Google Compute Engineのファイヤーウォールを理解する #gcpja

2014-08-19 about Cloud, GCE

ども、takiponeです。

Google Compute Engineには、AWSのセキュリティグループに相当するファイヤーウォール機能があります。今回は、AWSセキュリティグループとの比較と基本的な使い方をご紹介してみます。

ファイヤーウォールの概要

名前の通り、VMインスタンスと他のホストとの通信を制御するセキュリティ機能です。OSには依存せず、VMインスタンスの外側、GCEのネットワークインフラで動作します。

AWSセキュリティグループとの比較

できることはほぼ同等です。共通の機能について以下の通り示します。

セミステートレスなので片方向の定義でよい
複数のVMインスタンスに共通の設定を適用できる
IPアドレスに拠らないターゲット指定ができる
拒否ルールは設定できない

AWSセキュリティグループは、ファイヤーウォールのルールセットとアクセス許可のターゲットをセットにして1つのグループ設定として扱います。そのため、｢特に許可するルールは必要ないが、ターゲットとしてのみ指定したい｣という場合に「ルールセットが空のグループ」を設定することになってしまい、なんだかなぁと思うこともありました。図示するイメージとしては、通信先のグループ設定で通信元ホストおよびポート番号を指定する感じです。

AWSセキュリティグループのイメージ

一方、GCEファイヤーウォールでは、通信元/通信先のターゲットをルールセットとは別に定義します。ターゲットはタグとして、VMインスタンスにあらかじめ付与しておきます。そして、ファイヤーウォールルールの設定時にルールセットとタグを組み合わせて指定します。図のイメージとしては、タグのついたVMインスタンス同士をファイヤーウォールルールで結ぶような感じです。送信元は、タグの他に任意のCIDR(0.0.0.0/0など)を指定することももちろん可能です。

GCEファイヤーウォールのイメージ

雑感としては、AWSセキュリティグループの方がより簡素な作り、GCEファイヤーウォールは少し複雑ですが、従来のネットワーク機器のファイヤーウォール設定に近く、程よく抽象化されている印象です。GCEファイヤーウォールは、AWSセキュリティグループの構成に慣れている方は少し違和感を感じるかもしれません。対して、ネットワーク機器に慣れている方には取っ付きやすそうです。

では、ここからは設定方法を見ていきましょう。

ファイヤーウォールルールの作成

ファイヤーウォールルールの一覧は、Developer Consoleのネットワークのプロパティ画面にあります。

ルールの追加は、一覧の右側にある[新規作成]リンクをクリックします。

任意の名前、説明と以下の要件を入力します。

ソースIPの範囲 : ルールで許可する送信元を指定します。初期値は0.0.0.0/0(全ホスト)、空欄の場合は許可なしになります。ソースタグとはorで評価されるため、ソースタグで送信元を絞る場合には空欄にします。
プロトコルとポート : 許可するプロトコル(tcp/udp/icmp)とポート番号をコロン(:)で区切って記述します。複数指定はセミコロン(;)区切り、ポート番号の複数指定はカンマ(,)、範囲指定はハイフン(-)で記述できます。
ソースタグ/ターゲットタグ : タグを付与したVMインスタンス単位で送信元/送信先の許可ホストを指定します。まだ未設定の架空のタグを指定することも可能です。