Ringkasan kebijakan Secure Web Proxy

Halaman ini menjelaskan atribut sumber dan atribut tujuan untuk kebijakan Proxy Web Aman. Selain itu, halaman ini menjelaskan proxy berbasis aturan Transmission Control Protocol (TCP) dan cara mengonfigurasi aturan proxy TCP untuk aplikasi Anda.

Kebijakan Secure Web Proxy didasarkan pada dua parameter berikut:

Secara default, Secure Web Proxy ditetapkan sedemikian rupa untuk menolak traffic web keluar (HTTP atau HTTPS) melalui proxy, kecuali jika Anda menyertakan aturan tertentu dalam kebijakan instance Secure Web Proxy.

Atribut sumber untuk kebijakan

Gunakan atribut berikut agar instance Secure Web Proxy Anda dapat mengidentifikasi sumber traffic:

  • Akun layanan: menggunakan akun layanan untuk mengidentifikasi sumber traffic dan mengonfigurasi kebijakan Secure Web Proxy.
  • Tag aman: gunakan tag Resource Manager untuk mengontrol akses ke resource Google Cloud Anda.
  • Alamat IP: menetapkan alamat IP perusahaan (atau alamat IP Google Cloud statis) yang digunakan Secure Web Proxy untuk traffic keluar.

Identitas yang didukung

Anda dapat menggunakan kebijakan keamanan berbasis identitas sumber (akun layanan dan tag aman) untuk mengamankan traffic web untuk beberapa layanan Google Cloud . Tabel berikut menunjukkan apakah berbagai layanan Google Cloud didukung saat menggunakan kebijakan keamanan berbasis identitas sumber.

layananGoogle Cloud Dukungan akun layanan Dukungan tag aman
VM
Node GKE
Penampung GKE 1 1
VPC Langsung untuk Cloud Run 1
Konektor Akses VPC Serverless 2 2
Cloud VPN 1 1
Cloud Interconnect di lokasi Anda 1 1
Load Balancer Aplikasi
Network Load Balancer
1 Tidak didukung oleh Google Cloud.
2 Alamat IP sumber bersifat unik dan dapat digunakan sebagai gantinya.

Tabel berikut menunjukkan apakah berbagai arsitektur Virtual Private Cloud (VPC) didukung saat menggunakan kebijakan keamanan berbasis identitas sumber:

VPC Arsitektur VPC Dukungan
Dalam VPC Lintas project (VPC Bersama)
Dalam VPC Lintas region
VPC Lintas Link peering silang (VPC peer)
VPC Lintas Private Service Connect Lintas
VPC Lintas Spoke lintas Network Connectivity Center

Atribut tujuan untuk kebijakan

Dengan Secure Web Proxy, Anda dapat mengonfigurasi kebijakan untuk aplikasi berdasarkan domain tujuan dan jalur URL lengkap (jika pemeriksaan TLS diaktifkan).

Gunakan atribut berikut untuk memungkinkan instance Secure Web Proxy menentukan tujuan traffic yang diizinkan:

Untuk traffic tujuan berbasis HTTP, Anda dapat menggunakan atribut tujuan host() untuk aplikasi Anda.

Selain itu, untuk traffic tujuan berbasis HTTPS, Anda dapat menggunakan berbagai atribut terkait tujuan request.* (seperti request.method) untuk aplikasi Anda.

Untuk informasi selengkapnya tentang atribut tujuan yang dapat Anda gunakan untuk traffic HTTP dan HTTPS, lihat Atribut.

Aturan proxy TCP

Dengan instance Secure Web Proxy, Anda dapat mengonfigurasi aturan proxy untuk traffic Transmission Control Protocol (TCP), termasuk traffic yang tidak dikaitkan dengan protokol web. Misalnya, Anda dapat memilih untuk mengizinkan atau memblokir traffic situs atau aplikasi yang mengirim traffic dari port apa pun selain 80 (HTTP) atau 443 (HTTPS).

Jika beban kerja Anda (seperti aplikasi dan layanan) menggunakan Secure Web Proxy sebagai next hop, maka menerapkan aturan proxy TCP akan bermanfaat. Hal ini karena menggunakan proses pengalihan berbasis rute mengarah ke traffic non-HTTP(S) dan non-web ke instance Secure Web Proxy Anda. Dengan begitu, Anda dapat memblokir traffic berbahaya agar tidak menjangkau aplikasi dan mengontrol aplikasi atau situs mana yang dapat mengakses jaringan Anda.

Mengonfigurasi aturan proxy TCP untuk aplikasi Anda

Untuk menerapkan aturan proxy TCP dan membuat aturan traffic izinkan atau blokir untuk aplikasi, Anda harus menentukan port tujuan. Secara opsional, Anda dapat menyertakan salah satu atribut SessionMatcher berikut untuk menyaring kriteria aturan izinkan atau blokir.

Atribut Jenis atribut Deskripsi
source.ip string Alamat IP klien yang mengirim permintaan.
source.port string Port klien yang mengirim permintaan.
destination.port string Port upstream tempat instance Secure Web Proxy Anda mengirim traffic.
source.matchTag(SECURE_TAG) boolean

True, jika sumber dikaitkan dengan SECURE_TAG.

Argumennya adalah ID permanen tag aman, seperti source.matchTag('tagValues/123456').
source.matchServiceAccount(SERVICE_ACCOUNT) boolean True, jika sumber dikaitkan dengan SERVICE_ACCOUNT, seperti source.matchServiceAccount('x@my-project.iam.gserviceaccount.com').
inIpRange(IP_ADDRESS,
IP_RANGE)		 boolean True, jika IP_ADDRESS terdapat dalam IP_RANGE, seperti inIpRange(source.ip, '1.2.3.0/24'). Mask subnet untuk alamat IPv6 tidak boleh lebih besar dari /64.

Batasan

Secure Web Proxy tidak mendukung kemampuan untuk mengonfigurasi aturan proxy TCP untuk aplikasi User Datagram Protocol (UDP). Akibatnya, Secure Web Proxy memblokir traffic aplikasi berbasis UDP.

Aturan pencocokan host

Saat mengonfigurasi aturan keluar untuk instance Secure Web Proxy, pastikan untuk menentukan aturan bergantung pada host tujuan permintaan keluar. Anda juga harus mempertimbangkan cara kerja pencocokan host berdasarkan mode deployment instance Secure Web Proxy Anda.

Mode proxy eksplisit

  • Untuk permintaan HTTP yang tidak dienkripsi, Anda dapat menggunakan aturan host() == "myownpersonaldomain.com" di SessionMatcher. Secure Web Proxy memvalidasi aturan ini terhadap kolom host di header CONNECT permintaan HTTP.

  • Jika ingin mengaktifkan pemeriksaan TLS dan menetapkan aturan berdasarkan Application Matcher, Anda harus menetapkan aturan SessionMatcher yang dievaluasi menjadi TRUE. Misalnya, Anda dapat menggunakan aturan host() == "myownpersonaldomain.com" di SessionMatcher, lalu menambahkan aturan request.host() == "myownpersonaldomain.com" di ApplicationMatcher.

    Secure Web Proxy pertama-tama memvalidasi SessionMatcher terhadap kolom host di header CONNECT permintaan HTTP. Dan hanya jika aturan SessionMatcher valid, Secure Web Proxy akan memeriksa aturan ApplicationMatcher.

Mode next hop

  • Untuk permintaan HTTP yang tidak dienkripsi, Anda dapat menggunakan aturan host() == "myownpersonaldomain.com" di SessionMatcher. Secure Web Proxy memvalidasi aturan ini terhadap kolom host di header permintaan HTTP standar.

    Namun, jika permintaan dienkripsi TLS, Secure Web Proxy akan memvalidasi aturan yang sama terhadap header Server Name Indication (SNI) dalam permintaan keluar.

  • Jika ingin mengaktifkan pemeriksaan TLS dan menetapkan aturan berdasarkan ApplicationMatcher, Anda harus menetapkan aturan SessionMatcher yang dievaluasi menjadi TRUE. Misalnya, Anda dapat menggunakan aturan host() == "myownpersonaldomain.com" di SessionMatcher, lalu menambahkan aturan request.host() == "myownpersonaldomain.com" di ApplicationMatcher.

    Secure Web Proxy pertama-tama memvalidasi SessionMatcher terhadap header SNI dalam permintaan keluar. Dan hanya jika aturan SessionMatcher valid, Secure Web Proxy akan memeriksa aturan ApplicationMatcher.