：TAG_KEY 的具体属性。在本实验中，请使用 ssh、external 和 web。

gcloud resource-manager tags keys create TAG_KEY \ --parent projects/$PROJECT_ID \ --purpose GCE_FIREWALL \ --purpose-data network=$PROJECT_ID/NETWORK_NAME

2. 接下来，创建 3 个 TAG_VALUE（每个防火墙规则对应一个）：

gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY 注意：创建安全标记键时，--purpose 字段的值必须设置为 GCE_FIREWALL。这些安全标记中的每一个都必须具有单一的目标 VPC 网络，并且只能与该 VPC 网络中的网络接口相关联。

点击“检查我的进度”以验证是否完成了以下目标： 创建安全标记。

任务 4. 将网络标记和服务账号映射到安全标记

为 VPC 防火墙规则使用的每个网络标记创建 IAM 治理的安全标记后，请将这些安全标记映射到 JSON 映射文件中相应的网络标记。

• 修改 JSON 文件，将网络标记映射到相应的安全标记。您可以使用 Cloud Shell 编辑器或您选择的编辑器，按照下方指定的格式进行映射。

{ "external": "tagValues/the numeric value for TAG_VALUE", "ssh": "tagValues/the numeric value for TAG_VALUE", "web": "tagValues/the numeric value for TAG_VALUE" }

上述命令的输出将为您提供 TAG_VALUE 的数值。

任务 5. 将安全标记绑定到虚拟机

请根据 JSON 标记映射文件，将新创建的安全标记绑定到现有网络标记所附加到的虚拟机：

• 结合使用 compute firewall-rules migrate 命令与 --bind-tags-to-instances 标志。

以下是需要替换的内容：

NETWORK_NAME：您的 VPC 网络的名称。

TAG_MAPPING_FILE：JSON 映射文件的名称。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --bind-tags-to-instances \ --tag-mapping-file=TAG_MAPPING_FILE 注意：--bind-tags-to-instances 标志仅会将安全标记绑定到正在运行的虚拟机。此外，如果网络中的虚拟机是使用实例模板创建的，或者这些虚拟机属于 Google Kubernetes Engine (GKE) 集群，则您必须手动绑定安全标记。

点击“检查我的进度”以验证是否完成了以下目标： 将安全标记绑定到虚拟机。

任务 6. 将 VPC 防火墙规则迁移到全球网络防火墙

• 将 VPC 防火墙规则迁移到全球网络防火墙政策 - 使用 gcloud beta compute firewall-rules migrate 命令。

以下是需要替换的内容：

NETWORK_NAME：相应 VPC 网络的名称，该网络包含您要迁移的防火墙规则。请将其替换为 external-network。

POLICY_NAME：要在迁移期间创建的全球网络防火墙政策的名称。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --tag-mapping-file=FILE_NAME \ --target-firewall-policy=POLICY_NAME 注意：如需将特定防火墙规则排除在迁移范围之外，请使用 --exclusion-patterns-file 标志，但本实验不涉及此操作。

点击“检查我的进度”以验证是否完成了以下目标： 将 VPC 防火墙规则迁移到全球网络防火墙。

任务 7. 查看虚拟机的安全标记

在将新创建的全球政策关联到 VPC 网络之前，请查看该政策，以确保迁移过程已准确完成。

您需要验证安全标记是否已附加到正确的虚拟机。请使用 resource-manager tags bindings list 命令。

1. 在控制台中，前往 VPC 网络 > 防火墙。
2. 向下滚动到底部的“网络防火墙政策”部分，查看相应政策。
3. 点击您创建的防火墙政策的名称。
4. 打开相应防火墙规则所在的行以查看“目标标记”部分 - 确认显示的安全标记均正确无误。

任务 8. 将全球网络防火墙政策与您的网络相关联

迁移工具会根据现有的 VPC 防火墙规则创建全球网络防火墙政策。您必须手动将该政策与所需的 VPC 网络相关联，才能为该网络中的所有虚拟机激活政策规则。如需关联全球网络防火墙政策，请使用 compute network-firewall-policies associations create 命令。

• 在“防火墙政策”详情页面上，点击关联标签页。
• 点击添加关联标签页。
• 勾选 external-network 旁边的复选框，然后点击关联。

完成关联后，该政策中的规则将对关联网络中的虚拟机有效。

点击“检查我的进度”以验证是否完成了以下目标： 将全球网络防火墙政策与您的网络相关联。

任务 9. 更改政策和规则评估顺序

默认情况下，Cloud Next Generation Firewall 会先评估 VPC 防火墙规则，然后再评估全球网络防火墙政策。如需确保全球网络防火墙政策优先于 VPC 防火墙规则，请使用 compute networks update 命令更改规则评估顺序。

1. 将 NETWORK_NAME 替换为您的 VPC 网络的名称。

gcloud compute networks update NETWORK_NAME \ --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

2. 如需验证全球网络防火墙政策是否在 VPC 防火墙规则之前进行评估，请使用 compute networks get-effective-firewalls 命令。

gcloud compute networks get-effective-firewalls NETWORK_NAME | grep "TYPE:"

在上述命令的输出中，如果 TYPE: network-firewall-policy 显示在 TYPE: network-firewall 之前，则系统会先评估全球网络防火墙政策。

点击“检查我的进度”以验证是否完成了以下目标： 更改政策和规则评估顺序。

任务 10. 启用防火墙规则日志记录功能

通过防火墙规则日志记录功能，您可以审核、验证和分析防火墙规则的实际效果。例如，您可以确定用于拒绝流量的防火墙规则是否如期发挥作用。如果您需要确定特定防火墙规则影响的连接数，防火墙规则日志记录功能也非常有用。

日志记录功能可帮助您确定防火墙规则是否如期发挥作用。在创建新的全球网络防火墙政策时，迁移工具会保留现有 VPC 防火墙规则的日志记录状态。如需为防火墙政策规则启用日志记录功能，请使用 compute network-firewall-policies rules update 命令，并添加优先级顺序，以确保全球政策优先于旧式 VPC 防火墙规则。

以下是需要替换的内容：

POLICY_NAME：您要进行规则更新的全球网络防火墙政策的名称。

gcloud compute network-firewall-policies rules update 1000 --firewall-policy=POLICY_NAME --enable-logging --global-firewall-policy

如需验证防火墙政策是否已附加到相应网络，请返回 Cloud 控制台中的 VPC 网络，然后点击 external-network > 防火墙。

注意：您将看到适用于组织的分层防火墙政策。

点击“检查我的进度”以验证是否完成了以下目标： 启用防火墙规则日志记录功能。

任务 11. 测试全球网络防火墙政策

通过持续监控命中次数，可以发现命中次数逐渐向新规则转移，而旧规则的命中次数将最终降为零。此时，您应该能够停用旧规则，验证可能产生的负面影响，然后删除已过时的旧式 VPC 防火墙规则。

现在，请测试网络级访问权限！如果您处于“已获批准”的外部网络中，则表示可以正常访问。如果不是，则表示访问被阻止。

请向具有全球防火墙规则的网络发送一些流量。您需要获取 VPC 网络中的虚拟机的外部 IP 地址。

1. 在导航菜单中，点击 Compute Engine > 虚拟机实例。
2. 复制 external-server 的外部 IP。
3. 通过 ping 该外部 IP 发送一些流量：

ping -c 20 <Enter a external IP here>

接下来，前往 Logs Explorer 查看结果。

查看日志

在控制台中，前往 Logs Explorer 页面。

1. 在 Google Cloud 搜索栏中，搜索“日志记录”，然后右键点击 Logs Explorer 以在新标签页中打开该页面。
2. 点击所有资源 > 子网，然后点击应用。
3. 浏览结果并查找防火墙的名称。您会注意到，名称将从 VPC 防火墙更改为全球防火墙政策。结果应如下所示：

可选 - 检查连接情况

在此测试中，您将使用 Network Intelligence Center。

1. 在 Google Cloud 搜索栏中，搜索“连接”，然后从结果中选择连接测试。
2. 启用 Network Management API。
3. 您需要获取 VPC 网络中的虚拟机的外部 IP 地址。在导航菜单中，右键点击 Compute Engine 以打开新窗口，然后点击虚拟机实例。
4. 复制 external-server 的外部 IP。
5. 在“创建连接测试”界面上，点击创建连接测试。
6. 在测试名称字段中，为该测试输入一个名称。
7. 在来源端点下拉菜单中，选择 IP 地址，然后将上述 IP 地址粘贴到来源 IP 地址字段中。
8. 在IP 地址类型列表中，选择外部 IP 地址。
9. 返回虚拟机实例标签页，然后复制 internal-server-1 的外部 IP。
10. 在创建连接测试界面上，从目标端点下拉菜单中选择 IP 地址，然后将上述 IP 地址粘贴到目标 IP 地址字段中。
11. 点击创建。

您会看到测试失败，因为没有防火墙规则政策允许 TCP 流量流向 internal-server-1。

接下来，请重复该测试，但这次要调换发送方向：将 internal-server-1 IP 添加为来源 IP，并将 external-server 添加为目标。

任务 12. 从网络中删除 VPC 防火墙规则

在完全删除 VPC 防火墙规则之前，建议您先将其停用。这样，如果迁移工具创建的全球网络防火墙政策未能提供预期结果，您还可以恢复使用这些规则。在本实验中，既然 VPC 防火墙规则已迁移到全球防火墙政策，请直接移除这些规则。

请务必使用各个防火墙规则的名称。

1. 如需停用某个 VPC 防火墙规则，请使用 compute firewall-rules update 命令。

将 RULE_NAME 替换为要停用的 VPC 防火墙规则的名称。

gcloud compute firewall-rules update RULE_NAME --disabled

2. 如需删除某个 VPC 防火墙规则，请使用 compute firewall-rules delete 命令。

gcloud compute firewall-rules delete RULE_NAME

可选：在控制台中删除防火墙规则。

1. 返回控制台并前往 VPC 网络。
2. 点击 external-network，然后点击防火墙标签页。
3. 在 VPC 防火墙规则部分，选择两条防火墙规则。
4. 点击删除。

点击“检查我的进度”以验证是否完成了以下目标： 从网络中删除 VPC 防火墙规则。

恭喜

您已了解如何将带有标记的 VPC 防火墙规则迁移到全球防火墙政策，并将该政策应用于 2 个网络并验证其是否正常运行。然后，您停用了旧式防火墙规则，从而为删除这些规则做准备。

后续步骤

• 阅读 Google Cloud Networking 博文，了解如何将旧式 VPC 防火墙规则迁移到 Cloud NGFW。
• 详细了解如何创建新一代防火墙规则。
• 为包含 VPC 防火墙规则迁移工具部分的页面添加书签，以便日后参考！
• 阅读相应文章，了解与全球网络防火墙政策相关的 IAM 角色和针对标记的 IAM 角色。

Google Cloud 培训和认证

…可帮助您充分利用 Google Cloud 技术。我们的课程会讲解各项技能与最佳实践，可帮助您迅速上手使用并继续学习更深入的知识。我们提供从基础到高级的全方位培训，并有点播、直播和虚拟三种方式选择，让您可以按照自己的日程安排学习时间。各项认证可以帮助您核实并证明您在 Google Cloud 技术方面的技能与专业知识。

本手册的最后更新时间：2026 年 6 月 23 日

本实验的最后测试时间：2026 年 6 月 23 日

版权所有 2026 Google LLC 保留所有权利。Google 和 Google 徽标是 Google LLC 的商标。其他所有公司名和产品名可能是其各自相关公司的商标。