Secure Web Proxy te ayuda a proteger todo el tráfico web saliente (HTTP y HTTPS) de la red interna de tu organización. Cuando configuras tus clientes para que utilicen explícitamente Secure Web Proxy como puerta de enlace, Secure Web Proxy es un punto de control de seguridad obligatorio para cualquier aplicación o servicio que intente acceder a un sitio web fuera de tu organización.
Beneficios
Secure Web Proxy proporciona los siguientes beneficios clave:
No requieren mantenimiento. Después de establecer tus políticas, Secure Web Proxy administra tus servidores, las aplicaciones de parches y el escalamiento para ajustar automáticamente la capacidad a medida que aumenta el tráfico.
Reglas flexibles y reutilizables. Con Secure Web Proxy, las políticas de seguridad están separadas del proxy. Para garantizar una administración coherente, los administradores crean un conjunto de reglas de acceso y las aplican a varios proxies en diferentes partes de tu organización.
Seguridad predeterminada sólida. Secure Web Proxy tiene una configuración
deny-allpredeterminada que bloquea todo el tráfico saliente hasta que lo permitas explícitamente. Google Cloud maneja automáticamente todas las actualizaciones de software y de infraestructura, lo que minimiza el riesgo continuo de vulnerabilidades de seguridad.Control de acceso con reconocimiento de identidad. Debido a que el proxy web seguro verifica desde dónde proviene una solicitud (la dirección IP) y quién la realiza (el usuario o la identidad del servicio), el acceso se basa en el rol y la necesidad del usuario, no solo en la ubicación de la red. La identidad puede ser una cuenta de servicio, una etiqueta segurao cualquier identidad proporcionada por un certificado de cliente que se verifique con mTLS de frontend. El proxy web seguro te permite crear reglas muy específicas, como "Solo los miembros del equipo de Finanzas pueden acceder a este sitio web bancario".
Registro y auditoría de tráfico unificados. Todo el tráfico web que pasa por Secure Web Proxy se registra y audita de forma centralizada en Google Cloud. Esta única fuente de información clara para todo el acceso saliente te ayuda a hacer un seguimiento de la actividad, investigar incidentes de seguridad y cumplir con los requisitos de cumplimiento.
Inspección centralizada. El proxy web seguro consolida las solicitudes web salientes de tus cargas de trabajo en la nube y las oficinas conectadas en un solo punto de inspección para la aplicación coherente de políticas.
Administración de puertos simplificada. De manera opcional, puedes escuchar en todos los puertos (de
1a65535) cuando implementas tu instancia del Secure Web Proxy como próximo salto. Esta funcionalidad elimina la necesidad de enumerar puertos específicos y es útil para entornos dinámicos o servicios que usan varios puertos. Para obtener información sobre las limitaciones relacionadas con el uso de la funciónall_ports, consulta Limitaciones.Seguimientos distribuidos. La integración integrada con Cloud Trace y OpenTelemetry te permite hacer un seguimiento de todo el ciclo de vida de las solicitudes salientes de las cargas de trabajo internas a través de Secure Web Proxy. Con esta función, puedes identificar los cuellos de botella de latencia y analizar los ciclos de vida de las solicitudes.
Funciones admitidas
Secure Web Proxy admite las siguientes funciones:
Ajuste de escala automático de los proxies de Envoy de Secure Web Proxy: Secure Web Proxy admite el ajuste automático del tamaño del grupo de proxies de Envoy y la capacidad del grupo en una región, lo que permite un rendimiento coherente durante los períodos de alta demanda al costo más bajo. La función de ajuste de escala automático administra automáticamente los ajustes de capacidad en una región. Esto significa que no tienes que supervisar y cambiar el tamaño de tu flota de proxies de forma manual, lo que garantiza un mejor rendimiento con menos tiempo operativo.
Políticas de acceso saliente modulares: El proxy web seguro administra el tráfico saliente a través de las siguientes acciones:
- Identifica las entidades de origen con etiquetas seguras, cuentas de servicio, direcciones IP o identidades de certificados de cliente que se verificaron de forma criptográfica con TLS mutua (mTLS) de frontend.
- Filtra los objetivos de destino por nombres de host o URLs cuando habilitas la inspección de TLS o usas HTTP sin encriptar.
- Evalúa los atributos de la solicitud, como métodos, encabezados o URLs, si el tráfico es HTTP sin encriptar o si la inspección de TLS está habilitada.
Esta naturaleza modular de las políticas (fuentes, destinos y solicitudes) permite que varios equipos creen y administren componentes de reglas específicos y reutilizables. Un administrador central puede definir una lista de URLs a la que varios proxies pueden hacer referencia en sus distintas políticas.
Limitación de frecuencia del servicio: El proxy web seguro aplica límites de tráfico en el tráfico web saliente para evitar que los clientes que consumen muchos recursos agoten la capacidad del servicio o generen costos excesivos, como los asociados con los tokens de modelos de lenguaje grandes (LLM). Puedes adjuntar políticas de límite de frecuencia del servicio a las puertas de enlace que estén configuradas con políticas de seguridad de la puerta de enlace o políticas de autorización. Puedes usar políticas de limitación de frecuencia para priorizar o limitar el tráfico en función de los recuentos de solicitudes y las identidades de clientes específicas, como las entidades principales de mTLS o las direcciones IP de origen.
Encriptación de extremo a extremo: Los túneles de proxy de cliente pueden transitar a través de TLS. El proxy web seguro también admite
CONNECTHTTP y HTTPS para conexiones TLS de extremo a extremo iniciadas por el cliente al servidor de destino.El servicio administra automáticamente esta medida de seguridad crucial para que el tráfico esté protegido sin necesidad de configurar o supervisar manualmente los estándares de encriptación.
Registros de auditoría de Cloud y la integración de Google Cloud Observability: Con Google Cloud Observability, los Registros de auditoría de Cloud registran las acciones administrativas (cambios de políticas) y las solicitudes y métricas de acceso (registros de transacciones de proxy) para el proxy web seguro. Esta vista unificada y integrada facilita la supervisión de seguridad y los informes de cumplimiento.
Acceso global: Secure Web Proxy proporciona la opción de habilitar el acceso global cuando se crea una instancia de proxy. Con esta función, puedes permitir que los clientes de cualquier Google Cloud región se conecten al proxy en lugar de solo los clientes de una región local específica. Esta función mejora la resiliencia de la infraestructura y admite casos de uso entre regiones, como los requisitos de tráfico saliente personalizados. Para obtener más información, consulta Configura el acceso global para Secure Web Proxy.
Cómo funciona el proxy web seguro
Secure Web Proxy actúa como un punto de control de seguridad obligatorio para todo el tráfico web de la red de tu organización a Internet. Las cargas de trabajo internas deben cumplir con las reglas de seguridad de Secure Web Proxy antes de poder llegar a Internet.
Puerta de enlace centralizada: Tus cargas de trabajo, como las máquinas virtuales (VMs) y los contenedores, están configuradas para enviar todas las solicitudes web salientes a la instancia central del proxy web seguro.
Aplicación de políticas: El proxy inspecciona la solicitud y aplica tus políticas de seguridad para determinar si se permite o se deniega la conexión.
Tráfico saliente seguro: Si se permite la solicitud, el tráfico se enruta de forma segura a Internet con la Google Cloudinfraestructura, por lo general, Cloud NAT. El proxy también usa Cloud DNS para resolver direcciones web externas.
Políticas y reglas
Puedes configurar las siguientes políticas y reglas en tu instancia de Secure Web Proxy:
Políticas de autorización: estas políticas te permiten establecer verificaciones de control de acceso basadas en la identidad o el destino cuando procesas solicitudes salientes a través de tu instancia del proxy web seguro. Puedes configurar políticas de autorización (
AuthzPolicy) para validar la identidad de una carga de trabajo o un agente de origen que acceda a Internet.Políticas de seguridad de la puerta de enlace: estas políticas definen el estándar de seguridad general para una puerta de enlace específica. Una política de seguridad de la puerta de enlace es el contenedor principal de tus instrucciones de seguridad.
Reglas de seguridad de la puerta de enlace: Dentro de cada política de seguridad de la puerta de enlace, puedes agregar una o más reglas de seguridad de la puerta de enlace. Estas reglas son las instrucciones individuales que permiten o deniegan el tráfico según varios criterios.
Políticas de límite de frecuencia del servicio: Estas políticas te permiten aplicar límites de frecuencia específicos del cliente y de todo el servicio en el tráfico web saliente. Puedes configurar límites de frecuencia en función de las solicitudes por minuto y, luego, asociar estos límites con clientes o grupos de clientes específicos.
Modos de Deployment
Puedes implementar tu instancia del Secure Web Proxy en cualquiera de los siguientes modos:
Modo de enrutamiento de proxy explícito: En este modo, debes configurar explícitamente tus entornos y clientes de carga de trabajo para que apunten directamente al servidor proxy. Luego, Secure Web Proxy aísla a tus clientes de Internet. De esta manera, Secure Web Proxy actúa como intermediario, establece nuevas conexiones TCP para el cliente y garantiza que cada conexión cumpla con los requisitos de la política de seguridad administrada.
Modo de adjunto de servicio de Private Service Connect: En este modo, puedes centralizar tus implementaciones de proxy web en una arquitectura compleja de varias VPC.
Modo de próximo salto: En este modo, puedes configurar tu instancia de Secure Web Proxy para que actúe como próximo salto para el enrutamiento en tu red. En otras palabras, puedes configurar el enrutamiento de tu red para enviar automáticamente el tráfico saliente a tu instancia de Secure Web Proxy. Este método de implementación reduce la sobrecarga administrativa de tu organización porque no tienes que configurar manualmente cada carga de trabajo o cliente de origen para usar el proxy.
Limitaciones
Versiones de IP: Secure Web Proxy solo admite IPv4; IPv6 no es compatible.
Versiones de HTTP: Secure Web Proxy admite las versiones HTTP/0.9, 1.0, 1.1 y 2.0. HTTP/3 no es compatible.
Alcance de la implementación: Puedes implementar una instancia del proxy web seguro solo en un proyecto host, no en un proyecto de servicio.
Herramientas adicionales Google Cloud que debes tener en cuenta
Puedes integrar Secure Web Proxy con las siguientes Google Cloud herramientas para mejorar la postura de seguridad general de tus cargas de trabajo y aplicaciones:
Usa TLS mutua (mTLS) de frontend para permitir que el proxy web seguro configure identidades de clientes validadas en políticas de autorización y aplique un control de acceso detallado para el tráfico saliente.
Usa Administrador de certificados para administrar los anclajes de confianza (certificados raíz) y las AC intermedias necesarias para validar los certificados de cliente en las conexiones mTLS de frontend a Secure Web Proxy.
Implementa los Controles del servicio de VPC para evitar el robo de datos de los Google Cloud servicios, como Cloud Storage y BigQuery.
Usa Trace para obtener datos de seguimiento distribuidos para solicitudes salientes y analizar la latencia de red de extremo a extremo.