Secure Web Proxy-Instanz bereitstellen

In dieser Kurzanleitung wird erläutert, wie Sie eine Instanz des sicheren Web-Proxys bereitstellen und testen.

Hinweise

  1. Führen Sie die Schritte zur Ersteinrichtung aus.

  2. Optional: Installieren Sie die Google Cloud CLI in einer der folgenden Entwicklungsumgebungen, wenn Sie die in dieser Anleitung beschriebenen gcloud-Befehlszeilenbeispiele ausführen möchten:

    Cloud Shell

    Wenn Sie ein Onlineterminal mit bereits eingerichteter gcloud CLI verwenden möchten, aktivieren Sie Cloud Shell.

    Unten auf dieser Seite wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Das Initialisieren der Sitzung kann einige Sekunden dauern.

    Lokale Shell

    So verwenden Sie eine lokale Entwicklungsumgebung:

    1. Installieren Sie das gcloud-CLI.
    2. Initialisieren Sie die gcloud CLI.

  3. Erstellen oder wählen Sie ein Google Cloud -Projekt aus.

    Console

    Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl ein Google Cloud Projekt aus oder erstellen Sie eines.

    Zur Projektauswahl

    Cloud Shell

    • So erstellen Sie ein Google Cloud -Projekt:

      gcloud projects create PROJECT_ID

      Ersetzen Sie PROJECT_ID durch die gewünschte Projekt-ID.

    • Wählen Sie das von Ihnen erstellte Google Cloud Projekt aus:

      gcloud config set project PROJECT_ID

  4. eine Linux-VM-Instanz erstellen

    gcloud compute instances create swp-test-vm \
    --subnet=default \
    --zone=ZONE \
    --image-project=debian-cloud \
    --image-family=debian-11

    Compute Engine gewährt dem Nutzer, der die VM erstellt, die Rolle „Compute-Instanzadministrator“ (roles/compute.instanceAdmin). Außerdem wird dieser Nutzer der sudo-Gruppe hinzugefügt.

  5. Erstellen Sie eine Firewallregel.

    gcloud compute firewall-rules create default-allow-ssh \
    --direction=INGRESS \
    --priority=1000 \
    --network=default \
    --action=ALLOW \
    --rules=tcp:22 \
    --source-ranges=0.0.0.0/0

Secure Web Proxy-Richtlinie erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite SWP-Richtlinien auf.

    Richtlinien zum Löschen von Dienstdaten aufrufen

  2. Klicken Sie auf Richtlinie erstellen.

  3. Geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten, z. B. myswppolicy.

  4. Geben Sie eine Beschreibung der Richtlinie ein, z. B. My new swp policy.

  5. Wählen Sie in der Liste Regionen die Region aus, in der Sie die Webproxy-Richtlinie erstellen möchten.

  6. Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Regel hinzufügen. Weitere Informationen finden Sie im Abschnitt Sichere Webproxy-Regeln erstellen.

  7. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie die Datei policy.yaml.

      description: basic Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

  2. Erstellen Sie die Secure Web Proxy-Richtlinie.

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

Secure Web Proxy-Regeln erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite SWP-Richtlinien auf.

    Richtlinien zum Löschen von Dienstdaten aufrufen

  2. Klicken Sie auf den Namen Ihrer Richtlinie.

  3. Klicken Sie auf Regel hinzufügen.

  4. Füllen Sie die folgenden Regelfelder aus:

    1. Name
    2. Beschreibung
    3. Status
    4. Priorität: numerische Auswertungsreihenfolge der Regel. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist.
    5. Geben Sie im Abschnitt Aktion an, ob Verbindungen, die der Regel entsprechen, zugelassen (Zulassen) oder abgelehnt (Ablehnen) werden sollen.
    6. Geben Sie im Bereich Sitzungsabgleich die Kriterien für den Sitzungsabgleich an. Weitere Informationen zur Syntax für SessionMatcher finden Sie in der Referenz zur CEL-Abgleichssprache.
    7. Optional: Wenn Sie die TLS-Prüfung aktivieren möchten, wählen Sie TLS-Prüfung aktivieren aus.
    8. Geben Sie im Abschnitt Anwendungsabgleich die Kriterien für den Abgleich der Anfrage an. Wenn Sie die Regel für die TLS-Prüfung nicht aktivieren, kann die Anfrage nur mit HTTP-Traffic abgeglichen werden.
    9. Klicken Sie auf Erstellen.

  5. Klicken Sie auf Regel hinzufügen, um eine weitere Regel hinzuzufügen.

Cloud Shell

  1. Erstellen Sie die rule.yaml-Datei wie hier gezeigt.

    ```yaml
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
description: Allow wikipedia.org
enabled: true
priority: 1
basicProfile: ALLOW
sessionMatcher: host() == 'wikipedia.org'
```

    • Optional: Wenn Sie eine Regel mit der TLS-Prüfungskonfiguration erstellen möchten, erstellen Sie die Datei rule.yaml wie hier gezeigt.

      ```yaml
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
description: Allow wikipedia.org
enabled: true
priority: 1
basicProfile: ALLOW
sessionMatcher: host() == 'wikipedia.org'
applicationMatcher: request.path.contains('index.html')
tlsInspectionEnabled: true

  2. Erstellen Sie die Sicherheitsrichtlinienregel.

    gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
    --source=rule.yaml \
    --location=REGION \
    --gateway-security-policy=policy1

Web-Proxy einrichten

In diesem Abschnitt wird beschrieben, wie Sie Secure Web Proxy als expliziten Proxy bereitstellen.

Alternativ können Sie den sicheren Webproxy entweder als Private Service Connect-Dienstanhang oder als Nächsten Hop bereitstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Web-Proxys auf.

    Zu Web-Proxys

  2. Klicken Sie auf Sicheren Web-Proxy erstellen.

  3. Geben Sie einen Namen für den Webproxy ein, den Sie erstellen möchten, z. B. myswp.

  4. Geben Sie eine Beschreibung des Web-Proxys ein, z. B. My new swp.

  5. Wählen Sie für Routing-Modus die Option Explizit aus.

  6. Wählen Sie in der Liste Regionen die Region aus, in der Sie den Webproxy erstellen möchten.

  7. Wählen Sie in der Liste Netzwerk das Netzwerk aus, in dem Sie den Webproxy erstellen möchten.

  8. Wählen Sie in der Liste Subnetzwerk das Subnetzwerk aus, in dem Sie den Webproxy erstellen möchten.

  9. Geben Sie die IP-Adresse des Web-Proxys ein.

  10. Wählen Sie in der Liste Zertifikat das Zertifikat aus, mit dem Sie den Webproxy erstellen möchten.

  11. Wählen Sie in der Liste Richtlinie die Richtlinie aus, die Sie erstellt haben, um sie dem Webproxy zuzuordnen.

  12. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie die Datei gateway.yaml.

    name: projects/PROJECT_ID/locations/REGION/gateways/swp1
type: SECURE_WEB_GATEWAY
addresses: ["IP_ADDRESS"]
ports: [443]
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
network: projects/PROJECT_ID/global/networks/NETWORK
subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK
routingMode: EXPLICIT_ROUTING_MODE

  2. Erstellen Sie eine Secure Web Proxy-Instanz.

    gcloud network-services gateways import swp1 \
    --source=gateway.yaml \
    --location=REGION

    Das Bereitstellen einer Secure Web Proxy-Instanz kann einige Minuten dauern.

Verbindung testen

  1. Stellen Sie eine Verbindung zur VM her, die Sie zuvor bereitgestellt haben.

    gcloud compute ssh swp-test-vm \
    --zone=ZONE

  2. Testen Sie die Secure Web Proxy-Instanz.

    curl -x IP_ADDRESS

Bereinigen

Mit den folgenden Schritten vermeiden Sie, dass Ihrem Google Cloud -Konto die in dieser Anleitung verwendeten Ressourcen in Rechnung gestellt werden:

swp1-Instanz des sicheren Web-Proxys löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Web-Proxys auf. Sie können sich die Liste aller Web-Proxys oder nur die Web-Proxys ansehen, die in einem bestimmten Netzwerk verfügbar sind.

    Zu Web-Proxys

  2. Wählen Sie den Webproxy aus, den Sie löschen möchten.

  3. Klicken Sie auf Löschen.

  4. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell 

gcloud network-services gateways delete swp1 \
    --location=REGION

allow-wikipedia-org-Regel löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Web-Proxys auf. Sie können sich die Liste aller Web-Proxys oder nur die Web-Proxys ansehen, die in einem bestimmten Netzwerk verfügbar sind.

    Zu Web-Proxys

  2. Klicken Sie auf die Richtlinie.

  3. Wählen Sie die Regel aus, die Sie löschen möchten.

  4. Klicken Sie auf Löschen.

  5. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell 

gcloud network-security gateway-security-policies rules delete allow-wikipedia-org \
    --location=REGION \
    --gateway-security-policy=policy1

policy1-Richtlinie für sicheren Web-Proxy löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Web-Proxys auf. Sie können sich die Liste aller Web-Proxys oder nur die Web-Proxys ansehen, die in einem bestimmten Netzwerk verfügbar sind.

    Zu Web-Proxys

  2. Wählen Sie die Richtlinie aus, die Sie löschen möchten.

  3. Klicken Sie auf Löschen.

  4. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell 

gcloud network-security gateway-security-policies delete policy1 \
    --location=REGION

Löschen Sie die swp-test-vm-Linux-VM-Instanz.

Console

  1. Google Cloud Rufen Sie in der Console die Seite VM-Instanzen auf.

    Zu "VM-Instanzen"

  2. Wählen Sie die Instanzen aus, die Sie löschen möchten.

  3. Klicken Sie auf Löschen.

Cloud Shell 

gcloud compute instances delete swp-test-vm

Nächste Schritte