部署安全 Web 代理实例

在 Google Cloud 控制台中，前往网络安全页面。

前往“网络安全”

点击安全 Web 代理。

点击政策标签页。

点击创建政策。

为您要创建的政策输入名称，例如 myswppolicy。

输入政策说明，例如 My new swp policy。

在区域列表中，选择要创建 Web 代理政策的区域。

如果要为 Web 代理配置 TLS 检查，请选择配置 TLS 检查。

在 TLS 检查政策列表中，选择您创建的 TLS 检查政策。TLS 检查政策仅在您创建时才会显示在列表中。

如果要为政策创建规则，请点击继续，然后点击添加规则。如需了解详情，请参阅创建安全 Web 代理规则。

点击创建。

某些 Web 代理政策要求对流量进行 TLS 加密以便进行评估。使用以下任一方法创建政策，具体取决于您是否需要 TLS 加密：

• 创建使用 TLS 检查配置的政策。

  如需启用 TLS 检查，请执行启用 TLS 检查中所述的步骤，然后创建文件 policy.yaml：

  description: basic Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
  tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
  

• 创建不使用 TLS 检查配置的政策。

  如果您不想启用 TLS 检查，请创建文件 policy.yaml：

  description: basic Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
  

创建安全 Web 代理政策：

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

在 Google Cloud 控制台中，前往网络安全页面。

前往“网络安全”

点击安全 Web 代理。

点击政策标签页。

点击您的政策名称。

点击添加规则。

填充规则字段：

1. 名称
2. 说明
3. Status
4. 优先级：规则的数字评估顺序。规则按优先级从高到低进行评估，其中 0 为最高优先级。
5. 在操作部分中，指定是允许 (Allow) 还是拒绝 (Deny) 与规则匹配的连接。
6. 在会话匹配部分中，指定用于匹配会话的条件。如需详细了解 SessionMatcher 的语法，请参阅 CEL 匹配器语言参考文档。
7. 如需启用 TLS 检查，请选择启用 TLS 检查。
8. 在应用匹配部分中，指定与请求匹配的条件。如果您没有启用 TLS 检查规则，则请求只能匹配 HTTP 流量。
9. 点击创建。

点击添加规则以添加其他规则。

点击创建以创建该政策。

根据您是否需要使用 TLS 加密，使用以下任一方法创建规则：

• 使用 TLS 检查配置创建规则。

  如需启用 TLS 检查，请创建文件 rule.yaml：

  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
  description: Allow wikipedia
  enabled: true
  priority: 1
  basicProfile: ALLOW
  sessionMatcher: host() == 'wikipedia.org'
  applicationMatcher: request.path.contains('index.html')
  tlsInspectionEnabled: true
  

• 创建不使用 TLS 检查配置的规则。

  如果您不想启用 TLS 检查，请创建文件 rule.yaml：

  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-wikipedia-org
  description: Allow wikipedia.org
  enabled: true
  priority: 1
  basicProfile: ALLOW
  sessionMatcher: host() == 'wikipedia.org'
  

创建安全政策规则：

gcloud network-security gateway-security-policies rules import allow-wikipedia-org \
    --source=rule.yaml \
    --location=REGION \
    --gateway-security-policy=policy1

在 Google Cloud 控制台中，前往网络安全页面。

前往“网络安全”

点击安全 Web 代理。

点击 Web 代理标签页。

点击设置 Web 代理。

为您要创建的 Web 代理输入名称，例如 myswp。

输入 Web 代理的说明，例如 My new swp。

在区域列表中，选择要创建 Web 代理的区域。

在网络列表中，选择您要在其中创建 Web 代理的网络。

在子网列表中，选择要创建 Web 代理的子网。

输入 Web 代理 IP 地址。

在证书列表中，选择要用于创建 Web 代理的证书。

在政策列表中，选择您创建的要与 Web 代理关联的政策。

点击创建。

创建文件 gateway.yaml：

name: projects/PROJECT_ID/locations/REGION/gateways/swp1
type: SECURE_WEB_GATEWAY
addresses: ["10.128.0.99"]
ports: [443]
certificateUrls: ["projects/PROJECT_ID/locations/REGION/certificates/cert1"]
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
network: projects/PROJECT_ID/global/networks/default
subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/default
scope: samplescope

创建安全 Web 代理实例：

gcloud network-services gateways import swp1 \
    --source=gateway.yaml \
    --location=REGION

安全 Web 代理实例的部署可能需要几分钟的时间。