Esegui il deployment di un'istanza Secure Web Proxy

Esegui il deployment di un'istanza Secure Web Proxy

Questa guida rapida mostra come eseguire il deployment e il test di un'istanza di Secure Web Proxy.

Prima di iniziare

1. Completa la configurazione iniziale passaggi.

2. Per eseguire i comandi in questa pagina, configura Google Cloud CLI in uno dei nei seguenti ambienti di sviluppo:

   Cloud Shell

   Per utilizzare un terminale online con gcloud CLI già configurato, attiva Cloud Shell:

   Al termine di questa pagina, viene avviata una sessione di Cloud Shell, alla riga di comando. La sessione può richiedere alcuni secondi initialize.

   Nota: se hai già installato gcloud CLI in precedenza, assicurati assicurati di avere l'ultima versione disponibile eseguendo gcloud components update.

   Shell locale

   Per utilizzare un ambiente di sviluppo locale, segui questi passaggi:

   1. Installa gcloud CLI.
   2. Inizializza gcloud CLI.

3. Crea o seleziona un progetto Google Cloud.

   Nota: se non prevedi di conservare le risorse create in questo crea un progetto invece di selezionarne uno esistente. Dopo il giorno puoi completare questi passaggi, puoi eliminare il progetto, rimuovendo tutte le risorse associati al progetto.

   Console

   Nella pagina del selettore progetti della console Google Cloud, seleziona o crea un progetto Google Cloud.

   Vai al selettore progetti

   Cloud Shell

   • Crea un progetto Google Cloud:

     gcloud projects create PROJECT_ID
     

     Sostituisci PROJECT_ID con l'ID progetto che hai desiderato.

   • Seleziona il progetto Google Cloud che hai creato:

     gcloud config set project PROJECT_ID
     

4. Crea un'istanza di una macchina virtuale (VM) Linux:

   gcloud compute instances create swp-test-vm \
       --subnet=default \
       --zone=ZONE \
       --image-project=debian-cloud \
       --image-family=debian-11
   

   Compute Engine concede all'utente che crea la VM Ruolo di amministratore dell'istanza (roles/compute.instanceAdmin). Compute Engine inoltre aggiunge l'utente al gruppo sudo.

5. Crea una regola firewall:

   gcloud compute firewall-rules create default-allow-ssh \
       --direction=INGRESS \
       --priority=1000 \
       --network=default \
       --action=ALLOW \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

Crea un criterio Secure Web Proxy

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy.

3. Fai clic sulla scheda Norme.

4. Fai clic su Crea un criterio.

5. Inserisci un nome per il criterio da creare. ad esempio myswppolicy.

6. Inserisci una descrizione del criterio, ad esempio My new swp policy.

7. Nell'elenco Regioni, seleziona la regione in cui vuoi per creare il criterio del proxy web.

8. Se vuoi configurare l'ispezione TLS per il proxy web, seleziona Configura l'ispezione TLS.

9. Nell'elenco Criterio di ispezione TLS, seleziona la criterio di ispezione TLS che creato. Il criterio di ispezione TLS viene visualizzato nell'elenco solo se è stato creato da te.

10. Se vuoi creare regole per le tue norme, fai clic su Continua, quindi fai clic su Aggiungi regola. Per maggiori dettagli, vedi Crea regole di Secure Web Proxy.

11. Fai clic su Crea.

Cloud Shell

1. Alcuni criteri del proxy web richiedono la crittografia TLS per la valutazione. A seconda che si intenda applicare la crittografia TLS, Per creare un criterio, puoi utilizzare uno qualsiasi dei seguenti metodi:

   • Crea un criterio con la configurazione dell'ispezione TLS.

     Per abilitare l'ispezione TLS, esegui la procedura descritta in Abilita l'ispezione TLS quindi creo il file policy.yaml:

     description: basic Secure Web Proxy policy
     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
     tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
     

   • Crea un criterio senza la configurazione dell'ispezione TLS.

     Se non vuoi abilitare l'ispezione TLS, crea il file policy.yaml:

     description: basic Secure Web Proxy policy
     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
     

2. Crea il criterio Secure Web Proxy:

   gcloud network-security gateway-security-policies import policy1 \
       --source=policy.yaml \
       --location=REGION
   

Crea regole di Secure Web Proxy

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy.

3. Fai clic sulla scheda Norme.

4. Fai clic sul nome della norma.

5. Fai clic su Aggiungi regola.

6. Compila i campi della regola:

   1. Nome
   2. Descrizione
   3. Stato
   4. Priorità: l'ordine di valutazione numerica della regola. Le regole sono valutato dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta la priorità.
   5. Nella sezione Azione, specifica se le connessioni se la regola è consentita (Allow) o negata (Nega).
   6. Nella sezione Corrispondenza sessione, specifica i criteri per corrispondente alla sessione. Per ulteriori informazioni sulla sintassi SessionMatcher, consulta le Riferimento lingua del matcher CEL.
   7. Per attivare l'ispezione TLS, seleziona Abilita ispezione TLS.
   8. Nella sezione Corrispondenza applicazione, specifica i criteri per che corrispondono alla richiesta. Se non abiliti la regola per TLS , la richiesta può corrispondere solo al traffico HTTP.
   9. Fai clic su Crea.

7. Fai clic su Aggiungi regola per aggiungere un'altra regola.

8. Fai clic su Crea per creare il criterio.

Cloud Shell

1. A seconda che desideri crittografia TLS, utilizza uno qualsiasi dei seguenti metodi per creare una regola:

   • Crea una regola con la configurazione dell'ispezione TLS.

     Per attivare l'ispezione TLS, crea il file rule.yaml:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
     description: Allow wikipedia
     enabled: true
     priority: 1
     basicProfile: ALLOW
     sessionMatcher: host() == 'wikipedia.org'
     applicationMatcher: request.path.contains('index.html')
     tlsInspectionEnabled: true
     

   • Crea una regola senza la configurazione dell'ispezione TLS.

     Se non vuoi abilitare l'ispezione TLS, crea il file rule.yaml:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
     description: Allow wikipedia.org
     enabled: true
     priority: 1
     basicProfile: ALLOW
     sessionMatcher: host() == 'wikipedia.org'
     

2. Crea la regola del criterio di sicurezza:

   gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
       --source=rule.yaml \
       --location=REGION \
       --gateway-security-policy=policy1
   

Configura un proxy web

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy.

3. Fai clic sulla scheda proxy web.

4. Fai clic su Configura un proxy web.

5. Inserisci un nome per il proxy web che vuoi creare, ad esempio myswp.

6. Inserisci una descrizione del proxy web, ad esempio My new swp.

7. Nell'elenco Regioni, seleziona la regione in cui vuoi creare proxy web.

8. Nell'elenco Rete, seleziona la rete in cui vuoi creare la proxy web.

9. Nell'elenco Subnet, seleziona la subnet a cui vuoi per creare il proxy web.

10. Inserisci l'indirizzo IP del proxy web.

11. Nell'elenco Certificato, seleziona il certificato che vuoi utilizzare. per creare il proxy web.

12. Nell'elenco Criterio, seleziona il criterio che hai creato per associare con il proxy web.

13. Fai clic su Crea.

Cloud Shell

1. Crea il file gateway.yaml:

   name: projects/PROJECT_ID/locations/REGION/gateways/swp1
   type: SECURE_WEB_GATEWAY
   addresses: ["10.128.0.99"]
   ports: [443]
   certificateUrls: ["projects/PROJECT_ID/locations/REGION/certificates/cert1"]
   gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   network: projects/PROJECT_ID/global/networks/default
   subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/default
   scope: samplescope
   

2. Crea un'istanza Secure Web Proxy:

   gcloud network-services gateways import swp1 \
       --source=gateway.yaml \
       --location=REGION
   

   Il deployment di un'istanza Secure Web Proxy può richiedere diversi minuti.

Testa la connettività

1. Connettiti alla VM di cui hai eseguito il provisioning in precedenza:

   gcloud compute ssh swp-test-vm \
       --zone=ZONE
   

2. Testa l'istanza di Secure Web Proxy:

   curl -x http://10.128.0.99:80 https://wikipedia.org
   

   Se hai configurato l'istanza di Secure Web Proxy per l'ispezione TLS, utilizza questo comando:

   curl -x http://10.128.0.99:80 https://wikipedia.org/index.html
   

Nota: quando esegui il provisioning di un'istanza Secure Web Proxy, un gateway VPN ad alta disponibilità connesso per abilitare l'accesso a internet. Solo endpoint Secure Web Proxy in quella regione e rete hanno accesso al gateway Cloud NAT. No un altro endpoint, ad esempio un'istanza di una macchina virtuale (VM) o Il nodo Google Kubernetes Engine (GKE) può instradare il traffico attraverso il gateway. Per maggiori informazioni, vedi Assegnare indirizzi IP statici per il traffico in uscita il traffico.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi per le risorse utilizzate in questa pagina, segui questi passaggi.

Elimina l'istanza di Secure Web Proxy swp1

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy. Puoi visualizzare un elenco di tutti i proxy web o solo quelle presenti in una determinata rete.

3. Seleziona il proxy web che vuoi eliminare.

4. Fai clic su Elimina.

5. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-services gateways delete swp1 \
    --location=REGION

Elimina la regola allow-wikipedia-org

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy. Puoi visualizzare un elenco di tutti i proxy web o solo quelle presenti in una determinata rete.

3. Fai clic sulla scheda Norme.

4. Fai clic sulla norma.

5. Seleziona la regola da eliminare.

6. Fai clic su Elimina.

7. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-security gateway-security-policies rules delete allow-wikipedia-org \
    --location=REGION \
    --gateway-security-policy=policy1

Elimina il criterio del proxy web sicuro policy1

Console

1. Nella console Google Cloud, vai alla pagina Sicurezza della rete.

   Vai a Sicurezza di rete

2. Fai clic su Secure Web Proxy. Puoi visualizzare un elenco di tutti i proxy web o solo quelle presenti in una determinata rete.

3. Fai clic sulla scheda Norme.

4. Seleziona il criterio da eliminare.

5. Fai clic su Elimina.

6. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-security gateway-security-policies delete policy1 \
    --location=REGION

Elimina l'istanza VM Linux swp-test-vm

Console

1. Nella console Google Cloud, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona le istanze da eliminare.

3. Fai clic su Elimina.

Cloud Shell

gcloud compute instances delete swp-test-vm

Passaggi successivi

• Esegui il deployment di Secure Web Proxy come collegamento del servizio PSC
• Configurare la crittografia TLS
• Utilizzare i tag per creare criteri
• Utilizzare un elenco di URL per creare criteri
• Assegna indirizzi IP statici per il traffico in uscita traffico