VPC 防火墙规则

Virtual Private Cloud (VPC) 防火墙规则应用于给定的项目和网络。如果要将防火墙规则应用于组织中的多个 VPC 网络，请参阅防火墙政策和规则。本页面的其余部分仅介绍 VPC 防火墙规则。

通过 VPC 防火墙规则，您可以允许或拒绝传入或传出 VPC 网络中的虚拟机 (VM) 实例的连接。无论实例的配置和操作系统如何，无论它们是否启动，系统都始终会实施 VPC 防火墙规则来保护您的实例。

每个 VPC 网络均发挥分布式防火墙的作用。虽然防火墙规则是在网络级层上定义的，但允许或拒绝连接是按具体实例执行。您可以认为，VPC 防火墙规则不仅存在于您的实例与其他网络之间，也存在于同一网络内的各个实例之间。

如需详细了解防火墙，请参阅防火墙（计算）。

防火墙规则的最佳实践

在设计和评估防火墙规则时，请谨记以下最佳实践：

Google Cloud中的防火墙规则

创建 VPC 防火墙规则时，您需要指定 VPC 网络和一组组件，用于定义规则的作用。利用这些组成部分，您能够根据流量的协议、目的地端口、来源和目的地来定位某些类型的流量。如需了解详情，请参阅防火墙规则组成部分。

如需创建或修改 VPC 防火墙规则，您可以使用Google Cloud console、Google Cloud CLI 和 REST API。创建或修改防火墙规则时，您可以使用规则的目标参数来指定要应用此规则的实例。如需查看防火墙规则示例，请参阅其他配置示例。

除了您创建的防火墙规则外， Google Cloud 还有其他规则可以影响传入（入站）或传出（出站）的连接：

  • Google Cloud 会屏蔽或限制某些流量。如需了解详情，请参阅屏蔽和受限的流量。

  • Google Cloud 始终允许虚拟机实例与其对应的元数据服务器（位于 169.254.169.254）之间的通信。如需了解详情，请参阅始终允许的流量。

  • VPC 防火墙规则会根据防火墙规则评估流程与防火墙政策中的规则一起进行评估。作为最后一步，如果未对流量应用任何明确的操作，Cloud NGFW 会强制执行隐式操作。

  • 默认网络预先填充了一些防火墙规则，您可以删除或修改这些规则。

规范

VPC 防火墙规则具有以下特征：

  • 每条防火墙规则均应用于传入（入站流量）或传出（出站流量）连接，但不能同时应用于两者。如需了解详情，请参阅连接方向。

  • 防火墙规则支持 IPv4 连接。已启用 IPv6 的 VPC 网络也支持 IPv6 连接。按地址指定入站流量或出站流量规则的来源或目的地时，可以采用 CIDR 表示法指定 IPv4 或 IPv6 地址或地址块。

  • 每条防火墙规则可以包含 IPv4 或 IPv6 范围，但不能同时包含两者。

  • 每条防火墙规则执行的操作均为 allow 或 deny 之一。只要实施了防火墙规则，该规则就会应用于连接。例如，您可以停用某一条规则，以进行问题排查。

  • 创建防火墙规则时，必须选择 VPC 网络。虽然规则是在实例级层实施，但其配置与 VPC 网络相关联。这意味着您无法在 VPC 网络之间共享防火墙规则，包括通过 VPC 网络对等互连或使用 Cloud VPN 隧道连接的网络。

  • VPC 防火墙规则是有状态的：

    • 如果允许通过任一方向的防火墙进行连接，则也允许与此连接匹配的返回流量。您不能将防火墙规则配置为拒绝关联的响应流量。
    • 返回流量必须与已接受的请求流量的 5 元组（来源 IP、目标 IP、源端口、目标端口、协议）匹配，但来源地址和目标地址以及来源端口和目标端口会被对调。
    • Google Cloud 会使用连接跟踪表，将传入数据包与相应的出站数据包相关联。IPv4 连接支持 TCP、UDP、SCTP 和 ICMP 协议。IPv6 连接支持 TCP、UDP、SCTP 和 ICMPv6 协议。
    • 无论所用协议是否支持连接，Google Cloud 都会实施连接跟踪。如果来源与目标之间（针对入站流量规则）或目标与目的地之间（针对出站流量规则）允许建立连接，只要防火墙的连接跟踪状态为活跃状态，则所有响应流量都允许通过。如果每 10 分钟至少发送一个数据包，则视为防火墙规则的跟踪状态为活跃状态。
    • 如果防火墙允许分段连接，则Google Cloud 会使用连接跟踪，以仅允许返回流量的第一个片段。如需允许后续的返回片段，您必须添加防火墙规则。
    • 通过防火墙允许生成 ICMP 响应流量，例如，生成允许的“ICMP TYPE 3, DESTINATION UNREACHABLE”以响应允许的 TCP/UDP 连接。此行为与 RFC 792 一致。

  • VPC 防火墙规则不会重组分段的 TCP 数据包。因此，适用于 TCP 协议的防火墙规则只能应用于第一个分段，因为其中包含 TCP 标头。适用于 TCP 协议的防火墙规则不适用于后续的 TCP 分段。

  • 防火墙规则表中跟踪的最大连接数取决于实例的机器类型支持的有状态连接数。 如果超出跟踪连接数上限，则系统将停止跟踪具有最长空闲间隔的连接，以便跟踪新连接。

    实例机器类型 有状态连接的最大数量
    共享核心机器类型 130000 个
    具有 1-8 个 vCPU 的实例 每个 vCPU 130000 个连接
    具有 8 个以上 vCPU 的实例 总共 1040000 (130000×8) 个连接

隐含操作

如果没有 VPC 防火墙规则适用于目标，防火墙规则评估流程可能会到达最后一步。在此步骤中，Cloud NGFW 使用的是隐式操作。隐含的操作取决于流量方向和目标资源类型。

如需了解详情，请参阅防火墙规则评估流程。

默认网络中预先填充的规则

默认网络预先填充了一些允许连接传入实例的防火墙规则。这些规则可以根据需要删除或修改：

规则名称 方向 优先级 来源范围 操作 协议和端口 说明
default-allow-internal ingress 65534 10.128.0.0/9 allow tcp:0-65535
udp:0-65535
icmp 		允许从同一 VPC 网络内的其他实例到虚拟机实例的传入连接。
default-allow-ssh ingress 65534 0.0.0.0/0 allow tcp:22 允许您使用 ssh、scp 或 sftp 等工具连接到实例。
default-allow-rdp ingress 65534 0.0.0.0/0 allow tcp:3389 允许您使用 Microsoft 远程桌面协议 (RDP) 连接到实例。
default-allow-icmp ingress 65534 0.0.0.0/0 allow icmp 允许您使用 ping 等工具。

您可以为默认网络以外的网络创建类似的防火墙规则。如需了解详情，请参阅为常见使用场景配置防火墙规则。

屏蔽和受限的流量

Google Cloud 与 VPC 防火墙规则和分层防火墙政策分开，会屏蔽或限制下表中所述的特定流量。

流量类型 详细信息
数据包速率和带宽

适用对象：

  • 所有出站数据包
  • 所有入站数据包
 针对每个网络接口 (NIC) 或 IP 地址，Google Cloud 按每个虚拟机实例考虑带宽。虚拟机的机器类型定义了其可能的最大出站流量速率。但是，您只能在特定情况下达到此最大出站流量速率。

如需了解详情，请参阅 Compute Engine 文档中的网络带宽。
DHCP 提供和确认

适用对象：

  • 发送到 UDP 端口 68 (DHCPv4) 的入站数据包
  • 发送到 UDP 端口 546 (DHCPv6) 的入站数据包
 Google Cloud 会屏蔽来自所有来源的传入 DHCP 提供和确认，但来自元数据服务器的 DHCP 数据包除外。
外部 IP 地址支持的协议 Google Cloud

适用对象：

  • 发送到外部 IP 地址的入站数据包

外部 IPv4 和 IPv6 地址仅接受 TCP、UDP、ICMP、IPIP、AH、ESP、SCTP 和 GRE 数据包。使用外部 IP 地址的资源会施加额外的协议限制：
SMTP（端口 25）流量

适用对象：

  • 发送到 TCP 端口 25 上的外部 IP 地址的出站数据包

为帮助防止垃圾邮件，默认情况下， Google Cloud 会阻止发送到外部 IP 地址（包括其他 Google Cloud 资源的外部 IP 地址）的 TCP 目标端口 25 的出站数据包。 Google Cloud 一旦确定项目通过未加密连接发送大量电子邮件的风险较低，就会自动移除此屏蔽。 Google Cloud 此屏蔽不包括通过端口 465 或 587 上的 TLS 进行的 SMTP 流量。如需了解您的项目是否允许此流量，请前往 Google Cloud 控制台中的 VPC 网络页面或