Secure Web Proxy 可協助您保護組織內部網路的所有傳出網路流量 (HTTP 和 HTTPS)。將用戶端設為明確使用 Secure Web Proxy 做為閘道時，任何應用程式或服務嘗試存取組織外部網站時，都必須通過 Secure Web Proxy 的安全檢查。
優點
Secure Web Proxy 具備下列主要優點：
免維護。設定政策後，Secure Web Proxy 會管理伺服器、修補程式和資源調度，並隨著流量增加自動調整容量。
彈性且可重複使用的規則。使用 Secure Web Proxy 時，安全性政策與 Proxy 本身是分開的。為確保管理作業一致，管理員會建立一組存取規則，並將這些規則套用至貴機構不同部門的多個 Proxy。
預設安全防護滴水不漏。Secure Web Proxy 預設會
deny-all封鎖所有連出流量，直到您明確允許為止。 Google Cloud 此外，這項服務會自動處理所有軟體和基礎架構更新，盡量降低安全漏洞帶來的持續性風險。Identity-aware access control。由於 Secure Web Proxy 會檢查要求 來源 (IP 位址) 和要求者 (使用者或服務身分)，因此存取權 是根據使用者角色和需求授予，而不只是網路位置。身分可以是服務帳戶、安全標記，或用戶端憑證提供的任何身分，並透過前端 mTLS 驗證。Secure Web Proxy 可讓您建立非常具體的規則，例如「只有財務團隊成員可以存取這個銀行網站」。
統一記錄及稽核流量。所有通過 Secure Web Proxy 的網站流量，都會在 Google Cloud中集中記錄及稽核。這個單一、明確的事實來源，可協助您追蹤所有傳出存取活動、調查安全性事件，並符合法規遵循要求。
集中檢查。Secure Web Proxy 會將雲端工作負載和連線辦公室的傳出網路要求，整合至單一檢查點，以便一致地強制執行政策。
簡化通訊埠管理。將 Secure Web Proxy 執行個體部署為下一個躍點時，您可以選擇監聽所有通訊埠 (從
1到65535)。這項功能可免除列舉特定通訊埠的需求，適用於動態環境或使用多個通訊埠的服務。如要瞭解使用all_ports功能的相關限制，請參閱「限制」一節。分散式追蹤。內建與 Cloud Trace 和 OpenTelemetry 的整合功能，可讓您透過 Secure Web Proxy 追蹤內部工作負載傳出要求的整個生命週期。這項功能可協助您找出延遲瓶頸，並分析要求生命週期。
支援功能
Secure Web Proxy 支援下列功能：
Secure Web Proxy Envoy Proxy 的自動調整資源配置：Secure Web Proxy 支援自動調整區域中的 Envoy Proxy 集區大小和集區容量，因此在需求量高的期間，系統能以最低成本維持效能。自動調度資源功能會自動管理區域中的容量調整作業。這表示您不必手動監控及調整 Proxy 叢集大小，確保效能提升，同時減少作業時間。
模組化連出存取政策：Secure Web Proxy 透過下列動作管理連出流量：
- 使用安全標記、服務帳戶、IP 位址或用戶端憑證身分，識別來源實體。這些身分已透過前端相互傳輸層安全標準 (mTLS) 進行加密驗證。
- 啟用 TLS 檢查或使用未加密的 HTTP 時，依主機名稱或網址篩選目的地目標。
- 如果流量未加密 (HTTP) 或已啟用 TLS 檢查，系統會評估要求屬性，例如方法、標頭或網址。
政策 (來源、目的地和要求) 的模組化特性，可讓各團隊建立及管理特定、可重複使用的規則元件。中央管理員可以定義網址清單，讓多個 Proxy 在各自的政策中參照。
服務頻率限制：Secure Web Proxy 會對傳出網路流量強制執行流量限制，防止耗用大量資源的用戶端耗盡服務容量，或產生過多費用，例如與大型語言模型 (LLM) 權杖相關的費用。您可以將服務速率限制政策附加至閘道，並透過閘道安全政策或授權政策設定閘道。您可以根據要求計數和特定用戶端身分 (例如相互傳輸層安全性主體或來源 IP 位址)，使用頻率限制政策優先處理或節流流量。
端對端加密：用戶端 Proxy 通道可透過 TLS 傳輸。 Secure Web Proxy 也支援 HTTP 和 HTTPS
CONNECT，可建立用戶端啟動的端對端 TLS 連線，連至目的地伺服器。這項重要安全措施由服務自動管理，因此流量會受到保護，不必手動設定或監控加密標準。
Cloud 稽核記錄和 Google Cloud Observability 整合：Cloud 稽核記錄會使用 Google Cloud Observability，記錄 Secure Web Proxy 的管理動作 (政策變更)、存取要求和指標 (Proxy 交易記錄)。這項整合式內建檢視畫面可簡化安全監控和法規遵循報告。
全域存取權：Secure Web Proxy 可讓您在建立 Proxy 執行個體時，選擇啟用全域存取權。使用這項功能，即可允許任何 Google Cloud 區域的用戶端連線至 Proxy，而不僅限於特定本機區域的用戶端。這項功能可強化基礎架構韌性，並支援跨區域用途，例如自訂傳出流量需求。詳情請參閱「設定 Secure Web Proxy 的全域存取權」。
Secure Web Proxy 的運作方式
Secure Web Proxy 是強制性的安全性查核點，可監控從貴組織網路傳送至網際網路的所有網路流量。內部工作負載必須遵守 Secure Web Proxy 安全性規則，才能連上網際網路。
集中式閘道：設定工作負載 (例如虛擬機器和容器)，將所有輸出網路要求傳送至中央安全網頁 Proxy 執行個體。
政策執行：Proxy 會檢查要求並套用安全性政策，判斷是否允許連線。
確保傳出流量安全：如果允許要求，系統會使用 Google Cloud基礎架構 (通常是 Cloud NAT)，將流量安全地轉送至網際網路。Proxy 也會使用 Cloud DNS 解析外部網址。
政策與規則
您可以在 Secure Web Proxy 執行個體中設定下列政策和規則：
授權政策：透過 Secure Web Proxy 執行個體處理傳出要求時，這些政策可讓您建立身分型或目的地型存取控管檢查。您可以設定授權政策 (
AuthzPolicy)，驗證存取網際網路的來源工作負載或代理身分。閘道安全性政策：這些政策定義特定閘道的整體安全性標準。閘道安全性政策是安全性指令的主要容器。
閘道安全性規則： 您可以在每個閘道安全性政策中新增一或多個閘道安全性規則。這些規則是個別指令，可根據各種條件允許或拒絕流量。
服務頻率限制政策：這類政策可讓您對傳出網路流量，強制執行用戶端專屬和服務層級的頻率限制。您可以根據每分鐘的要求數量設定頻率限制，然後將這些限制與特定用戶端或用戶端群組建立關聯。
部署模式
您可以透過下列任一模式部署 Secure Web Proxy 執行個體：
明確的 Proxy 路由模式：在這個模式中，您必須明確設定工作負載環境和用戶端，直接指向 Proxy 伺服器。Secure Web Proxy 接著會將用戶端與網際網路隔離。這樣一來，Secure Web Proxy 就能做為中介，為用戶端建立新的 TCP 連線，並確保每個連線都符合管理安全性政策的要求。
Private Service Connect 服務連結模式：在這個模式中，您可以在複雜的多虛擬私有雲架構中集中部署網路 Proxy。
下一個躍點模式：在這個模式中，您可以將 Secure Web Proxy 執行個體設定為網路中路由的下一個躍點。換句話說，您可以設定網路轉送，自動將傳出流量傳送至 Secure Web Proxy 執行個體。這種部署方法可減少貴機構的行政管理負擔，因為您不必手動設定每個來源工作負載或用戶端來使用 Proxy。
限制
IP 版本：安全網頁 Proxy 僅支援 IPv4，不支援 IPv6。
HTTP 版本：Secure Web Proxy 支援 HTTP/0.9、1.0、1.1 和 2.0 版本。不支援 HTTP/3。
部署範圍：您只能在主專案中部署 Secure Web Proxy 執行個體，無法在服務專案中部署。
其他可考慮的 Google Cloud 工具
您可以將 Secure Web Proxy 與下列 Google Cloud 工具 整合，提升工作負載和應用程式的整體安全態勢：
使用前端相互 TLS (mTLS)，讓 Secure Web Proxy 在授權政策中設定經過驗證的用戶端身分，並對傳出流量強制執行精細的存取控管。
使用憑證管理工具管理信任錨點 (根憑證) 和中繼 CA，以便驗證前端 mTLS 連線至 Secure Web Proxy 的用戶端憑證。
導入 VPC Service Controls，防止資料從 Google Cloud Cloud Storage 和 BigQuery 等服務外洩。