GCP：防火墙规则限制

Question

如果我理解正确，那么 - 此配额表示您可以为项目中的所有 VPC 网络创建的防火墙规则的数量。 每个项目的最大防火墙规则数：500（默认） 您无法增加此配额。

但在这种情况下，我有以下问题： 我如何才能知道我的项目中已经使用了多少？ 它取决于什么？这是怎么来的？

Answer 1

Firewall 是一个网络安全系统，它根据预定的安全规则监视和控制传入和传出的网络流量。这些规则被视为防火墙规则。在 GCP 中，防火墙规则允许您根据指定的配置允许或拒绝进出您的虚拟机 (VM) 实例的流量。更多关于firewall rules in GCP的信息。

强制执行默认 GCP 防火墙规则，保护您的实例，无论其配置和操作系统如何，即使它们尚未启动。您可以在 GCP 项目 > 网络 > VPC 网络 > 防火墙规则中查看默认规则。如果您仔细观察，您会发现这些规则将使您能够根据流量的协议、端口、来源和目的地来定位特定类型的流量。

您可以为您的项目检查防火墙规则quotas。 Google 已为防火墙规则等资源创建了项目级别配额，以便将所有客户配置保持在 GCP 内部限制范围内，但是，不要将其视为您可以在 VPC 网络中创建的防火墙规则的最大数量。每个 VPC 的防火墙规则没有硬性限制，但是基于 GCP 项目中的多个因素的软性限制，例如防火墙规则的复杂性（例如 - 使用源标签的入口规则比使用单个标签的入口规则更复杂）源 IP 范围）。

最好在创建与您的 GCP 项目不同的防火墙规则时考虑要求，而不是限制。

Answer 2

防火墙规则是对您希望允许/拒绝的内容的描述。正如您所说，您可以定义多少不同的规则是有配额的。但是，该规则的“应用”没有配额。当向您的网络发出请求时，有效的规则集将与该请求相匹配。这是规则的“应用”。可以应用规则的次数没有限制或配额。您可以定义的规则数量的配额与运行时查询这些规则的频率之间没有关系。

尝试进一步澄清......

假设您有一个在 GCP 内运行的应用程序正在侦听端口 12345。默认情况下，进入您的 GCP VPC 网络的所有传入流量都被阻止。您可以创建一个规则来定义允许到端口 12345 的 TCP 流量。这将是单个规则的示例。

为了安全起见，您可能希望只允许来自特定 IP 范围的 SSH 流量进入您的计算引擎。您可以定义第二条规则，说明端口 222 上的 TCP 流量只允许来自指定的 IP 范围。这将是另一个单一规则的示例。

如果这些是您唯一的规则，那么您将总共定义两个规则。您可以为每个项目创建 500 个此类规则。这通常远远超出您的需要。

区分您创建的规则数量与尝试访问您的网络的次数。每次访问您的网络的尝试都将应用所有这些规则。应用规则的次数没有配额...仅适用于您定义的规则总数。