שימוש ברשימות של כתובות URL ליצירת כללי מדיניות

בדף הזה מוסבר איך להשתמש ברשימות של כתובות URL כדי ליצור ולנהל מדיניות גישה מפורטת לתעבורת נתונים יוצאת (egress) באינטרנט במופע של Secure Web Proxy. במקום ליצור כללים נפרדים לכל אתר, רשימות של כתובות URL מאפשרות להגדיר אוסף מרכזי של דומיינים, שמות מארחים ותבניות ספציפיות של כתובות URL שאפשר לעשות בהם שימוש חוזר.

אלה כמה מהיתרונות העיקריים של שימוש ברשימות של כתובות URL:

  • ניהול מדיניות פשוט יותר: אפשר להחיל קבוצה גדולה של כללי allow או deny באמצעות הפניה אחת במדיניות האבטחה.

  • אכיפת שליטה מדויקת: אפשר להשתמש בתחביר ספציפי כדי להתאים דומיינים שלמים, תת-דומיינים או נתיבים מדויקים של כתובות URL. כך תוכלו לוודא שלעומסי העבודה שלכם תהיה גישה רק ליעדים מורשים.

  • גישה מאובטחת לאינטרנט: אתם יכולים לאבטח ולבדוק ביעילות את הגישה לאינטרנט בסביבת Google Cloud שלכם.

לפני שמתחילים

  • משלימים את השלבים להגדרה הראשונית.

  • מוודאים שמותקנת אצלכם גרסה 406.0.0 או גרסה מתקדמת יותר של Google Cloud CLI:

    gcloud version | head -n1

    אם מותקנת אצלכם גרסה קודמת של ה-CLI של gcloud, צריך לעדכן את הגרסה:

    gcloud components update --version=406.0.0

יצירת מופע של Secure Web Proxy עם מדיניות ריקה

כדי ליצור מופע של Secure Web Proxy, צריך קודם ליצור מדיניות אבטחה ריקה ואז ליצור פרוקסי אינטרנט שמשתמש במדיניות הזו.

יצירה של מדיניות אבטחה ריקה

המסוף

  1. נכנסים לדף SWP Policies במסוף Google Cloud .

    מעבר אל מדיניות SWP

  2. לוחצים על יצירת מדיניות.

  3. בשדה Name, מזינים שם למדיניות, כמו myswppolicy.

  4. בשדה Description (תיאור) מזינים תיאור למדיניות, למשל My new swp policy.

  5. בקטע אזורים, בוחרים את האזור שבו רוצים ליצור את המדיניות, כמו us-central1.

  6. לוחצים על יצירה.

Cloud Shell

  1. משתמשים בכלי לעריכת טקסט כדי ליצור קובץ policy.yaml.

  2. מוסיפים את הקוד הבא לקובץ policy.yaml:

    name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
description: POLICY_DESCRIPTION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_NAME: שם הפרויקט

    • ‫REGION: האזור שבו נוצרה המדיניות, למשל us-central1

    • ‫POLICY_NAME: שם המדיניות

    • ‫POLICY_DESCRIPTION: תיאור המדיניות

  3. מייבאים את מדיניות האבטחה באמצעות הפקודה gcloud network-security gateway-security-policies import:

    gcloud network-security gateway-security-policies import POLICY_NAME \
    --source=POLICY_FILE.yaml \
    --location=REGION

יצירת שרת proxy לאינטרנט

המסוף

  1. נכנסים לדף Web Proxies במסוף Google Cloud .

    מעבר ל-Web Proxies

  2. לוחצים על יצירת שרת proxy מאובטח לאינטרנט.

  3. בשדה Name, מזינים שם לשרת ה-proxy לאינטרנט, למשל myswp.

  4. בשדה Description (תיאור) מזינים תיאור לשרת ה-proxy לאינטרנט, כמו My new swp.

  5. בקטע מצב ניתוב, בוחרים באחת מהאפשרויות הבאות:

    • מפורש: פריסת מופע Secure Web Proxy במצב proxy מפורש.
    • הצעד הבא: פריסת מופע Secure Web Proxy במצב 'הצעד הבא'.

  6. בקטע Regions (אזורים), בוחרים את האזור שבו רוצים ליצור את שרת ה-proxy לאינטרנט, כמו us-central1.

  7. בקטע רשת, בוחרים את הרשת שבה רוצים ליצור את שרת ה-proxy לאינטרנט.

  8. בשדה Subnetwork (תת-רשת), בוחרים את תת-הרשת של ה-VPC שיצרתם במהלך ההגדרה הראשונית.

  9. אופציונלי: בשדה כתובת ה-IP של שרת ה-proxy לאינטרנט, מזינים את כתובת ה-IP של Secure Web Proxy.

    אפשר להזין כתובת IP מתוך טווח כתובות ה-IP של Secure Web Proxy שנמצאות ברשת המשנה שיצרתם בשלב הקודם. אם לא תזינו את כתובת ה-IP, מופע Secure Web Proxy יבחר באופן אוטומטי כתובת IP מתוך תת-הרשת שנבחרה.

  10. בקטע Certificate, בוחרים את האישור שרוצים להשתמש בו כדי ליצור את שרת ה-proxy לאינטרנט.

  11. בקטע מדיניות, בוחרים את המדיניות שיצרתם כדי לשייך את שרת ה-proxy לאינטרנט.

  12. לוחצים על יצירה.

Cloud Shell

  1. משתמשים בכלי לעריכת טקסט כדי ליצור קובץ gateway.yaml.

  2. מוסיפים את הקוד הבא לקובץ gateway.yaml:

    name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME
type: SECURE_WEB_GATEWAY
ports: [GATEWAY_PORT_NUMBERS]
certificateUrls: [CERTIFICATE_URLS]
gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
network: projects/PROJECT_NAME/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNETWORK
routingMode: ROUTING_MODE
addresses: [GATEWAY_IP_ADDRESS]
scope: samplescope

    אופציונלי: כדי לאפשר לאפליקציות לקוח מאזורים אחרים של Google Cloud Google Cloud להתחבר לשרת ה-proxy, צריך להפעיל גישה גלובלית כשיוצרים את מופע Secure Web Proxy.

    בקובץ gateway.yaml, מוסיפים את השדה allow_global_access ומגדירים אותו לערך true.

    חשוב: אפשר להפעיל את allow_global_access רק כשיוצרים מופע של Secure Web Proxy. אי אפשר לשנות את ההגדרה הזו מאוחר יותר.

    name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME
type: SECURE_WEB_GATEWAY
ports: [GATEWAY_PORT_NUMBERS]
certificateUrls: [CERTIFICATE_URLS]
gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
network: projects/PROJECT_NAME/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNETWORK
addresses: [GATEWAY_IP_ADDRESS]
scope: samplescope
allow_global_access: true

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫GATEWAY_NAME: השם של מופע Secure Web Proxy

    • ‫GATEWAY_PORT_NUMBERS: רשימה של מספרי יציאות לשער הזה, למשל [80,443]

    • ‫CERTIFICATE_URLS: רשימה של כתובות URL של אישורי SSL

    • ‫SUBNETWORK: רשת משנה של VPC שיצרתם במהלך ההגדרה הראשונית

    • ‫ROUTING_MODE: מציינים את מצב הניתוב הנדרש של שרת ה-Proxy לאינטרנט:

      • ‫EXPLICIT_ROUTING_MODE: פריסת מופע Secure Web Proxy במצב שרת proxy מפורש
      • ‫NEXT_HOP_ROUTING_MODE: פריסת מופע Secure Web Proxy במצב next hop

    • ‫GATEWAY_IP_ADDRESS: רשימה אופציונלית של כתובות IP של מופעי Secure Web Proxy ברשתות המשנה של ה-proxy שיצרתם קודם בשלבי ההגדרה הראשונית

      אם אתם בוחרים לא לפרט כתובות IP, אל תמלאו את השדה כדי לאפשר לשרת ה-proxy לבחור כתובת IP בשבילכם.

  3. יוצרים את מופע Secure Web Proxy באמצעות הפקודה gcloud network-services gateways import:

    gcloud network-services gateways import GATEWAY_NAME \
    --source=gateway.yaml \
    --location=REGION

בדיקת הקישוריות

כדי לבדוק את הקישוריות, משתמשים בפקודה curl מכל מופע של מכונה וירטואלית (VM) ברשת הענן הווירטואלי הפרטי (VPC):

  curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure

אם הכול פועל בצורה תקינה, מופע Secure Web Proxy מחזיר קוד סטטוס 403 Forbidden. השגיאה הזו מאשרת את הפרטים הבאים:

  • הפריסה של מופע Secure Web Proxy הושלמה בהצלחה והוא מקבל תנועה באופן פעיל.

  • מדיניות Secure Web Proxy אוכפת בצורה נכונה את מצב האבטחה שמוגדר כברירת מחדל, שבו כל התנועה נדחית עד שמגדירים כללי allow ספציפיים בקטעים הבאים.

יצירה והגדרה של רשימת כתובות URL

המסוף

  1. נכנסים לדף URL Lists במסוף Google Cloud .

    מעבר לרשימות של כתובות URL

  2. לוחצים על יצירת רשימת כתובות אתרים. ייפתח הדף Create URL list.

  3. בשדה שם, מזינים שם לרשימת כתובות ה-URL, כמו example-org-allowed-list.

  4. בשדה תיאור, מזינים תיאור לרשימת כתובות ה-URL, כמו My new URL list.

  5. בקטע אזורים, בוחרים את האזור שבו רוצים ליצור את רשימת כתובות ה-URL, למשל us-central1.

  6. כדי להוסיף את רשימת המארחים, כתובות ה-URL או התבניות להתאמה, בשדה רשימת כתובות URL, מזינים את הפרטים או לוחצים על