您建立了 VPC 'Dev'，其中包含一個子網路和一條僅允許 HTTP 並啟用日誌記錄的防火牆規則。RDP 到某個執行個體失敗，且 Cloud Logging 中沒有出現被拒絕的防火牆項目。您想要查看被封鎖流量的日誌。您應該怎麼做？

正確答案是建立一條優先順序為 65500 的 deny-all 防火牆規則並啟用日誌記錄。由於現有的防火牆規則只允許 HTTP 流量，RDP 連線（通常是 TCP/3389）會被隱式拒絕。隱式拒絕的流量預設不會產生防火牆日誌。透過建立一條優先順序較低（數值較高，例如 65500）的 deny-all 規則並啟用日誌記錄，任何未被明確允許的流量都將被這條規則拒絕，並且其拒絕事件將被記錄在 Cloud Logging 中，讓您能夠查看被封鎖的 RDP 流量。 檢查 VPC flow logs 無法直接顯示防火牆拒絕事件，它主要記錄網路介面卡之間的流量。嘗試 SSH 連線並檢查日誌無法解決 RDP 連線被拒絕的問題，也無法提供防火牆拒絕的日誌。建立允許 TCP/22 的防火牆規則只會允許 SSH 流量，無法幫助診斷 RDP 連線失敗的原因，也無法記錄 RDP 的拒絕事件。