谷歌云防火墙是否默认阻止子网间流量？

Question

GCP 防火墙具有默认的隐含规则来阻止所有入口并允许所有出口。这适用于 VPN 之外的外部流量。

但这是否会在默认情况下阻止单个 VPN 中子网之间的流量？

Answer 1

大多数情况下是的，默认情况下，给定 VPC 网络上的子网之间的流量是不允许的（除了在您的项目中自动创建的 default 网络上）。

请注意，这实际上会阻止 所有 实例之间的流量，而不仅仅是子网之间的流量。因此，重点实际上是实例，而不是子网——但默认情况下，不同子网上的实例（default 网络除外）上的实例将无法通信。

请记住，VPC 防火墙规则是 enforced at the instance level，即使它的配置是在网络级别。

虽然规则在实例级别强制执行，但其配置与 VPC 网络相关联。

如您所见，implied rules 只有两个：

• 允许所有出口（到任何其他地址，包括内部）
• 拒绝所有入口（来自任何其他地址，包括内部）

只有default 网络上还有default rules。

• 允许内部流量 (default-allow-internal) -- 此规则允许实例之间的流量（无论子网如何）
• 允许来自任何来源的 ssh 入口
• 允许任何来源的 rdp 入口
• 允许任何来源的 icmp 进入

因此，在非default 网络上，您需要创建与default-allow-internal 规则等效的规则（允许来自网络上所有 IP 的所有协议到网络上的任何实例）。