Implementa una instancia del Proxy web seguro
Antes de comenzar
Completa los pasos iniciales de configuración.
Para ejecutar los comandos de esta página, configura Google Cloud CLI en uno de los siguientes entornos de desarrollo:
Cloud Shell
Para usar una terminal en línea con gcloud CLI ya configurada, activa Cloud Shell:
Al final de esta página, se inicia una sesión de Cloud Shell que muestra una ventana de línea de comandos. La sesión puede tardar unos segundos en inicializarse.
Shell local
Para usar un entorno de desarrollo local, sigue estos pasos:
Crea o selecciona un proyecto de Google Cloud.
Console
En la consola de Google Cloud, en la página del selector de proyectos, selecciona o crea un proyecto de Google Cloud.
Cloud Shell
Crea un proyecto de Google Cloud:
gcloud projects create PROJECT_ID
Reemplaza
PROJECT_ID
por el ID del proyecto que deseas.Selecciona el proyecto de Google Cloud que creaste:
gcloud config set project PROJECT_ID
Crea una instancia de máquina virtual (VM) de Linux:
gcloud compute instances create swp-test-vm \ --subnet=default \ --zone=ZONE \ --image-project=debian-cloud \ --image-family=debian-11
Compute Engine otorga al usuario que crea la VM la función de administrador de instancias de Compute (
roles/compute.instanceAdmin
). Compute Engine también agrega ese usuario al grupo sudo.Crea una regla de firewall:
gcloud compute firewall-rules create default-allow-ssh \ --direction=INGRESS \ --priority=1000 \ --network=default \ --action=ALLOW \ --rules=tcp:22 \ --source-ranges=0.0.0.0/0
Crea una política del Proxy web seguro
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro.
Haz clic en la pestaña Políticas.
Haz clic en Crear una política.
Ingresa un nombre para la política que deseas crear, como
myswppolicy
.Ingresa una descripción para la política, como
My new swp policy
.En la lista Regiones, selecciona la región en la que deseas crear la política de proxy web.
Si quieres configurar la inspección de TLS para el proxy web, selecciona Configurar la inspección de TLS.
En la lista Política de inspección de TLS, selecciona la política de inspección de TLS que creaste. La política de inspección de TLS aparece en la lista solo si la creaste.
Si deseas crear reglas para tu política, haz clic en Continuar y, luego, en Agregar regla. Para obtener más información, consulta Crea reglas del Proxy web seguro.
Haz clic en Crear.
Cloud Shell
Algunas políticas de proxy web requieren que el tráfico esté encriptado TLS para la evaluación. En función de si deseas encriptación TLS, usa cualquiera de los siguientes métodos para crear una política:
Crea una política con la configuración de inspección de TLS.
Para habilitar la inspección de TLS, realiza el procedimiento descrito en Habilita la inspección de TLS y, luego, crea el archivo
policy.yaml
:description: basic Secure Web Proxy policy name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1 tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
Crea una política sin la configuración de inspección de TLS.
Si no deseas habilitar la inspección de TLS, crea el archivo
policy.yaml
:description: basic Secure Web Proxy policy name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
Crea la política del Proxy web seguro:
gcloud network-security gateway-security-policies import policy1 \ --source=policy.yaml \ --location=REGION
Crea reglas del Proxy web seguro
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro.
Haz clic en la pestaña Políticas.
Haz clic en el nombre de la política.
Haz clic en Agregar regla.
Propaga los campos de la regla:
- Nombre
- Descripción
- Estado
- Prioridad: El orden de evaluación numérico de la regla. Las reglas se evalúan de mayor a menor prioridad, en la que
0
es la prioridad más alta. - En la sección Acción, especifica si se permiten (Permitir) o rechazan (Denegar) las conexiones que coinciden con la regla.
- En la sección Coincidencia de sesión, especifica los criterios para hacer coincidir la sesión. Si deseas obtener más información sobre la sintaxis de
SessionMatcher
, consulta la referencia del lenguaje del comparador CEL. - Para habilitar la inspección de TLS, selecciona Habilitar inspección de TLS.
- En la sección Coincidencia de la aplicación, especifica los criterios para hacer coincidir la solicitud. Si no habilitas la regla para la inspección de TLS, la solicitud solo puede coincidir con el tráfico HTTP.
- Haz clic en Crear.
Haz clic en Agregar regla para agregar otra regla.
Haz clic en Crear para crear la política.
Cloud Shell
En función de si deseas encriptación TLS, usa cualquiera de los siguientes métodos para crear una regla:
Crea una regla con la configuración de inspección de TLS.
Para habilitar la inspección de TLS, crea el archivo
rule.yaml
:name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org description: Allow wikipedia enabled: true priority: 1 basicProfile: ALLOW sessionMatcher: host() == 'wikipedia.org' applicationMatcher: request.path.contains('index.html') tlsInspectionEnabled: true
Crea una regla sin la configuración de inspección de TLS.
Si no deseas habilitar la inspección de TLS, crea el archivo
rule.yaml
:name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org description: Allow wikipedia.org enabled: true priority: 1 basicProfile: ALLOW sessionMatcher: host() == 'wikipedia.org'
Crea la regla de la política de seguridad:
gcloud network-security gateway-security-policies rules import allow-wikipedia-org \ --source=rule.yaml \ --location=REGION \ --gateway-security-policy=policy1
Configura un proxy web
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro.
Haz clic en la pestaña Proxies web.
Haz clic en Configurar un proxy web.
Ingresa un nombre para el proxy web que deseas crear, como
myswp
.Ingresa una descripción del proxy web, como
My new swp
.En la lista Regiones, selecciona la región en la que deseas crear el proxy web.
En la lista Red, selecciona la red en la que deseas crear el proxy web.
En la lista Subred, selecciona la subred en la que deseas crear el proxy web.
Ingresa la dirección IP del proxy web.
En la lista Certificado, selecciona el certificado que deseas usar para crear el proxy web.
En la lista Política, selecciona la política que creaste para asociarla con el proxy web.
Haz clic en Crear.
Cloud Shell
Crea el archivo
gateway.yaml
:name: projects/PROJECT_ID/locations/REGION/gateways/swp1 type: SECURE_WEB_GATEWAY addresses: ["10.128.0.99"] ports: [443] certificateUrls: ["projects/PROJECT_ID/locations/REGION/certificates/cert1"] gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1 network: projects/PROJECT_ID/global/networks/default subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/default scope: samplescope
Crea una instancia del Proxy web seguro:
gcloud network-services gateways import swp1 \ --source=gateway.yaml \ --location=REGION
Una instancia de Proxy web seguro puede tardar varios minutos en implementarse.
Probar conectividad
Conéctate a la VM que aprovisionaste anteriormente:
gcloud compute ssh swp-test-vm \ --zone=ZONE
Prueba la instancia del Proxy web seguro:
curl -x http://10.128.0.99:443 http://wikipedia.org --proxy-insecure
Si configuraste la instancia del Proxy web seguro para la inspección de TLS, usa el siguiente comando:
curl -x http://10.128.0.99:443 http://wikipedia.org/index.html --proxy-insecure
Limpia
Sigue estos pasos para evitar que se apliquen cargos a tu cuenta de Google Cloud por los recursos que se usaron en esta página.
Borra la instancia del Proxy web seguro swp1
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro. Puedes ver una lista de todos los proxies web o solo los de una red en particular.
Selecciona el proxy web que deseas borrar.
Haz clic en Borrar.
Haga clic en Borrar nuevamente para confirmar.
Cloud Shell
gcloud network-services gateways delete swp1 \
--location=REGION
Borrar la regla allow-wikipedia-org
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro. Puedes ver una lista de todos los proxies web o solo los de una red en particular.
Haz clic en la pestaña Políticas.
Haz clic en tu política.
Selecciona la regla que quieres borrar.
Haz clic en Borrar.
Haga clic en Borrar nuevamente para confirmar.
Cloud Shell
gcloud network-security gateway-security-policies rules delete allow-wikipedia-org \
--location=REGION \
--gateway-security-policy=policy1
Borrar la política del Proxy web seguro policy1
Console
En la consola de Google Cloud, ve a la página Seguridad de red.
Haz clic en Proxy web seguro. Puedes ver una lista de todos los proxies web o solo los de una red en particular.
Haz clic en la pestaña Políticas.
Selecciona la política que deseas borrar.
Haz clic en Borrar.
Haga clic en Borrar nuevamente para confirmar.
Cloud Shell
gcloud network-security gateway-security-policies delete policy1 \
--location=REGION
Borrar la instancia de VM de Linux swp-test-vm
Console
En la consola de Google Cloud, ve a la página Instancias de VM.
Selecciona las instancias que deseas borrar.
Haz clic en Borrar.
Cloud Shell
gcloud compute instances delete swp-test-vm