建立 App Engine 防火牆規則

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

請執行下列 gcloud app firewall-rules 指令來建立防火牆規則：

1. 執行下列指令來建立防火牆規則：

   gcloud app firewall-rules create PRIORITY --action ALLOW_OR_DENY --source-range IP_RANGE --description DESCRIPTION

   where：
   • PRIORITY 是介於 1 和 2147483646 之間的整數，用來定義規則的重要性和評估順序。優先順序為 1 的規則會最先受到評估，優先順序 2147483647 則保留給「預設」規則，這項規則最後才會受到評估。
   • ALLOW_OR_DENY 指定要允許或拒絕符合規則的存取要求。有效值為 allow 或 deny。設為 allow 的規則會將要求轉送至應用程式，而設為 deny 的規則會以 403 Forbidden 錯誤來回應要求。
   • IP_RANGE 定義適用於該規則的 IP 位址範圍。IP 範圍必須以 CIDR 標示法來定義，且可包含子網路遮罩，同時支援 IPv4 和 IPv6。
   • DESCRIPTION 是選填的規則說明，長度不超過 100 個字元。
2. 執行下列指令來測試規則，以確保優先順序和動作會提供合乎您預期的行為：

   gcloud app firewall-rules test-ip IP_ADDRESS

   其中 IP_ADDRESS 是您要用來測試防火牆規則的 IP 位址。
3. 執行下列指令，來查看現有規則的清單：

   gcloud app firewall-rules list

4. 執行下列指令，刪除某個現有的規則：

   gcloud app firewall-rules delete PRIORITY

   其中 PRIORITY 是待刪除規則的優先順序值。

範例：

以下範例可協助您建立防火牆：

• 新增允許 IPv6 位址和子網路遮罩的規則，接著進行測試，確保其評估順序高於其他規則：

  gcloud app firewall-rules create 123 --source-range fe80::3636:3bff:fecc:8778/128 --action allow
  gcloud app firewall-rules test-ip fe80::3636:3bff:fecc:8778

• 新增拒絕 IPv4 位址和子網路遮罩的規則，接著進行測試，確保系統會正確評估這項規則：

  gcloud app firewall-rules create 123456 --source-range "74.125.0.0/16" --action deny
  gcloud app firewall-rules test-ip 74.125.0.8

• 更新並測試預設規則，確保這項規則會限制所有不符合其他任何規則的 IP 位址：

  gcloud app firewall-rules update default --action deny
  gcloud app firewall-rules test-ip 123.456.7.89

如要透過程式建立 App Engine 應用程式的防火牆規則，您可以使用 Admin API 中的 apps.firewall.ingressRules 方法。

如要測試防火牆規則並確保優先順序和動作符合預期行為，您可以使用 apps.firewall.ingressRules.list 方法，並在 matchingAddress 參數中指定要測試的 IP 位址。