2.3.7.5. ファイアウォールルールの作成

デフォルトでは、Google Compute Engine はインスタンス間の接続をすべてブロックし、インスタンスからインターネットへの接続をすべてブロックします。httpd などのサービスのポートを開くには、ファイアウォールルールを手動で作成する必要があります。すべてのプロジェクトには、デフォルトの 3 つのファイアウォールがあります。

たとえば、インスタンスへの HTTP 要求を許可するには、以下の gcutil コマンドを使用して新しいファイアウォールを作成します。

$ gcloud compute firewall-rules create http-allow --allow tcp:80

上記のコマンドを実行すると、以下が可能になります。

ファイアウォールに関する情報を確認するには、次のコマンドを実行します。

$ gcloud compute firewall-rules list
NAME                   NETWORK SRC_RANGES    RULES                        SRC_TAGS TARGET_TAGS
default-allow-icmp     default 0.0.0.0/0     icmp
default-allow-internal default 10.240.0.0/16 tcp:1-65535,udp:1-65535,icmp
default-allow-rdp      default 0.0.0.0/0     tcp:3389
default-allow-ssh      default 0.0.0.0/0     tcp:22
http-allow             default 0.0.0.0/0     tcp:80

適切な addfirewall フラグを使用して、ソースとターゲットを特定の呼び出し元およびインスタンスに制限することができます。サポートされるフラグの完全な一覧を表示するには、gcutil help addfirewall コマンドを実行するか、https://cloud.google.com/sdk/gcloud/reference/compute/firewall-rules/ を参照してください。

ファイアウォールは、インスタンスへの受信トラフィックのみを調整します。送信パケットをブロックできません。インスタンスで接続を確立すると、トラフィックはその接続上の両方で許可されます。インスタンスが送信パケットを送信できないようにするには、iptables 等の別のテクノロジーを使用します。