Secure Web Proxy-Instanz erstellen und bereitstellen

In dieser Kurzanleitung wird beschrieben, wie Sie eine Secure Web Proxy-Instanz bereitstellen und testen. In den Schritten wird die Bereitstellung von Secure Web Proxy im expliziten Routingmodus beschrieben, der als expliziter Proxy fungiert.

Secure Web Proxy-Instanzen im expliziten Routingmodus können als Private Service Connect-Dienst bereitgestellt werden. Alternativ können Sie Secure Web Proxy im Next Hop-Routingmodus bereitstellen.

Die Bereitstellung von Secure Web Proxy im expliziten Routingmodus umfasst die folgenden Schritte:

  1. Erstellen Sie eine Secure Web Proxy-Richtlinie.
  2. Erstellen Sie Secure Web Proxy-Regeln und fügen Sie sie der Richtlinie hinzu.
  3. Richten Sie die Secure Web Proxy-Instanz im expliziten Routingmodus ein.
  4. Testen Sie die Verbindung von einer Linux-VM-Instanz, um zu bestätigen, dass der Proxy und seine Richtlinien ordnungsgemäß funktionieren.
Stellen Sie Secure Web Proxy im Modus für explizites Proxy-Routing bereit.
Sicheren Web-Proxy im expliziten Proxy-Routing-Modus bereitstellen (zum Vergrößern klicken).

Hinweis

  1. Führen Sie die Schritte zur Ersteinrichtung aus.

  2. Optional: Wenn Sie die in diesem Dokument angegebenen gcloud-Befehlszeilenbeispiele ausführen möchten, installieren Sie die Google Cloud CLI in einer der folgenden Entwicklungsumgebungen:

    Cloud Shell

    Wenn Sie ein Onlineterminal mit bereits eingerichteter gcloud CLI verwenden möchten, aktivieren Sie Cloud Shell.

    Am Ende dieser Seite wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Das Initialisieren der Sitzung kann einige Sekunden dauern.

    Wenn Sie die gcloud CLI bereits installiert haben, vergewissern Sie sich, dass Sie die neueste verfügbare Version haben. Führen Sie dazu den gcloud components update-Befehl aus.

    Lokale Shell

    So verwenden Sie eine lokale Entwicklungsumgebung:

    1. Google Cloud CLI installieren
    2. gcloud CLI initialisieren

  3. Erstellen Sie ein neues Google Cloud Projekt oder wählen Sie ein vorhandenes aus.

    Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, empfehlen wir, ein Projekt zu erstellen, anstatt ein vorhandenes Projekt auszuwählen. Nachdem Sie die Schritte dieser Kurzanleitung ausgeführt haben, können Sie das Projekt löschen, um alle mit dem Projekt verknüpften Ressourcen zu entfernen.

    Console

    Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl ein vorhandenes Projekt aus oder erstellen Sie ein Google Cloud Projekt.

    Zur Projektauswahl

    Cloud Shell

    1. Erstellen Sie ein Projekt in Google Cloud .

      gcloud projects create PROJECT_ID

      Ersetzen Sie dabei PROJECT_ID durch die Projekt-ID Ihres Zielprojekts.

    2. Wählen Sie das von Ihnen erstellte Google Cloud Projekt aus.

      gcloud config set project PROJECT_ID

  4. Erstellen Sie eine Linux-VM-Instanz.

    gcloud compute instances create swp-test-vm \
    --subnet=default \
    --zone=ZONE \
    --image-project=debian-cloud \
    --image-family=debian-11

    Ersetzen Sie ZONE durch die Zone Ihrer Test-VM-Instanz.

    Compute Engine gewährt dem Nutzer, der die VM-Instanz erstellt, die Rolle „Compute Instance Admin“ (roles/compute.instanceAdmin). Compute Engine fügt diesen Nutzer auch der Sudo-Gruppe hinzu.

  5. Erstellen Sie eine Firewallregel.

    gcloud compute firewall-rules create default-allow-ssh \
    --direction=INGRESS \
    --priority=1000 \
    --network=default \
    --action=ALLOW \
    --rules=tcp:22 \
    --source-ranges=0.0.0.0/0

Erforderliche Rollen

Sie benötigen die folgenden Rollen, um die Aufgaben in dieser Anleitung auszuführen:

Hier finden Sie weitere Informationen:

Secure Web Proxy-Richtlinie erstellen

In diesem Abschnitt wird beschrieben, wie Sie eine Secure Web Proxy-Richtlinie erstellen. Die Richtlinie kann dann als Container für alle Sicherheitsregeln dienen, die den Trafficfluss durch den Secure Web Proxy regeln. Nachdem Sie die Richtlinie erstellt haben, können Sie Regeln erstellen und der Richtlinie hinzufügen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite SWP-Richtlinien auf.

    Zu den Richtlinien zum Löschen von Dienstdaten

  2. Klicken Sie auf Richtlinie erstellen.

  3. Geben Sie im Feld Name einen Namen für die Richtlinie ein, z. B. myswppolicy.

  4. Geben Sie im Feld Beschreibung eine Beschreibung für die Richtlinie ein, z. B. My new swp policy.

  5. Wählen Sie unter Regionen die Region aus, in der Sie die Richtlinie erstellen möchten, z. B. us-central1.

  6. Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Regel hinzufügen. Weitere Informationen finden Sie im Abschnitt Secure Web Proxy-Regeln erstellen.

  7. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie mit einem Texteditor eine policy.yaml-Datei.

  2. Fügen Sie folgenden Code in die policy.yaml-Datei ein.

      description: basic Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/myswppolicy

    Ersetzen Sie Folgendes:

    • PROJECT_ID: ID Ihres Projekts
    • REGION: Region, in der Ihre Richtlinie erstellt wird, z. B. us-central1

  3. Erstellen Sie die Secure Web Proxy-Richtlinie.

    gcloud network-security gateway-security-policies import myswppolicy \
    --source=policy.yaml \
    --location=REGION

Secure Web Proxy-Regeln erstellen

In diesem Abschnitt wird beschrieben, wie Sie Secure Web Proxy-Regeln erstellen. Mit Regeln werden die tatsächlichen Zugriffssteuerungen für Web-Traffic definiert.

In der Richtlinie, die Sie zuvor erstellt haben, können Sie Regeln wie allow-wikipedia-org definieren. In diesen Regeln werden die Kriterien für den Abgleich von Websitzungen angegeben, z. B. der Abgleich eines bestimmten Hosts wie www.wikipedia.org. Anschließend wird der Web-Traffic entweder zugelassen oder abgelehnt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite SWP-Richtlinien auf.

    Zu den Richtlinien zum Löschen von Dienstdaten

  2. Klicken Sie auf den Namen Ihrer Richtlinie, z. B. myswppolicy.

  3. Klicken Sie auf Regel hinzufügen.

  4. Führen Sie für jede Regel folgende Schritte aus:

    1. Geben Sie unter Priorität eine numerische Auswertungsreihenfolge für die Regel ein. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist.

    2. Geben Sie im Feld Name einen Namen für die Regel ein, z. B. allow-wikipedia-org.

    3. Geben Sie im Feld Beschreibung eine Beschreibung für die Regel ein, z. B. Allow wikipedia.org.

    4. Wählen Sie für Aktion eine der folgenden Optionen aus:

      • Zulassen: Damit werden Verbindungsanfragen zugelassen, die der Regel entsprechen.
      • Ablehnen: Verbindungsanfragen, die der Regel entsprechen, werden abgelehnt.

    5. Wählen Sie für das Feld Status eine der folgenden Optionen für die Durchsetzung der Regel aus:

      • Aktiviert: Die Regel wird für Ihre Secure Web Proxy-Instanz erzwungen.
      • Deaktiviert: Die Regel wird nicht für Ihre Secure Web Proxy-Instanz erzwungen.

    6. Geben Sie im Abschnitt Sitzungsabgleich die Kriterien für den Abgleich der Sitzung an, z. B. host() == 'www.wikipedia.org'.

      Weitere Informationen zur Syntax für SessionMatcher finden Sie in der CEL-Matcher-Sprachreferenz.

    7. Geben Sie im Bereich Application Match (Anwendungsabgleich) die Kriterien für den Abgleich der Anfrage an. Da wir die Regel nicht für die TLS-Prüfung aktiviert haben, kann die Anfrage nur HTTP-Traffic abgleichen.

      Weitere Informationen zum Abgleichen von TCP-Traffic finden Sie unter TCP-Proxy-Regeln konfigurieren.

    8. Klicken Sie auf Erstellen.

  5. Wenn Sie eine weitere Regel hinzufügen möchten, klicken Sie auf Regel hinzufügen.

Cloud Shell

  1. Erstellen Sie die Datei rule.yaml mit einem Texteditor.

  2. Fügen Sie der rule.yaml-Datei den folgenden Code hinzu. Weitere Informationen zur Syntax für SessionMatcher finden Sie in der CEL-Matcher-Sprachreferenz.

    name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow wikipedia.org
enabled: true
priority: 1
basicProfile: ALLOW
sessionMatcher: host() == 'www.wikipedia.org'

    Ersetzen Sie Folgendes:

    • PROJECT_ID: ID Ihres Projekts
    • REGION: Region Ihrer Richtlinie
    • RULE_NAME: Name der Regel, z. B. allow-wikipedia-org.

  3. Erstellen Sie die Regel für die Sicherheitsrichtlinie.

    gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
    --source=rule.yaml \
    --location=REGION \
    --gateway-security-policy=policy1

Web-Proxy einrichten

In diesem Abschnitt wird beschrieben, wie Sie Secure Web Proxy im Modus für explizites Routing als expliziten Proxy bereitstellen. Außerdem wird erläutert, wie Sie die zuvor erstellte Richtlinie und die Regeln mit Ihrer Secure Web Proxy-Instanz verknüpfen, damit der gesamte Traffic, der durch sie fließt, den definierten Zugriffskontrollen unterliegt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Web-Proxys auf.

    Zu Web-Proxys

  2. Klicken Sie auf Sicheren Web-Proxy erstellen.

  3. Geben Sie im Feld Name einen Namen für den Webproxy ein, z. B. myswp.

  4. Geben Sie im Feld Beschreibung eine Beschreibung für den Webproxy ein, z. B. My new swp.

  5. Wählen Sie für Routing-Modus die Option Explizit aus.

  6. Wählen Sie unter Regionen die Region aus, in der Sie den Webproxy erstellen möchten, z. B. us-central1.

  7. Wählen Sie unter Netzwerk das Netzwerk aus, in dem Sie den Webproxy erstellen möchten.

  8. Wählen Sie unter Subnetzwerk das VPC-Subnetz aus, das Sie zuvor im Rahmen der