Dwie reguły zapory sieciowej VPC istnieją w tej samej sieci: Reguła A (priorytet 100) odrzuca ruch TCP na porcie 22 z 0.0.0.0/0, Reguła B (priorytet 200) zezwala na ruch TCP na porcie 22 z 203.0.113.0/24. Maszyna wirtualna otrzymuje połączenie SSH z 203.0.113.5. Która decyzja zapory sieciowej zostanie zastosowana do tego połączenia?

W Google Cloud VPC Firewall, reguły są oceniane według priorytetu, gdzie niższa wartość liczbowa oznacza wyższy priorytet. Reguła A ma priorytet 100, a Reguła B ma priorytet 200. Oznacza to, że Reguła A zostanie oceniona jako pierwsza. Reguła A odrzuca cały ruch TCP na porcie 22 z 0.0.0.0/0, co obejmuje adres 203.0.113.5. Ponieważ Reguła A pasuje do ruchu i ma wyższy priorytet, jej akcja (odrzucenie) zostanie zastosowana, a ocena reguł zostanie zakończona. Reguła B, mimo że zezwala na ruch z bardziej szczegółowego zakresu, nie zostanie w ogóle oceniona dla tego połączenia. Reguły zezwalające nie zawsze nadpisują reguły odrzucające; priorytet decyduje. Decyzja zapory sieciowej nie jest zależna od tras VPC w tym kontekście.