優先度は番号の小さい方が勝つ

VPC のファイアウォールの規則には、0〜65535 の優先度があり、既定は 1000 です。番号が小さいほど優先され、通信に当てはまる規則のうち、いちばん優先度の高いものが使われます。同じ優先度で許可と拒否がぶつかったら、拒否が勝ちます。

暗黙の規則と default ネットワーク

どの規則にも当てはまらない通信は、入ってくる方向（上り）は拒否、出ていく方向（下り）は許可になります。最初からある default ネットワークには、内部の通信・SSH・RDP・ICMP を許す4つの規則（優先度 65534）が入っています。規則はステートフルで、許した通信の戻りは自動で通ります。

対象を決める

規則を当てる VM は、すべてのインスタンス、ネットワークタグ、サービスアカウントのどれかで決めます。タグはだれでも付け替えやすいので、厳しく管理したいならサービスアカウントで決めます。複数の VPC や組織全体にまとめて当てたいなら、Cloud NGFW（Cloud Next Generation Firewall）のファイアウォール ポリシーを使います。

外への出口と名前

• Cloud NAT … 外部 IP を持たない VM が、外へ出ていく通信だけをできるようにする
• Cloud DNS … 名前と IP アドレスを結ぶ。社内だけの名前も作れる
• 静的 IP アドレス … 変わらない外部・内部のアドレスを予約する

• 優先度の決まりと、同じ優先度のときの勝ち方
• 暗黙の規則と default ネットワークの規則
• ネットワークタグ・サービスアカウント・Cloud NGFW のポリシー
• Cloud NAT・Cloud DNS・静的 IP アドレス