GSP609

總覽

Cloud Next Generation Firewall (Cloud NGFW) 是完全分散式防火牆服務，提供進階保護和微區隔功能，而且涵蓋範圍相當廣，可保護 Google Cloud 工作負載不受內外部攻擊。

全域網路防火牆政策是防火牆規則的容器，當中定義的規則，必須在政策與虛擬私有雲 (VPC) 網路建立關聯後，才會在該網路中強制執行。每個 VPC 網路只能連結一項網路防火牆政策。全域網路防火牆政策的防火牆規則支援 IAM 控管的標記 (簡稱標記)，可取代現有網路標記，並為工作負載提供身分。

跨網路共用全域網路防火牆政策，並整合 IAM 控管的標記，可大幅簡化防火牆的設定和管理作業。VPC 防火牆規則與全域網路防火牆政策的主要差異，在於前者只能套用至單一 VPC 網路，後者則可附加至單一或一組 VPC 網路，且具備批次更新等其他優點。

根據預設，強制執行順序如下圖所示：

VPC 防火牆規則和全域網路防火牆政策的強制執行順序可以互換。您隨時都能使用 compute networks update gcloud 指令指定強制執行順序。

標記

新的防火牆標記已整合至網路防火牆政策規則，是 Google Cloud 資源階層中組織層級定義的鍵/值組合資源。顧名思義，這類標記包含 IAM 存取控管機制，可指定哪些人能對標記執行何種操作。舉例來說，IAM 權限可讓您指定哪些主體能將值指派給標記，以及哪些主體能將標記附加至資源。將標記套用至資源後，網路防火牆規則即可使用該標記允許及拒絕流量。

標記依循 Google Cloud 的繼承資源模型，也就是標記及其值會從上層向下傳遞至整個階層。因此，標記可以在一處建立，然後由資源階層中的其他資料夾和專案使用。如要進一步瞭解標記和存取權限制，請參閱「標記和條件式存取權」一文。

標記不同於網路標記。網路標記是字串，而非鍵/值組合。VPC 防火牆規則可能包含網路標記，但這類標記不屬於雲端資源，因此不受 IAM 存取權控管。

事前準備

雖然沒有強制規定，但建議您先完成建立自訂網路並套用防火牆規則實驗室，瞭解相關知識。本實驗室假設您已具備這些概念。

學習內容

• 找出 Google Cloud 專案中現有的 VPC 防火牆規則
• 將 VPC 防火牆規則遷移至全域網路防火牆政策
• 查看記錄，測試並確認遷移作業是否成功

設定和需求

瞭解以下事項後，再點選「Start Lab」按鈕

請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。

您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。

為了順利完成這個實驗室，請先確認：

• 可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。

注意事項：請使用無痕模式 (建議選項) 或私密瀏覽視窗執行此實驗室，這可以防止個人帳戶和學員帳戶之間的衝突，避免個人帳戶產生額外費用。

• 是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。

注意事項：務必使用實驗室專用的學員帳戶。如果使用其他 Google Cloud 帳戶，可能會產生額外費用。

如何開始實驗室及登入 Google Cloud 控制台

1. 按一下「Start Lab」按鈕。如果實驗室會產生費用，請在開啟的對話方塊中選取付款方式。右側的「Lab setup and access」面板會顯示下列項目：

   • 「Open Google Cloud console」按鈕
   • 此實驗室所需的臨時憑證 (使用者名稱和密碼)
   • 完成此實驗室所需的其他資訊 (如有)

   請注意，實驗室計時器位於頁面頂端附近，會顯示剩餘時間。

2. 按一下「Open Google Cloud console」。如果使用 Chrome 瀏覽器，也可以按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。

   接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。

   提示：您可以在不同的視窗並排開啟分頁。

   注意：頁面顯示「選擇帳戶」對話方塊時，請點選「使用其他帳戶」。

3. 如有必要，請將下方的 Username 貼到「登入」對話方塊。

   {{{user_0.username | "Username"}}}

   您也可以在「Lab setup and access」面板找到「Username」。

4. 點選「下一步」。

5. 複製下方的 Password，並貼到「歡迎使用」對話方塊。

   {{{user_0.password | "Password"}}}

   您也可以在「Lab setup and access」面板找到「Password」。

6. 點選「下一步」。

   重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。 注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。

7. 繼續點按後續頁面：

   • 接受條款及細則。
   • 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
   • 請勿申請免費試用。

Google Cloud 控制台稍後會在這個分頁開啟。

注意：如要使用 Google Cloud 產品和服務，請按一下「導覽選單」，或在「搜尋」欄位輸入服務或產品名稱。

啟動 Cloud Shell

Cloud Shell 是搭載多項開發工具的虛擬機器，提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作。Cloud Shell 提供指令列存取權，方便您使用 Google Cloud 資源。

1. 點按 Google Cloud 控制台頂端的「啟用 Cloud Shell」圖示 。

2. 系統顯示視窗時，請按照下列步驟操作：

   • 繼續操作 Cloud Shell 視窗。
   • 授權 Cloud Shell 使用您的憑證發出 Google Cloud API 呼叫。

連線建立完成即代表已通過驗證，而且專案已設為您的 Project_ID：。輸出內容中有一行文字，宣告本工作階段的 Project_ID：

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud 是 Google Cloud 的指令列工具，已預先安裝於 Cloud Shell，並支援 Tab 鍵自動完成功能。

3. (選用) 您可以執行下列指令來列出使用中的帳戶：

gcloud auth list

4. 點按「授權」。

輸出內容：

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (選用) 您可以使用下列指令來列出專案 ID：

gcloud config list project

輸出內容：

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注意：如需 gcloud 的完整說明，請前往 Google Cloud 參閱 gcloud CLI 總覽指南。

設定區域和可用區

部分 Compute Engine 資源位於區域和可用區。「區域」是指能執行資源的特定地理位置，每個區域包含一或多個「可用區」。

1. 在 Cloud Shell 執行下列 gcloud 指令，設定實驗室的預設區域：

gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

2. 在 Cloud Shell 執行下列 gcloud 指令，設定實驗室的預設可用區：

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone)

設定區域和可用區時，系統可能會顯示警告，您可以直接忽略。

3. 將專案 ID 設為環境變數：

export PROJECT_ID=$(gcloud config get-value project)

4. 列出專案中的網路：

gcloud compute networks list

找出網路中現有的 VPC 防火牆規則數量

1. 在控制台的「導覽選單」，選取「虛擬私有雲網路」，然後查看此實驗室可用的網路。

2. 開啟各個網路並留意防火牆規則。

3. 記下與每個 VPC 防火牆規則對應的優先順序。

4. 您可以在控制台查看防火牆規則的標記。前往「虛擬私有雲網路」，然後點選「external-network」。點選「防火牆」分頁標籤，然後展開「vpc-firewall-rules」，即可查看防火牆規則及網路標記。您可能需要點選各列右側的箭頭來展開內容。

5. 在 Cloud Shell 執行下列指令，查看 external-network 的防火牆規則：

gcloud compute firewall-rules list --filter=network:external-network

工作 1：建立全域防火牆規則

全域網路防火牆規則必須在全域網路防火牆政策中建立。您必須將包含這些規則的政策與 VPC 網路建立關聯，規則才會生效。

每項全域網路防火牆規則可包含 IPv4 或 IPv6 範圍，但不能同時包含兩者。

gcloud compute firewall-rules create allow-ssh --direction=INGRESS --action=ALLOW --rules=tcp:22 --source-ranges=10.1.0.0/24,10.2.0.0/24 --description "allow-ssh" --network=external-network --target-tags=ssh gcloud compute firewall-rules create allow-web \ --allow tcp:80,tcp:443 \ --description "allow-web" \ --source-ranges 10.0.0.0/16 \ --network=external-network \ --target-tags=web 注意：Cloud Next Generation Firewall 規則有隱含拒絕輸入規則，因此您需要定義允許的內容。

4. [選擇性] 在本實驗室，系統會預先選取正確的權限。在控制台的「導覽選單」，選取「IAM 與管理」。您會看到本實驗室授予的權限，並將擁有下列角色：

compute.networkAdmin compute.networkViewer compute.securityAdmin compute.viewer resourcemanager.tagAdmin resourcemanager.tagViewer resourcemanager.tagUser

點選「Check my progress」，確認目標已達成。 建立全域防火牆規則。

工作 2：儲存現有網路標記的詳細資料

接著您將建立 JSON 檔案，用來儲存現有網路標記的詳細資料。

為了將網路中的網路標記匯出至 JSON 對應檔，請使用 compute firewall-rules migrate 指令，並加上 --export-tag-mapping 旗標。

替換下列內容：

NETWORK_NAME：VPC 網路名稱，包含您要遷移的防火牆規則。在本實驗室，請使用 external-network。

TAG_MAPPING_FILE：為 JSON 對應檔命名。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --export-tag-mapping \ --tag-mapping-file=TAG_MAPPING_FILE Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'external-network'. Found 0 Network Firewall Policies associated with the VPC Network 'external-network'. Found 1 VPC Firewalls associated with the VPC Network 'external-network'. 8 pattern(s) used to filter VPC Firewalls out: gke-(.+)-ipv6-all gke-(.+)-(.+)-((master)|(vms)|(all)|(inkubelet)|(exkubelet)|(mcsd)) k8s-fw-(l7-)?(.+) k8s-(.+)-((node)|(http)|(node-http))-hc (.+)-hc k8s2-(.+)-(.+)-(.+)-(.+)(-fw)? k8s2-(.+)-l4-shared-hc-fw gke((gw)|(mcg))1-l7-(.+)-(.+)

工作 3：建立安全標記

根據對應檔中列出的網路標記，在網路中建立相應的安全標記。

新的安全標記可取代網路標記，並在遷移後保留原始網路設定。

• TAG_KEY 定義您要標記的資訊類型。
• TAG_VALUE 定義您要指派的特定資訊。

兩者構成鍵/值組合，提供彈性且強大的 Google Cloud 資源管理方式。

1. 首先，建立 TAG_KEY：

替換下列內容：

• TAG_KEY：標記鍵名稱，用於定義標記的類別或分類。在本實驗室，請使用 vpc-tags。
• PROJECT_ID：您已將這個值定義為本實驗室的變數。
• NETWORK_NAME：VPC 網路名稱。請使用 external-network。
• TAG_VALUE：TAG_KEY 的特定屬性。在本實驗室，請使用 ssh、external 和 web。

gcloud resource-manager tags keys create TAG_KEY \ --parent projects/$PROJECT_ID \ --purpose GCE_FIREWALL \ --purpose-data network=$PROJECT_ID/NETWORK_NAME

2. 接著建立 3 個 TAG_VALUES，每項防火牆規則各一個：

gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY gcloud resource-manager tags values create TAG_VALUE \ --parent=$PROJECT_ID/TAG_KEY 注意：建立安全標記鍵時，--purpose 欄位值必須設為 GCE_FIREWALL。每個安全標記都必須有一個目標 VPC 網路，且標記只能與該 VPC 網路中的網路介面相關聯。

點選「Check my progress」，確認目標已達成。 建立安全標記。

工作 4：將網路標記和服務帳戶對應至標記

為 VPC 防火牆規則使用的各個網路標記建立受 IAM 控管的安全標記後，請在 JSON 對應檔中建立兩者的關聯。

• 編輯 JSON 檔案，將網路標記對應至相應的安全標記。您可以按照下列格式，使用 Cloud Shell 編輯器或您慣用的編輯器。

{ "external": "tagValues/the numeric value for TAG_VALUE", "ssh": "tagValues/the numeric value for TAG_VALUE", "web": "tagValues/the numeric value for TAG_VALUE" }

前一個指令的輸出內容會提供 TAG_VALUE 的數值。

工作 5：將標記繫結至 VM

根據標記 JSON 對應檔，將新建立的安全標記繫結至已附加現有網路標記的 VM：

• 使用 compute firewall-rules migrate 指令，並加上 --bind-tags-to-instances 旗標。

替換下列內容：

NETWORK_NAME：VPC 網路名稱。

TAG_MAPPING_FILE：JSON 對應檔案名稱。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --bind-tags-to-instances \ --tag-mapping-file=TAG_MAPPING_FILE 注意：--bind-tags-to-instances 旗標只會將安全標記繫結至執行中的 VM。此外，如果網路中的 VM 是使用執行個體範本建立，或屬於 Google Kubernetes Engine (GKE) 叢集，則須手動繫結安全標記。

點選「Check my progress」，確認目標已達成。 將標記繫結至 VM。

工作 6：將 VPC 防火牆規則遷移至全域網路防火牆政策

• 將 VPC 防火牆規則遷移至全域網路防火牆政策：使用 gcloud beta compute firewall-rules migrate 指令。

替換下列內容：

NETWORK_NAME：VPC 網路名稱，包含您要遷移的防火牆規則。請將這個值換成 external-network。

POLICY_NAME：遷移期間要建立的全域網路防火牆政策名稱。

gcloud beta compute firewall-rules migrate \ --source-network=NETWORK_NAME \ --tag-mapping-file=FILE_NAME \ --target-firewall-policy=POLICY_NAME 注意：如要排除特定防火牆規則，請使用 --exclusion-patterns-file 旗標，但本實驗室不涵蓋這項內容。

點選「Check my progress」，確認目標已達成。 將 VPC 防火牆規則遷移至全域網路防火牆政策。

工作 7：查看 VM 標記

在將新建立的全域政策與 VPC 網路建立關聯前，請先檢查政策，確保遷移程序已確實完成。

確認安全標記已附加至正確的 VM。使用 resource-manager tags bindings list 指令。

1. 在控制台中，依序前往「虛擬私有雲網路」>「防火牆」。
2. 向下捲動至底部的「網路防火牆政策」部分查看政策。
3. 點選您建立的防火牆政策名稱。
4. 展開防火牆規則的資料列，查看目標標記，確認標記正確無誤。

工作 8：將全域網路防火牆政策與網路建立關聯

遷移工具會根據現有的 VPC 防火牆規則，建立全域網路防火牆政策。您必須手動將政策與所需的 VPC 網路建立關聯，才能對該網路中的 VM 啟用政策規則。請使用 compute network-firewall-policies associations create 指令建立關聯。

• 在「防火牆政策」詳細資料頁面中，點選「關聯」分頁標籤。
• 點選「Add Associations」分頁標籤。
• 勾選 external-network 旁的方塊，然後點選「建立關聯」。

建立關聯後，政策規則就會套用至該網路中的 VM。

點選「Check my progress」，確認目標已達成。 將全域網路防火牆政策與網路建立關聯。

工作 9：變更政策和規則評估順序

根據預設，Cloud Next Generation Firewall 會先評估 VPC 防火牆規則，接著才是全域網路防火牆政策。為確保系統優先套用全域網路防火牆政策，請使用 compute networks update 指令變更規則評估順序。

1. 將 NETWORK_NAME 換成 VPC 網路名稱。

gcloud compute networks update NETWORK_NAME \ --network-firewall-policy-enforcement-order=BEFORE_CLASSIC_FIREWALL

2. 使用 compute networks get-effective-firewalls 指令，確認系統是否優先評估全域網路防火牆政策。

gcloud compute networks get-effective-firewalls NETWORK_NAME | grep "TYPE:"

在上述指令的輸出內容中，如果 TYPE: network-firewall-policy 出現在 TYPE: network-firewall 之前，表示系統會先評估全域網路防火牆政策。

點選「Check my progress」，確認目標已達成。 變更政策和規則評估順序。

工作 10：啟用防火牆規則記錄

您可以根據防火牆規則記錄，進一步稽核、驗證及分析規則的成效。舉例來說，您可以確認拒絕流量的防火牆規則是否按預期運作。如需確認特定防火牆規則影響的連線數，這項功能也能派上用場。

記錄功能可協助您判斷防火牆規則是否正常運作。遷移工具建立新的全域網路防火牆政策時，會保留現有 VPC 防火牆規則的記錄設定。請使用 compute network-firewall-policies rules update 指令啟用記錄功能，並指定優先順序，確保系統優先套用全域政策，而非舊版 VPC 防火牆規則。

替換下列內容：

POLICY_NAME：您要更新規則的全域網路防火牆政策名稱。

gcloud compute network-firewall-policies rules update 1000 --firewall-policy=POLICY_NAME --enable-logging --global-firewall-policy

為了確認防火牆政策已附加至網路，請返回 Cloud 控制台的「虛擬私有雲網路」，依序點選「external-network」>「防火牆」。

注意：您會看到套用至組織的「階層式防火牆政策」。

點選「Check my progress」，確認目標已達成。 啟用防火牆規則記錄。

工作 11：測試全域網路防火牆政策

持續監控命中次數後，我們發現流量正逐漸轉向新規則，舊規則的數據最終則會歸零。此時，您應該能停用舊規則、驗證潛在的負面影響，然後刪除舊版 VPC 防火牆規則。

現在來測試網路層級的存取權！如果使用「已核准」的外部網路，就能順利存取，否則會遭到封鎖。

對具有全域防火牆規則的網路傳送一些流量。您需要取得 VPC 網路中 VM 的外部 IP 位址。

1. 依序點選「導覽選單」>「Compute Engine」>「VM 執行個體」。
2. 複製 external-server 的外部 IP。
3. 對外部 IP 執行連線偵測 (ping) 來傳送一些流量：

ping -c 20 <Enter a external IP here>

接著前往 Logs Explorer 查看結果。

檢查記錄

前往控制台的「Logs Explorer」頁面。

1. 在 Google Cloud 搜尋列搜尋「記錄」，然後在「Logs Explorer」上按一下滑鼠右鍵，開啟新分頁。
2. 依序點選「所有資源」>「子網路」，然後按一下「套用」。
3. 掃描結果，找出防火牆名稱。記錄中顯示的防火牆名稱，會從 VPC 防火牆規則變成全域網路防火牆政策。結果大致如下：

選擇性：檢查連線

在這項測試中，您將使用 Network Intelligence Center。

1. 在 Google Cloud 搜尋列搜尋「連線能力」，然後從結果中選取「連線能力測試」。
2. 啟用 Network Management API。
3. 您需要取得 VPC 網路中 VM 的外部 IP 位址。前往「導覽選單」，在「Compute Engine」上按一下滑鼠右鍵開啟新視窗，然後點選「VM 執行個體」。
4. 複製 external-server 的外部 IP。
5. 在「建立連線能力測試」畫面，點選「建立連線能力測試」。
6. 在「測試作業名稱」欄位輸入測試名稱。
7. 從「來源端點」下拉式選單選取「IP 位址」，然後將 IP 位址貼到「來源 IP 位址」欄位。
8. 從「IP 位址類型」清單選取「外部 IP 位址」。
9. 返回「VM 執行個體」分頁，複製 internal-server-1 的外部 IP。
10. 在「建立連線能力測試」畫面中，從「目的地端點」下拉式選單選取「IP 位址」，然後將 IP 位址貼到「目的地 IP 位址」欄位。
11. 點選「建立」。

您會發現測試失敗，因為沒有防火牆規則政策允許 TCP 流量傳送至 internal-server-1。

現在換個方向重複測試。將 internal-server-1 IP 新增為來源 IP，並將 external-server-1 新增為目的地。

工作 12：從網路刪除 VPC 防火牆規則

建議先「停用」VPC 防火牆規則，再完全刪除。如果遷移工具建立的全域網路防火牆政策未達預期效果，您可以回復至原先規則。在本實驗室中，由於 VPC 防火牆規則已遷移至全域防火牆政策，請直接移除這些規則。

請務必使用個別防火牆規則名稱。

1. 使用 compute firewall-rules update 指令，停用 VPC 防火牆規則。

請將 RULE_NAME 換成要停用的 VPC 防火牆規則名稱。

gcloud compute firewall-rules update RULE_NAME --disabled

2. 使用 compute firewall-rules delete 指令，刪除 VPC 防火牆規則。

gcloud compute firewall-rules delete RULE_NAME

選擇性：在控制台刪除防火牆規則。

1. 返回控制台並前往「虛擬私有雲網路」。
2. 依序點選「external-network」和「防火牆」分頁標籤。
3. 在「虛擬私有雲防火牆規則」部分，選取兩項防火牆規則。
4. 點選「刪除」。

點選「Check my progress」，確認目標已達成。 從網路刪除 VPC 防火牆規則。

恭喜

您已學會如何將附有標記的 VPC 防火牆規則遷移至全域防火牆政策、將該政策套用至 2 個網路、確認政策運作正常，以及停用舊版防火牆規則，為後續的刪除工作做好準備。

後續步驟

• 閱讀 Google Cloud 網路網誌文章，瞭解如何將舊版 VPC 防火牆規則遷移至 Cloud NGFW。
• 進一步瞭解如何建立 Next Generation Firewall 規則。
• 將「虛擬私有雲防火牆規則遷移工具」頁面加入書籤，方便日後參考！
• 參閱下列文章，瞭解全域網路防火牆政策的 IAM 角色和標記的 IAM 角色。

Google Cloud 教育訓練與認證

協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。

使用手冊上次更新日期：2026 年 6 月 23 日

實驗室上次測試日期：2026 年 6 月 23 日

Copyright 2026 Google LLC 保留所有權利。Google 和 Google 標誌是 Google LLC 的商標，其他公司和產品名稱則有可能是其關聯公司的商標。