Cloud Next Generation Firewall（Cloud NGFW）は、分散型の最新のクラウド ファイアウォール サービスです。 Google Cloud で実行されるアプリケーションやサービス、 Google Cloudリソースを使用するアプリケーションやサービスなどの Google Cloud ワークロードを保護できます。
Cloud NGFW は、North-South トラフィック（Virtual Private Cloud（VPC）ネットワークの出入り）と East-West トラフィック（VPC ネットワーク内のリソース間の通信）の両方に対して、ステートフル インスペクションとレイヤ 7 アプリケーション制御を提供します。高度なセキュリティを実現するため、Cloud NGFW には侵入検知および防止サービス、高度なマルウェア サンドボックス（WildFire）、URL フィルタリング サービスが含まれています。侵入検知および防止サービスは、アプリケーション レイヤでトラフィックを検査して、ネットワークベースの脅威を特定してブロックします。URL フィルタリング サービスを使用すると、URL をブロックまたは許可することで、ウェブサイトやウェブページへのアクセスを制御できます。
このドキュメントでは、Cloud NGFW の機能、サービスティア、Cloud NGFW がサポートするさまざまなネットワークの概要について説明します。
Cloud NGFW の主な機能
Cloud NGFW には、次の主なセキュリティ機能があります。
分散ファイアウォール サービス。Cloud NGFW は、VPC ネットワーク内の VM インスタンス、VM ベースのリソース、サポートされているロードバランサにファイアウォール ルールを適用して、トラフィックの許可、トラフィックの拒否、トラフィックの検査への送信を行います。
グローバル ネットワーク ファイアウォール ポリシーとリージョン ネットワーク ファイアウォール ポリシー。Cloud NGFW では、ファイアウォール ルールをポリシー オブジェクトにグループ化して、複数の Virtual Private Cloud（VPC）ネットワークにグローバルまたは特定のリージョン内で一貫して適用できます。詳細については、グローバル ネットワーク ファイアウォール ポリシーとリージョン ネットワーク ファイアウォール ポリシーをご覧ください。
階層型ファイアウォール ポリシー。Cloud NGFW を使用すると、ファイアウォール ルールをポリシー オブジェクトにグループ化して、組織全体または特定のフォルダに適用できます。これらのポリシーにより、 Google Cloudリソース階層全体で一貫性のあるファイアウォールが適用されます。詳細については、階層型ファイアウォール ポリシーをご覧ください。
多層セキュリティ。Cloud NGFW は、ネットワーク スタックのレイヤ 3、レイヤ 4、レイヤ 7 で制御を適用してワークロードを保護します。ネットワーク層とアプリケーション レイヤでトラフィックを制御するファイアウォール ルールを作成できます。
きめ細かい制御とマイクロセグメンテーション。マイクロセグメンテーションは、ネットワークを小さな個別のゾーンに分割して、ワークロードのゼロトラスト フレームワークを作成するセキュリティ手法です。セキュアタグを使用すると、マイクロセグメンテーションを有効にして、ID ベースのきめ細かいセキュリティ ルールを適用し、内部トラフィックと外部トラフィックの両方をフィルタリングできます。
ロードバランサとの統合: 上り（内向き）トラフィックを保護するため、Cloud NGFW は、内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサを強化するマネージド Envoy プロキシと統合されています。レイヤ 3 とレイヤ 4 のフィルタリングは、どちらのロードバランサ タイプにも適用できます。また、クロスリージョン内部アプリケーション ロードバランサにレイヤ 7（プレビュー）フィルタリングを適用することもできます。内部プロキシ ネットワーク ロードバランサは、レイヤ 7 検査をサポートしていません。
Cloud NGFW のティア
Cloud NGFW の機能は、次の階層に分類されます。
Cloud Next Generation Firewall Essentials: Google Cloud が提供する基本的なファイアウォール サービス階層。この階層の機能を使用すると、IP 範囲、ポート、プロトコルなどの標準のネットワーク属性に基づいてルールを作成できます。このティアの機能は無料で提供されます。
Cloud Next Generation Firewall Standard: 完全修飾ドメイン名（FQDN）オブジェクトや脅威インテリジェンスなどの高度な機能により、Essentials ティアの機能を拡張します。
- Cloud Next Generation Firewall Enterprise: Cloud NGFW の最上位ティア。URL フィルタリング、高度なマルウェア サンドボックス、侵入検知と侵入防止などの高度な構成とレイヤ 7 セキュリティ機能を提供します。
Cloud NGFW のティアシステムを使用すると、セキュリティ費用をきめ細かく管理できます。Cloud NGFW の機能、階層、料金の詳細については、Cloud NGFW の階層と Cloud NGFW の料金をご覧ください。
サポートされている VPC ネットワーク
Cloud NGFW は、次の VPC ネットワークをサポートしています。各ネットワークは、特定のワークロード要件とパフォーマンス プロファイルに合わせて設計されています。
通常の VPC ネットワーク: 通常の VPC ネットワークは、次の Cloud NGFW ファイアウォール ポリシーをサポートしています。
通常の VPC ネットワークは、VPC ファイアウォール ルールもサポートしています。
リモート ダイレクト メモリ アクセス（RDMA）ネットワーク: リージョン ネットワーク ファイアウォール ポリシーを適用することで、RDMA ネットワークを保護できます。
サポートされているロードバランサ
Cloud NGFW は、次の Envoy ベースのロードバランサもサポートしています。
| ポリシータイプ | Cloud NGFW ティア | サポートされているロードバランサ |
|---|---|---|
| グローバル ネットワーク ファイアウォール ポリシー | Essentials と Standard |
詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用して Envoy ベースのロードバランサを保護するをご覧ください。 |
| グローバル ネットワーク ファイアウォール ポリシー | Enterprise | クロスリージョン内部アプリケーション ロードバランサ（プレビュー） 詳細については、グローバル ネットワーク ファイアウォール ポリシーを使用して Envoy ベースのロードバランサを保護するをご覧ください。 |
| リージョン ネットワーク ファイアウォール ポリシー | Essentials と Standard |
詳細については、リージョン ネットワーク ファイアウォール ポリシーを使用して内部アプリケーション ロードバランサと内部プロキシ ネットワーク ロードバランサを保護するをご覧ください。 |
| リージョン ネットワーク ファイアウォール ポリシー | Enterprise | 非対応 |
| 階層型ファイアウォール ポリシー | すべての階層 | 非対応 |
| VPC ファイアウォール ルール | すべての階層 | 非対応 |