Esegui il deployment di un'istanza di Secure Web Proxy

Esegui il deployment di un'istanza di Secure Web Proxy

Questa guida rapida spiega come eseguire il deployment e il test di un'istanza di Secure Web Proxy.

I passaggi descrivono il deployment di Secure Web Proxy in modalità di routing esplicito, che funziona come proxy esplicito. Le istanze di Secure Web Proxy in modalità di routing esplicito possono essere pubblicate come servizio Private Service Connect.

In alternativa, puoi eseguire il deployment di Secure Web Proxy in modalità di routing hop successivo. Per saperne di più, consulta Eseguire il deployment di Secure Web Proxy come hop successivo.

Prima di iniziare

1. Completa i passaggi della configurazione iniziale.

2. (Facoltativo) Installa Google Cloud CLI in uno dei seguenti ambienti di sviluppo se vuoi eseguire gli esempi di riga di comando gcloud specificati in questa guida:

   Cloud Shell

   Per utilizzare un terminale online con gcloud CLI già configurata, attiva Cloud Shell:

   Alla fine di questa pagina, viene avviata una sessione di Cloud Shell e visualizzato un prompt della riga di comando. L'inizializzazione della sessione può richiedere alcuni secondi.

   Nota: se hai già installato gcloud CLI, assicurati di avere la versione più recente disponibile eseguendogcloud components update.

   Shell locale

   Per utilizzare un ambiente di sviluppo locale:

   1. Installa la gcloud CLI.
   2. Inizializza la gcloud CLI.

3. Crea o seleziona un Google Cloud progetto.

   Nota: se non prevedi di conservare le risorse che crei in questa procedura, crea un progetto invece di selezionarne uno esistente. Una volta completata questa procedura, puoi eliminare il progetto e tutte le relative risorse.

   Console

   Nella Google Cloud console, nella pagina di selezione del progetto, seleziona o crea un Google Cloud progetto.

   Vai al selettore dei progetti

   Cloud Shell

   • Crea un Google Cloud progetto:

     gcloud projects create PROJECT_ID
     

     Sostituisci PROJECT_ID con l'ID progetto che preferisci.

   • Seleziona il Google Cloud progetto che hai creato:

     gcloud config set project PROJECT_ID
     

4. Creare un'istanza di una macchina virtuale (VM) Linux.

   gcloud compute instances create swp-test-vm \
       --subnet=default \
       --zone=ZONE \
       --image-project=debian-cloud \
       --image-family=debian-11
   

   Sostituisci ZONE con la zona dell'istanza VM di test.

   Compute Engine concede all'utente che crea la VM il ruolo Amministratore di istanza Compute (roles/compute.instanceAdmin). Inoltre, aggiunge l'utente al gruppo sudo.

5. Crea una regola firewall.

   gcloud compute firewall-rules create default-allow-ssh \
       --direction=INGRESS \
       --priority=1000 \
       --network=default \
       --action=ALLOW \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

Crea un criterio Secure Web Proxy

Console

1. Nella Google Cloud console, vai alla pagina Regole SWP.

   Vai alle norme SWP

2. Fai clic su Crea un criterio.

3. Inserisci un nome per il criterio che vuoi creare, ad esempio policy1.

4. Inserisci una descrizione della norma, ad esempio My new swp policy.

5. Nell'elenco Regioni, seleziona la regione in cui vuoi creare il criterio del proxy web.

6. Se vuoi creare regole per il criterio, fai clic su Aggiungi regola. Per ulteriori informazioni, consulta la sezione Creare regole di Secure Web Proxy.

7. Fai clic su Crea.

Nota: se vuoi creare un criterio con l'ispezione TLS configurata, svolgi la procedura descritta in Attivare l'ispezione TLS.

Cloud Shell

1. Crea il file policy.yaml.

     description: basic Secure Web Proxy policy
     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   

   Nota: se vuoi creare un criterio con la configurazione dell'ispezione TLS, svolgi la procedura descritta in Attivare l'ispezione TLS.

   Sostituisci quanto segue:

   • PROJECT_ID: l'ID del tuo progetto
   • REGION: la regione del criterio

2. Crea il criterio Secure Web Proxy.

   gcloud network-security gateway-security-policies import policy1 \
       --source=policy.yaml \
       --location=REGION
   

Creare regole di Secure Web Proxy

Console

1. Nella Google Cloud console, vai alla pagina Regole SWP.

   Vai alle norme SWP

2. Fai clic sul nome del criterio.

3. Fai clic su Aggiungi regola.

4. Compila i seguenti campi della regola:

   1. Nome
   2. Descrizione
   3. Stato
   4. Priorità: ordine di valutazione numerico della regola. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta.
   5. Nella sezione Azione, specifica se le connessioni che corrispondono alla regola sono consentite (Consenti) o negate (Nega).
   6. Nella sezione Corrispondenza sessione, specifica i criteri per la corrispondenza della sessione. Per ulteriori informazioni sulla sintassi di SessionMatcher, consulta il riferimento al linguaggio dei corrispondenti CEL.
   7. (Facoltativo) Se vuoi abilitare l'ispezione TLS, seleziona Abilita ispezione TLS.

   8. Nella sezione Corrispondenza delle applicazioni, specifica i criteri per la corrispondenza della richiesta. Se non attivi la regola per l'ispezione TLS, la richiesta può corrispondere solo al traffico HTTP.

      Per informazioni sulla corrispondenza del traffico TCP, consulta Configurare le regole del proxy TCP per l'applicazione.

   9. Fai clic su Crea.

5. Fai clic su Aggiungi regola per aggiungere un'altra regola.

Cloud Shell

1. Crea il file rule.yaml come mostrato qui. Per maggiori informazioni sulla sintassi di SessionMatcher, consulta il riferimento al linguaggio dei corrispondenti CEL.

   name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
   description: Allow wikipedia.org
   enabled: true
   priority: 1
   basicProfile: ALLOW
   sessionMatcher: host() == 'wikipedia.org'
   

   • (Facoltativo) In alternativa, se vuoi creare una regola con la configurazione dell'ispezione TLS, crea il file rule.yaml come mostrato qui.

     Per informazioni sulla corrispondenza del traffico TCP, consulta Configurare le regole del proxy TCP per l'applicazione.

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
     description: Allow wikipedia.org
     enabled: true
     priority: 1
     basicProfile: ALLOW
     sessionMatcher: host() == 'wikipedia.org'
     applicationMatcher: request.path.contains('index.html')
     tlsInspectionEnabled: true
     

     Sostituisci quanto segue:

     • PROJECT_ID: l'ID del progetto
     • REGION: la regione del criterio

2. Crea la regola del criterio di sicurezza.

   gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
       --source=rule.yaml \
       --location=REGION \
       --gateway-security-policy=policy1
   

Configurare un proxy web

Questa sezione spiega come eseguire il deployment di Secure Web Proxy in modalità di routing esplicito, fungendo da proxy esplicito.

Console

1. Nella Google Cloud console, vai alla pagina Proxy web.

   Vai a Proxy web

2. Fai clic su Crea un proxy web sicuro.

3. Inserisci un nome per il proxy web che vuoi creare, ad esempio myswp.

4. Inserisci una descrizione del proxy web, ad esempio My new swp.

5. Per la Modalità di routing, seleziona l'opzione Esplicito.

6. Nell'elenco Regioni, seleziona la regione in cui vuoi creare il proxy web.

7. Nell'elenco Rete, seleziona la rete in cui vuoi creare il proxy web.

8. Nell'elenco Subnet, seleziona la sottorete in cui vuoi creare il proxy web.

9. (Facoltativo) Inserisci l'indirizzo IP di Secure Web Proxy. Puoi inserire un indirizzo IP dall'intervallo di indirizzi IP del proxy web sicuro che si trovano nella subnet creata nel passaggio precedente. Se non inserisci l'indirizzo IP, l'istanza di Secure Web Proxy sceglie automaticamente un indirizzo IP dalla subnet selezionata.

10. Nell'elenco Certificato, seleziona il certificato da utilizzare per creare il proxy web.

11. Nell'elenco Norma, seleziona la norma creata per associare il proxy web.

12. Fai clic su Crea.

Cloud Shell

1. Crea il file gateway.yaml.

   name: projects/PROJECT_ID/locations/REGION/gateways/swp1
   type: SECURE_WEB_GATEWAY
   addresses: ["IP_ADDRESS"]
   ports: [443]
   gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   network: projects/PROJECT_ID/global/networks/NETWORK
   subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK
   routingMode: EXPLICIT_ROUTING_MODE
   

   Sostituisci quanto segue:

   • PROJECT_ID: l'ID del tuo progetto
   • REGION: la regione dell'istanza di Secure Web Proxy
   • IP_ADDRESS: l'indirizzo IP della tua istanza di Secure Web Proxy
   • NETWORK: la rete dell'istanza di Secure Web Proxy
   • SUBNETWORK: la sottorete della tua istanza Secure Web Proxy

2. Crea un'istanza di Secure Web Proxy basata su gateway.yaml.

   gcloud network-services gateways import swp1 \
       --source=gateway.yaml \
       --location=REGION
   

   Il deployment di un'istanza di Secure Web Proxy può richiedere diversi minuti.

Testa la connettività

1. Connettiti alla VM di cui hai eseguito il provisioning in precedenza.

   gcloud compute ssh swp-test-vm \
       --zone=ZONE
   

   Sostituisci ZONE con la zona dell'istanza VM di test.

2. Testa l'istanza di Secure Web Proxy.

   curl -x IP_ADDRESS
   

   Sostituisci IP_ADDRESS con l'indirizzo IP della tua istanza di Secure Web Proxy.

Nota: non abbiamo configurato l'ispezione TLS nell'esempio indicato in questa pagina. Per ulteriori informazioni su come configurare l'istanza di Secure Web Proxy per l'ispezione TLS e poi testarla, consulta Abilitare l'ispezione TLS.

Importante: quando esegui il provisioning di un'istanza di Secure Web Proxy, viene creato un gateway Cloud NAT per abilitare l'accesso a internet. Solo gli endpoint di Secure Web Proxy nella regione e nella rete in questione hanno accesso al gateway Cloud NAT. Nessun altro endpoint, ad esempio un'istanza di macchina virtuale (VM) o un nodo Google Kubernetes Engine (GKE), è autorizzato a instradare il traffico tramite il gateway. Per ulteriori informazioni, vedi Assegnare indirizzi IP statici per il traffico in uscita.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questa pagina, segui questi passaggi.

Elimina l'istanza swp1 Secure Web Proxy

Importante: quando elimini l'istanza Secure Web Proxy, devi eliminare anche il gateway Cloud NAT (Network Address Translation) e il router cloud associati.

Console

1. Nella Google Cloud console, vai alla pagina Proxy web. Puoi visualizzare l'elenco di tutti i proxy web o solo quelli disponibili in una determinata rete.

   Vai a Proxy web

2. Seleziona il proxy web che vuoi eliminare.

3. Fai clic su Elimina.

4. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-services gateways delete swp1 \
    --location=REGION

Sostituisci REGION con la regione dell'istanza di Secure Web Proxy.

Elimina la regola allow-wikipedia-org

Console

1. Nella Google Cloud console, vai alla pagina Proxy web. Puoi visualizzare l'elenco di tutti i proxy web o solo quelli disponibili in una determinata rete.

   Vai a Proxy web

2. Fai clic sul criterio.

3. Seleziona la regola che vuoi eliminare.

4. Fai clic su Elimina.

5. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-security gateway-security-policies rules delete allow-wikipedia-org \
    --location=REGION \
    --gateway-security-policy=policy1

Sostituisci REGION con la regione del criterio.

Elimina il policy1 criterio Secure Web Proxy

Console

1. Nella Google Cloud console, vai alla pagina Proxy web. Puoi visualizzare l'elenco di tutti i proxy web o solo quelli disponibili in una determinata rete.

   Vai a Proxy web

2. Seleziona il criterio che vuoi eliminare.

3. Fai clic su Elimina.

4. Fai di nuovo clic su Elimina per confermare.

Cloud Shell

gcloud network-security gateway-security-policies delete policy1 \
    --location=REGION

Sostituisci REGION con la regione del criterio.

Elimina l'istanza VM Linux swp-test-vm

Console

1. Nella Google Cloud console, vai alla pagina Istanze VM.

   Vai a Istanze VM

2. Seleziona le istanze da eliminare.

3. Fai clic su Elimina.

Cloud Shell

gcloud compute instances delete swp-test-vm

Passaggi successivi

• Pubblicare Secure Web Proxy come servizio Private Service Connect
• Configurare l'ispezione TLS
• Utilizzare i tag per creare criteri
• Utilizzare gli elenchi di URL per creare criteri
• Assegna indirizzi IP statici per il traffico in uscita