Políticas y reglas

En este documento, se explica cómo configurar reglas para tu tráfico web saliente con Secure Web Proxy. Puedes controlar qué tráfico se permite o se rechaza según varios criterios, lo que garantiza que solo el tráfico autorizado salga de tu red. Secure Web Proxy proporciona tres mecanismos principales para definir estos controles: políticas de autorización, políticas de seguridad de la puerta de enlace, y políticas de límite de frecuencia del servicio.

Usa el tipo de política adecuado

Para controlar el flujo de tráfico web saliente, debes configurar cada puerta de enlace de Secure Web Proxy con una política de autorización o una política de seguridad de la puerta de enlace. Estos dos tipos de políticas son mutuamente excluyentes; no puedes adjuntar ambos tipos de políticas a la misma puerta de enlace.

Sin embargo, puedes adjuntar una política de límite de frecuencia del servicio a una puerta de enlace, independientemente de si usa una política de autorización o una política de seguridad de la puerta de enlace.

Elige entre los siguientes dos tipos principales de políticas de seguridad según tus requisitos:

  • Política de autorización: Usa este tipo de política para funciones como extensiones de autorización personalizadas mediante Extensiones de servicio o mTLS de frontend. Las políticas de autorización proporcionan un framework flexible para proteger tu tráfico saliente. Puedes usar estas políticas para habilitar controles detallados, incluidas las políticas basadas en la identidad y el contenido, y admitir la delegación a motores de autorización externos mediante Extensiones de servicio.

    Si deseas adoptar estas funciones para una implementación existente, debes migrar tus reglas para el tráfico saliente de tu política de seguridad de la puerta de enlace a una política de autorización.

  • Política de seguridad de la puerta de enlace: Usa este tipo de política si necesitas un filtrado estándar a nivel de la conexión basado en la identidad de origen y los atributos de destino o listas de URLs en tu política. Las políticas de seguridad de la puerta de enlace son la base para definir reglas de seguridad en Secure Web Proxy. Permiten o rechazan solicitudes según la identidad de origen, como las cuentas de servicio o las etiquetas seguras, y los atributos de destino , como las listas de URLs. Las políticas de seguridad de la puerta de enlace no admiten el uso de funciones como las extensiones de autorización personalizadas o mTLS de frontend.

Además de elegir tu política de seguridad principal, puedes configurar de forma opcional el siguiente tipo de política:

  • Política de límite de frecuencia del servicio: Usa este tipo de política para priorizar el tráfico, proteger los destinos externos de las sobrecargas de tráfico y controlar los costos del tráfico web saliente limitando los recuentos de solicitudes. Puedes adjuntar una política de límite de frecuencia del servicio a una puerta de enlace, independientemente de si usa una política de autorización o una política de seguridad de la puerta de enlace.

Políticas de autorización

Las políticas de autorización te permiten establecer verificaciones de control de acceso basadas en la identidad cuando procesas solicitudes salientes a través de Secure Web Proxy. Puedes configurar políticas de autorización (AuthzPolicy) para validar la identidad de una carga de trabajo o un agente de origen que accede a Internet.

Una política de autorización te permite especificar condiciones para permitir, rechazar o delegar la autorización de solicitudes según su origen, destino y otros atributos de solicitud. Las solicitudes que pasan estas verificaciones se reenvían al destino web. Las solicitudes que fallan se rechazan con un error 403 Forbidden.

En el caso de Secure Web Proxy, puedes adjuntar políticas de autorización a tu recurso de puerta de enlace para definir el perímetro de seguridad de tu tráfico saliente y evaluar las reglas de la política de autorización en Secure Web Proxy. Además, puedes configurar Secure Web Proxy para delegar decisiones de autorización a un motor de autorización externo mediante Extensiones de servicio (extensiones de autorización).

Para obtener más información sobre cómo configurar políticas de autorización, consulta Configura políticas de autorización para Secure Web Proxy.

Las políticas de autorización proporcionan los siguientes beneficios en comparación con las políticas de seguridad de la puerta de enlace estándar :

  • Superficie de política coherente: usa la API unificada AuthzPolicy para administrar la autorización de tráfico para Secure Web Proxy junto con otros servicios, como balanceador de cargas de aplicaciones y Cloud Service Mesh (CSM).

  • Compatibilidad con Extensiones de servicio: Usa Extensiones de servicio para delegar decisiones de autorización a tu lógica personalizada. Puedes usar extensiones de autorización para realizar la autorización a nivel de la solicitud (según los encabezados, la identidad y mucho más) y la limpieza de contenido (como la protección de datos sensibles o la detección de amenazas).

  • Seguridad centrada en la identidad: Si bien aún admite reglas basadas en IP, las políticas de autorización proporcionan una postura de seguridad más sólida, ya que te permiten aplicar controles basados en la identidad. Puedes definir tu perímetro de seguridad con cuentas de servicio, etiquetas o TLS mutua de frontend. También puedes usar Extensiones de servicio para delegar decisiones de autorización a servicios basados en la identidad, como Identity-Aware Proxy.

Políticas y reglas de seguridad de la puerta de enlace

Una política de seguridad de la puerta de enlace es el elemento de seguridad principal que define los controles de acceso para todo el tráfico web saliente.

Las políticas de seguridad de la puerta de enlace incluyen las siguientes funciones clave:

  • Control de políticas: Una política contiene las reglas de seguridad de la puerta de enlace que usa el proxy para permitir o rechazar una solicitud web. Puedes crear una sola política y volver a usarla en varias instancias de Secure Web Proxy para mantener tus reglas de seguridad coherentes y eficientes.

  • Seguridad de forma predeterminada: Las políticas de seguridad de la puerta de enlace son deny-all de forma predeterminada. El proxy bloquea todas las solicitudes HTTP y HTTPS hasta que creas una regla específica para permitirlas. Esto aplica de manera forzosa una arquitectura de confianza cero desde el principio.

  • Lógica de políticas: Cada política se basa en dos verificaciones principales: determinar la fuente de tráfico y verificar el destino permitido.

Una regla de seguridad de la puerta de enlace es una instrucción en una política de seguridad de la puerta de enlace que coincide con la acción final y la define: permitir o rechazar.

Tu instancia de Secure Web Proxy evalúa las reglas según la prioridad, y primero se verifica el número más bajo. El proxy se detiene y actúa según la primera regla que coincida con la solicitud.

  • Session Matcher: Verifica la información básica sobre la conexión de red a medida que se configura. Session Matcher incluye los siguientes elementos:

    • Identidad de origen (cuenta de servicio o etiqueta segura)
    • Nombre de host de destino (el nombre de dominio)
    • Puerto de destino

  • Application Matcher: Inspecciona el contenido de la solicitud web real. Por lo general, se usa para garantizar un control detallado y requiere la inspección de TLS para verificar el tráfico encriptado. Application Matcher incluye los siguientes elementos:

    • Ruta de URL completa
    • Método de solicitud, por ejemplo, bloquear todas las acciones DELETE
    • Encabezados HTTP específicos

Políticas de límite de frecuencia del servicio

Las políticas de límite de frecuencia del servicio ayudan a mantener la resiliencia de tus puertas de enlace de tráfico web saliente. Si bien otros mecanismos de administración de tráfico priorizan el ajuste de escala de los recursos, el límite de frecuencia limita los clientes con uso intensivo de recursos en la fuente para maximizar la disponibilidad de la puerta de enlace.

Secure Web Proxy aplica el límite de frecuencia del servicio al final de la ruta de procesamiento de la solicitud, después de que se completan correctamente todas las reglas de seguridad de la puerta de enlace, las verificaciones de autorización y las extensiones de servicio. Esto ayuda a garantizar que solo el tráfico autorizado y de confianza consuma tu presupuesto de límite de frecuencia.

Para obtener más información sobre cómo configurar políticas de límite de frecuencia, consulta Descripción general del límite de frecuencia del servicio y Configura políticas de límite de frecuencia del servicio.

Limitaciones

Cuando configuras políticas en Secure Web Proxy, se aplican las siguientes limitaciones:

  • Políticas de seguridad de la puerta de enlace: Estas políticas no admiten extensiones de autorización. Las capacidades avanzadas, como el uso de lógica personalizada o la delegación de decisiones de autorización a servicios externos, solo están disponibles a través de políticas de autorización.

  • Políticas de autorización: Estas políticas no admiten listas de URLs ni coincidencias de expresiones regulares (regex) para cadenas de URLs.

  • Políticas de límite de frecuencia del servicio: El límite de frecuencia solo se aplica al tráfico de la capa 7 que coincide con una regla con un atributo de aplicación (ApplicationMatcher). Para el tráfico web saliente que coincide con una regla con solo un atributo de sesión (SessionMatcher), no se aplica el límite de frecuencia.

¿Qué sigue?