פריסת Secure Web Proxy כצעד הבא

בדף הזה מוסבר איך ליצור מדיניות של Secure Web Proxy ואיך להגדיר ניתוב של next hop עבור מופע Secure Web Proxy. בנוסף, בדף הזה מוסבר איך להגדיר ניתוב סטטי או ניתוב על סמך מדיניות עבור הצעד הבא.

כברירת מחדל, למופעי SecureWebProxy יש ערך RoutingMode של EXPLICIT_ROUTING_MODE, כלומר צריך להגדיר את עומסי העבודה כך שישלחו תנועת HTTP(S) באופן מפורש ל-Secure Web Proxy. במקום להגדיר לקוחות בודדים שיצביעו על מופע Secure Web Proxy, אפשר להגדיר את RoutingMode של מופע Secure Web Proxy כ-NEXT_HOP_ROUTING_MODE, וכך להגדיר נתיבים שמפנים תנועה למופע Secure Web Proxy.

כשפורסים את מופע ה-Secure Web Proxy כנקודת מעבר הבאה, אפשר להגדיר את שער הגישה להאזנה בכל היציאות (מ-1 עד 65535), וכך לפשט את ההגדרה בסביבות דינמיות או בשירותים שמשתמשים בכמה יציאות.

הגדרת ניתוב של ה-hop הבא עבור Secure Web Proxy

בקטע הזה מתוארים השלבים ליצירת מדיניות Secure Web Proxy והתהליך לפריסת מופע Secure Web Proxy כנקודת מעבר הבאה.

יצירת מדיניות Secure Web Proxy

1. משלימים את כל השלבים המקדימים הנדרשים.
2. יצירת מדיניות Secure Web Proxy
3. יצירת כללים של Secure Web Proxy

פריסת מופע Secure Web Proxy כצעד הבא

המסוף

1. נכנסים לדף Web Proxies במסוף Google Cloud .

   מעבר ל-Web Proxies

2. לוחצים על Create a secure web proxy (יצירת פרוקסי מאובטח לאינטרנט).

3. מזינים שם לשרת ה-proxy לאינטרנט שרוצים ליצור, למשל myswp.

4. מזינים תיאור של שרת ה-Proxy לאינטרנט, למשל My new swp.

5. בקטע מצב ניתוב, בוחרים באפשרות הניתוב הבא.

6. ברשימה Regions, בוחרים את האזור שבו רוצים ליצור את שרת ה-proxy לאינטרנט.

7. ברשימה רשת, בוחרים את הרשת שבה רוצים ליצור את שרת ה-proxy לאינטרנט.

8. ברשימה Subnetwork, בוחרים את רשת המשנה שבה רוצים ליצור את שרת ה-proxy לאינטרנט.

9. אופציונלי: מזינים את כתובת ה-IP של Secure Web Proxy. אפשר להזין כתובת IP מטווח כתובות ה-IP של Secure Web Proxy שנמצאות ברשת המשנה שיצרתם בשלב הקודם. אם לא תזינו את כתובת ה-IP, המופע של Secure Web Proxy יבחר באופן אוטומטי כתובת IP מתוך תת-הרשת שנבחרה.

10. ברשימה Certificate, בוחרים את האישור שרוצים להשתמש בו כדי ליצור את פרוקסי האינטרנט.

11. ברשימה Policy, בוחרים את המדיניות שיצרתם כדי לשייך אליה את פרוקסי האינטרנט.

12. לוחצים על יצירה.

Cloud Shell

1. משתמשים בכלי לעריכת טקסט כדי ליצור קובץ gateway.yaml.

2. מוסיפים את הקוד הבא לקובץ gateway.yaml:

   name: projects/PROJECT_ID/locations/REGION/gateways/swp1
   type: SECURE_WEB_GATEWAY
   addresses: ["IP_ADDRESS"]
   ports: [443, 80]
   gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   network: projects/PROJECT_ID/global/networks/NETWORK
   subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK
   routingMode: NEXT_HOP_ROUTING_MODE
   

   אופציונלי: כדי להגדיר את השער להאזנה בכל היציאות (מ-1 עד 65535), מוסיפים את השדה all_ports בקובץ gateway.yaml ומגדירים אותו ל-true. התכונה הזו נתמכת בגרסת טרום-השקה.

   מידע על המגבלות שקשורות לשימוש בתכונה all_ports מופיע במאמר מגבלות.

   name: projects/PROJECT_ID/locations/REGION/gateways/swp1
   type: SECURE_WEB_GATEWAY
   addresses: ["IP_ADDRESS"]
   all_ports: true
   gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   network: projects/PROJECT_ID/global/networks/NETWORK
   subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK
   routingMode: NEXT_HOP_ROUTING_MODE
   

   אופציונלי: כדי לאפשר לאפליקציות לקוח מאזורים אחרים של Google Cloud Google Cloud להתחבר לשרת ה-Proxy, מפעילים גישה גלובלית כשיוצרים את מופע Secure Web Proxy.

   בקובץ gateway.yaml, מוסיפים את השדה allowGlobalAccess ומגדירים אותו לערך true.

   חשוב לדעת: אפשר להפעיל את allowGlobalAccess רק כשיוצרים מופע של Secure Web Proxy. אי אפשר לשנות את ההגדרה הזו בהמשך.

   name: projects/PROJECT_ID/locations/REGION/gateways/swp1
   type: SECURE_WEB_GATEWAY
   addresses: ["IP_ADDRESS"]
   ports: [443, 80]
   gatewaySecurityPolicy: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   network: projects/PROJECT_ID/global/networks/NETWORK
   subnetwork: projects/PROJECT_ID/regions/REGION/subnetworks/SUBNETWORK
   routingMode: NEXT_HOP_ROUTING_MODE
   allowGlobalAccess: true
   

3. יוצרים מכונה של Secure Web Proxy.

   gcloud network-services gateways import swp1 \
   --source=gateway.yaml \
   --location=REGION
   

   פריסת מופע של Secure Web Proxy יכולה להימשך כמה דקות.

יצירת מסלולים לקפיצה הבאה

אחרי שיוצרים מופע של Secure Web Proxy, אפשר להגדיר ניתוב סטטי או ניתוב על סמך מדיניות לקפיצה הבאה:

• מסלולים סטטיים מכוונים את התנועה ברשת אל מופע Secure Web Proxy באותו אזור. כדי להגדיר נתיב סטטי עם Secure Web Proxy כנקודת הדילוג הבאה, צריך להגדיר תגי רשת.
• מסלולים מבוססי-מדיניות מאפשרים לכם להפנות תנועה למופע של Secure Web Proxy מטווח כתובות IP של מקור. כשמגדירים נתיב מבוסס-מדיניות בפעם הראשונה, צריך להגדיר גם נתיב מבוסס-מדיניות אחר שיהיה נתיב ברירת המחדל.

בקטעים הבאים מוסבר איך ליצור מסלולים סטטיים ומסלולים מבוססי-מדיניות.

יצירת מסלולי ניתוב סטטיים

חשוב: אחרי שמסיימים ליצור נתיב סטטי, צריך לבצע את כל הפעולות שמפורטות בקטע רשימת המשימות לביצוע אחרי הפריסה. כך אפשר לוודא שהנתיב מפנה את התנועה בצורה נכונה למופע של Secure Web Proxy.

כדי להפנות תנועה למופע של Secure Web Proxy, מגדירים נתיב סטטי באמצעות הפקודה gcloud compute routes create. צריך לשייך את המסלול הסטטי לתג רשת, ולהשתמש באותו תג רשת בכל משאבי המקור כדי לוודא שהתנועה שלהם מנותבת מחדש למופע של Secure Web Proxy. במסלולים סטטיים אי אפשר להגדיר טווח כתובות IP של מקור.

מידע נוסף על אופן הפעולה של מסלולים סטטיים ב- Google Cloudזמין במאמר בנושא מסלולים סטטיים.

gcloud

כדי ליצור נתיב סטטי, משתמשים בפקודה הבאה.

gcloud compute routes create STATIC_ROUTE_NAME \
    --network=NETWORK_NAME \
    --next-hop-ilb=SWP_IP \
    --destination-range=DESTINATION_RANGE \
    --priority=PRIORITY \
    --tags=TAGS \
    --project=PROJECT
 

מחליפים את מה שכתוב בשדות הבאים:

• ‫STATIC_ROUTE_NAME: השם של המסלול הסטטי
• ‫NETWORK_NAME: שם הרשת
• ‫SWP_IP: כתובת ה-IP של מופע SecureWebProxy ברשת המשנה שצוינה בקובץ gateway.yaml
• ‫DESTINATION_RANGE: טווח כתובות ה-IP שאליו רוצים להפנות את התנועה. לדוגמה, אפשר להשתמש ב-0.0.0.0/0 כדי לנתב את כל תעבורת האינטרנט למופע Secure Web Proxy
• ‫PRIORITY: העדיפות של המסלול. מספרים גבוהים יותר מציינים עדיפות נמוכה יותר. מוודאים שהעדיפות של המסלול נמוכה יותר מבחינה מספרית מהמסלול לאינטרנט שמוגדר כברירת מחדל, שבדרך כלל הוא 1000
• ‫TAGS: רשימה מופרדת בפסיקים של תגים שתשתמשו בהם עם מופע Secure Web Proxy
• ‫PROJECT: מזהה הפרויקט

יצירת מכונה וירטואלית ברשת המשנה המתאימה עם תגי רשת שצוינו בנתיב

gcloud compute instances create swp-nexthop-test-vm \
    --subnet=SUBNETWORK \
    --zone=ZONE \
    --image-project=debian-cloud \
    --image-family=debian-11 \
    --tags=TAGS

מחליפים את מה שכתוב בשדות הבאים:

• ‫SUBNETWORK: רשת המשנה שהגדרתם ל-Proxy לאינטרנט
• ‫ZONE: האזור של מופע המכונה הווירטואלית לבדיקה
• ‫TAGS: רשימה מופרדת בפסיקים של תגים שתשתמשו בהם עם מופע Secure Web Proxy

יצירת מסלולים מבוססי-מדיניות

חשוב: הגדרות שגויות של נתיבים מבוססי-מדיניות עלולות לשבש באופן חמור את זרימת התנועה ברשת. כדי לוודא שהנתיבים מוגדרים בצורה נכונה:
‫1. לפני שיוצרים ניתוב על סמך מדיניות, חשוב לעיין במגבלות של ניתוב על סמך מדיניות.
‫2. אחרי שמסיימים ליצור מסלול מבוסס-מדיניות, צריך להשלים את כל הפעולות שמפורטות בקטע רשימת המשימות לביצוע אחרי הפריסה.

במקום ניתוב סטטי, אפשר להגדיר ניתוב על סמך מדיניות באמצעות הפקודה network-connectivity policy-based-routes create. צריך גם ליצור ניתוב מבוסס-מדיניות שיהיה ניתוב ברירת המחדל, כדי לאפשר ניתוב ברירת מחדל לתעבורה בין מכונות וירטואליות (VM) ברשת. מידע נוסף על אופן הפעולה של ניתוב על סמך מדיניות ב-Google Cloudזמין במאמר ניתוב על סמך מדיניות.

העדיפות של המסלול שמאפשר ניתוב ברירת מחדל צריכה להיות גבוהה יותר (מספר נמוך יותר) מהעדיפות של המסלול שמבוסס על מדיניות ומפנה תנועה למופע של Secure Web Proxy. אם יוצרים את הניתוב מבוסס-המדיניות בעדיפות גבוהה יותר מהניתוב שמאפשר ניתוב ברירת מחדל, הוא מקבל עדיפות על פני כל שאר הניתובים ב-VPC.

בדוגמה הבאה מוסבר איך ליצור נתיב מבוסס-מדיניות שמפנה תנועה למופע של Secure Web Proxy.

gcloud

משתמשים בפקודה הבאה כדי ליצור את המסלול שמבוסס על מדיניות.

gcloud network-connectivity policy-based-routes create POLICY_BASED_ROUTE_NAME \
    --network="projects/PROJECT/global/networks/NETWORK_NAME" \
    --next-hop-ilb-ip=SWP_IP \
    --protocol-version="IPV4" \
    --destination-range=DESTINATION_RANGE \
    --source-range=SOURCE_RANGE \
    --priority=2 \
    --project=PROJECT
 

מחליפים את מה שכתוב בשדות הבאים:

• ‫POLICY_BASED_ROUTE_NAME: השם של ניתוב מבוסס-מדיניות
• ‫NETWORK_NAME: שם הרשת
• ‫SWP_IP: כתובת ה-IP של מופע Secure Web Proxy
• ‫DESTINATION_RANGE: טווח כתובות ה-IP שאליו רוצים להפנות את התנועה
• ‫SOURCE_RANGE: טווח כתובות ה-IP שמהן רוצים להפנות את התנועה
• ‫PROJECT: מזהה הפרויקט

לאחר מכן, פועלים לפי השלבים הבאים כדי ליצור את המסלול שמתבסס על מדיניות ברירת המחדל לניתוב.

gcloud

כדי ליצור את מסלול ברירת המחדל מבוסס-מדיניות, משתמשים בפקודה הבאה.

gcloud network-connectivity policy-based-routes create DEFAULT_POLICY_BASED_ROUTE_NAME \
    --network="projects/PROJECT/global/networks/NETWORK_NAME" \
    --next-hop-other-routes="DEFAULT_ROUTING" \
    --protocol-version="IPV4" \
    --destination-range=DESTINATION_RANGE \
    --source-range=SOURCE_RANGE \
    --priority=1 \
    --project=PROJECT
 

מחליפים את מה שכתוב בשדות הבאים:

• ‫DEFAULT_POLICY_BASED_ROUTE_NAME: השם של ניתוב מבוסס-מדיניות
• ‫NETWORK_NAME: שם הרשת
• ‫DESTINATION_RANGE: טווח כתובות ה-IP שאליו רוצים להפנות את התנועה
• ‫SOURCE_RANGE: טווח כתובות ה-IP שמהן רוצים להפנות את התנועה
• ‫PROJECT: מזהה הפרויקט

רשימת משימות אחרי הפריסה

אחרי שמגדירים ניתוב סטטי או ניתוב מבוסס-מדיניות עם מופע Secure Web Proxy כנקודת הניתוב הבאה, חשוב לבצע את המשימות הבאות:

• מוודאים שיש נתיב ברירת מחדל לשער האינטרנט.
• מוסיפים את תג הרשת הנכון למסלול הסטטי שמפנה למופע של Secure Web Proxy כאל הצעד הבא.
• מגדירים עדיפות מתאימה לנתיב ברירת המחדל למופע Secure Web Proxy בתור הצעד הבא.
• מכיוון ש-Secure Web Proxy הוא שירות אזורי, צריך לוודא שתעבורת הלקוח מגיעה מאותו אזור שבו נמצא מופע Secure Web Proxy.

זהירות: כדי לוודא שהנתיב מפנה את התנועה בצורה נכונה למופע של Secure Web Proxy, צריך לסמן את כל הפריטים ברשימת המשימות.

מגבלות

• מכונות SecureWebProxy עם RoutingMode שהוגדר כ-NEXT_HOP_ROUTING_MODE תומכות בתעבורת Proxy של HTTP(S) ו-TCP. סוגים אחרים של תעבורת נתונים, כולל תעבורת נתונים בין אזורים, נפסלים ללא התראה.
• כשמשתמשים ב-next-hop-ilb, המגבלות שחלות על מאזני עומסי רשת פנימיים להעברת סיגנל ללא שינוי חלות על הצעדים הבאים אם הצעד הבא של היעד הוא מכונה של Secure Web Proxy. מידע נוסף מופיע בטבלאות של קפיצות ושל תכונות עבור מסלולים סטטיים.
• כל התנועה מהמכונות הווירטואליות (VM), כולל תנועה ועדכונים ברקע, שתואמים לנתיב הקפיצה הבא, ינותבו למופע של Secure Web Proxy.
• ברשת VPC באזור מסוים, אפשר לפרוס רק מופע אחד של Secure Web Proxy as next hop ‏ (SWPaNH).
• כשמשתמשים בתכונה all_ports, חלות המגבלות הבאות:
  • התכונה all_ports רלוונטית רק לשערי תשלום עם type: SECURE_WEB_GATEWAY.
  • אפשר להשתמש בהגדרה all_ports: true רק אם routingMode מוגדר לערך NEXT_HOP_ROUTING_MODE.
  • אי אפשר לציין גם את ההגדרה all_ports: true וגם רשימה של יציאות נפרדות בשדה היציאות של אותו משאב שער. צריך להשתמש רק בסוג אחד של הגדרת יציאה, ולא בשניהם.
  • ברשת ובאזור נתונים מסוימים, אי אפשר לפרוס בו-זמנית מופע אחד של Secure Web Proxy במצב next hop עם ההגדרה all_ports: true ומופע אחר של Secure Web Proxy בכל מצב אחר.