Secure Web Proxy-Instanz bereitstellen

In dieser Kurzanleitung wird beschrieben, wie Sie eine Secure Web Proxy-Instanz bereitstellen und testen.

Hinweise

  1. Schließen Sie die ersten Einrichtungsschritte ab.

  2. Zum Ausführen der Befehle auf dieser Seite richten Sie die Google Cloud CLI in einer der folgenden Entwicklungsumgebungen ein:

    Cloud Shell

    Wenn Sie ein Online-Terminal mit der bereits eingerichteten gcloud CLI verwenden möchten, aktivieren Sie Cloud Shell:

    Am Ende dieser Seite wird eine Cloud Shell-Sitzung gestartet und eine Befehlszeilen-Eingabeaufforderung angezeigt. Das Initialisieren der Sitzung kann einige Sekunden dauern.

    Lokale Shell

    So verwenden Sie eine lokale Entwicklungsumgebung:

    1. Installieren Sie das gcloud-CLI.
    2. Initialisieren Sie die gcloud CLI.
  3. Google Cloud-Projekt erstellen oder auswählen.

    Console

    Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie ein Google Cloud-Projekt.

    Zur Projektauswahl

    Cloud Shell

    • Erstellen Sie ein Google Cloud-Projekt:

      gcloud projects create PROJECT_ID
      

      Ersetzen Sie PROJECT_ID durch die gewünschte Projekt-ID.

    • Wählen Sie das erstellte Google Cloud-Projekt aus:

      gcloud config set project PROJECT_ID
      
  4. Erstellen Sie eine Linux-VM-Instanz:

    gcloud compute instances create swp-test-vm \
        --subnet=default \
        --zone=ZONE \
        --image-project=debian-cloud \
        --image-family=debian-11
    

    Compute Engine erteilt dem Nutzer, der die VM erstellt, die Rolle "Compute-Instanzadministrator" (roles/compute.instanceAdmin). Compute Engine fügt diesen Nutzer außerdem der Sudo-Gruppe hinzu.

  5. Firewallregel erstellen

    gcloud compute firewall-rules create default-allow-ssh \
        --direction=INGRESS \
        --priority=1000 \
        --network=default \
        --action=ALLOW \
        --rules=tcp:22 \
        --source-ranges=0.0.0.0/0
    

Secure Web Proxy-Richtlinie erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy.

  3. Klicken Sie auf den Tab Richtlinien.

  4. Klicken Sie auf Richtlinie erstellen.

  5. Geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten, z. B. myswppolicy.

  6. Geben Sie eine Beschreibung der Richtlinie ein, z. B. My new swp policy.

  7. Wählen Sie in der Liste Regionen die Region aus, in der Sie die Web-Proxy-Richtlinie erstellen möchten.

  8. Wenn Sie die TLS-Prüfung für den Web-Proxy konfigurieren möchten, wählen Sie TLS-Prüfung konfigurieren aus.

  9. Wählen Sie in der Liste TLS-Prüfungsrichtlinie die von Ihnen erstellte TLS-Prüfungsrichtlinie aus. Die TLS-Prüfungsrichtlinie wird nur in der Liste angezeigt, wenn Sie sie erstellt haben.

  10. Wenn Sie Regeln für die Richtlinie erstellen möchten, klicken Sie auf Weiter und dann auf Regel hinzufügen. Weitere Informationen finden Sie unter Regeln für Secure Web Proxy erstellen.

  11. Klicken Sie auf Erstellen.

Cloud Shell

  1. Einige Web-Proxy-Richtlinien erfordern, dass der Traffic für die Auswertung TLS-verschlüsselt ist. Je nachdem, ob Sie eine TLS-Verschlüsselung nutzen möchten, können Sie zum Erstellen einer Richtlinie eine der folgenden Methoden verwenden:

    • Erstellen Sie eine Richtlinie mit der TLS-Prüfungskonfiguration.

      Führen Sie zum Aktivieren der TLS-Prüfung das unter TLS-Prüfung aktivieren beschriebene Verfahren aus und erstellen Sie dann die Datei policy.yaml:

      description: basic Secure Web Proxy policy
      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
      tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
      
    • Erstellen Sie eine Richtlinie ohne die Konfiguration der TLS-Prüfung.

      Wenn Sie die TLS-Prüfung nicht aktivieren möchten, erstellen Sie die Datei policy.yaml:

      description: basic Secure Web Proxy policy
      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
      
  2. Erstellen Sie die Secure Web Proxy-Richtlinie:

    gcloud network-security gateway-security-policies import policy1 \
        --source=policy.yaml \
        --location=REGION
    

Regeln für Secure Web Proxy erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy.

  3. Klicken Sie auf den Tab Richtlinien.

  4. Klicken Sie auf den Namen Ihrer Richtlinie.

  5. Klicken Sie auf Regel hinzufügen.

  6. Füllen Sie die Regelfelder aus:

    1. Name
    2. Beschreibung
    3. Status
    4. Priorität: die numerische Auswertungsreihenfolge der Regel. Die Regeln werden von der höchsten bis zur niedrigsten Priorität ausgewertet, wobei 0 die höchste Priorität ist.
    5. Geben Sie im Abschnitt Action (Aktion) an, ob Verbindungen, die der Regel entsprechen, zugelassen (Allow) oder abgelehnt (Deny) werden.
    6. Geben Sie im Bereich Sitzungsübereinstimmung die Kriterien für die Sitzung an. Weitere Informationen zur Syntax für SessionMatcher finden Sie in der Sprachreferenz zum CEL-Matcher.
    7. Wenn Sie die TLS-Prüfung aktivieren möchten, wählen Sie TLS-Prüfung aktivieren aus.
    8. Geben Sie im Abschnitt Anwendungsübereinstimmung die Kriterien für den Abgleich der Anfrage an. Wenn Sie die Regel für die TLS-Prüfung nicht aktivieren, kann die Anfrage nur mit HTTP-Traffic abgeglichen werden.
    9. Klicken Sie auf Erstellen.
  7. Klicken Sie auf Regel hinzufügen, um eine weitere Regel hinzuzufügen.

  8. Klicken Sie auf Erstellen, um die Richtlinie zu erstellen.

Cloud Shell

  1. Je nachdem, ob Sie eine TLS-Verschlüsselung wünschen, können Sie zum Erstellen einer Regel eine der folgenden Methoden verwenden:

    • Erstellen Sie eine Regel mit der TLS-Prüfungskonfiguration.

      Erstellen Sie zum Aktivieren der TLS-Prüfung die Datei rule.yaml:

      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-example-com
      description: Allow example.com
      enabled: true
      priority: 1
      basicProfile: ALLOW
      sessionMatcher: host() == 'example.com'
      applicationMatcher: request.path.contains('index.html')
      tlsInspectionEnabled: true
      
    • Erstellen Sie eine Regel ohne die Konfiguration der TLS-Prüfung.

      Wenn Sie die TLS-Prüfung nicht aktivieren möchten, erstellen Sie die Datei rule.yaml:

      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-example-com
      description: Allow example.com
      enabled: true
      priority: 1
      basicProfile: ALLOW
      sessionMatcher: host() == 'example.com'
      
  2. Erstellen Sie die Sicherheitsrichtlinienregel:

    gcloud network-security gateway-security-policies rules import allow-example-com \
        --source=rule.yaml \
        --location=REGION \
        --gateway-security-policy=policy1
    

Web-Proxy einrichten

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy.

  3. Klicken Sie auf den Tab Web-Proxys.

  4. Klicken Sie auf Web-Proxy einrichten.

  5. Geben Sie einen Namen für den Web-Proxy ein, den Sie erstellen möchten, z. B. myswp.

  6. Geben Sie eine Beschreibung des Web-Proxys ein, z. B. My new swp.

  7. Wählen Sie in der Liste Regionen die Region aus, in der Sie den Web-Proxy erstellen möchten.

  8. Wählen Sie in der Liste Netzwerk das Netzwerk aus, in dem Sie den Web-Proxy erstellen möchten.

  9. Wählen Sie in der Liste Subnetzwerk das Subnetzwerk aus, in dem Sie den Web-Proxy erstellen möchten.

  10. Geben Sie die IP-Adresse des Web-Proxys ein.

  11. Wählen Sie in der Liste Zertifikat das Zertifikat aus, das Sie zum Erstellen des Web-Proxys verwenden möchten.

  12. Wählen Sie in der Liste Richtlinie die Richtlinie aus, die Sie zum Verknüpfen des Web-Proxys erstellt haben.

  13. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie die Datei gateway.yaml:

    name: projects/PROJECT_ID/locations/REGION/gateways/swp1
    type: SECURE_WEB_GATEWAY
    addresses: ["10.128.0.99"]
    ports: [443]
    certificateUrls: ["projects/PROJECT_ID/locations/REGION/certificates/cert1"]
    gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
    network: projects/PROJECT_ID/global/networks/default
    subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/default
    scope: samplescope
    
  2. Erstellen Sie eine Secure Web Proxy-Instanz:

    gcloud network-services gateways import swp1 \
        --source=gateway.yaml \
        --location=REGION
    

    Die Bereitstellung einer Secure Web Proxy-Instanz kann mehrere Minuten dauern.

Verbindung testen

  1. Stellen Sie eine Verbindung zu der VM her, die Sie zuvor bereitgestellt haben:

    gcloud compute ssh swp-test-vm \
        --zone=ZONE
    
  2. Testen Sie die Secure Web Proxy-Instanz:

    curl -x https://10.128.0.99:443 https://example.com --proxy-insecure
    

    Wenn Sie die Secure Web Proxy-Instanz für die TLS-Prüfung konfiguriert haben, verwenden Sie den folgenden Befehl:

    curl -x https://10.128.0.99:443 https://example.com/index.html --proxy-insecure
    

Bereinigen

Mit den folgenden Schritten vermeiden Sie, dass Ihrem Google Cloud-Konto die auf dieser Seite verwendeten Ressourcen in Rechnung gestellt werden:

Secure Web Proxy-Instanz „swp1“ löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy. Sie können eine Liste aller Web-Proxys oder nur diejenigen in einem bestimmten Netzwerk aufrufen.

  3. Wählen Sie den Web-Proxy aus, den Sie löschen möchten.

  4. Klicken Sie auf Löschen.

  5. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell

gcloud network-services gateways delete swp1 \
    --location=REGION

Regel allow-example-com löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy. Sie können eine Liste aller Web-Proxys oder nur diejenigen in einem bestimmten Netzwerk aufrufen.

  3. Klicken Sie auf den Tab Richtlinien.

  4. Klicken Sie auf die Richtlinie.

  5. Wählen Sie die Regel aus, die Sie löschen möchten.

  6. Klicken Sie auf Löschen.

  7. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell

gcloud network-security gateway-security-policies rules delete allow-example-com \
    --location=REGION \
    --gateway-security-policy=policy1

Secure Web Proxy-Richtlinie „policy1“ löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy. Sie können eine Liste aller Web-Proxys oder nur diejenigen in einem bestimmten Netzwerk aufrufen.

  3. Klicken Sie auf den Tab Richtlinien.

  4. Wählen Sie die Richtlinie aus, die Sie löschen möchten.

  5. Klicken Sie auf Löschen.

  6. Klicken Sie zum Bestätigen noch einmal auf Löschen.

Cloud Shell

gcloud network-security gateway-security-policies delete policy1 \
    --location=REGION

Linux-VM-Instanz swp-test-vm löschen

Console

  1. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.

    Zur Seite „VM-Instanzen“

  2. Wählen Sie die Instanzen aus, die Sie löschen möchten.

  3. Klicken Sie auf Löschen.

Cloud Shell

gcloud compute instances delete swp-test-vm

Nächste Schritte