Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
O endpoint de firewall é um recurso do Cloud Firewall que ativa recursos avançados de proteção da camada 7, como prevenção contra invasões, na sua rede.
Nesta página, você encontra informações detalhadas dos endpoints de firewall e dos recursos deles.
Especificações
Um endpoint de firewall é um recurso organizacional criado no nível zonal.
Os endpoints de firewall executam uma inspeção de firewall da camada 7 no tráfego interceptado.
O Cloud Firewall usa a tecnologia de interceptação de pacotes do Google Cloud para redirecionar de maneira transparente o tráfego das cargas de trabalho do Google Cloud em uma rede de nuvem privada virtual (VPC) para os endpoints de firewall.
A interceptação de pacotes é um recurso do Google Cloud que insere dispositivos de rede de maneira transparente no caminho do tráfego de rede selecionado, sem modificar as políticas de roteamento atuais.
O Cloud NGFW redirecionará o tráfego da carga de trabalho em uma rede VPC para o endpoint do firewall somente se a inspeção da camada 7 estiver configurada para ser aplicada a esse fluxo.
O Cloud NGFW adiciona um identificador de rede VPC a cada pacote redirecionado ao endpoint do firewall para inspeção da camada 7. Se você tiver várias redes VPC com intervalos de endereços IP sobrepostos, esse identificador de rede ajudará a garantir que cada pacote redirecionado esteja corretamente associado à respectiva rede VPC.
É possível criar um endpoint de firewall em uma zona e anexá-lo a uma ou mais redes VPC para monitorar cargas de trabalho na mesma zona. Se a rede VPC abrange várias zonas, é possível anexar um endpoint de firewall em cada zona. Se você não anexar um endpoint de firewall a uma
rede VPC em uma zona específica, nenhuma inspeção da camada 7
será executada no tráfego de carga de trabalho dessa zona.
O endpoint e as cargas de trabalho em que você quer ativar a inspeção da camada 7
precisam estar na mesma zona. A criação do endpoint de firewall na mesma zona das cargas de trabalho tem os seguintes benefícios:
Latência menor. Como os endpoints de firewall podem interceptar, inspecionar e reinjetar o tráfego na rede, a latência é menor do que a de endpoints de firewall em zonas diferentes.
Sem tráfego entre zonas. Manter o tráfego dentro da mesma zona garante custos menores.
Tráfego mais confiável. Manter o tráfego dentro da mesma zona remove o risco de interrupções entre zonas.
Os endpoints do firewall podem processar até 2 Gbps de tráfego com a inspeção Transport Layer Security (TLS) e 10 Gbps de tráfego sem inspeção TLS.
O envio de mais tráfego pode resultar na perda de pacotes. Para monitorar a utilização da capacidade
do endpoint de firewall, consulte
Métricas do endpoint de firewall.
Só é possível excluir um endpoint de firewall quando não há redes VPC associadas a ele.
O Google gerencia a infraestrutura, o balanceamento de carga, o escalonamento automático e o ciclo de vida dos endpoints de firewall. Quando você cria um endpoint de firewall, o Google fornece um conjunto de instâncias de máquina virtual (VM) dedicadas que garantem confiabilidade, desempenho e isolamento de segurança para seu tráfego, com o gerenciamento de certificados.
O Google oferece alta disponibilidade usando mecanismos de failover apropriados para os endpoints de firewall, o que garante uma proteção de firewall confiável para todas as instâncias de VM cobertas na rede VPC anexada.
Associações de endpoint de firewall
A associação de endpoints de firewall vincula um endpoint de firewall a uma rede VPC na mesma zona. Depois que você define essa associação, o Cloud Firewall encaminha o tráfego da carga de trabalho zonal em sua rede VPC que requer a inspeção da camada 7 para o endpoint do firewall anexado.
Papéis do Identity and Access Management
Os papéis de Identity and Access Management (IAM) controlam as seguintes ações para gerenciar
os endpoints de firewall:
Como criar um endpoint de firewall em uma organização
Como modificar ou excluir um endpoint de firewall
Como visualizar detalhes de um endpoint de firewall
Como visualizar todos os endpoints de firewall configurados em uma organização
Veja na tabela a seguir os papéis necessários para cada etapa.
Habilidade
Papel necessário
Criar um novo endpoint de firewall
Papel compute.networkAdmin na organização em que o endpoint de firewall foi criado.
Os papéis de IAM controlam as seguintes ações para as associações de endpoints de firewall:
Como criar uma associação de endpoint de firewall em um projeto
Como modificar ou excluir uma associação de endpoint de firewall
Como visualizar detalhes de uma associação de endpoint de firewall
Como visualizar todas as associações de endpoints de firewall configurados em um projeto
Veja na tabela a seguir os papéis necessários para cada etapa.
Habilidade
Papel necessário
Criar uma associação de endpoint de firewall
Papel compute.networkAdmin no projeto em que a associação de endpoint do firewall foi criada.
Papel compute.networkUser na organização, que representa permissões para associar a VPC (que tem o usuário como administrador) ao endpoint (que é um recurso de propriedade de organização, não necessariamente de propriedade do proprietário da VPC).
Modificar (atualizar ou excluir) as associações de pontos de extremidade do firewall
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2024-12-21 UTC."],[[["\u003cp\u003eFirewall endpoints are zonal resources that provide Layer 7 advanced protection capabilities, such as intrusion prevention, to traffic within your network.\u003c/p\u003e\n"],["\u003cp\u003eCloud Next Generation Firewall (NGFW) utilizes packet intercept technology to redirect traffic from Virtual Private Cloud (VPC) networks to firewall endpoints for Layer 7 inspection, ensuring that only traffic with the appropriate configuration is intercepted.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints are created and managed in the same zone as the workloads they monitor to minimize latency, reduce costs, and ensure traffic reliability by avoiding cross-zonal traffic.\u003c/p\u003e\n"],["\u003cp\u003eIAM roles are necessary for managing firewall endpoints and their associations, with specific permissions required for creating, modifying, viewing, and deleting endpoints and associations within organizations and projects.\u003c/p\u003e\n"],["\u003cp\u003eFirewall endpoints have a capacity of up to 2 Gbps for traffic with Transport Layer Security (TLS) inspection and 10 Gbps for traffic without, and Google manages the underlying infrastructure, including load balancing, autoscaling, and lifecycle management.\u003c/p\u003e\n"]]],[],null,["# Firewall endpoint overview\n\nFirewall endpoint is a Cloud Next Generation Firewall resource that enables Layer 7\nadvanced protection capabilities, such as intrusion detection and prevention service, in your network.\n\nThis page provides a detailed overview of firewall endpoints and their\ncapabilities.\n\nSpecifications\n--------------\n\n- A firewall endpoint is an organizational resource created at the zonal level.\n\n- Firewall endpoints perform Layer 7 firewall inspection on the intercepted\n traffic.\n\n- Cloud Next Generation Firewall uses Google Cloud's packet intercept technology to\n transparently redirect traffic from the Google Cloud workloads in a\n Virtual Private Cloud (VPC) network to the firewall endpoints.\n\n Packet intercept is a Google Cloud capability that transparently inserts\n network appliances in the path of selected network traffic without\n modifying their existing routing policies.\n- Cloud NGFW redirects the workload traffic in a\n VPC network to the firewall endpoint only if the Layer 7\n inspection is configured to be applied to this flow.\n\n- Cloud NGFW adds a VPC network identifier to each\n packet redirected to the firewall endpoint for Layer 7 inspection. If you have\n multiple VPC networks with overlapping IP address ranges,\n this network identifier helps to ensure that each redirected packet is correctly\n associated with its VPC network.\n\n- You can create a firewall endpoint in a zone and attach it to one or more\n VPC networks to monitor workloads in the same zone. If your\n VPC network spans multiple zones, you can attach one firewall\n endpoint in each zone. If you don't attach a firewall endpoint to a\n VPC network in a specific zone, no Layer 7\n inspection is performed on the workload traffic for that zone.\n\n You use [firewall endpoint association](/firewall/docs/configure-firewall-endpoint-associations#create-endpoint-association)\n to attach a firewall endpoint to a VPC network.\n- The endpoint and the workloads for which you want to enable Layer 7 inspection\n must be in the same zone. Creating the firewall endpoint in the same\n zone as workloads has the following benefits:\n\n - Lower latency. Because firewall endpoints can intercept, inspect, and\n reinject the traffic back into the network, latency is lower than that\n of firewall endpoints in different zones.\n\n - No cross-zonal traffic. Keeping traffic within the same zone\n ensures lower costs.\n\n - More reliable traffic. Keeping traffic within the same zone removes\n the risk of cross-zonal outages.\n\n- Firewall endpoints can process up to 2 Gbps of traffic with Transport Layer\n Security (TLS) inspection, and 10 Gbps of traffic without TLS inspection.\n Sending more traffic can result in packet loss. To monitor the firewall\n endpoint's capacity utilization, see\n [firewall endpoint metrics](/monitoring/api/metrics_gcp_i_o#gcp-networksecurity).\n\n- Firewall endpoints can have a per-connection throughput maximum of 250 Mbps of\n traffic with TLS inspection and 1.25 Gbps of traffic without TLS inspection.\n\n- You can delete a firewall endpoint only when there are no VPC\n networks associated with it.\n\n- Google manages the infrastructure, load balancing, autoscaling, and\n lifecycle of the firewall endpoints. When you create a firewall endpoint,\n Google provides a set of dedicated virtual machine (VM) instances, which\n ensures reliability, performance, and security isolation for your traffic,\n along with certificate management.\n\n- Google provides high availability by using proper failover mechanisms for\n the firewall endpoints, which ensures reliable firewall protection for all\n VM instances covered within the attached VPC network.\n\nFirewall endpoint associations\n------------------------------\n\nFirewall endpoint association links a firewall endpoint to a\nVPC network in the same zone. After you define this association,\nCloud NGFW forwards the zonal workload traffic in your\nVPC network that requires Layer 7 inspection to the attached\nfirewall endpoint.\n\nIdentity and Access Management roles\n------------------------------------\n\nIdentity and Access Management (IAM) roles govern the following actions for managing the\nfirewall endpoints:\n\n- Creating a firewall endpoint in an organization\n- Modifying or deleting a firewall endpoint\n- Viewing details of a firewall endpoint\n- Viewing all the firewall endpoints configured in an organization\n\nThe following table describes the roles that are necessary for each step.\n\nIAM roles govern the following actions for the\nfirewall endpoint associations:\n\n- Creating a firewall endpoint association in a project\n- Modifying or deleting a firewall endpoint association\n- Viewing details of a firewall endpoint association\n- Viewing all the firewall endpoint associations configured in a project\n\nThe following table describes the roles that are necessary for each step.\n\nQuotas\n------\n\nTo view quotas associated with firewall endpoints, see [Quotas and limits](/firewall/docs/quotas).\n\nPricing\n-------\n\nPricing for firewall endpoints is described in the [Cloud NGFW pricing](/firewall/pricing).\n\nWhat's next\n-----------\n\n- [Configure intrusion detection and prevention service](/firewall/docs/configure-intrusion-prevention)\n- [Create and manage firewall endpoints](/firewall/docs/configure-firewall-endpoints)\n- [Create and manage firewall endpoint associations](/firewall/docs/configure-firewall-endpoint-associations)"]]
