פרסום Secure Web Proxy כשירות Private Service Connect

כדי לרכז את הפריסה של Secure Web Proxy בכמה רשתות VPC, אפשר להפוך את Secure Web Proxy לזמין באמצעות קובץ מצורף של שירות Private Service Connect.

כדי לפרוס Secure Web Proxy עם Private Service Connect, צריך לבצע את השלבים הבאים:

1. יוצרים מדיניות וכללים ל-Secure Web Proxy.
2. יוצרים מופע של Secure Web Proxy שמשתמש במדיניות שלכם.
3. יוצרים קובץ מצורף עם שירות כדי לפרסם את מופע Secure Web Proxy כשירות Private Service Connect.
4. יוצרים נקודת קצה (endpoint) של צרכן Private Service Connect בכל רשת VPC שצריך להתחבר אליה ל-Secure Web Proxy.
5. מפנים את התנועה היוצאת של עומס העבודה למופע Secure Web Proxy מרכזי באזור.

פריסת Secure Web Proxy כקובץ מצורף של שירות Private Service Connect (לחצו כדי להגדיל).

לפני שמתחילים

לפני שמבצעים את השלבים בדף הזה, צריך להשלים את שלבי ההגדרה הראשונית.

יצירה והגדרה של מכונת Secure Web Proxy

במדריך הזה מוסבר איך ליצור כללי מדיניות וכללים של Secure Web Proxy שתואמים לתנועה לפי סשן.

מידע על הגדרת בדיקת TLS (אופציונלית) זמין במאמר הפעלת בדיקת TLS.

מידע על הגדרה אופציונלית של התאמה ברמת האפליקציה זמין במאמר בנושא יצירה ופריסה של מופע Secure Web Proxy.

יצירת מדיניות Secure Web Proxy

המסוף

1. נכנסים לדף SWP Policies במסוף Google Cloud .

   למדיניות SWP

2. לוחצים על יצירת מדיניות.

3. מזינים שם למדיניות שרוצים ליצור, למשל myswppolicy.

4. מזינים תיאור של המדיניות.

5. ברשימה Regions, בוחרים את האזור שבו רוצים ליצור את מדיניות פרוקסי האינטרנט.

6. לוחצים על יצירה.

Cloud Shell

1. יוצרים קובץ policy.yaml.

   description: basic Secure Web Proxy policy
   name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫PROJECT_ID: מזהה הפרויקט שלכם
   • ‫REGION: האזור של המדיניות

2. יוצרים מדיניות Secure Web Proxy על סמך policy.yaml.

   gcloud network-security gateway-security-policies import policy1 \
       --source=policy.yaml \
       --location=REGION
   

הוספת כללי Secure Web Proxy למדיניות

מגדירים כללים של Secure Web Proxy כדי לאפשר תעבורת נתונים יוצאת מכל עומס עבודה.

בקטע הזה מוסבר איך ליצור כלל שיאפשר תעבורת נתונים מעומסי עבודה שמזוהים באמצעות תג מנהל המשאבים או חשבון שירות. למידע על התאמת תנועה בדרכים אחרות, אפשר לעיין במאמר בנושא הפניה לשפה של כלי ההתאמה של CEL.

הערה: תנועת גולשים ב-Private Service Connect לא תומכת בהתאמת תנועת גולשים על סמך כתובת ה-IP של המקור. מנות שעוברות דרך קובץ מצורף של שירות מתורגמות באמצעות NAT של מקור (SNAT), כך שכתובות ה-IP המקוריות שלהן מומרות לכתובות IP של מקור מרשת המשנה של Private Service Connect של קובץ מצורף השירות.

המסוף

1. נכנסים לדף SWP Policies במסוף Google Cloud .

   למדיניות SWP

2. לוחצים על שם המדיניות.

3. כדי להוסיף כללים שיאפשרו לעומסי עבודה לגשת לאינטרנט, מבצעים את הפעולות הבאות:

   1. לוחצים על הוספת כלל.
   2. מזינים עדיפות. הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר.
   3. מזינים שם.
   4. הזן תיאור
   5. מזינים סטטוס.
   6. בקטע פעולה, בוחרים באפשרות אישור.
   7. לוחצים על סטטוס ואז על מופעל.

   8. בקטע התאמה לסשן, מציינים את הקריטריונים להתאמה לסשן.

      • לדוגמה, כדי לאפשר תעבורת נתונים אל google.com מעומסי עבודה עם מזהה ערך התג של מנהל המשאבים tagValues/123456, מזינים את הפקודה הבאה:

        source.matchTag('tagValues/123456') && host() == 'google.com'

      • כדי לאפשר תנועה אל google.com מעומסי עבודה שמשתמשים בחשבון השירות [e-mail], מזינים את הפרטים הבאים:

        source.matchServiceAccount('[e-mail]') && host() == 'google.com'

   9. לוחצים על יצירה.

Cloud Shell

לכל כלל שרוצים להוסיף:

1. יוצרים קובץ rule.yaml ומציינים את הקריטריונים להתאמת הסשן.

   • כדי לאפשר תעבורת נתונים לדומיין ספציפי מעומסי עבודה שמזוהים על ידי מזהה ערך תג מנהל המשאבים, יוצרים את הקובץ הבא:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
     description: Allow traffic based on tag
     enabled: true
     priority: PRIORITY
     basicProfile: ALLOW
     sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫PROJECT_ID: מזהה הפרויקט שלכם
     • ‫REGION: האזור של המדיניות
     • ‫RULE_NAME: שם הכלל
     • ‫PRIORITY: העדיפות של הכלל – הכללים מוערכים מהעדיפות הגבוהה ביותר לנמוכה ביותר, כאשר 0 היא העדיפות הגבוהה ביותר
     • ‫TAG_VALUE_ID: מזהה ערך התג של עומסי העבודה שרוצים לאפשר להם תנועה
     • ‫DOMAIN_NAME: שם הדומיין שאליו רוצים לאפשר תנועה

   • כדי לאפשר תנועה לדומיין ספציפי מעומסי עבודה שמשתמשים בחשבון שירות, יוצרים את הקובץ הבא:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
     description: Allow traffic based on service account
     enabled: true
     priority: PRIORITY
     basicProfile: ALLOW
     sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
     

     מחליפים את SERVICE_ACCOUNT בשם של חשבון השירות.

2. כדי לעדכן את המדיניות עם הכלל שהגדרתם ב-rule.yaml, משתמשים בפקודה הבאה:

   gcloud network-security gateway-security-policies rules import RULE_NAME \
      --source=rule.yaml \
      --location=REGION \
      --gateway-security-policy=policy1
   

פריסת מופע של Secure Web Proxy

פורסים מכונת Secure Web Proxy במצב ניתוב מפורש ברשת של הענן הווירטואלי הפרטי (VPC) שרוצים להשתמש בה לתעבורת נתונים יוצאת (egress). כשיוצרים את המופע, משייכים אותו למדיניות ולכללים שיצרתם בשלבים הקודמים.

פרסום של Secure Web Proxy עם קובץ מצורף של שירות Private Service Connect לא תומך במצב ניתוב של הנתב הבא.

מידע על הגדרת המופע זמין במאמר הגדרת שרת proxy לאינטרנט. בשלב הזה, אתם לא צריכים לבצע את השלבים האחרים שמופיעים בדף הזה.

פריסת Secure Web Proxy כשירות Private Service Connect במודל של רכזת ורשתות היקפיות

בקטע הזה מוסבר איך לפרוס את Secure Web Proxy כשירות Private Service Connect, באמצעות מודל של רכזת וחישורים כדי לרכז את ניהול תעבורת הנתונים היוצאת (egress).

פרסום Secure Web Proxy כשירות Private Service Connect

כדי לפרסם את Secure Web Proxy כשירות, צריך ליצור תת-רשת של Private Service Connect וקובץ מצורף של שירות. תת-הרשת והקובץ המצורף של השירות חייבים להיות באותו אזור כמו נקודות הקצה של Private Service Connect שמקבלות גישה לקובץ המצורף של השירות.

יצירת תת-רשת ל-Private Service Connect

כדי ליצור תת-רשת ל-Private Service Connect, מבצעים את הפעולות הבאות.

המסוף

1. נכנסים לדף VPC networks במסוף Google Cloud .

   מעבר לרשתות VPC

2. לוחצים על השם של רשת VPC כדי להציג את הדף פרטים של רשת VPC.

3. לוחצים על Subnets (רשתות משנה).

4. לוחצים על הוספת רשת משנה. בחלונית שמופיעה, מבצעים את הפעולות הבאות:

   1. מזינים שם.
   2. בוחרים Region.
   3. בקטע Purpose (מטרה), בוחרים באפשרות Private Service Connect (חיבור לשירות פרטי).
   4. בשדה IP stack type, בוחרים באפשרות IPv4 (single-stack) או באפשרות IPv4 and IPv6 (dual-stack).
   5. מזינים טווח כתובות IPv4. לדוגמה, 10.10.10.0/24.
   6. אם יוצרים רשת משנה עם תמיכה כפולה ב-IPv4 וב-IPv6, צריך להגדיר את סוג הגישה ל-IPv6 כפנימי.
   7. לוחצים על הוספה.

Cloud Shell

מבצעים אחת מהפעולות הבאות:

• כדי ליצור תת-רשת של Private Service Connect עם IPv4 בלבד, מבצעים את הפעולות הבאות:

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

• כדי ליצור תת-רשת של Private Service Connect עם תמיכה ב-IPv4 ו-IPv6, מבצעים את הפעולות הבאות:

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --stack-type=IPV4_IPV6 \
      --ipv6-access-type=INTERNAL \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

מחליפים את מה שכתוב בשדות הבאים:

• ‫SUBNET_NAME: השם שרוצים להקצות לרשת המשנה.

• ‫NETWORK_NAME: השם של ה-VPC של רשת המשנה החדשה.

• ‫REGION: האזור של רשת המשנה החדשה. האזור הזה צריך להיות זהה לאזור של השירות שאתם מפרסמים.

• ‫SUBNET_RANGE: טווח כתובות IPv4 לשימוש ברשת המשנה – לדוגמה, 10.10.10.0/24.

יצירת קובץ מצורף לשירות

כדי לפרסם את Secure Web Proxy כצירוף שירות ברשת ה-VPC המרכזית (hub), מבצעים את הפעולות הבאות.

בקטע הזה מוסבר איך ליצור קובץ מצורף לשירות שמקבל באופן אוטומטי את כל החיבורים. מידע על אישור מפורש או על אפשרויות הגדרה אחרות זמין במאמר פרסום שירות עם אישור מפורש.

המסוף

1. נכנסים לדף Private Service Connect במסוף Google Cloud .

   כניסה אל Private Service Connect

2. לוחצים על הכרטיסייה שירותים שפורסמו.

3. לוחצים על פרסום השירות.

4. בקטע פרטי היעד, בוחרים באפשרות Secure Web Proxy.

5. בוחרים את מופע Secure Web Proxy שרוצים לפרסם. השדות 'רשת' ו'אזור' יאוכלסו בפרטים של מופע Secure Web Proxy שנבחר.

6. בשדה Service name, מזינים שם לחיבור השירות.

7. בוחרים רשתות משנה אחת או יותר של Private Service Connect עבור השירות. הרשימה מאוכלסת ברשתות משנה מרשת ה-VPC של מופע Secure Web Proxy שנבחר.

8. בקטע העדפות חיבור, בוחרים באפשרות אישור אוטומטי של כל החיבורים.

9. לוחצים על הוספת שירות.

Cloud Shell

משתמשים בפקודה gcloud compute service-attachments create.

gcloud compute service-attachments create SERVICE_ATTACHMENT_NAME \
    --target-service=SWP_INSTANCE_URI \
    --connection-preference=ACCEPT_AUTOMATIC \
    --nat-subnets=NAT_SUBNET_NAME \
    --region=REGION \
    --project=PROJECT

מחליפים את מה שכתוב בשדות הבאים:

• ‫SERVICE_ATTACHMENT_NAME: השם של קובץ השירות המצורף
• ‫SWP_INSTANCE_URI: ה-URI של מופע Secure Web Proxy, בפורמט הבא: //networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/gateways/INSTANCE_NAME
• ‫NAT_SUBNET_NAME: השם של תת-הרשת של Private Service Connect
• ‫REGION: האזור של פריסת Secure Web Proxy
• ‫PROJECT: הפרויקט של פריסת Secure Web Proxy

יצירת נקודות קצה

יוצרים נקודת קצה בכל רשת VPC שצריכה לשלוח תעבורה יוצאת דרך מופע מרכזי של Secure Web Proxy. כברירת מחדל, נקודת קצה נגישה רק לעומסי עבודה באזור שלה.

כדי לאפשר לעומסי עבודה מכל Google Cloud אזור לגשת לנקודת קצה, מפעילים את האפשרות 'גישה גלובלית'.

הערה: בקטע הזה מתוארים השלבים הבסיסיים ליצירת נקודת קצה. מידע נוסף על כל אפשרויות ההגדרה זמין בקטע יצירת נקודת קצה במסמכי התיעוד של VPC.

חוזרים על השלבים הבאים לכל נקודת קצה שרוצים ליצור.

המסוף

1. נכנסים לדף Private Service Connect במסוף Google Cloud .

   כניסה אל Private Service Connect

2. לוחצים על הכרטיסייה נקודות קצה מחוברות.

3. לוחצים על Connect endpoint (חיבור נקודת קצה).

4. בשדה Target, בוחרים באפשרות Published service.

5. בשדה שירות יעד, מזינים את מזהה המשאבים האחיד (URI) של שירות היעד שאליו רוצים להתחבר.

   ה-URI של קובץ השירות המצורף הוא בפורמט הבא: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

6. בשדה Endpoint name (שם נקודת הקצה), מזינים שם לשימוש בנקודת הקצה.

7. בוחרים רשת לנקודת הקצה.

8. בוחרים רשת משנה לנקודת הקצה.

9. בוחרים כתובת IP לנקודת הקצה. אם אתם צריכים כתובת IP חדשה, אתם יכולים ליצור אחת:

   1. לוחצים על התפריט הנפתח IP address (כתובת IP) ובוחרים באפשרות Create IP address (יצירת כתובת IP).
   2. מזינים שם ותיאור (אופציונלי) לכתובת ה-IP.
   3. בוחרים גרסת IP.

   4. אם אתם יוצרים כתובת IPv4, בוחרים באפשרות הקצאה אוטומטית או באפשרות אני רוצה לבחור.

      אם בחרתם באפשרות אני רוצה לבחור, מזינים את כתובת ה-IP המותאמת אישית שבה רוצים להשתמש.

   5. לוחצים על Reserve.

10. אופציונלי: כדי לאפשר ללקוחות מכל Google Cloud אזור לגשת לנקודת הקצה, בוחרים באפשרות הפעלת גישה גלובלית.

    מידע נוסף זמין בקטעים גישה גלובלית ויצירת נקודת קצה במאמרי העזרה בנושא VPC.

11. לוחצים על הוספת נקודת קצה.

Cloud Shell

1. שמירת כתובת IP פנימית להקצאה לנקודת הקצה.

   gcloud compute addresses create ADDRESS_NAME \
       --region=REGION \
       --subnet=SUBNET \
       --ip-version=IP_VERSION
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ADDRESS_NAME: השם שיוקצה לכתובת ה-IP השמורה.

   • ‫REGION: האזור של כתובת ה-IP של נקודת הקצה. זה חייב להיות אותו אזור שמכיל את קובץ השירות של יצרן השירות.

   • ‫SUBNET: השם של תת-הרשת של כתובת ה-IP של נקודת הקצה.

   • ‫IP_VERSION: גרסת ה-IP של כתובת ה-IP, שיכולה להיות IPV4 או IPV6. ברירת המחדל היא IPV4. כדי לציין את IPV6, כתובת ה-IP צריכה להיות מחוברת לתת-רשת עם טווח כתובות IPv6 פנימיות.

2. יוצרים כלל העברה כדי לחבר את נקודת הקצה לחיבור השירות של בעלי השירות המנוהל.

   gcloud compute forwarding-rules create ENDPOINT_NAME \
      --region=REGION \
      --network=NETWORK_NAME \
      --address=ADDRESS_NAME \
      --target-service-attachment=SERVICE_ATTACHMENT
   

   אופציונלי: כדי לאפשר ללקוחות מכל Google Cloud אזור לגשת לנקודת הקצה, מוסיפים את הדגל --allow-psc-global-access.

   מידע נוסף זמין בקטעים גישה גלובלית ויצירת נקודת קצה במאמרי העזרה בנושא VPC.

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ENDPOINT_NAME: השם שרוצים להקצות לנקודת הקצה.

   • ‫REGION: האזור של נקודת הקצה. זה חייב להיות אותו אזור שמכיל את קובץ השירות של ספק השירות.

   • ‫NETWORK_NAME: השם של רשת ה-VPC של נקודת הקצה.

   • ‫ADDRESS_NAME: השם של הכתובת השמורה.

   • ‫SERVICE_ATTACHMENT: ה-URI של קובץ מצורף עם שירות ההפקה. לדוגמה: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

הפניית עומסי עבודה לנקודות קצה של Private Service Connect

מגדירים משתני סביבה של שרת proxy כך שכל עומס עבודה ישתמש בכתובת ה-IP של נקודת קצה של Private Service Connect לתעבורת נתונים יוצאת.

לדוגמה, כדי להגדיר באופן זמני את משתני הסביבה HTTP_PROXY ו-HTTPS_PROXY לעומס עבודה בסביבת Linux או macOS, אפשר להשתמש בשורת הפקודה:

export HTTP_PROXY="http://ENDPOINT_IP_ADDRESS:HTTP_PORT"
export HTTPS_PROXY="https://ENDPOINT_IP_ADDRESS:HTTPS_PORT"

מחליפים את מה שכתוב בשדות הבאים:

• ‫ENDPOINT_IP_ADDRESS: כתובת ה-IP הפנימית של נקודת הקצה
• ‫HTTP_PORT: היציאה לקבלת תעבורת HTTP
• ‫HTTPS_PORT: היציאה לקבלת תעבורת HTTPS

מידע על הגדרה קבועה של משתני proxy בסביבת העבודה של העומסים זמין במסמכי התיעוד של מערכת ההפעלה.

מה השלב הבא?

• הגדרה של בדיקת TLS
• שימוש בתגים ליצירת כללי מדיניות
• הקצאת כתובות IP סטטיות לתעבורת נתונים יוצאת (egress)