GCP VPC, Firewall-Regeln und Cloud NAT auf STACKIT

Eine Firewall-Regel, als Security Group neu geschrieben

Ein kleines Netzwerk, für diese Seite geschrieben und am 4. November 2026 von StackToIT bewertet: zwei Subnetze, vier Firewall-Regeln, ein Cloud Router mit Cloud NAT und eine reservierte Adresse. Links die HTTPS-Regel der Eingabe, rechts die Ressourcenblöcke des STACKIT-Terraform, die der Lauf geschrieben hat; die Prüfkommentare über jedem Block in der Datei sind hier ausgelassen.

resource "google_compute_firewall" "web_https" {
  name      = "allow-https-web"
  network   = google_compute_network.core.name
  direction = "INGRESS"
  priority  = 1000

  allow {
    protocol = "tcp"
    ports    = ["443"]
  }

  source_ranges = ["0.0.0.0/0"]
  target_tags   = ["web"]
}

resource "stackit_security_group" "web_https" {
  project_id = var.project_id
  name       = "allow-https-web"
}

resource "stackit_security_group_rule" "web_https_allow_https_web" {
  project_id        = var.project_id
  security_group_id = stackit_security_group.web_https.security_group_id
  direction         = "ingress"
  ether_type        = "IPv4"
  ip_range          = "0.0.0.0/0"
  port_range = {
    max = 443
    min = 443
  }
  protocol = {
    name = "tcp"
  }
}

• Richtung, Bereich und Port bleiben

  Die Ingress-Regel für TCP 443 von 0.0.0.0/0 wird zu einer Regel einer Security Group mit gleichem Bereich und Port.

• Das Ziel-Tag nicht

  Die Quelle wendet die Regel auf Instanzen mit dem Tag web an. STACKIT kennt keinen Tag-Selektor, deshalb lässt der Lauf eine Entscheidung offen: welche Netzwerkschnittstellen diese Gruppe führen.

• Die Priorität entfällt

  Security-Group-Regeln auf STACKIT haben keine Priorität; der Lauf hält fest, dass die Reihenfolge, auf die sich die Quelle verließ, nicht übernommen wird.

Cloud NAT und die Egress-Deny-Regel

Der Teil des Netzwerks, in dem sich die Modelle am stärksten unterscheiden. Links das Ende der Eingabedatei: die Regel, die ausgehendes SMTP sperrt, der Cloud Router, die reservierte Adresse und das NAT-Gateway. Rechts der eine Block, den der Lauf dafür geschrieben hat.

resource "google_compute_firewall" "deny_egress_smtp" {
  name      = "deny-egress-smtp"
  network   = google_compute_network.core.name
  direction = "EGRESS"
  priority  = 900

  deny {
    protocol = "tcp"
    ports    = ["25"]
  }

  destination_ranges = ["0.0.0.0/0"]
}

resource "google_compute_router" "core" {
  name    = "core-router"
  region  = "europe-west3"
  network = google_compute_network.core.id
}

resource "google_compute_address" "nat" {
  name   = "core-nat-ip"
  region = "europe-west3"
}

resource "google_compute_router_nat" "core" {
  name                               = "core-nat"
  router                             = google_compute_router.core.name
  region                             = "europe-west3"
  nat_ip_allocate_option             = "MANUAL_ONLY"
  nat_ips                            = [google_compute_address.nat.self_link]
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
}

resource "stackit_public_ip" "nat" {
  project_id = var.project_id
}

• Die reservierte Adresse wird zur Public IP

  Der Lauf stuft sie als DIRECT ein und vermerkt, dass sich die Adresse selbst ändert; DNS-Einträge und Freigabelisten von Partnern müssen angepasst werden.

• Das NAT-Gateway hat keinen Block

  Ausgehender Zugriff für Server ohne Public IP gehört zum STACKIT-Netzwerk. Der Lauf hält fest, dass eine feste Ausgangsadresse, die Partner freigeben, so nicht erhalten bleibt.

• Die Deny-Regel ist ein Redesign

  Eine Security Group erlaubt nur. Der Lauf stuft die Regel als REDESIGN ein und beschreibt, wie sich die Absicht mit expliziten Egress-Regeln nachbauen lässt.

So wird die Netzwerkumgebung abgebildet

Jede Zeile ist eine Einheit des Laufs auf der Beispielumgebung: zehn Ressourcen gelesen, neun Migrationseinheiten. Der Cloud Router hat keine eigene Einheit; an ihm hängt die NAT-Konfiguration.

Klassen, wie der Lauf sie entschieden hat. Das Beispiel hat keine Lock-Datei für den Google-Provider; deshalb bleibt jede Einheit höchstens bei mittlerer Konfidenz, die Egress-Deny-Regel steht auf niedrig.

Wo die beiden Modelle im Alltag auseinanderlaufen

Die Google-Cloud-Spalte folgt der Dokumentation zu VPC-Firewall und Cloud NAT, die STACKIT-Spalte der Dokumentation zu Security Groups, Public IPs und Netzwerken sowie, wo sie es ausdrücklich sagt, der Ausgabe des Laufs.

Die Reihenfolge, die funktioniert

Praxis, verknüpft mit den Dateien, die der Lauf schreibt.

1. 01

   Regeln danach erfassen, was sie auswählen

   Lesen Sie jede Firewall-Regel nach Ziel (alle Instanzen, Tags oder Service Accounts), Richtung und Priorität. Der Lauf behält eine Security Group je Regel; die Befunde zeigen, welche per Tag auswählen.

2. 02

   Netzwerkaufbau festlegen

   Subnetze werden zu Netzwerken. Müssen sie projektübergreifend privat miteinander kommunizieren, kommen sie in eine Network Area; die Bereiche werden dann aus der Area vergeben.

3. 03

   Gruppen an Schnittstellen anbinden

   Die manuellen Schritte des Laufs in execution/manual/actions.md führen auf, welche Netzwerkschnittstellen jede Gruppe nennen. Lösen Sie jedes Tag in eine Gruppe oder in Bereiche auf.

4. 04

   Deny-Regeln nachbauen

   Löschen Sie bei einem Egress-Deny nach dem Anwenden die Standard-Egress-Regeln und legen Sie für jedes Ziel, das die Quelle weiterhin erlaubt, eine Egress-Regel an.

5. 05

   Ausgangsadresse klären

   Gibt ein Partner Ihre NAT-Adressen frei, geben Sie den Servern, die ihn aufrufen, eine Public IP und melden Sie die neue Adresse vor dem Cutover.

6. 06

   Nach einer Minute prüfen

   Testen Sie die Erreichbarkeit mit den neuen Regeln und warten Sie die Verteilung ab, bevor Sie eine Regel bewerten.

Fragen von Netzwerkteams

Quellen

• Google Cloud: VPC-Firewallregeln
• Google Cloud: Überblick über Cloud NAT
• STACKIT-Dokumentation: Konzepte von Security Groups
• STACKIT-Dokumentation: Konzepte öffentlicher IP-Adressen
• STACKIT-Dokumentation: Konzepte von Network Areas
• Google Cloud: IAP für TCP-Weiterleitung verwenden
• STACKIT-Terraform-Provider v0.121.0: stackit_security_group_rule