Autoriser le trafic sortant à l'aide d'une stratégie de pare-feu de réseau au niveau mondial

Créer un réseau VPC en mode personnalisé avec un sous-réseau

Dans cette section, vous allez créer un réseau VPC en mode personnalisé et un sous-réseau IPv4 pour héberger vos VM.

1. Dans la Google Cloud console, accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur Créer un réseau VPC.

3. Dans le champ Nom, saisissez vpc-fw-rules.

4. Dans Description, saisissez VPC network for the firewall rules quickstart.

5. Dans le champ Mode de création de sous-réseau, sélectionnez Personnalisé.

6. Dans la section Nouveau sous-réseau, spécifiez les éléments suivants :

   • Nom : subnet-fw-rules
   • Région : us-central1
   • Plage IPv4 : 10.0.0.0/24
   • Accès privé à Google : Activé

   Si vous définissez Accès privé à Google sur Activé , les VM de ce sous-réseau peuvent accéder Google Cloud aux services sans utiliser d'adresse IP externe.

7. Cliquez sur OK, puis sur Créer.

Par défaut, le réseau VPC inclut les règles IPv4 implicites suivantes :

• Une règle de sortie autorisée avec la destination 0.0.0.0/0 et la priorité la plus faible possible (65535) qui permet à n'importe quelle instance d'envoyer du trafic vers n'importe quelle destination, à l'exception du trafic bloqué par Google Cloud.
• Une règle d'entrée refusée avec la source 0.0.0.0/0 et la priorité la plus faible possible (65535) qui protège toutes les instances en bloquant leurs connexions entrantes.

Pour en savoir plus sur la règle ou l'action implicite pour un trafic entrant ou sortant, consultez le processus d'évaluation des règles de pare-feu.

Créer des VM cliente et serveur

Dans cette section, vous allez créer deux VM Linux sans adresse IP externe dans le sous-réseau du réseau VPC que vous avez créé précédemment.

1. Accédez à la page Créer une instance dans la Google Cloud console.

   Accéder à la page Créer une instance

2. Dans le champ Nom, saisissez vm-fw-rules-server.

3. Pour Région, sélectionnez us-central1 (Iowa).

4. Dans le menu Mise en réseau, sous Interfaces réseau, sélectionnez :

   • Réseau : vpc-fw-rules
   • Sous-réseau : subnet-fw-rules IPv4 (10.0.0.0/24)
   • Adresse IPv4 externe : Éphémère

5. Cliquez sur OK, puis sur Créer.

6. Notez l'adresse IP interne de la VM une fois qu'elle est créée.

7. Répétez ces étapes pour créer une deuxième VM nommée vm-fw-rules-client en utilisant les mêmes paramètres réseau, mais définissez Adresse IPv4 externe sur Aucune.

Pour installer et exécuter un serveur Web nginx sur vm-fw-rules-server, procédez comme suit :

1. Dans la Google Cloud console, accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Cliquez sur SSH pour vm-fw-rules-server.

3. Dans la boîte de dialogue SSH dans votre navigateur, cliquez sur Autoriser et attendez que la connexion soit établie.

4. Pour installer et exécuter le serveur Web nginx, exécutez la commande sudo apt update && sudo apt install nginx.

Créer une stratégie de pare-feu de réseau au niveau mondial

Dans cette section, vous allez créer une stratégie de pare-feu de réseau au niveau mondial et l'associer au réseau VPC que vous avez créé précédemment.

1. Dans la Google Cloud console, accédez à la page Règles de pare-feu.

   Accéder aux stratégies de pare-feu

2. Cliquez sur Créer une stratégie de pare-feu.

3. Pour le Nom de la règle, saisissez fw-policy.

4. Pour le Champ d'application du déploiement, sélectionnez Mondial.

5. Cliquez sur Continuer pour ignorer la section des règles. Vous ajouterez des règles de pare-feu dans les sections suivantes de ce guide de démarrage rapide.

6. Dans la section Associer la stratégie à des réseaux, cliquez sur Associer.

7. Cochez la case vpc-fw-rules, puis cliquez sur Associer pour associer le réseau VPC à la stratégie.

8. Cliquez sur Continuer, puis sur Créer.

Ajouter des règles de pare-feu

Dans cette section, vous allez ajouter des règles de pare-feu à la stratégie de pare-feu de réseau au niveau mondial que vous avez créée précédemment.

1. Dans la Google Cloud console, accédez à la page Règles de pare-feu.

   Accéder aux stratégies de pare-feu

2. Cliquez sur le nom de votre stratégie de pare-feu. Dans l'onglet Règles de pare-feu de votre stratégie, cliquez sur Créer une règle de pare-feu.

3. Ajoutez une règle d'entrée pour autoriser le trafic TCP vers le port 22. Cette règle permet à Identity-Aware Proxy (IAP) d'accéder aux instances de VM du réseau VPC. Le service IAP utilise une couche d'autorisation centrale pour vous aider à accéder aux VM clientes et serveurs. Pour en savoir plus, consultez la présentation d'Identity-Aware Proxy.

   • Dans le champ Priorité, saisissez 100.
   • Dans le champ Type de cible, sélectionnez Instances.
   • Pour Cible, sélectionnez Appliquer à tout.
   • Pour le Sens du trafic, sélectionnez Entrée.
   • Pour l'option Action en cas de correspondance, sélectionnez Autoriser.

   • Pour le champ Journaux, sélectionnez Activé.

     Remarque : L'activation des journaux peut générer un grand nombre de journaux, ce qui peut entraîner des coûts plus élevés.

   • Pour le Contexte réseau source, sélectionnez Tous les contextes réseau.

   • Dans la section Source, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, saisissez 35.235.240.0/20.

   • Pour Protocoles et ports, sélectionnez Protocoles et ports spécifiés, puis TCP. Dans le champ Ports, saisissez 22.

   • Pour le champ Application, sélectionnez Activé.

4. Cliquez sur Créer.

5. Ajoutez une règle d'entrée pour autoriser le trafic entrant sur la VM serveur à partir de la VM cliente :

   • Dans le champ Priorité, saisissez 200.
   • Dans le champ Type de cible, sélectionnez Instances.
   • Pour Cible, sélectionnez Appliquer à tout.
   • Pour le Sens du trafic, sélectionnez Entrée.
   • Pour l'option Action en cas de correspondance, sélectionnez Autoriser.

   • Pour le champ Journaux, sélectionnez Activé.

     Remarque : L'activation des journaux peut générer un grand nombre de journaux, ce qui peut entraîner des coûts plus élevés.

   • Pour le Contexte réseau source, sélectionnez Contexte réseau spécifique, puis Intra-VPC.

   • Dans la section Source, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, spécifiez l'adresse IP interne de la VM cliente. Par exemple, 10.0.0.2/32.

   • Dans la section Destination, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, spécifiez l'adresse IP interne de la VM serveur. Par exemple, 10.0.0.1/32.

   • Pour Protocoles et ports, sélectionnez Protocoles et ports spécifiés, puis TCP. Dans le champ Ports, saisissez 80.

   • Pour le champ Application, sélectionnez Activé.

6. Cliquez sur Créer.

7. Pour améliorer la sécurité, vous pouvez limiter tout le trafic sortant et créer une règle de sortie étroitement définie pour n'autoriser que le trafic identifié.

   1. Ajoutez une règle de sortie pour déléguer le trafic sortant de la VM cliente (vers la VM serveur) à la règle suivante dans l' ordre d'évaluation des règles de pare-feu, qui est l'action IPv4 implicite autorisant tout le trafic sortant.
      • Dans le champ Priorité, saisissez 300.
      • Dans le champ Type de cible, sélectionnez Instances.
      • Pour Cible, sélectionnez Appliquer à tout.
      • Pour le Sens du trafic, sélectionnez Sortie.
      • Pour l'option Action en cas de correspondance, sélectionnez Passer à l'étape suivante.
      • Pour le Contexte réseau de destination, sélectionnez Contexte réseau spécifique, puis Non-Internet.
      • Dans la section Destination, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, spécifiez l'adresse IP interne de la VM serveur. Par exemple, 10.0.0.1/32.
      • Dans la section Source, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, spécifiez l'adresse IP interne de la VM cliente. Par exemple, 10.0.0.2/32.
      • Pour Protocoles et ports, sélectionnez Protocoles et ports spécifiés, puis TCP. Dans le champ Ports, saisissez 80.
      • Pour le champ Application, sélectionnez Activé.
   2. Cliquez sur Créer.

   3. Ajoutez une règle de sortie pour refuser le trafic sortant de toutes les VM :

      • Dans le champ Priorité, saisissez 400.
      • Dans le champ Type de cible, sélectionnez Instances.
      • Pour Cible, sélectionnez Appliquer à tout.
      • Pour le Sens du trafic, sélectionnez Sortie.
      • Pour l'option Action en cas de correspondance, sélectionnez Refuser.

      • Pour le champ Journaux, sélectionnez Activé.

        Remarque : L'activation des journaux peut générer un grand nombre de journaux, ce qui peut entraîner des coûts plus élevés.

      • Pour le Contexte réseau de destination, sélectionnez Tous les contextes réseau.

      • Dans la section Destination, pour le champ Type d'adresse IP, sélectionnez IPv4. Dans le champ Plages d'adresses IP, saisissez 0.0.0.0/0.

      • Pour Protocoles et ports, sélectionnez Tout autoriser.

      • Pour le champ Application, sélectionnez Activé.

   4. Cliquez sur Créer.

Tester la stratégie de pare-feu

Dans cette section, vous allez tester la stratégie de pare-feu de réseau au niveau mondial.

Pour vérifier que vm-fw-rules-client peut envoyer du trafic à vm-fw-rules-server, procédez comme suit :

1. Dans la Google Cloud console, accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Cliquez sur SSH pour vm-fw-rules-client.

3. Dans la boîte de dialogue SSH dans votre navigateur, cliquez sur Autoriser et attendez que la connexion soit établie.

4. Pour vérifier que la connexion a réussi, exécutez la commande suivante :

   curl <IP_vm-fw-rules-server> -m 2

   Remplacez IP_vm-fw-rules-server par l'adresse IP interne de la vm-fw-rules-server VM.

Pour vérifier que le trafic sortant de n'importe quelle VM du réseau VPC est bloqué, procédez comme suit :

1. Dans la Google Cloud console, accédez à la page Instances de VM.

   Accéder à la page Instances de VM

2. Cliquez sur SSH pour vm-fw-rules-server.

3. Dans la boîte de dialogue SSH dans votre navigateur, cliquez sur Autoriser et attendez que la connexion soit établie.

4. Pour vérifier que la connexion est arrivée à expiration, exécutez la commande suivante :

   curl <IP_vm-fw-rules-client> -m 2

   Remplacez IP_vm-fw-rules-client par l'adresse IP interne de la vm-fw-rules-client VM.