Implementa el proxy web seguro como próximo salto

En esta página, se proporciona una descripción general para crear una política de Secure Web Proxy y, luego, se explica cómo configurar el enrutamiento de próximo salto para tu instancia de Secure Web Proxy. Además, en esta página, se describe cómo configurar el enrutamiento estático o el enrutamiento basado en políticas para tu próximo salto.

De forma predeterminada, las instancias de SecureWebProxy tienen un valor RoutingMode de EXPLICIT_ROUTING_MODE, lo que significa que debes configurar tus cargas de trabajo para que envíen explícitamente el tráfico HTTP(S) a Secure Web Proxy. En lugar de configurar clientes individuales para que apunten a tu instancia de Proxy web seguro, puedes establecer el RoutingMode de tu instancia de Proxy web seguro como NEXT_HOP_ROUTING_MODE, lo que te permite definir rutas que dirigen el tráfico a tu instancia de Proxy web seguro.

Cuando implementas tu instancia de Secure Web Proxy como próximo salto, puedes habilitar la puerta de enlace para que escuche en todos los puertos (de 1 a 65535), lo que simplifica la configuración para entornos dinámicos o servicios que usan varios puertos.

Configura el enrutamiento de próximo salto para Secure Web Proxy

En esta sección, se describen los pasos para crear una política de Secure Web Proxy y el procedimiento para implementar tu instancia de Secure Web Proxy como próximo salto.

Crea una política de Secure Web Proxy

1. Completa todos los pasos de requisitos previos obligatorios.
2. Crea una política de Secure Web Proxy.
3. Crea reglas de Secure Web Proxy.

Implementa tu instancia de Secure Web Proxy como próximo salto

Crea rutas para el próximo salto

Después de crear una instancia de Proxy web seguro, puedes configurar el enrutamiento estático o el enrutamiento basado en políticas para tu próximo salto:

• Las rutas estáticas dirigen el tráfico dentro de tu red a tu instancia de Secure Web Proxy en la misma región. Para configurar una ruta estática con tu Secure Web Proxy como próximo salto, debes configurar etiquetas de red.
• Las rutas basadas en políticas te permiten dirigir el tráfico a tu instancia de Proxy web seguro desde un rango de direcciones IP de origen. Cuando configuras una ruta basada en políticas por primera vez, también debes configurar otra ruta basada en políticas para que sea la ruta predeterminada.

En las siguientes dos secciones, se explica cómo crear rutas estáticas y rutas basadas en políticas.

Crea rutas estáticas

Para enrutar el tráfico a tu instancia de Secure Web Proxy, configura una ruta estática con el comando gcloud compute routes create. Debes asociar la ruta estática con una etiqueta de red y usar la misma etiqueta de red en todos tus recursos de origen para garantizar que su tráfico se redireccione a tu instancia de Secure Web Proxy. Las rutas estáticas no te permiten definir un rango de direcciones IP de origen.

Para obtener más información sobre cómo funcionan las rutas estáticas en Google Cloud, consulta Rutas estáticas.

gcloud compute routes create STATIC_ROUTE_NAME \
    --network=NETWORK_NAME \
    --next-hop-ilb=SWP_IP \
    --destination-range=DESTINATION_RANGE \
    --priority=PRIORITY \
    --tags=TAGS \
    --project=PROJECT
 

gcloud compute instances create swp-nexthop-test-vm \
    --subnet=SUBNETWORK \
    --zone=ZONE \
    --image-project=debian-cloud \
    --image-family=debian-11 \
    --tags=TAGS

Crea rutas basadas en políticas

Como alternativa al enrutamiento estático, puedes configurar una ruta basada en políticas con el comando network-connectivity policy-based-routes create. También debes crear una ruta basada en políticas para que sea la ruta predeterminada, lo que habilita el enrutamiento predeterminado para el tráfico entre instancias de máquina virtual (VM) dentro de tu red. Para obtener más información sobre cómo funcionan las rutas basadas en políticas en Google Cloud, consulta Enrutamiento basado en políticas.

La prioridad de la ruta que habilita el enrutamiento predeterminado debe ser más alta (numéricamente más baja) que la prioridad de la ruta basada en políticas que dirige el tráfico a la instancia de Secure Web Proxy. Si creas la ruta basada en políticas con una prioridad más alta que la ruta que habilita el enrutamiento predeterminado, tendrá prioridad sobre todas las demás rutas de VPC.

Usa el siguiente ejemplo para crear una ruta basada en políticas que dirija el tráfico a tu instancia de Secure Web Proxy.

gcloud network-connectivity policy-based-routes create POLICY_BASED_ROUTE_NAME \
    --network="projects/PROJECT/global/networks/NETWORK_NAME" \
    --next-hop-ilb-ip=SWP_IP \
    --protocol-version="IPV4" \
    --destination-range=DESTINATION_RANGE \
    --source-range=SOURCE_RANGE \
    --priority=2 \
    --project=PROJECT
 

A continuación, usa los siguientes pasos para crear la ruta basada en políticas de enrutamiento predeterminado.

gcloud network-connectivity policy-based-routes create DEFAULT_POLICY_BASED_ROUTE_NAME \
    --network="projects/PROJECT/global/networks/NETWORK_NAME" \
    --next-hop-other-routes="DEFAULT_ROUTING" \
    --protocol-version="IPV4" \
    --destination-range=DESTINATION_RANGE \
    --source-range=SOURCE_RANGE \
    --priority=1 \
    --project=PROJECT
 

Lista de tareas posteriores a la implementación

Asegúrate de completar las siguientes tareas después de configurar una ruta estática o una ruta basada en políticas con tu instancia de Secure Web Proxy como próximo salto:

• Confirma que haya una ruta predeterminada a la puerta de enlace de Internet.
• Agrega la etiqueta de red correcta a la ruta estática que apunta a tu instancia de Secure Web Proxy como próximo salto.
• Define una prioridad adecuada para la ruta predeterminada a tu instancia de Secure Web Proxy como próximo salto.
• Dado que Secure Web Proxy es un servicio regional, asegúrate de que el tráfico del cliente se origine en la misma región que tu instancia de Secure Web Proxy.

Limitaciones

• Las instancias de SecureWebProxy con RoutingMode establecido como NEXT_HOP_ROUTING_MODE admiten el tráfico de proxy HTTP(S) y TCP. Se descartan otros tipos de tráfico, incluido el tráfico entre regiones, sin notificación.
• Cuando usas next-hop-ilb, las limitaciones que se aplican a los balanceadores de cargas de red de transferencia internos se aplican a los próximos saltos si el próximo salto de destino es una instancia de Secure Web Proxy. Para obtener más información, consulta las tablas de próximos saltos y funciones para rutas estáticas.
• Todo el tráfico de las máquinas virtuales (VM), incluido el tráfico en segundo plano y las actualizaciones, que coincida con tu ruta de próximo salto se enrutará a tu instancia de Secure Web Proxy.
• Para una red de VPC en una región, solo puedes implementar una instancia de Secure Web Proxy como próximo salto (SWPaNH).
• Cuando usas la función all_ports, se aplican las siguientes limitaciones:
  • La función all_ports solo se aplica a las puertas de enlace con type: SECURE_WEB_GATEWAY.
  • Solo puedes usar la configuración all_ports: true cuando routingMode está configurado como NEXT_HOP_ROUTING_MODE.
  • No puedes especificar la configuración all_ports: true y enumerar puertos individuales en el campo de puertos para el mismo recurso de puerta de enlace. Debes usar solo un tipo de configuración de puerto, no ambos.
  • Dentro de una red y una región determinadas, no puedes implementar simultáneamente una instancia de Secure Web Proxy en modo de próximo salto con la configuración all_ports: true y otra instancia de Secure Web Proxy en cualquier otro modo.