🛡

Cloud Firewall サービスの違いと評価順序を解説してみた

2024/02/05に公開

Google Cloud

firewall

Cloud Firewall

記事投稿キャンペーン2024 Google Cloud

tech

こんにちは！クラウドエース SRE 部の小田です。
今回は、Google Cloud の Cloud Firewall のファイアウォールポリシーとファイアウォールルールの違いと評価順序についてまとめます。

ターゲットとなる読者層

Google Cloud の Cloud Firewall サービスについて知りたい方
ファイアウォールポリシーとファイアウォールルールが評価される順序がよくわからない方

本記事の目標

Cloud Firewall サービスの違いについて理解する
各ファイアウォールが評価される順序を理解する

Google Cloud のファイアウォールっぽいサービスについてはこちらの記事で解説しています。

Google Cloud のファイアウォール

Google Cloud の各 Cloud Firewall サービスの比較は以下のとおりです。

	階層型ファイアウォールポリシー	グローバルネットワークファイアウォールポリシー	リージョンネットワークファイアウォールポリシー	VPC ファイアウォールルール
リソース階層	組織またはフォルダ	プロジェクト	プロジェクト	プロジェクト
関連付け	組織またはフォルダ	VPC ネットワーク (すべてのサブネット)	VPC ネットワーク (特定リージョンのサブネット)	VPC ネットワーク
アクション	許可、拒否、次に移動、L7 検査に進む	許可、拒否、次に移動、L7 検査に進む	許可、拒否、次に移動	許可、拒否
上り（内向き）ルールのターゲット	VPC ネットワーク、サービスアカウント	セキュアタグ、サービスアカウント	セキュアタグ、サービスアカウント	サービスアカウント、ネットワークタグ
再利用性	✅	✅	✅	❌
FQDN オブジェクト	✅	✅	✅	❌
アドレスグループ (Cloud Firewall Standard)	✅	✅	✅	❌
脅威インテリジェンス (Cloud Firewall Standard)	✅	✅	✅	❌
位置情報オブジェクト (Cloud Firewall Standard)	✅	✅	✅	❌
侵入防止サービス (Cloud Firewall Plus)	✅	✅	❌	❌
TLS インスペクション (Cloud Firewall Plus)	✅	✅	❌	❌

Google Cloud のファイアウォールは大きく分類すると、ファイアウォールポリシーとファイアウォールルールの 2 種類のサービスに分けることができます。

ファイアウォールポリシー

ファイアウォールポリシーとは簡単に言うと、複数のファイアウォールルールをグループ化して管理しやすくしたものです。

特徴として以下の項目があげられます。

複数のファイアウォールルールをグループ化して、一度にまとめて更新できる。
VPC ファイアウォールルールは特定の VPC ネットワーク専用ですが、ファイアウォールポリシーは他の VPC ネットワークにも適用できる。

階層型ファイアウォールポリシー

通常、VPC ファイアウォールルールは VPC ネットワークに対して関連付けられているが、階層型ファイアウォールポリシーは、Google Cloud リソース階層の組織ノードまたはフォルダノードレベルで適用されるファイアウォールポリシーを作成できるサービスです。

階層型ファイアウォールポリシーは、組織ノードまたはフォルダノードに関連付けられているため、組織やフォルダノードより下に存在するプロジェクトと、今後作成されるプロジェクトのすべての VPC ネットワークにファイアウォールポリシールールが継承され適用されます。

全ての階層型ファイアウォールポリシーには事前定義のルールが存在するため、ソース範囲外のトラフィックは次の階層のファイアウォールポリシールールで評価されます。

	方向	優先度	ソース範囲	アクション
IPv4 の上り（内向き）ルール	ingress	2147483647	0.0.0.0/0	goto_next (次のステップへ進む)
IPv4 の下り（外向き）ルール	egress	2147483646	0.0.0.0/0	goto_next (次のステップへ進む)
IPv6 の上り（内向き）ルール	ingress	2147483645	::/0	goto_next (次のステップへ進む)
IPv6 の下り（外向き）ルール	egress	2147483644	::/0	goto_next (次のステップへ進む)

ユースケース

例えば、企業のクラウドセキュリティガイドラインとして VPC ネットワークとの通信は、オフィスのネットワークからの接続のみ許可するようなルールがある場合、組織レベルの階層型ファイアウォールポリシーを適用することで組織配下全てのプロジェクトの VPC ネットワークで統制を行うことができます。

また、フォルダ配下の複数のプロジェクトで共通のファイアウォールルールを適用したい場合には、フォルダレベルの階層型ファイアウォールポリシーを適用すると、一つのポリシーで複数のプロジェクトに対してファイアウォールルールを適用できるため、同じファイアウォールルールを何度も作成するといった手間や運用が容易になります。

ネットワークファイアウォールポリシー

続いてネットワークファイアウォールポリシー (グローバルネットワークファイアウォールポリシー、リージョンネットワークファイアウォールポリシー) について解説します。

グローバルネットワークファイアウォールポリシー

グローバルネットワークファイアウォールポリシーは、関連付けた VPC ネットワークの全てのリージョン(グローバル)のサブネットワークに適用されるファイアウォールポリシーです。

ユースケース

VPC ネットワークの全リージョンのサブネットに対して共通のファイアウォールルールを適用したい場合、または Cloud Firewall Standard の機能（FQDN オブジェクト、位置情報オブジェクト、脅威インテリジェンス）や Cloud Firewall Plus の機能（侵入防止サービス（IPS）、TLSインスペクション）を利用したい場合に使用します。

リージョンネットワークファイアウォールポリシー

リージョンネットワークファイアウォールポリシーは、関連付けた VPC ネットワークの特定のリージョン内のサブネットワークにのみ適用されるファイアウォールポリシーです。

ユースケース

VPC ネットワークの特定リージョンのサブネットに利用するファイアウォールルールを適用する場合、または Cloud Firewall Standard の機能（FQDN オブジェクト、位置情報オブジェクト、脅威インテリジェンス）を利用したい場合に使用します。

ファイアウォールルール

ファイアウォールルールについて解説します。

VPC ファイアウォールルール

VPC ファイアウォールルールとは、プロジェクト内の特定の VPC ネットワークに適用されるファイアウォールルールです。

Google Kubernetes Engine リソースの作成時などに自動作成されます。
特定の VPC ネットワーク専用のファイアウォールルールのため、プロジェクト内にある別の VPC ネットワークにも同じルールを適用するといったことができません。

ユースケース

マネージドサービスが自動作成する VPC ファイアウォールルールを除き、これから新しく VPC ネットワークファイアウォールルールは利用することはおすすめしません。

VPC ファイアウォールルールとネットワークファイアウォールポリシールールどちらもサブネット内の VM や、上り下りの通信制御ができる点は同じですが、VPC ファイアウォールルールは VPC ネットワークごとに細かいファイアウォールルールを作成するため、VPC ファイアウォールルールとネットワークファイアウォールポリシールールが混在するとファイアウォールルールの管理の手間が増えます。

また VPC ファイアウォールルールではネットワークタグを使用していますが、ネットワークタグの付与を IAM で制御することができないため悪用される危険性があります。

VPC ファイアウォールルールをグローバルネットワークファイアウォールポリシーへ移行する

Google としても VPC ファイアウォールルールからグローバルネットワークファイアウォールポリシーへ移行することをおすすめしているため、移行するためのツールが用意されています。

このツールを利用することで既存の VPC ファイアウォールルールをグローバルネットワークポリシールールに変換し、追加することができます。
※ 既存の VPC ファイアウォールルールは削除されず、変換されたルールを含んだグローバルネットワークポリシーが VPC ネットワークにも関連付けらていない状態で新規作成されます。

グローバルネットワークファイアウォールポリシーへの移行は以下のコマンドで行うことができます。

gcloud beta compute firewall-rules migrate --source-network=<SOURCE_VPC_NETWORK> --target-firewall-policy=<TARGET_NETWORK_FIREWALL_POLICY>

※ネットワークタグやサービスアカウントをターゲットに指定している VPC ファイアウォールルールの移行方法については、移行ガイドを確認ください。

グローバルネットワークファイアウォールポリシーへ移行してみた

ネットワーク上のすべてのインスタンスをターゲットとした VPC ファイアウォールルールを 2 つ作成しました。
この VPC ファイアウォールルールをグローバルネットワークファイアウォールポリシーへ移行してみます。

移行するためのコマンドを実行します。

gcloud beta compute firewall-rules migrate --source-network=vpc-network-test --target-firewall-policy=test-policy

実行結果

Looking for VPC Firewalls and Network Firewall Policies associated with VPC Network 'vpc-network-test'.
Found 0 Network Firewall Policies associated with the VPC Network 'vpc-network-test'.
Found 2 VPC Firewalls associated with the VPC Network 'vpc-network-test'.

Found 2 customer defined VPC Firewalls.
priority: name 'description'
10: vpc-firewall-rule-01 ''
20: vpc-firewall-rule-02 ''

Creating new Network Firewall Policy 'test-policy'...done.                                                                                                          
Migrating the following VPC Firewalls:
old-priority: rule-name 'rule-description'
10: vpc-firewall-rule-01 ''
20: vpc-firewall-rule-02 ''
Migrating...done.

続いて VPC ファイアウォールルールを元に作成されたグローバルネットワークファイアウォールポリシールールを確認します。
グローバルネットワークファイアウォールポリシーを確認するコマンドを実行します。

gcloud compute network-firewall-policies describe test-policy --global

実行結果

creationTimestamp: '2023-12-07T23:37:02.414-08:00'
description: Network Firewall Policy containing all VPC Firewalls and FirewallPolicy.Rules
  migrated using GCP Firewall Migration Tool.
fingerprint: xxxxxxxxxxxx
id: 'xxxxxxxxxxxxxxxxxxx'
kind: compute#firewallPolicy
name: test-policy
ruleTupleCount: 12
rules:
- action: allow
  description: ''
  direction: INGRESS
  disabled: false
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    layer4Configs:
    - ipProtocol: icmp
    srcIpRanges:
    - 10.0.1.0/24
  priority: 10
  ruleName: vpc-firewall-rule-01
  ruleTupleCount: 2
- action: allow
  description: ''
  direction: INGRESS
  disabled: false
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    layer4Configs:
    - ipProtocol: icmp
    srcIpRanges:
    - 10.0.2.0/24
  priority: 20
  ruleName: vpc-firewall-rule-02
  ruleTupleCount: 2
- action: goto_next
  description: default egress rule
  direction: EGRESS
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    destIpRanges:
    - ::/0
    layer4Configs:
    - ipProtocol: all
  priority: 2147483644
  ruleTupleCount: 2
- action: goto_next
  description: default ingress rule
  direction: INGRESS
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    layer4Configs:
    - ipProtocol: all
    srcIpRanges:
    - ::/0
  priority: 2147483645
  ruleTupleCount: 2
- action: goto_next
  description: default egress rule
  direction: EGRESS
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    destIpRanges:
    - 0.0.0.0/0
    layer4Configs:
    - ipProtocol: all
  priority: 2147483646
  ruleTupleCount: 2
- action: goto_next
  description: default ingress rule
  direction: INGRESS
  enableLogging: false
  kind: compute#firewallPolicyRule
  match:
    layer4Configs:
    - ipProtocol: all
    srcIpRanges:
    - 0.0.0.0/0
  priority: 2147483647
  ruleTupleCount: 2
selfLink: https://www.googleapis.com/compute/v1/projects/project/global/firewallPolicies/test-policy
selfLinkWithId: https://www.googleapis.com/compute/v1/projects/project/global/firewallPolicies/xxxxxxxxxxxxxxxxxxx

コンソール画面で確認します。

無事に移行元の VPC ファイアウォールルール 2 つと、デフォルトで作成される 4 つのファイアウォールポリシールールが追加されている状態でグローバルネットワークファイアウォールポリシーが作成されていることが確認できました。

ポリシーの説明 (description) にはファイアウォール移行ツールを使用して移行されたという旨の内容が記されています。

暗黙のファイアウォールルール

全ての VPC ネットワークには Google Cloud コンソール上には表示されませんが、すべての下り(外向き)許可とすべての上り(内向き)拒否の暗黙のファイアウォールルールが存在します。

上位のファイアウォールポリシールールで明示的なアクションが行われなかったトラフィックは、このルールによって下り(外向き)の通信は全て許可、上り(内向き)の通信は全て拒否するアクションが行われます。

暗黙のファイアウォールルールの内容は以下の通りです。

名前	方向	優先度	ソース範囲	アクション
暗黙の IPv4 の下り(外向き)許可ルール	egress	65535	0.0.0.0/0	allow
暗黙の IPv4 上り(内向き)拒否ルール	ingress	65535	0.0.0.0/0	deny
暗黙の IPv6 の下り(外向き)許可ルール	egress	65535	::/0	allow
暗黙の IPv6 の上り(内向き)拒否ルール	ingress	65535	::/0	deny

ファイアウォール評価順序

続いて各ファイアウォールの評価順序について説明します。
評価順序は図の通りです。

階層型ファイアウォールポリシー
a. 最初に階層ファイアウォールポリシーの組織レベルで評価される。
b. 組織の次に、フォルダー、その子フォルダ ... という順に各ノードレベルのファイアウォールポリシールールが評価される。
VPC ファイアウォールルール
a. 階層型ファイアウォールポリシーに一致するルールがない場合、VPC ファイアウォールルールでトラフィックが評価される。
グローバルネットワークファイアウォールポリシー
a. VPC ネットワーク内のすべてのサブネットに対してのトラフィックがポリシールールによって評価される。
リージョンネットワークファイアウォールポリシー
a. VPC ネットワーク内の特定のリージョンに対してのトラフィックがポリシールールによって評価される。
暗黙の VPC ファイアウォールルール
a. 最後に、Google Cloud コンソールには表示されていない暗黙の下り（外向き）許可と暗黙の上り（内向き）拒否の VPC ファイアウォールルールでトラフィックが評価される。

VPC ファイアウォールルールとネットワークファイアウォールポリシーの評価順を序入れ替える

VPC ファイアウォールルールとネットワークファイアウォールポリシー(リージョンネットワークファイアウォールポリシールールとグローバルネットワークファイアウォールポリシールール)の評価順序を VPC ネットワークごとに入れ替えることが可能です。

入れ替えを行うと、ルールの評価順序が以下のように変更されます。

階層型ファイアウォールポリシー
グローバルネットワークファイアウォールポリシー
リージョンネットワークファイアウォールポリシー
VPC ファイアウォールルール
暗黙の VPC ファイアウォールルール

評価順序の変更は、以下のコマンドで行うことができます。

gcloud compute networks update <VPC_NETWORK> \
    --network-firewall-policy-enforcement-order BEFORE_CLASSIC_FIREWALL

順序変更前

順序変更後

元に戻す場合は、 networkFirewallPolicyEnforcementOrder 属性を AFTER_CLASSIC_FIREWALL に設定するとデフォルトの評価順序に戻すことができます。

gcloud compute networks update <VPC_NETWORK> \
    --network-firewall-policy-enforcement-order AFTER_CLASSIC_FIREWALL

まとめ

今回は、Cloud Firewall サービスの違いと評価順序について解説しました。
VPC ファイアウォールルールをグローバルファイアファイアウォールポリシールールへ移行するためのツールは現段階ではベータ段階ですが、便利な機能だと思いました。
これから作成する環境については、VPC ファイアウォールではなくファイアウォールポリシー系のサービスを利用するのが良さそうです。

ターゲットとなる読者層

本記事の目標

Google Cloud のファイアウォール

ファイアウォール ポリシー

階層型 ファイアウォール ポリシー

ユースケース

ネットワーク ファイアウォール ポリシー

グローバル ネットワーク ファイアウォール ポリシー

ユースケース

リージョン ネットワーク ファイアウォール ポリシー

ユースケース

ファイアウォール ルール

VPC ファイアウォール ルール

ユースケース

VPC ファイアウォール ルールをグローバル ネットワーク ファイアウォール ポリシーへ移行する

グローバル ネットワーク ファイアウォール ポリシーへ移行してみた

暗黙のファイアウォール ルール

ファイアウォール 評価順序

VPC ファイアウォール ルールとネットワーク ファイアウォール ポリシーの評価順を序入れ替える

まとめ

Discussion

ファイアウォールポリシー

階層型ファイアウォールポリシー

ネットワークファイアウォールポリシー

グローバルネットワークファイアウォールポリシー

リージョンネットワークファイアウォールポリシー

ファイアウォールルール

VPC ファイアウォールルール

VPC ファイアウォールルールをグローバルネットワークファイアウォールポリシーへ移行する

グローバルネットワークファイアウォールポリシーへ移行してみた

暗黙のファイアウォールルール

ファイアウォール評価順序

VPC ファイアウォールルールとネットワークファイアウォールポリシーの評価順を序入れ替える