הגדרת שירות סינון כתובות URL

שירות סינון כתובות ה-URL מאפשר לכם לשלוט בגישה לדומיינים ספציפיים באינטרנט על ידי חסימה או אישור שלהם. כדי להפעיל את שירות סינון כתובות ה-URL ברשת, צריך להגדיר כמה רכיבים של Cloud Next Generation Firewall (Cloud NGFW), כולל נקודות קצה של חומת אש, פרופילי אבטחה וקבוצות של פרופילי אבטחה. במאמר הזה מוסבר תהליך העבודה הכללי להגדרת הרכיבים האלה ולהפעלת שירות סינון כתובות ה-URL.

סקירה כללית על שירות סינון כתובות ה-URL

התפקידים הנדרשים

תפקידי ניהול הזהויות והרשאות הגישה (IAM) קובעים את הפעולות שקשורות להגדרה ולהפעלה של שירות סינון כתובות ה-URL. בטבלה הבאה מפורטים התפקידים שנדרשים לכל שלב:

יכולת	התפקיד הנדרש
יצירת נקודת קצה של חומת אש ושיוך של נקודת קצה של חומת אש לרשת VPC	אחד מהתפקידים הבאים: התפקיד "אדמין של רשת Compute" ‏(roles/compute.networkAdmin) תפקיד אדמין של נקודת קצה של חומת אש (roles/networksecurity.firewallEndpointAdmin) שניתן ברמת הארגון לפרופילי אבטחה של סינון כתובות URL ברמת הארגון, וברמת הפרויקט או ברמת הארגון לפרופילי אבטחה של סינון כתובות URL ברמת הפרויקט התפקידים האלה כוללים את ההרשאה הבאה ליצירת נקודת קצה של חומת אש: networksecurity.firewallEndpoints.create בנוסף, התפקידים האלה כוללים את ההרשאות הבאות ליצירת שיוך של נקודת קצה של חומת אש: networksecurity.firewallEndpointAssociations.create ‫networksecurity.firewallEndpoints.use בארגון שבו נמצאת נקודת הקצה של חומת האש
יצירת פרופיל אבטחה לסינון כתובות URL, פרופיל אבטחה למניעת איומים וקבוצת פרופילי אבטחה	אחד מהתפקידים הבאים: התפקיד "אדמין של רשת Compute" ‏(roles/compute.networkAdmin) תפקיד אדמין של פרופיל אבטחה (roles/networksecurity.securityProfileAdmin) שמוקצה ברמת הארגון לפרופילי אבטחה של סינון כתובות URL ברמת הארגון, וברמת הפרויקט או ברמת הארגון לפרופילי אבטחה של סינון כתובות URL ברמת הפרויקט התפקידים האלה כוללים את ההרשאות הנדרשות הבאות: networksecurity.securityProfileGroups.create כדי ליצור קבוצת פרופילי אבטחה networksecurity.securityProfiles.create כדי ליצור פרופיל אבטחה לסינון כתובות URL או פרופיל אבטחה למניעת איומים
יצירת מדיניות חומת אש היררכית והכללים שלה	התפקיד "אדמין של מדיניות חומת אש בארגון" (roles/compute.orgFirewallPolicyAdmin) התפקיד הזה נדרש כדי ליצור מדיניות היררכית של חומת אש. אתם צריכים להקצות את התפקיד במשאב שבו אתם רוצים ליצור את המדיניות. בנוסף, צריך את התפקיד הזה כדי ליצור כלל במדיניות היררכית של חומת אש. צריך להקצות את התפקיד במשאב שמכיל את המדיניות או במדיניות עצמה. התפקיד מכיל את ההרשאות הנדרשות הבאות: compute.firewallPolicies.create כדי ליצור מדיניות חומת אש היררכית ‫compute.firewallPolicies.update כדי ליצור כלל מדיניות היררכי של חומת אש
שיוך של מדיניות חומת אש היררכית לארגון או לתיקייה	אחת מקבוצות התפקידים הבאות: תפקיד אדמין של משאבי הארגון ב-Compute ‏(roles/compute.orgSecurityResourceAdmin) במשאב היעד ותפקיד משתמש במדיניות חומת האש של הארגון ב-Compute ‏(roles/compute.orgFirewallPolicyUser) במשאב המדיניות או במדיניות עצמה תפקיד אדמין של משאבי הארגון ב-Compute ‏(roles/compute.orgSecurityResourceAdmin) במשאב היעד ותפקיד אדמין של מדיניות חומת האש של הארגון ב-Compute ‏(roles/compute.orgFirewallPolicyAdmin) במשאב המדיניות או במדיניות עצמה התפקידים האלה כוללים את ההרשאות הנדרשות הבאות: ‫compute.firewallPolicies.addAssociation במדיניות חומת האש ‫compute.organizations.setFirewallPolicy במשאב המטרה
יצירת מדיניות חומת אש בין רשתות גלובליות והכללים שלה	התפקיד "Security Admin ב-Compute" (roles/compute.securityAdmin) התפקיד הזה נדרש כדי ליצור מדיניות חומת אש גלובלית ברשת. אתם צריכים להקצות את התפקיד בפרויקט שבו אתם רוצים ליצור את המדיניות. בנוסף, צריך את התפקיד הזה כדי ליצור כלל במדיניות גלובלית של חומת אש ברשת. אתם צריכים להקצות את התפקיד בפרויקט שמכיל את המדיניות או במדיניות עצמה. התפקיד מכיל את ההרשאות הנדרשות הבאות: ‫compute.firewallPolicies.create כדי ליצור מדיניות חומת אש בין רשתות גלובליות ‫compute.firewallPolicies.update כדי ליצור כלל של מדיניות חומת אש ברשת גלובלית
שיוך מדיניות חומת אש של רשת גלובלית לרשת VPC	התפקיד "אדמין של רשת Compute" ‏(roles/compute.networkAdmin) התפקיד הזה כולל את ההרשאות הנדרשות הבאות: compute.firewallPolicies.use compute.networks.setFirewallPolicy
יצירת מאגר רשויות להנפקת אישורים (CA)	התפקיד "מנהל תפעול של שירות CA" (roles/privateca.caManager) אם אתם משתמשים בבדיקת Transport Layer Security ‏(TLS), אתם צריכים את התפקיד הזה כדי ליצור מאגר רשויות להנפקת אישורים (CA).
יצירת מדיניות בדיקת TLS	התפקיד "אדמין של רשת Compute" ‏(roles/compute.networkAdmin) התפקיד "Security Admin ב-Compute" (roles/compute.securityAdmin) אם אתם משתמשים בבדיקת TLS, אתם צריכים אחד מהתפקידים הקודמים כדי ליצור מדיניות בדיקת TLS. התפקידים האלה כוללים את ההרשאות הנדרשות הבאות: certificatemanager.trustconfigs.list certificatemanager.trustconfigs.use networksecurity.operations.get networksecurity.tlsInspectionPolicies.create networksecurity.tlsInspectionPolicies.list privateca.caPools.list privateca.caPools.use privateca.certificateAuthorities.list

כדי לקרוא הסבר על מתן תפקידים, קראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שתוכלו לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הגדרת שירות סינון כתובות ה-URL בלי בדיקת TLS

כדי להגדיר את שירות סינון כתובות ה-URL ברשת, צריך לבצע את המשימות הבאות.

הערה: תהליך העבודה הבא מספק רצף כללי של השלבים הנדרשים כדי להגדיר את שירות סינון כתובות ה-URL ברשת שלכם. תהליך העבודה הזה מבוסס על ההנחה שכבר הגדרתם את רשת ה-VPC, רשתות המשנה, המכונות הווירטואליות (VM) ו Google Cloud רכיבים ומשאבים נדרשים אחרים.

1. יוצרים נקודת קצה של חומת אש.

   נקודת קצה של חומת אש היא משאב של תחום מוגדר שצריך ליצור באותו אזור שבו נמצא עומס העבודה שרוצים להגן עליו באמצעות שירות סינון כתובות ה-URL.

   אפשר ליצור נקודת קצה של חומת אש עם או בלי תמיכה ב-jumbo frame.

   מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

2. משייכים את נקודת הקצה של חומת האש לרשתות ה-VPC.

   כדי להפעיל את שירות סינון כתובות ה-URL, משייכים את נקודת הקצה של חומת האש לרשתות ה-VPC. חשוב לוודא שאתם מריצים את עומסי העבודה באותו אזור שבו נמצאת נקודת הקצה של חומת האש.

   נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות של עד 8,500 בייטים. לחלופין, נקודת קצה של חומת אש בלי תמיכה ב-jumbo frame יכולה לקבל חבילות בגודל של עד 1,460 בייטים. אם אתם צריכים שירות סינון של כתובות URL, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות של יחידת שידור מקסימלית (MTU) של 8,500 בייטים ו-1,460 בייטים. מידע נוסף זמין במאמר גודל חבילה נתמך.

   זהירות: נקודת קצה של חומת אש לא מבצעת שירות סינון של כתובות URL לרשת VPC אם הרשת מוגדרת עם MTU שגדול מהמגבלה של נקודת הקצה של חומת האש.

   למידע נוסף על יצירת שיוכים של נקודות קצה של חומת אש, ראו יצירת שיוך של נקודת קצה של חומת אש.

3. יוצרים פרופיל אבטחה לסינון כתובות URL.

   כדי לאפשר או למנוע גישה לדומיינים ספציפיים, יוצרים פרופיל אבטחה מסוג url-filtering ומשתמשים ברשימות של כתובות URL כדי לציין את המחרוזות להתאמה.

   מידע נוסף זמין במאמר יצירת פרופיל אבטחה לסינון כתובות URL.

4. אפשר גם ליצור פרופיל אבטחה כדי לסרוק את התנועה ולזהות איומים.

   כדי לסרוק את התנועה לאיתור איומי אבטחה, צריך ליצור פרופיל אבטחה נוסף מסוג threat-prevention. בודקים את רשימת החתימות של האיומים, מעריכים את תגובות ברירת המחדל ומתאימים אישית את הפעולות לחתימות שנבחרו בהתאם לדרישות שלכם.

   מידע נוסף זמין במאמר יצירת פרופיל אבטחה למניעת איומים. למידע נוסף על שירות זיהוי ומניעת פריצות, קראו את סקירה כללית על שירות זיהוי ומניעת פריצות.

5. יוצרים קבוצה של פרופילי אבטחה.

   קבוצת פרופילי אבטחה היא כמו מאגר של פרופילי אבטחה. יוצרים קבוצת פרופילי אבטחה שכוללת את פרופילי האבטחה שיצרתם בשלבים הקודמים.

   מידע נוסף זמין במאמר יצירת קבוצה של פרופילי אבטחה.

6. מגדירים את שירות סינון כתובות ה-URL ומחילים אותו על התנועה ברשת.

   כדי להגדיר את שירות סינון כתובות ה-URL, יוצרים מדיניות חומת אש גלובלית ברשת או מדיניות חומת אש היררכית עם בדיקה בשכבה 7.

   • אם אתם יוצרים מדיניות חומת אש גלובלית חדשה או משתמשים במדיניות קיימת, הוסיפו כלל למדיניות חומת האש עם הפעולה apply_security_profile_group וציינו את השם של קבוצת פרופילי האבטחה שיצרתם קודם. חשוב לוודא שמדיניות חומת האש משויכת לאותה רשת VPC כמו עומסי העבודה שצריך לבדוק.

     מידע נוסף זמין במאמרים יצירת מדיניות גלובלית של חומת אש ברשת והוספת כלל למדיניות של חומת האש.

   • אם אתם יוצרים מדיניות חדשה של חומת אש היררכית או משתמשים במדיניות קיימת, הוסיפו כלל למדיניות של חומת האש עם הפעולה apply_security_profile_group. חשוב לוודא שמדיניות חומת האש משויכת לאותה רשת VPC כמו עומסי העבודה שצריך לבדוק.

     מידע נוסף זמין במאמר משימות של כללי מדיניות חומת האש.

הגדרת שירות סינון כתובות ה-URL עם בדיקת TLS

כדי להגדיר את שירות סינון כתובות ה-URL עם בדיקת TLS ברשת, מבצעים את המשימות הבאות.

1. יוצרים נקודת קצה של חומת אש.

   אפשר ליצור נקודת קצה של חומת אש עם או בלי תמיכה ב-jumbo frame.

   נקודת קצה של חומת אש היא משאב של תחום מוגדר שצריך ליצור באותו אזור שבו נמצא עומס העבודה שרוצים להגן עליו באמצעות שירות סינון כתובות ה-URL.

   מידע נוסף זמין במאמר יצירת נקודת קצה של חומת אש.

2. משייכים את נקודת הקצה של חומת האש לרשתות ה-VPC.

   כדי להפעיל את שירות סינון כתובות ה-URL, משייכים את נקודת הקצה של חומת האש לרשתות ה-VPC. חשוב לוודא שאתם מריצים את עומסי העבודה באותו אזור שבו נמצאת נקודת הקצה של חומת האש.

   נקודת קצה של חומת אש עם תמיכה ב-jumbo frame יכולה לקבל חבילות של עד 8,500 בייטים. לחלופין, נקודת קצה של חומת אש בלי תמיכה ב-jumbo frame יכולה לקבל חבילות בגודל של עד 1,460 בייטים. אם אתם צריכים שירות סינון של כתובות URL, מומלץ להגדיר את רשתות ה-VPC המשויכות כך שישתמשו במגבלות של יחידת שידור מקסימלית (MTU) של 8,500 בייטים ו-1,460 בייטים. מידע נוסף זמין במאמר גודל חבילה נתמך.

   זהירות: נקודת קצה של חומת אש לא מבצעת שירות סינון של כתובות URL לרשת VPC אם הרשת מוגדרת עם MTU שגדול מהמגבלה של נקודת הקצה של חומת האש.

   למידע נוסף על יצירת שיוכים של נקודות קצה של חומת אש, ראו יצירת שיוך של נקודת קצה של חומת אש.

3. יוצרים פרופיל אבטחה לסינון כתובות URL.

   כדי לאפשר או למנוע גישה לדומיינים ספציפיים, יוצרים פרופיל אבטחה מסוג url-filtering ומשתמשים ברשימות של כתובות URL כדי לציין את המחרוזות להתאמה.

   מידע נוסף זמין במאמר יצירת פרופיל אבטחה לסינון כתובות URL.

4. אפשר גם ליצור פרופיל אבטחה כדי לסרוק את התנועה ולזהות איומים.

   כדי לסרוק את התנועה לאיתור איומי אבטחה, צריך ליצור פרופיל אבטחה נוסף מסוג threat-prevention. בודקים את רשימת החתימות של האיומים, מעריכים את תגובות ברירת המחדל ומתאימים אישית את הפעולות לחתימות שנבחרו בהתאם לדרישות שלכם.

   מידע נוסף זמין במאמר יצירת פרופיל אבטחה למניעת איומים. למידע נוסף על שירות זיהוי ומניעת פריצות, קראו את סקירה כללית על שירות זיהוי ומניעת פריצות.

5. יוצרים קבוצה של פרופילי אבטחה.

   קבוצת פרופילי אבטחה היא כמו מאגר של פרופילי אבטחה. יוצרים קבוצת פרופילי אבטחה שכוללת את פרופילי האבטחה שיצרתם בשלבים הקודמים.

   מידע נוסף זמין במאמר יצירת קבוצה של פרופילי אבטחה.

6. ליצור ולהגדיר משאבים לבדיקת תנועה מוצפנת.

   1. יוצרים מאגר של רשויות להנפקת אישורים (CA).

      מאגר רשויות להנפקת אישורים (CA) הוא אוסף של רשויות להנפקת אישורים עם מדיניות משותפת להנפקת אישורים ומדיניות IAM. כדי להגדיר בדיקת TLS, צריך להיות מאגר אזורי של רשויות להנפקת אישורים (CA).

      למידע נוסף, קראו את המאמר יצירת מאגר CA.

   2. יוצרים רשות אישורי בסיס.

      כדי להשתמש בבדיקת TLS, צריך להיות לכם לפחות רשות אישורים (CA) בסיסית אחת. ה-CA הבסיסי חותם על CA ביניים, שחותם על כל אישורי הקצה של הלקוחות. למידע נוסף, תוכלו לקרוא את מאמרי העזרה של הפקודה gcloud privateca roots create.

   3. נותנים את ההרשאות הנדרשות לסוכן השירות של אבטחת הרשת (P4SA).

      כדי ליצור רשויות אישורים (CA) ביניים לבדיקת TLS, צריך P4SA ב-Cloud NGFW. לסוכן השירות צריכות להיות ההרשאות הנדרשות כדי לבקש אישורים למאגר ה-CA.

      למידע נוסף, קראו את המאמר יצירת חשבון שירות.

7. יוצרים מדיניות בדיקת TLS אזורית.

   מדיניות בדיקת TLS מציינת איך ליירט תנועה מוצפנת. מדיניות בדיקת TLS אזורית יכולה להכיל את ההגדרות של בדיקת ה-TLS.

   מידע נוסף זמין במאמר יצירת מדיניות בדיקת TLS.

8. משייכים את נקודת הקצה של חומת האש למדיניות בדיקת ה-TLS.

9. מגדירים את שירות סינון כתובות ה-URL ומחילים אותו על התנועה ברשת.

   כדי להגדיר את שירות סינון כתובות ה-URL, יוצרים מדיניות חומת אש גלובלית ברשת או מדיניות חומת אש היררכית עם בדיקה בשכבה 7.

   • אם אתם יוצרים מדיניות חומת אש גלובלית חדשה או משתמשים במדיניות קיימת, הוסיפו כלל למדיניות חומת האש עם הפעולה apply_security_profile_group וציינו את השם של קבוצת פרופילי האבטחה שיצרתם קודם. חשוב לוודא שמדיניות חומת האש משויכת לאותה רשת VPC כמו עומסי העבודה שצריך לבדוק.

     מידע נוסף זמין במאמרים יצירת מדיניות גלובלית של חומת אש ברשת והוספת כלל למדיניות של חומת האש.

   • אם אתם יוצרים מדיניות חומת אש היררכית חדשה או משתמשים במדיניות קיימת, הוסיפו כלל למדיניות חומת האש עם הפעולה apply_security_profile_group. חשוב לוודא שמדיניות חומת האש משויכת לאותה רשת VPC כמו עומסי העבודה שצריך לבדוק.

     מידע נוסף זמין במאמר משימות של כללי מדיניות חומת האש.

מודל פריסה לדוגמה

בתרשים הבא מוצגת דוגמה לפריסה של שירות סינון כתובות ה-URL עם כמה נקודות קצה של חומת אש, שמוגדרות לשתי רשתות VPC באותו אזור אבל בשני אזורים שונים.

פריסת שירות סינון כתובות ה-URL באזור (לחצו כדי להגדיל).

הפריסה לדוגמה כוללת את ההגדרות הבאות:

1. שתי קבוצות של פרופילי אבטחה:

   1. Security profile group 1 עם פרופיל האבטחה Security profile 1.

   2. Security profile group 2 עם פרופיל האבטחה Security profile 2.

2. ל-VPC‏ 1 של הלקוח (VPC 1) יש מדיניות חומת אש עם קבוצת פרופילי אבטחה שמוגדרת ל-Security profile group 1.

3. ל-VPC‏ 2 של הלקוח (VPC 2) יש מדיניות חומת אש שקבוצת פרופיל האבטחה שלה מוגדרת ל-Security profile group 2.

4. נקודת הקצה של חומת האש Firewall endpoint 1 מבצעת סינון של כתובות URL לעומסי עבודה שפועלים ב-VPC 1 וב-VPC 2 באזור us-west1-a.

5. נקודת הקצה של חומת האש Firewall endpoint 2 מבצעת סינון של כתובות URL עם בדיקת TLS שמופעלת לעומסי עבודה שפועלים ב-VPC 1 וב-VPC 2 באזור us-west1-b.

המאמרים הבאים

• סקירה כללית של פרופיל האבטחה
• סקירה כללית של קבוצת פרופילי אבטחה
• סקירה כללית על נקודות קצה של חומת אש