使用网址列表创建政策

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面

点击 add_box创建政策。

输入您要创建的政策的名称，例如 myswppolicy。

输入政策的说明，例如 My new swp policy。

在区域列表中，选择要在其中创建政策的区域。

点击创建。

使用您偏好的文本编辑器创建 POLICY_FILE.yaml 文件。将 POLICY_FILE 替换为您要为政策文件使用的文件名。

将以下内容添加到您创建的 YAML 文件中：

name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
description: POLICY_DESCRIPTION

替换以下内容：

• PROJECT_NAME：您的项目的名称
• REGION：此政策适用的区域
• POLICY_NAME：您要创建的政策的名称
• POLICY_DESCRIPTION：您要创建的政策的说明

导入安全政策：

gcloud network-security gateway-security-policies import POLICY_NAME \
    --source=POLICY_FILE.yaml \
    --location=REGION

在 Google Cloud 控制台中，前往网站代理页面。

前往“Web 代理”页面

点击 add_box创建安全 Web 代理。

输入您要创建的网络代理的名称，例如 myswp。

输入 Web 代理的说明，例如 My new swp。

在区域列表中，选择要创建网站代理的区域。

在网络列表中，选择要创建网站代理的网络。

在子网列表中，选择要创建 Web 代理的子网。

可选：输入安全 Web 代理 IP 地址。您可以输入位于您在上一步中创建的子网中的安全 Web 代理 IP 地址范围内的 IP 地址。如果您未输入 IP 地址，安全 Web 代理实例会自动从所选子网中选择一个 IP 地址。

在证书列表中，选择要用于创建网站代理的证书。

在政策列表中，选择您创建的要与网站代理关联的政策。

点击创建。

使用您偏好的文本编辑器创建 GATEWAY_FILE.yaml 文件。将 GATEWAY_FILE 替换为您要为网络代理文件使用的文件名。

将以下内容添加到您创建的 YAML 文件中：

name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME
type: SECURE_WEB_GATEWAY
ports: [GATEWAY_PORT_NUMBERS]
certificateUrls: [CERTIFICATE_URLS]
gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
network: projects/PROJECT_NAME/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET_NAME
addresses: [GATEWAY_IP_ADDRESS]
scope: samplescope

替换以下内容：

• GATEWAY_NAME：此实例的名称
• GATEWAY_PORT_NUMBERS：此网关的端口号列表，例如 [80,443]
• CERTIFICATE_URLS：SSL 证书网址列表

• SUBNET_NAME：包含 GATEWAY_IP_ADDRESS 的子网的名称

• GATEWAY_IP_ADDRESS：之前在初始设置步骤中创建的代理子网中安全 Web 代理实例的 IP 地址（可选）

  如果您选择不列出 IP 地址，请省略此字段，以便 Web 代理为您选择 IP 地址。

创建安全 Web 代理实例：

gcloud network-services gateways import GATEWAY_NAME \
    --source=GATEWAY_FILE.yaml \
    --location=REGION

在 Google Cloud 控制台中，前往网址列表页面。

前往“网址列表”

点击 add_box创建网址列表。

输入要创建的网址列表的名称，例如 myurllist。

输入网址列表的说明，例如 My new URL list。

在地区列表中，选择要创建网址列表的区域。

点击上传列表，上传要匹配的主机、网址或模式的列表。如需了解详情，请参阅 UrlList 语法参考。

点击创建。

使用您偏好的文本编辑器创建文件 URL_LIST_FILE.yaml. ReplaceURL_LIST_FILE`，并为其指定所需的文件名。

  name: projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME
  values: URL_LIST

替换以下内容：

• PROJECT_ID：您的项目编号
• REGION：此网址列表适用的区域
• URL_LIST_NAME：您要创建的网址列表的名称
• URL_LIST：要匹配的主机、网址或模式的列表

如需了解详情，请参阅 UrlList 语法参考。

以下是网址列表规则文件示例：

name: projects/PROJECT_ID/locations/REGION/urlLists/example-org-allowed-list
values:
  - www.example.com
  - about.example.com
  - "*.google.com"
  - "github.com/example-org/*"

星号 (*) 字符在 YAML 中具有特殊含义。因此，您必须在包含 * 字符的网址周围添加引号。

添加网址列表，以便安全 Web 代理规则引用该列表：

gcloud network-security url-lists import URL_LIST_NAME \
    --location=REGION \
    --project=PROJECT_ID \
    --source=URL_LIST_FILE.yaml

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面

在项目选择器菜单中，选择您的组织 ID 或包含政策的文件夹。

点击您的政策名称。

点击 add_box添加规则。

填充规则字段：

1. 名称
2. 说明
3. 状态
4. 优先级：规则的数字评估顺序。这些规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。
5. 在操作部分中，指定是允许（允许）还是拒绝（拒绝）与规则匹配的连接。

6. 在会话匹配部分中，指定您之前创建的网址列表的名称。例如：

     sessionMatcher: "inUrlList(host(), 'projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME')"
   

7. 如需启用 TLS 检查，请选择启用 TLS 检查。

8. 在应用匹配部分中，指定与请求匹配的条件。

9. 点击创建。

点击添加规则以添加其他规则。

点击创建以创建该政策。

使用首选文本编辑器创建 RULE_FILE.yaml 文件。将 RULE_FILE 替换为所需的文件名。

name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME
basicProfile: ALLOW
enabled: true
priority: PRIORITY_VALUE
description: RULE_DESCRIPTION
sessionMatcher: SESSION_CEL_EXPRESSION
applicationMatcher: APPLICATION_CEL_EXPRESSION

替换以下内容：

• PROJECT_ID：您的项目编号
• REGION：此规则适用的区域
• POLICY_NAME：安全 Web 代理实例使用的现有 GatewaySecurityPolicy 的名称
• RULE_NAME：您要创建的 GatewaySecurityPolicyRule 的名称
• PRIORITY_VALUE：此规则的优先级值；数字越小，优先级越高
• RULE_DESCRIPTION：您要创建的政策的说明
• SESSION_CEL_EXPRESSION：会话的通用表达式语言 (CEL) 表达式
• APPLICATION_CEL_EXPRESSION：应用的 CEL 表达式

以下是一个规则文件示例：

name: projects/PROJECT_ID/locations/REGION/urlLists/allow-repos
basicProfile: ALLOW
enabled: true
priority: 100
description: Allow access to our list of known code repos.
sessionMatcher: "inUrlList(host(), 'projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME')"

使用您之前创建的网址列表添加安全 Web 代理规则：

    gcloud network-security gateway-security-policies rules import RULE_NAME \
      --location=REGION \
      --project=PROJECT_ID \
      --source=RULE_FILE.yaml \
      --gateway-security-policy=POLICY_NAME