デフォルトでは、Cloud Firewall はアクセス制御ポリシーが設定されていない場合、すべてのトラフィックを許可します。資産への不正アクセスを管理するために、ポリシーを作成して特定のトラフィックをブロックまたは許可します。このトピックでは、Cloud Firewall のアクセス制御ポリシーの仕組みと、その利用に関する課金方法について説明します。
概要
Cloud Firewall は、インターネット境界、NAT 境界、VPC 境界、ホスト境界向けのアクセス制御ポリシーを提供します。さまざまなファイアウォールに対してアクセス制御ポリシーを設定することで、不正なトラフィックをブロックし、多層的なセキュリティ分離を構築できます。このトピックで説明する原則は、インターネット境界、NAT 境界、VPC 境界のアクセス制御ポリシーにのみ適用されます。
ホスト境界のアクセス制御ポリシーについては、「セキュリティグループの設定」をご参照ください。
ポリシーの要素
アクセス制御ポリシーは、さまざまなトラフィック要素を識別して照合し、対応するトラフィックを許可または拒否できます。
パラメーター | 説明 | 設定タイプ | サポートされるポリシー |
ソース | ネットワーク接続の送信元。 |
|
|
宛先 | ネットワーク接続の宛先。 | IP、IP アドレス帳、ドメイン名、リージョンをサポートします。
|
|
プロトコルの種類 | トランスポート層プロトコル。 | TCP、UDP、ICMP、ANY をサポートします。 特定のプロトコルの種類が不明な場合は、[ANY] を選択できます。 | すべてのポリシー：すべての種類をサポートします。 |
ポート | 宛先ポート。 | 宛先ポートに基づいてトラフィックを制御します。個別のポートを指定するか、ポートアドレス帳を使用できます。 |
|
アプリケーション | アプリケーション層プロトコル。 | HTTP、HTTPS、SMTP、SMTPS、SSL、FTP、IMAPS、POP3S など、さまざまなプロトコルをサポートしています。特定のアプリケーションが不明な場合は、[ANY] を選択できます。 説明 Cloud Firewall はポートに基づいて TLS および SSL トラフィックのアプリケーションタイプを識別します。
| 選択したプロトコルの種類によって異なります。 |
仕組み
アクセス制御ポリシーを設定しない場合、Cloud Firewall はデフォルトですべてのトラフィックを許可します。
アクセス制御ポリシーを設定すると、Cloud Firewall は優先度の高い順にポリシーとトラフィックを照合します。トラフィックがいずれかのポリシーに一致した場合、そのポリシーで指定されたアクションが実行され、それ以降のポリシーは評価されません。一致が見つからない場合、Cloud Firewall は次のポリシーに進みます。トラフィックが設定済みのどのアクセス制御ポリシーにも一致しない場合、デフォルトで許可されます。
アクセス制御ポリシーを作成、変更、または削除した後、Cloud Firewall がエンジンにポリシーをデプロイするまでに約 3 分かかります。
アクセス制御ポリシーの優先度の値が小さいほど、その優先度は高くなります。最適な照合を確実にするために、頻繁に照合される、より具体的なポリシーには高い優先度を設定してください。
次の図は、アクセス制御ポリシーの仕組みを示しています。
ポリシーアクション
各アクセス制御ポリシーには、許可、監視、拒否の 3 つのアクションのいずれかがあります。トラフィックがポリシーに一致すると、Cloud Firewall は指定されたアクションを実行します。
ポリシーのアクションが 監視 に設定されている場合、一致が発生してもトラフィックは通過を許可されます。一定期間トラフィックを観察した後、必要に応じてアクションを 許可 または 拒否 に変更できます。
トラフィックログ ページでトラフィックデータを確認できます。詳細については、「ログ監査」をご参照ください。
使用済みクォータ
アクセス制御ポリシーを設定すると、Cloud Firewall は、ソース、宛先、プロトコルの種類、ポート、およびアプリケーションの各フィールドで指定されたオブジェクトの数に基づいて、各ポリシーの使用済みクォータを計算します。
計算方法
使用済みクォータは、次の式を使用して計算されます：
ポリシーごとの使用済みクォータ = (ソースアドレスの数) × (宛先アドレスの数) × (ポート範囲の数) × (アプリケーションの数)
各ポリシーの使用済みクォータは、アクセス制御ポリシーリストの 占有仕様数 列で確認できます。
合計使用クォータ = すべてのアクセス制御ポリシー (インバウンドポリシーとアウトバウンドポリシーを含む) の使用済みクォータの合計
クォータの使用状況は、アクセス制御ポリシーページの上部で確認できます。たとえば、インターネット境界の使用状況は次のように表示されます：
[Used quota] エリアには、[Used quota/Total quota] (例：14/10000) と [Expanded quota] (例：0/0) が表示されます。[Upgrade] をクリックしてクォータを増やすことができます。
課金
Cloud Firewall のサブスクリプション版 (Premium、Enterprise、Ultimate) には、アクセス制御ポリシーのデフォルトクォータが含まれています。デフォルトのクォータでは不十分な場合は、必要に応じて拡張できます。
拡張クォータは、インターネット、NAT、VPC の各境界ファイアウォール間で共有されます。詳細については、「サブスクリプション 2.0」をご参照ください。
Cloud Firewall の従量課金版では、使用済みクォータの上限は、インターネット境界のアクセス制御ポリシーで最大 2,000、NAT 境界ポリシーで最大 2,000、VPC 境界ポリシーで最大 10,000 です。このクォータは現在拡張できません。詳細については、「従量課金 2.0」をご参照ください。
計算例
関連ドキュメント
パブリックアセットとインターネット間のトラフィックを管理する方法については、「インターネット境界のアクセス制御ポリシーの設定」をご参照ください。
プライベートアセットからインターネットへのトラフィックを管理する方法については、「NAT 境界のアクセス制御ポリシーの設定」をご参照ください。
VPC 間、および VPC とオンプレミスデータセンター間のトラフィックを管理する方法については、「VPC 境界のアクセス制御ポリシーの設定」をご参照ください。
ECS インスタンス間のトラフィックを管理する方法については、「セキュリティグループの設定」をご参照ください。
アクセス制御ポリシーの設定ルールとユースケースの例については、「アクセス制御ポリシー設定の例」をご参照ください。
Cloud Firewall と Bastionhost の両方をデプロイしている場合は、Bastionhost からのアクセスを意図せずブロックしないように、アクセス制御ポリシーを正しく設定する必要があります。詳細な手順については、「Cloud Firewall と Bastionhost を併用する場合のアクセス制御ポリシーのベストプラクティス」をご参照ください。