🛡 ネットワーク防御のレイヤー構造

Cloud Armor → Cloud NGFW → Secure Web Proxy → VPC-SC → Packet Mirroring のレイヤード防御を 1 枚で理解する。

外部からのトラフィック (ingress) フロー

Internet ① Cloud Armor (Edge / Backend security policy) ② Global / Regional External Application LB ③ Cloud NGFW (Hierarchical → Network → VPC firewall rules) ④ Backend (GKE / GCE / Cloud Run via NEG)

内部からのトラフィック (egress) フロー

VM / Pod (VPC subnet) Cloud NGFW (egress policy + Threat Intelligence) Cloud NAT (L4) IP/Port、固定 egress IP Secure Web Proxy (L7) URL/Host allow list、TLS 検査 Internet

L4 vs L7 防御の比較

L4 (Cloud NAT, VPC firewall rules, Cloud Armor for NLB)

  • IP / Port / Protocol で制御
  • 低オーバーヘッド
  • Cloud Armor Advanced Network DDoS で NLB 保護

L7 (Cloud Armor for App LB, Cloud NGFW Enterprise, SWP)

  • URL / Host / Method / Header / Body で制御
  • WAF, IPS, TLS 検査
  • Cloud NGFW Enterprise が L7 inspection の決定打

Cloud NGFW 3 ティア比較表

機能EssentialsStandardEnterprise
IP/Port/Protocol✅✅✅
Tag / Service account✅✅✅
Hierarchical policy✅✅✅
FQDN object✗✅✅
GeoIP✗✅✅
Threat Intelligence✗✅✅
L7 TLS inspection✗✗✅
IPS (Palo Alto signature)✗✗✅

VPC-SC は別の概念

注意: VPC Service Controls はネットワーク (L3/L4/L7) ではなく API レベル境界。 BigQuery / Cloud Storage 等の API に対する access boundary を作る。 パケットを drop するわけではなく、API service principal レベルで deny します。

「VPC-SC = API ファイアウォール」のメンタルモデルで覚える。

確認問題

Q. egress で *.github.com のみ allow したい (L7)。

C。 SWP は L7 URL/Host allow list の正解。NGFW Standard の FQDN object も近いが、URL レベルは SWP。