보안 웹 프록시에 Cloud NAT 사용

보안 웹 프록시 인스턴스를 프로비저닝하면 동일한 리전 및 가상 프라이빗 클라우드 (VPC) 네트워크에 Cloud NAT 게이트웨이가 자동으로 생성됩니다. 그런 다음 이 게이트웨이는 보안 웹 프록시 인스턴스에서 시작되는 모든 아웃바운드 웹 트래픽에 대해 비공개 IP를 공개 IP에 매핑하여 인터넷 액세스를 관리합니다.

기본적으로 이 자동 프로비저닝된 Cloud NAT 게이트웨이는 Automatic NAT IP address allocation로 설정됩니다. 즉, Google Cloud는 보안 웹 프록시 인스턴스에서 사용하는 공개 IP 주소를 동적으로 할당하고 확장합니다. 하지만 수동으로 예약하고 할당할 수 있는 고정 공개 IP 주소 집합을 사용하도록 이 게이트웨이를 다시 구성할 수 있습니다.

시작하기 전에

초기 설정 단계를 완료합니다.
보안 웹 프록시 인스턴스가 배포된 VPC 네트워크와 리전을 확인합니다.
Google Cloud CLI 버전 406.0.0 이상이 설치되었는지 확인합니다.
```
gcloud version | head -n1
```
이전 gcloud CLI 버전이 설치되어 있는 경우 버전을 업데이트합니다.
```
gcloud components update --version=406.0.0
```

보안 웹 프록시용 Cloud NAT IP 구성

콘솔

특정 고정 외부 IP 주소 집합을 예약하려면 다음 단계를 따르세요.
1. Google Cloud 콘솔에서 IP 주소 페이지로 이동합니다.
  
  IP 주소로 이동
2. 외부 예약을 클릭합니다. 외부 고정 IP 주소 예약 페이지가 열립니다.
3. 이름 필드에 IP 주소의 이름을 입력합니다(예: swp-nat-ip-1).
4. 설명 필드에 IP 주소에 대한 설명을 입력합니다.
5. 네트워크 서비스 등급에서 필요한 옵션을 선택합니다.
6. IP 버전에서 IPv4를 선택합니다.
7. 유형에서 리전을 선택합니다.
8. 리전에 대해 보안 웹 프록시 인스턴스가 배포된 동일한 리전을 선택합니다.
9. 연결됨에서 선택된 옵션을 없음으로 유지합니다.
10. 예약을 클릭합니다. Cloud NAT 게이트웨이에 사용할 각 고정 IP 주소에 대해 이 프로세스를 반복합니다.
보안 웹 프록시 인스턴스의 Cloud NAT 게이트웨이를 찾아 수정하려면 다음 단계를 따르세요.
1. Google Cloud 콘솔에서 Cloud NAT 페이지로 이동합니다.
  
  Cloud NAT로 이동
2. 보안 웹 프록시 인스턴스에서 사용하는 Cloud NAT 게이트웨이를 찾습니다. 이름은 swg-autogen-nat이고 적절한 리전과 VPC 네트워크에 있습니다.
3. 수정을 클릭합니다.
4. Cloud NAT IP 주소에서 설정을 자동 (권장)에서 수동으로 변경합니다.
5. IP 주소에서 예약한 고정 IP 주소를 선택합니다.
  
  IP 주소를 여러 개 추가하려면 IP 주소 추가를 클릭합니다.
6. 저장을 클릭합니다.

Cloud Shell

프로젝트 및 리전 세부정보를 지정합니다.
```
gcloud config set project PROJECT_ID
gcloud config set compute/region REGION
```
다음을 바꿉니다.
- PROJECT_ID: Google Cloud 프로젝트 ID
- REGION: 보안 웹 프록시 인스턴스가 배포된 리전

고정 외부 IP 주소를 예약합니다.

gcloud compute addresses create swp-nat-ip-1 \
    --region=REGION
gcloud compute addresses create swp-nat-ip-2 \
    --region=REGION
# Repeat for more IPs if required.

Cloud NAT 게이트웨이와 연결된 Cloud Router 이름을 확인합니다.
```
gcloud compute routers list \
    --region REGION \
    --filter="network:(NETWORK_NAME) AND name:(swg-autogen-router-*)" \
    --format="get(name)"
```
다음을 바꿉니다.
- REGION: 보안 웹 프록시 인스턴스에 Cloud Router가 배포된 리전
- NETWORK_NAME: VPC 네트워크 이름
출력은 다음과 비슷합니다.
```
swg-autogen-router-1
```
해당 Cloud Router와 연결된 Cloud NAT 구성을 나열하여 Cloud NAT 게이트웨이의 이름을 확인합니다. 이름은 swg-autogen-nat입니다.
```
gcloud compute routers nats list \
    --router=swg-autogen-router-1 \
    --region=REGION
```

수동 IP 주소를 사용하도록 Cloud NAT 게이트웨이를 업데이트합니다.

gcloud compute routers nats update swg-autogen-nat \
    --router=swg-autogen-router-1 \
    --region=REGION \
    --nat-external-ip-pool=swp-nat-ip-1,swp-nat-ip-2
    # You can list multiple reserved IP names separated by commas.

제한사항

Cloud NAT 게이트웨이는 연결된 보안 웹 프록시 인스턴스와 동일한 리전에 배포해야 합니다. 각 프록시에는 특정 리전에 연결된 Cloud NAT 게이트웨이가 있어야 하기 때문입니다.

VPC 네트워크 리전에서 첫 번째 프록시를 프로비저닝하면 Cloud NAT 게이트웨이가 자동으로 생성됩니다. 하지만 게이트웨이는 해당 특정 리전 및 VPC 네트워크에 배포된 보안 웹 프록시 인스턴스에만 인터넷 액세스를 제공할 수 있습니다.