아웃바운드 트래픽에 고정 IP 주소 할당

기본적으로 Secure Web Proxy는 아웃바운드 웹 트래픽에 관리형 Cloud NAT 게이트웨이(swg-autogen-nat)를 사용하며, 이 게이트웨이는 일반적으로 자동으로 할당된 IP 주소를 사용합니다. 이 페이지에서는 Google Cloud 프로젝트에서 소유하고 관리하는 특정 고정 외부 IPv4 주소 집합을 사용하도록 Cloud NAT 게이트웨이를 구성하는 방법을 설명합니다. Secure Web Proxy를 통해 라우팅되는 워크로드의 모든 아웃바운드 트래픽은 이러한 사전 정의된 고정 IP 중 하나에서 시작됩니다.

아웃바운드 트래픽에 고정 IP 주소를 할당하면 다음과 같은 몇 가지 주요 이점이 있습니다.

  • 예측 가능한 아웃바운드 트래픽 소스 IP: 외부 서비스, 파트너, 온프레미스 방화벽이 승인된 목록에 특정 IP 주소를 추가하여 Secure Web Proxy 인스턴스의 트래픽이 허용되도록 할 수 있습니다. 이는 IP 기반 액세스 제어 목록 (ACL)로 보호되는 리소스에 액세스하는 데 필수적입니다.

  • 동적 포트 할당 (DPA): 아웃바운드 트래픽에 할당한 고정 IP 주소 집합에서 사용 가능한 소스 포트를 효율적으로 할당합니다. DPA를 사용하면 워크로드가 사용 가능한 포트를 모두 사용하지 않고 제한된 수의 고정 IP로 아웃바운드 트래픽을 관리할 수 있습니다. 자세한 내용은 동적 포트 할당을 참고하세요.

  • 향상된 보안 상태: 관리 및 모니터링할 수 있는 더 작은 알려진 IP 주소 집합을 제공하여 보안 감사 및 위협 분석을 간소화합니다.

  • 서드 파티 통합 개선: 보안 강화를 위해 IP 허용 목록이 필요하거나 권장되는 SaaS 제공업체 및 API와의 원활한 통합을 지원합니다.

  • 간소화된 규정 준수: 모든 아웃바운드 트래픽 포인트와 연결된 IP 주소의 규정 준수 요구사항을 충족하는 데 도움이 됩니다.

시작하기 전에

  • 초기 설정 단계를 완료합니다.

  • Secure Web Proxy 인스턴스에 사용할 고정 IPv4 주소 목록을 예약합니다. Google Cloud에서 IP 주소를 예약하기 전에 gcloud compute addresses create 명령어를 사용하여 주소 리소스를 만들어야 합니다.

  • Google Cloud CLI 버전 406.0.0 이상이 설치되었는지 확인합니다.

    gcloud version | head -n1

    이전 gcloud CLI 버전이 설치되어 있는 경우 버전을 업데이트합니다.

    gcloud components update --version=406.0.0

Secure Web Proxy의 고정 IP 주소 구성

콘솔

  1. Google Cloud 콘솔에서 Cloud NAT 페이지로 이동합니다.

    Cloud NAT로 이동

  2. Secure Web Proxy 인스턴스에서 사용하는 Cloud NAT 게이트웨이를 찾습니다. 이름은 swg-autogen-nat이고 적절한 리전 및 가상 프라이빗 클라우드 네트워크의 Cloud NAT (이름이 swg-autogen-router-YYYY 형식)와 연결됩니다.

  3. Cloud NAT 게이트웨이의 세부정보 페이지로 이동하려면 swg-autogen-nat 게이트웨이 이름을 클릭합니다. Cloud NAT 게이트웨이 세부정보 페이지가 열립니다.

  4. 수정을 클릭합니다. Cloud NAT 게이트웨이 수정 페이지가 열립니다.

  5. Cloud NAT IP 주소에서 설정을 자동 (권장)에서 수동으로 변경합니다.

  6. IP 주소에서 예약한 고정 IP 주소를 선택합니다. 자세한 내용은 Secure Web Proxy용 Cloud NAT IP 구성을 참고하세요.

    IP 주소를 여러 개 추가하려면 IP 주소 추가 버튼을 클릭합니다.

  7. 고급 구성 섹션을 펼친 다음 동적 포트 할당 사용 설정 체크박스를 선택합니다.

  8. VM당 최소 포트 수에는 2048를 입력하는 것이 좋습니다.

  9. VM당 최대 포트 수에는 4096를 입력하는 것이 좋습니다.

  10. 저장을 클릭합니다.

  11. 변경사항을 저장한 후 다음을 확인합니다.

    1. Cloud NAT 게이트웨이 세부정보 페이지에서 IP 주소 섹션에 수동으로 선택한 고정 IP 주소가 나열되어 있는지 확인합니다.

    2. 이전에 구성한 가상 머신 (VM)당 올바른 최소 및 최대 포트에 대해 동적 포트 할당이 사용 설정되어 있는지 확인합니다.

Cloud Shell

  1. 보안 웹 프록시 인스턴스를 프로비저닝할 때 할당된 Cloud Router 이름을 확인하려면 gcloud compute routers list 명령어를 사용합니다.

    gcloud compute routers list \
    --region REGION \
    --filter="network:(NETWORK_NAME) AND name:(swg-autogen-router-*)" \
    --format="get(name)"

    다음을 바꿉니다.

    • REGION: Secure Web Proxy 인스턴스에 Cloud Router가 배포된 리전
    • NETWORK_NAME: VPC 네트워크 이름

    출력은 다음과 비슷합니다.

    swg-autogen-router-1

  2. Secure Web Proxy 인스턴스를 프로비저닝하는 동안 할당된 자동 프로비저닝된 외부 IP 주소를 나열하려면 gcloud compute routers get-status 명령어를 사용합니다.

    gcloud compute routers get-status ROUTER_NAME  \
    --region=REGION

    출력은 다음과 비슷합니다.

    kind: compute#routerStatusResponse
result:
  natStatus:
  - autoAllocatedNatIps:
    - 34.144.80.46
    - 34.144.83.75
    - 34.144.88.111
    - 34.144.94.113
    minExtraNatIpsNeeded: 0
    name: swg-autogen-nat
    numVmEndpointsWithNatMappings: 3
  network: https://www.googleapis.com/compute/projects/PROJECT_NAME/global/networks/NETWORK_NAME

    이 출력에는 다음 값이 포함됩니다.

    • PROJECT_NAME: Google Cloud프로젝트의 이름
    • NETWORK_NAME: VPC 네트워크 이름

  3. 미리 정의된 IP 범위를 사용하도록 Cloud NAT 게이트웨이를 업데이트하려면 gcloud compute routers nats update 명령어를 사용합니다.

    gcloud compute routers nats update swg-autogen-nat  \
    --router=ROUTER_NAME \
    --nat-external-ip-pool=IPv4_ADDRESSES... \
    --region=REGION

    IPv4_ADDRESSES를 쉼표(,)로 구분된 사용하려는 외부 IPv4 주소 리소스의 이름으로 바꿉니다.

  4. IP 범위가 Cloud NAT 게이트웨이에 할당되었는지 확인하려면 gcloud compute routers nats describe 명령어를 사용합니다.

    gcloud compute routers nats describe swg-autogen-nat \
    --router=ROUTER_NAME  \
    --region=REGION

    출력은 다음과 비슷합니다.

    enableEndpointIndependentMapping: false
icmpIdleTimeoutSec: 30
logConfig:
  enable: false
  filter: ALL
name: swg-autogen-nat
natIpAllocateOption: MANUAL_ONLY
natIps:
- https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS
sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES

    이 출력에는 다음 값이 포함됩니다.

    • PROJECT_NAME: Google Cloud프로젝트의 이름
    • REGION: Cloud NAT 게이트웨이가 배포된 리전
    • ADDRESS: 고정 IPv4 주소 리소스의 이름

  5. 동적 포트 할당 (DPA) 모드를 사용하도록 Cloud NAT 게이트웨이를 업데이트하려면 gcloud compute routers nats update 명령어를 사용합니다. DPA 모드를 사용하면 Secure Web Proxy 인스턴스가 할당된 IP 주소를 사용할 수 있습니다.

    gcloud compute routers nats update swg-autogen-nat  \
    --router=ROUTER_NAME \
    --min-ports-per-vm=2048 \
    --max-ports-per-vm=4096 \
    --enable-dynamic-port-allocation \
    --region=REGION

    --min-ports-per-vm 및 --max-ports-per-vm 플래그의 경우 값을 각각 2048 및 4096로 설정하는 것이 좋습니다.

    측정항목 탐색기를 사용하여 다음의 측정항목 데이터를 모니터링하고 필요에 따라 DPA 최소값과 최대값을 조정합니다.

    • Cloud NAT Gateway - Port usage
    • Cloud NAT Gateway - New connection count
    • Cloud NAT Gateway - Open connections

  6. DPA가 사용 설정되어 있고 최소 및 최대 포트 값이 설정되어 있는지 확인하려면 gcloud compute routers nats describe 명령어를 사용합니다.

    gcloud compute routers nats describe swg-autogen-nat \
    --router=ROUTER_NAME \
    --region=REGION

    natIpAllocateOption: MANUAL_ONLY의 출력을 확인하여 natIps 목록에 고정 IP 주소가 포함되어 있는지 확인합니다.

    출력은 다음과 비슷합니다.

    enableDynamicPortAllocation: true
enableEndpointIndependentMapping: false
endpointTypes:
- ENDPOINT_TYPE_SWG
logConfig:
  enable: true
  filter: ERRORS_ONLY
maxPortsPerVm: 4096
minPortsPerVm: 2048
name: swg-autogen-nat
natIpAllocateOption: MANUAL_ONLY
natIps:
- https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS
sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES
type: PUBLIC

    이 출력에는 다음 값이 포함됩니다.

    • PROJECT_NAME: Google Cloud프로젝트의 이름
    • REGION: Cloud NAT 게이트웨이가 배포된 리전
    • ADDRESS: 고정 IPv4 주소 리소스의 이름

다음 단계