Configurare l'accesso globale per Secure Web Proxy

Secure Web Proxy è un servizio regionale. Per impostazione predefinita, i client devono trovarsi nella stessa Google Cloud regione dell'istanza Secure Web Proxy.

Quando abiliti l'accesso globale per un'istanza Secure Web Proxy, i client possono connettersi da qualsiasi regione, non solo dalla regione in cui è stato eseguito il deployment del proxy. Questa funzionalità supporta i seguenti casi d'uso:

  • Traffico in uscita da una regione specifica: per soddisfare i requisiti di ottimizzazione dei costi o di conformità legale, puoi forzare l'uscita di tutto il traffico internet in uscita da una regione specifica.

  • Failover tra regioni: se il proxy principale riscontra problemi, puoi reindirizzare manualmente il traffico a un'istanza Secure Web Proxy alternativa in un'altra regione.

Vantaggi

  • Maggiore affidabilità e disponibilità: se si verifica un'interruzione a livello di regione, puoi reindirizzare il traffico a istanze Secure Web Proxy alternative in altre regioni disponibili. Per reindirizzare il traffico, puoi modificare le route per la modalità hop successivo o modificare i record DNS per la modalità proxy esplicito.

  • Gestione di rete semplificata: gestisci il traffico in uscita da una posizione centralizzata per semplificare l'amministrazione di rete per la tua organizzazione.

Abilita accesso globale

Per abilitare l'accesso globale, devi impostare il campo allow_global_access su true nel file gateway.yaml quando crei un'istanza Secure Web Proxy.

Puoi abilitare l'accesso globale per Secure Web Proxy nelle seguenti modalità di deployment:

Esempio di configurazione

L'esempio seguente mostra come abilitare l'accesso globale quando crei un'istanza Secure Web Proxy in modalità di deployment proxy esplicito:

  1. Utilizza un editor di testo per creare un file gateway.yaml.

  2. Aggiungi il seguente codice al file gateway.yaml con il campo allow_global_access impostato su true.

    name: projects/PROJECT_ID/locations/REGION
    /gateways/swp1
type: SECURE_WEB_GATEWAY
addresses: ["IP_ADDRESS"]
ports: [443]
gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
network: projects/PROJECT_ID/global/networks/
    NETWORK
subnetwork: projects/PROJECT_ID/regions/REGION
    /subnetworks/SUBNETWORK
routingMode: EXPLICIT_ROUTING_MODE
allow_global_access: true

    Sostituisci quanto segue:

    • PROJECT_ID: ID del progetto

    • REGION: regione dell'istanza Secure Web Proxy

    • IP_ADDRESS: indirizzo IP dell'istanza Secure Web Proxy

    • NETWORK: rete dell'istanza Secure Web Proxy

    • SUBNETWORK: subnet dell'istanza Secure Web Proxy. Devi utilizzare la subnet VPC che hai creato nell'ambito dei passaggi di configurazione iniziali.

  3. Per creare l'istanza Secure Web Proxy, utilizza il gcloud network-services gateways import comando.

    gcloud network-services gateways import swp1 \
    --source=gateway.yaml

Attributi di identità nelle regole dei criteri

Gli attributi di identità, come gli account di servizio e i tag, disponibili per l'utilizzo nelle regole dei criteri Secure Web Proxy rimangono funzionali indipendentemente dal fatto che tu abiliti o meno la funzionalità di accesso globale.

Le applicazioni e i carichi di lavoro client di varie Google Cloud regioni possono fornire le proprie identità, che l'istanza Secure Web Proxy può utilizzare per applicare le regole dei criteri. Per ulteriori informazioni, consulta Identità supportate per gli attributi di origine.

Logging e monitoraggio

I log di Secure Web Proxy includono informazioni sull'origine del traffico in uscita. Quando abiliti l'accesso globale per l'istanza Secure Web Proxy, i log mostrano la regione originale di un'applicazione client, anche se è diversa dalla regione del proxy. Per ulteriori informazioni, consulta Log e metriche.

Passaggi successivi