安全 Web 代理可帮助您保护组织内部网络中的所有出站 Web 流量（HTTP 和 HTTPS）。当您将客户端配置为显式使用 Secure Web Proxy 作为网关时，对于尝试访问组织外部网站的任何应用或服务，Secure Web Proxy 都是强制性安全检查点。
优势
Secure Web Proxy 具有以下主要优势：
零维护 。设置政策后，Secure Web Proxy 会管理您的服务器、补丁和伸缩，以在流量增长时自动调整容量。
灵活且可重复使用的规则 。借助 Secure Web Proxy，安全政策与代理本身是分开的。为了确保管理的一致性，管理员会创建一组访问规则，并将这些规则应用于组织不同部门的多个代理。
强大的默认安全性 。安全 Web 代理具有默认的
deny-all设置，可阻止所有出站流量，直到您 明确允许为止。 Google Cloud 会自动处理所有 软件和基础架构更新，从而最大限度地降低 安全漏洞的持续风险。支持身份识别的访问权限控制 。由于 Secure Web Proxy 会检查请求的来源 （IP 地址）和发出请求的用户（用户或服务身份），因此访问权限 是根据用户角色和需求授予的，而不仅仅是根据网络位置授予的。身份可以是 一个服务账号、一个安全 标记，也可以是客户端 证书提供的任何身份，该证书通过使用前端 mTLS进行验证。借助 Secure Web Proxy，您可以创建高度具体的规则，例如“只有财务团队的成员才能访问此银行网站”。
统一的流量日志记录和审核 。通过 Secure Web Proxy 的所有 Web 流量都会在 Google Cloud中集中记录和审核。这种针对所有出站访问的单一明确的事实来源有助于您跟踪活动、调查安全事件并满足合规性要求。
集中检查 。安全 Web 代理将来自云工作负载和已连接办公室的出站 Web 请求整合到一个检查点，以便一致地执行政策。
简化端口管理 。您可以选择在将 Secure Web Proxy 实例部署为下一个跃点时监听所有端口（从
1到65535）。此功能无需枚举特定端口，适用于动态环境或使用多个端口的服务。如需了解与使用all_ports功能相关的限制，请参阅 限制。分布式跟踪 。通过与 Cloud Trace 和 OpenTelemetry 的内置集成，您可以跟踪从 内部工作负载到安全 Web 代理的出站请求的整个生命周期。借助此功能，您可以找出延迟瓶颈并分析请求生命周期。
支持的功能
Secure Web Proxy 支持以下功能：
自动扩缩 Secure Web Proxy Envoy 代理：Secure Web Proxy 支持自动调整 Envoy 代理池大小和区域中的池容量，从而以最低的成本在需求高峰期实现一致的性能。自动扩缩功能会自动管理区域中的容量调整。这意味着您无需手动监控和调整代理舰队的大小，从而以更少的运营时间确保更好的性能。
模块化出站访问权限政策：安全 Web 代理通过以下操作管理出站 流量：
- 使用安全标记、服务账号、IP 地址或客户端证书身份（已通过前端双向 TLS (mTLS) 以加密方式验证）来识别来源实体。
- 在启用 TLS 检查或使用未加密的 HTTP 时，按主机名或网址过滤目标。
- 如果流量是未加密的 HTTP 或启用了 TLS 检查，则评估请求属性，例如方法、标头或网址。
政策（来源、目标和请求）的这种模块化特性让各个团队可以创建和管理特定的可重复使用的规则组件。中央管理员可以定义网址列表，然后多个代理可以在其不同的政策中引用该列表。
服务速率限制：安全 Web 代理对 出站 Web 流量强制执行流量限制，以防止资源密集型客户端耗尽 服务容量或产生过高的费用，例如与大型语言模型 (LLM) 令牌相关的 费用。您可以将服务速率限制政策附加到配置了网关安全政策或授权政策的网关。您可以使用速率限制 政策 根据请求数和特定 客户端身份（例如 mTLS 主体或来源 IP 地址）来确定流量的优先级或限制流量。
端到端加密：客户端-代理隧道可以通过 TLS 传输。 Secure Web Proxy 还支持 HTTP 和 HTTPS
CONNECT，用于客户端发起的与目标服务器的端到端 TLS 连接。此关键安全措施由服务自动管理，因此无需手动配置或监控加密标准即可确保流量安全。
Cloud Audit Logs 和 Google Cloud Observability 集成：通过使用 Google Cloud Observability，Cloud Audit Logs 会记录 Secure Web Proxy 的管理操作（政策更改）以及访问请求和指标（代理事务日志）。这种统一的内置视图有助于进行安全监控和合规性报告。
全局访问权限：安全 Web 代理提供在创建代理实例时启用全局 访问权限的选项。借助此功能，您可以允许来自任何 Google Cloud 区域的客户端连接到代理，而不仅仅是特定本地区域中的客户端。此功能可提高基础架构的弹性，并支持跨区域用例，例如自定义出站流量要求。如需了解详情，请参阅 为 安全 Web 代理配置全局访问权限。
安全 Web 代理的工作原理
Secure Web Proxy 充当组织网络到互联网的所有 Web 流量的强制性安全检查点。内部工作负载必须遵守安全 Web 代理安全规则，然后才能访问互联网。
集中式网关：您的工作负载（例如虚拟机 (VM) 和 容器）配置为将所有出站 Web 请求发送到 中央安全 Web 代理实例。
政策执行：代理会检查请求并应用您的 安全政策，以确定是允许还是拒绝连接。
安全出站流量：如果允许该请求，则流量会使用 基础架构（通常是 Cloud NAT）安全地路由到互联网。 Google Cloud 代理还会使用 Cloud DNS 解析外部网址。
政策和规则
您可以在 Secure Web Proxy 实例中配置以下政策和规则：
授权政策： 借助这些政策，您可以在通过安全 Web 代理 实例处理出站请求时建立基于身份或基于目标的访问权限 控制检查。您可以配置授权政策 (
AuthzPolicy) ，以验证访问 互联网的来源工作负载或代理的身份。网关安全政策： 这些政策定义了 特定网关的总体安全标准。网关安全政策是安全说明的主要容器。
网关安全规则： 在每个网关安全政策中，您可以添加一个或多个网关安全 规则。这些规则是根据各种条件允许或拒绝流量的单独说明。
服务速率限制政策： 借助这些政策，您可以对 出站 Web 流量强制执行特定于客户端和整个服务的速率限制。您可以根据每分钟的请求数配置速率限制，然后将这些限制与特定客户端或客户端组相关联。
部署模式
您可以使用以下任一模式部署 Secure Web Proxy 实例：
显式代理路由模式：在此 模式下，您必须明确配置工作负载环境和客户端，以 直接指向代理服务器。然后，Secure Web Proxy 会将您的客户端与互联网隔离开来。这样，Secure Web Proxy 就会充当中间媒介，为客户端建立新的 TCP 连接，并确保每个连接都满足所管理的安全政策的要求。
Private Service Connect 服务连接模式： 在此模式下，您可以集中管理复杂的多 VPC 架构中的 Web 代理部署。
下一个跃点模式：在此模式下，您可以将 Secure Web Proxy 实例配置为网络中路由的下一个跃点。换句话说，您可以将网络路由配置为自动将出站流量发送到安全 Web 代理实例。这种部署方法可减少组织的管理开销，因为您不必手动配置每个来源工作负载或客户端以使用代理。
限制
IP 版本：Secure Web Proxy 仅支持 IPv4；不支持 IPv6。
HTTP 版本：Secure Web Proxy 支持 HTTP/0.9、1.0、1.1 和 2.0 版本。不支持 HTTP/3。
部署范围：您只能在 宿主项目中部署 Secure Web Proxy 实例，而不能在服务项目中部署。
其他 Google Cloud 工具
您可以将安全 Web 代理与以下 Google Cloud 工具 集成，以增强工作负载和应用的整体安全态势：
使用 前端双向 TLS (mTLS) 使安全 Web 代理能够在授权政策中配置经过验证的客户端身份 并对出站流量强制执行精细的访问权限控制。
使用 Certificate Manager 管理在与 Secure Web Proxy 的前端 mTLS 连接中验证客户端证书所需的信任锚点（根证书）和中间 CA。
实施 VPC Service Controls，以 防止 Google Cloud Cloud Storage 和 BigQuery 等服务发生数据渗漏。
使用 Trace 获取出站请求的分布式跟踪数据，并分析 端到端网络延迟。