계층식 방화벽 정책 및 규칙 관리

계층식 방화벽 정책은 네트워크 트래픽을 세밀하게 제어할 수 있도록 지원합니다. 이 페이지에서는 계층식 방화벽 정책과 규칙을 관리하여 Google Cloud 리소스를 보호하는 방법을 설명합니다.

이 페이지를 읽기 전에 계층적 방화벽 정책 개요에 설명된 개념을 숙지해야 합니다. 계층식 방화벽 정책 구현 예시를 보려면 계층식 방화벽 정책 예시를 참조하세요.

방화벽 정책 작업

이 섹션에서는 계층식 방화벽 정책을 관리하는 방법을 설명합니다.

이 섹션에 나열된 작업으로 인해 발생하는 작업의 진행 상황을 확인하려면 IAM 주 구성원에게 각 작업에 필요한 권한 또는 역할 외에 다음 권한 또는 역할이 있는지 확인하세요.

정책 설명

정책 규칙 및 연결된 규칙 속성을 비롯한 계층식 방화벽 정책에 관한 세부정보를 볼 수 있습니다. 이러한 모든 규칙 속성은 규칙 속성 할당량의 일부로 계산됩니다. 자세한 내용은 방화벽 정책별 표의 '계층적 방화벽 정책별 규칙 속성'을 참고하세요.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다.

gcloud 

gcloud compute firewall-policies describe POLICY_NAME \
    --organization ORG_ID

정책 나열

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

    조직의 경우 이 조직과 연결된 방화벽 정책 섹션에 연결된 정책이 표시됩니다. 이 조직에 있는 방화벽 정책 섹션에는 조직이 소유한 정책이 나열됩니다.

    폴더의 경우 이 폴더와 연결되거나 이 폴더에 상속된 방화벽 정책 섹션에 폴더와 연결되거나 폴더에 상속된 정책이 표시됩니다. 이 폴더에 있는 방화벽 정책 섹션에는 이 폴더가 소유한 정책이 나열됩니다.

gcloud 

gcloud compute firewall-policies list \
    [--organization ORG_ID | --folder FOLDER_ID]

리소스의 연결 나열

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 선택한 리소스(조직 또는 폴더)의 경우 연결된 정책 및 상속된 정책 목록이 표시됩니다.

gcloud 

gcloud compute firewall-policies associations list \
    [--organization ORG_ID | --folder FOLDER_ID]

리소스 간 정책 이동

정책을 이동하면 정책의 상위 항목만 변경됩니다. 정책의 상위를 변경하면 정책에서 규칙을 만들고 업데이트할 수 있는 IAM 주 구성원과 향후 연결을 만들 수 있는 IAM 주 구성원이 변경될 수 있습니다.

정책을 이동해도 기존 정책 연결이나 정책의 규칙 평가는 변경되지 않습니다.

콘솔

이 절차에는 Google Cloud CLI를 사용합니다.

gcloud

다음 명령어를 실행하여 계층식 방화벽 정책을 조직으로 이동합니다.

gcloud compute firewall-policies move POLICY_NAME \
    --organization ORG_ID

다음 명령어를 실행하여 계층식 방화벽 정책을 조직의 폴더로 이동합니다.

gcloud compute firewall-policies move POLICY_NAME \
    --folder FOLDER_ID

다음을 바꿉니다.

  • POLICY_NAME: 이동할 정책의 닉네임 또는 시스템 생성 이름
  • ORG_ID: 정책이 이동되는 조직 ID
  • FOLDER_ID: 정책이 이동된 폴더 ID

정책 설명 업데이트

업데이트할 수 있는 유일한 정책 필드는 설명 필드입니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다.

  4. 수정을 클릭합니다.

  5. 설명을 수정합니다.

  6. 저장을 클릭합니다.

gcloud 

gcloud compute firewall-policies update POLICY_NAME \
    --description DESCRIPTION \
    --organization ORG_ID

연결 삭제

조직 또는 폴더와 연결된 계층식 방화벽 정책을 변경해야 하는 경우 연결된 기존 정책을 삭제하는 대신 새 정책을 연결하는 것이 좋습니다. 한 단계로 새 정책을 연결할 수 있으므로 계층식 방화벽 정책이 항상 조직 또는 폴더와 연결되도록 할 수 있습니다.

계층식 방화벽 정책과 조직 또는 폴더 간의 연결을 삭제하려면 이 섹션에 설명된 단계를 따르세요. 계층식 방화벽 정책의 규칙은 연결이 삭제된 후 새 연결에 적용되지 않습니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다.

  4. 연결 탭을 클릭합니다.

  5. 삭제하려는 연결을 선택합니다.

  6. 연결 삭제를 클릭합니다.

gcloud 

gcloud compute firewall-policies associations delete ASSOCIATION_NAME \
    --firewall-policy POLICY_NAME \
    --organization ORG_ID

정책 삭제

계층적 방화벽 정책을 삭제하려면 먼저 모든 연결을 삭제해야 합니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 삭제할 정책을 클릭합니다.

  4. 연결 탭을 클릭합니다.

  5. 모든 연결을 선택합니다.

  6. 연결 삭제를 클릭합니다.

  7. 연결을 모두 삭제한 후 삭제를 클릭합니다.

gcloud

다음 명령어를 사용하여 정책을 삭제합니다.

gcloud compute firewall-policies delete POLICY_NAME \
    --organization ORG_ID

방화벽 정책 규칙 태스크

이 섹션에서는 계층식 방화벽 정책 규칙을 관리하는 방법을 설명합니다.

정책 간 규칙 클론

타겟 정책에서 모든 규칙을 삭제하고 소스 정책의 규칙으로 바꿉니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 규칙을 복사하려는 정책을 클릭합니다.

  4. 화면 상단의 클론을 클릭합니다.

  5. 대상 정책의 이름을 입력합니다.

  6. 선택사항: 새 정책을 즉시 연결하려면 계속을 클릭하여 리소스와 정책 연결 섹션을 엽니다.

  7. 복제를 클릭합니다.

gcloud

gcloud compute firewall-policies clone-rules POLICY_NAME \
    --source-firewall-policy=SOURCE_POLICY \
    --organization=ORG_ID \

다음을 바꿉니다.

  • POLICY_NAME: 복사된 규칙을 받을 정책
  • SOURCE_POLICY: 규칙을 복사할 정책. 리소스의 URL이어야 합니다.
  • ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

규칙 설명

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다.

  4. 규칙의 우선순위를 클릭합니다.

gcloud

gcloud compute firewall-policies rules describe PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

  • POLICY_NAME: 새 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
  • ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

정책의 모든 규칙 나열

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다. 규칙이 방화벽 규칙 탭에 나열됩니다.

gcloud 

gcloud compute firewall-policies list-rules POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

  • POLICY_NAME: 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
  • ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

규칙 업데이트

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 계층적 방화벽 정책이 포함된 조직 또는 폴더를 선택합니다.

  3. 업데이트할 규칙이 포함된 계층식 방화벽 정책의 이름을 클릭합니다.

  4. 규칙의 우선순위를 클릭합니다.

  5. 수정을 클릭합니다.

  6. 변경하려는 방화벽 규칙 필드를 수정합니다. 각 필드에 관한 설명은 다음 중 하나를 참고하세요.

  7. 저장을 클릭합니다.

gcloud 

gcloud compute firewall-policies rules update PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization ORG_ID \
    [...other flags that you want to modify...]

다음을 바꿉니다.

  • PRIORITY: 규칙을 고유하게 식별하는 우선순위 번호입니다.
  • POLICY_NAME: 규칙이 포함된 정책의 이름입니다.
  • ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

수정하려는 플래그를 제공합니다. 플래그 설명은 다음 중 하나를 참고하세요.

규칙 삭제

정책에서 규칙을 삭제하면 규칙의 대상에 대한 새 연결 또는 규칙의 대상으로부터의 새 연결에 더 이상 규칙이 적용되지 않습니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 프로젝트 선택기 메뉴에서 조직 ID 또는 정책이 포함된 폴더를 선택합니다.

  3. 정책을 클릭합니다.

  4. 삭제하려는 규칙을 선택합니다.

  5. 삭제를 클릭합니다.

gcloud 

gcloud compute firewall-policies rules delete PRIORITY \
    --firewall-policy=POLICY_NAME \
    --organization=ORG_ID

다음을 바꿉니다.

  • PRIORITY: 정책에서 삭제하려는 규칙의 우선순위입니다.
  • POLICY_NAME: 규칙이 포함된 계층적 방화벽 정책의 이름입니다.
  • ORG_ID: 계층적 방화벽 정책이 포함된 조직 ID입니다.

네트워크에 유효한 방화벽 규칙 가져오기

VPC 네트워크의 모든 리전에 적용되는 모든 계층식 방화벽 정책 규칙, VPC 방화벽 규칙, 전역 네트워크 방화벽 정책 규칙을 볼 수 있습니다.

콘솔

  1. Google Cloud 콘솔에서 VPC 네트워크 페이지로 이동합니다.

    VPC 네트워크로 이동

  2. 방화벽 정책 규칙을 보려는 네트워크를 클릭합니다.

  3. 방화벽을 클릭합니다.

  4. 각 방화벽 정책을 펼쳐서 이 네트워크에 적용되는 규칙을 확인합니다.

gcloud 

gcloud compute networks get-effective-firewalls NETWORK_NAME

NETWORK_NAME을 유효한 규칙을 보려는 네트워크로 바꿉니다.

방화벽 페이지에서 네트워크에 유효한 방화벽 규칙을 볼 수도 있습니다.

콘솔

  1. Google Cloud 콘솔에서 방화벽 정책 페이지로 이동합니다.

    방화벽 정책으로 이동

  2. 방화벽 정책은 이 프로젝트에서 상속된 방화벽 정책 섹션에 나열됩니다.

  3. 각 방화벽 정책을 클릭하여 이 네트워크에 적용되는 규칙을 확인합니다.

VM 인터페이스에 유효한 방화벽 규칙 가져오기

Compute Engine VM의 네트워크 인터페이스에 적용되는 모든 관련 방화벽 정책 및 VPC 방화벽 규칙의 모든 방화벽 규칙을 볼 수 있습니다.

콘솔

  1. Google Cloud 콘솔에서 VM 인스턴스 페이지로 이동합니다.

    VM 인스턴스로 이동

  2. 프로젝트 선택기 메뉴에서 VM이 포함된 프로젝트를 선택합니다.

  3. VM을 클릭합니다.

  4. 네트워크 인터페이스에서 인터페이스를 클릭합니다.

  5. 유효한 방화벽 규칙은 네트워크 구성 분석 섹션에서 사용할 수 있는 방화벽 탭에 표시됩니다.

gcloud 

gcloud compute instances network-interfaces get-effective-firewalls INSTANCE_NAME \
    [--network-interface INTERFACE] \
    [--zone ZONE]

다음을 바꿉니다.

  • INSTANCE_NAME: 유효한 규칙을 보려는 VM입니다. 인터페이스를 지정하지 않으면 명령어에서 기본 인터페이스(nic0)의 규칙을 반환합니다.
  • INTERFACE: 유효한 규칙을 보려는 VM 인터페이스입니다. 기본값은 nic0입니다.
  • ZONE: VM의 영역입니다. 선택한 영역이 이미 기본값으로 설정되어 있으면 이 줄은 선택사항입니다.

문제 해결

이 섹션에는 계층적 방화벽 정책을 만들 때 발생할 수 있는 오류 메시지에 대한 설명이 포함되어 있습니다.

  • FirewallPolicy may not specify a name. One will be provided.

    정책 이름을 지정할 수 없습니다. 계층식 방화벽 정책 '이름'은 정책이 생성될 때 Google Cloud 에서 생성된 숫자 ID입니다. 그러나 여러 컨텍스트에서 별칭 역할을 하는 친숙한 닉네임을 지정할 수 있습니다.

  • FirewallPolicy may not specify associations on creation.

    연결은 계층식 방화벽 정책이 생성된 후에만 만들 수 있습니다.

  • Can't move firewall policy to a different organization.

    계층식 방화벽 정책을 이동하려면 동일한 조직 내에 있어야 합니다.

  • The attachment already has an association. Please set the option of replacing existing association to true if you want to replace the old one.

    리소스가 이미 계층식 방화벽 정책에 연결된 경우 기존 연결을 교체하는 옵션이 true로 설정되어 있지 않으면 연결 작업이 실패합니다.

  • Can't have rules with the same priorities.

    규칙의 우선순위는 계층식 방화벽 정책 내에서 고유해야 합니다.

  • Direction must be specified for a firewall policy rule.

    REST 요청을 직접 전송하여 계층식 방화벽 정책 규칙을 만들 때 규칙 방향을 지정해야 합니다. Google Cloud CLI를 사용하고 방향을 지정하지 않으면 기본값은 INGRESS입니다.

  • Can't specify enable_logging on a goto_next rule.

    goto_next 작업은 다른 방화벽 정책의 평가 순서를 나타내는 데 사용되고 ALLOW 또는 DENY의 터미널 작업이 아니므로 방화벽 로깅은 goto_next 작업이 포함된 방화벽 규칙에 허용되지 않습니다.

  • Must specify at least one destination on Firewall policy rule.

    방화벽 정책 규칙의 layer4Configs 플래그는 하나 이상의 프로토콜 또는 프로토콜 및 대상 포트를 지정해야 합니다.

    방화벽 정책 규칙 문제 해결에 대한 자세한 내용은 VPC 방화벽 규칙 문제 해결을 참조하세요.

다음 단계