本文說明如何使用 Secure Web Proxy 設定傳出網路流量的規則。您可以根據各種條件，控管要允許或拒絕哪些流量，確保只有授權流量能離開網路。Secure Web Proxy 提供三種主要機制來定義這些控制項：授權政策、閘道安全政策和服務速率限制政策。
使用適當的政策類型
如要控管傳出網站流量的流向，您必須為每個 Secure Web Proxy 閘道設定授權政策或閘道安全政策。這兩種政策類型互斥，無法同時附加至同一個閘道。
不過，無論閘道是否使用授權政策或閘道安全性政策，您都可以將服務頻率限制政策附加至閘道。
請根據需求，選擇下列兩種主要安全性政策類型：
授權政策：使用這項政策類型，搭配服務擴充功能或前端 mTLS 等功能，自訂授權擴充功能。授權政策提供彈性的架構，可保護傳出流量。您可以使用這些政策啟用精細控管功能，包括以身分和內容為基礎的政策，並使用服務擴充功能，支援委派給外部授權引擎。
如要為現有部署作業採用這些功能，則必須將傳出流量規則從閘道安全性政策遷移至授權政策。
閘道安全性政策：如果需要根據來源身分和目的地屬性，或政策中的網址清單，進行標準連線層級篩選，請使用這類政策。閘道安全性政策是 Secure Web Proxy 定義安全性規則的基礎。這些規則會根據來源身分 (例如服務帳戶或安全標記) 和目的地屬性 (例如網址清單) 允許或拒絕要求。閘道安全性政策不支援使用自訂授權擴充功能或前端 mTLS 等功能。
除了選擇主要安全性政策外，您也可以視需要設定下列類型的政策：
- 服務頻率限制政策：使用這類政策，即可排定流量優先順序、保護外部目的地免於流量超載，以及限制要求數量，控管傳出網路流量的成本。無論閘道是否使用授權政策或閘道安全性政策，您都可以將服務頻率限制政策附加至閘道。
授權政策
授權政策可讓您在透過 Secure Web Proxy 處理輸出要求時，建立以身分為依據的存取控管檢查。您可以設定授權政策 (AuthzPolicy)，驗證存取網際網路的來源工作負載或代理程式身分。
授權政策可讓您指定條件，根據要求的來源、目的地和其他屬性，允許、拒絕或委派要求授權。通過這些檢查的要求會轉送至網路目的地。失敗的要求會遭到拒絕，並顯示 403 Forbidden 錯誤。
對於 Secure Web Proxy，您可以將授權政策附加至閘道資源，定義輸出流量的安全邊界，並在 Secure Web Proxy 中評估授權政策規則。此外，您也可以使用服務擴充功能 (授權擴充功能)，將授權決策委派給外部授權引擎，藉此設定 Secure Web Proxy。
如要進一步瞭解如何設定授權政策，請參閱「設定 Secure Web Proxy 的授權政策」。
與標準閘道安全性政策相比，授權政策具有下列優點：
一致的政策介面：使用統一的
AuthzPolicyAPI 管理 Secure Web Proxy 的流量授權，以及應用程式負載平衡器和 Cloud Service Mesh (CSM) 等其他服務。Service Extensions 支援：使用 Service Extensions 將授權決策委派給自訂邏輯。您可以使用授權擴充功能，執行要求層級授權 (依據標頭、身分等) 和內容清理 (例如 Sensitive Data Protection 或威脅偵測)。
以身分為核心的安全防護：授權政策仍支援以 IP 為基礎的規則，但可讓您根據身分強制執行控管措施，提供更強大的資安態勢。您可以使用服務帳戶、標記或前端雙向 TLS 定義安全範圍。您也可以使用 Service Extensions，將授權決策委派給 Identity-Aware Proxy 等以身分為依據的服務。
閘道安全性政策和規則
閘道安全性政策是核心安全性項目，定義了所有傳出網路流量的存取控管機制。
閘道安全性政策包含下列主要功能：
政策控制：政策包含 Proxy 用來允許或拒絕網頁要求的閘道安全規則。您可以建立單一政策，並在多個 Secure Web Proxy 執行個體中重複使用，確保安全性規則一致且有效率。
預設採用安全設定：閘道安全性政策預設為
deny-all。除非您建立特定規則允許，否則 Proxy 會封鎖所有 HTTP 和 HTTPS 要求。這能確保從一開始就採用零信任架構。政策邏輯：每項政策都以兩項核心檢查為基礎：判斷流量來源，以及驗證允許的目的地。
閘道安全性規則是閘道安全性政策中的指令，用於比對及定義最終動作：允許或拒絕。
Secure Web Proxy 執行個體會依優先順序評估規則，從數字最小的規則開始檢查。Proxy 會停止運作，並根據第一個符合要求的規則採取行動。
工作階段比對器：在設定網路連線時，檢查網路連線的基本資訊。工作階段比對器包含下列項目：
- 來源身分 (服務帳戶或安全標記)
- 目的地主機名稱 (網域名稱)
- 目的地通訊埠
Application Matcher：檢查實際網頁要求的內容。通常用於確保精細控管，並需要 TLS 檢查來檢查加密流量。Application Matcher 包含下列項目：
- 完整網址路徑
- 要求方法，例如封鎖所有
DELETE動作 - 特定 HTTP 標頭
服務頻率限制政策
服務頻率限制政策有助於維持傳出網路流量閘道的彈性。雖然其他流量管理機制會優先調度資源，但頻率限制會從來源端限制耗用大量資源的用戶端，盡可能提高閘道可用性。
在要求處理路徑的結尾，也就是所有閘道安全規則、授權檢查和服務擴充功能都成功完成後，Secure Web Proxy 會強制執行服務速率限制。這有助於確保只有經過授權且可信任的流量，才會消耗頻率限制預算。
如要進一步瞭解如何設定頻率限制政策，請參閱「服務頻率限制總覽」和「設定服務頻率限制政策」。
限制
在 Secure Web Proxy 中設定政策時，適用下列限制：
閘道安全性政策：這些政策不支援授權擴充功能。如要使用自訂邏輯或將授權決策委派給外部服務等進階功能，只能透過授權政策進行。
授權政策：這些政策不支援網址清單，或網址字串規則運算式 (regex) 比對。
服務頻率限制政策：頻率限制僅適用於符合規則且具有應用程式屬性 (
ApplicationMatcher) 的第 7 層流量。如果傳出網路流量符合規則，但僅具有工作階段屬性 (SessionMatcher)，則不適用頻率限制。