Cómo ver los registros de transacciones del proxy

Los registros de transacciones de Secure Web Proxy proporcionan información detallada sobre cada solicitud que procesa Secure Web Proxy. Estos registros incluyen un registro de cada transacción que Secure Web Proxy media entre los usuarios y la Internet. En este documento, se explica cómo acceder a los registros de transacciones que generan tus instancias de Secure Web Proxy y cómo interpretarlos.

Tipos de entradas de registro de transacciones de proxy

Las entradas de registro de transacciones de proxy son de tres tipos:

Estos registros son útiles para las siguientes acciones:

  • Análisis de seguridad y detección de amenazas
  • Solución de problemas de conectividad y políticas
  • Audita el acceso a la Web
  • Análisis de rendimiento de Secure Web Proxy

HttpRequest

Estas entradas de registro contienen la siguiente información:

Nombre Tipo Descripción
requestMethod String Es el tipo de método de solicitud, como GET, HEAD, PUT o POST.
requestUrl String Scheme (http o https), nombre de host, ruta de acceso y la parte de la búsqueda de la URL solicitada. Por ejemplo, http://example.com/some/info?color=red.
requestSize

Cadena (formato int64)

 Es el tamaño, en bytes, del mensaje de solicitud HTTP, incluidos los encabezados y el cuerpo de la solicitud.
status Número entero Es el código de estado HTTP o HTTPS que indica la respuesta. Por ejemplo, 200 OK o 404 Not Found.
responseSize Cadena (formato int64) Es el tamaño, en bytes, del código de estado HTTP que se envía al cliente, incluidos los encabezados y el cuerpo.
userAgent String Es el usuario-agente que envía el cliente, como Mozilla/4.0 (compatible; MSIE 6.0; Windows 98; Q312461; .NET CLR 1.0.3705).
remoteIp String Es la dirección IP (IPv4 o IPv6) del cliente que emitió la solicitud HTTP. Este campo puede incluir información del puerto. Por ejemplo, 192.168.1.1, 10.0.0.1:80 y FE80::0202:B3FF:FE1E:8329.
serverIp String Es la dirección IP (IPv4 o IPv6) del servidor de origen al que se envió la solicitud. Este campo puede incluir información del puerto. Por ejemplo, 192.168.1.1, 10.0.0.1:80 y FE80::0202:B3FF:FE1E:8329.
referrer String Es la URL de referencia de la solicitud, como se define en Definiciones de campos de encabezado HTTP/1.1.
latency String (formato de duración) Es la latencia de procesamiento de solicitudes en el servidor, desde el momento en que se recibió la solicitud hasta que se envió la respuesta.

La latencia es una duración en segundos con hasta nueve dígitos decimales y termina con s, como 3.5s.
cacheLookup Booleano Indica si se intentó realizar una búsqueda en la caché.
cacheHit Booleano Indica si una entidad se entregó desde la caché (con o sin validación).
cacheValidatedWithOriginServer Booleano Indica si la respuesta se validó con el servidor de origen antes de entregarse desde la caché. Este campo solo es significativo si cacheHit es True.
cacheFillBytes Cadena (formato int64) Es la cantidad de bytes de código de estado HTTP que se insertan.
protocol String Es el protocolo que se usa para la solicitud, como HTTP/1.1, HTTP/2 y websocket.

LoadBalancerLogEntry

Estas entradas de registro contienen la siguiente información:

Nombre Tipo Descripción
insertId String ID de registro único.
jsonPayload.@type String Es el tipo de registro. El valor del tipo de registro siempre es type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry.
jsonPayload.enforcedGatewaySecurityPolicy.hostname String Es el nombre de host asociado con la solicitud.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action String Es la acción que se realizó en relación con la solicitud.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.rule String Es el nombre de la regla que se aplicó a la solicitud.
jsonPayload.enforcedGatewaySecurityPolicy.clientServiceAccount String Es la cuenta de servicio asociada con la solicitud.
jsonPayload.enforcedGatewaySecurityPolicy.clientSecureTags String Son las etiquetas seguras asociadas con la solicitud.

GatewayLogEntry

Estas entradas de registro contienen la siguiente información:

Nombre Tipo Descripción
resource_container String Es el contenedor asociado a la puerta de enlace.
location String Es el nombre de la región en la que se define la puerta de enlace.
network_name String Es el nombre de la red de nube privada virtual (VPC) en la que se creó la puerta de enlace.
gateway_type String Es el tipo de enum de la puerta de enlace. Para Secure Web Proxy, el valor debe ser SECURE_WEB_GATEWAY.
gateway_name String Es el nombre del recurso de puerta de enlace.

Formato de los registros de transacciones del proxy

Los registros de transacciones del proxy se escriben en Cloud Logging con el nombre de registro projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests.

La carga útil de JSON de cada entrada de registro contiene información detallada sobre la transacción. Las entradas de registro contienen los siguientes campos clave:

Nombre Tipo Descripción
destination_ip String Es la dirección IP resuelta del destino.
instance String Es el nombre de la instancia de Secure Web Proxy que procesó la solicitud.
mtls_info Objeto Información sobre el protocolo de enlace de mTLS, si corresponde.
policy_evaluation_results Objeto Información sobre las reglas que coincidieron y la acción resultante, como allow o deny.
request_host String Es el nombre de host solicitado.
request_method String Método HTTP, como GET o POST.
request_path String Es la ruta de la solicitud.
request_port Número entero Es el puerto de destino.
request_protocol String Es la versión del protocolo HTTP.
request_scheme String Scheme de la solicitud de URL, como http o https.
request_time Marca de tiempo Fecha y hora en que el proxy recibió la solicitud. La marca de tiempo se especifica en el formato ISO 8601: YYYY-MM-DDTHH:MM:SS.MsMsMsZoneOffset. Por ejemplo, 2025-06-03T11:52:26.452Z.
response_code Número entero Es el código de estado HTTP que se devuelve al cliente.
response_size Número entero Es el tamaño del cuerpo de la respuesta, medido en bytes.
response_time Marca de tiempo La fecha y hora en que el proxy envió la respuesta al cliente. La marca de tiempo se especifica en el formato ISO 8601: YYYY-MM-DDTHH:MM:SS.MsMsMsZoneOffset. Por ejemplo, 2025-06-03T11:52:26.452Z.
source_ip String Dirección IP del cliente.
source_port Número entero Es el puerto de origen del cliente.
tls_cipher_suite String Es el conjunto de algoritmos de cifrado que se usa para la conexión TLS.
tls_version String Es la versión de TLS que se usó para la conexión.

Supervisa los registros de transacciones del proxy

  1. En la consola de Google Cloud , accede a la página Explorador de registros.

    Ve al Explorador de registros

  2. Seleccionar tu Google Cloud proyecto.

  3. Usa la siguiente consulta para ver todos los registros de transacciones de Secure Web Proxy:

    logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"

    Reemplaza PROJECT_ID por el ID de tu proyecto de destino de Google Cloud .

    Estas son algunas consultas de ejemplo que puedes usar para ver detalles específicos:

    • Encuentra todas las solicitudes rechazadas.

      logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
jsonPayload.policy_evaluation_results.policy_action="DENY"

    • Busca solicitudes de una dirección IP de origen específica.

      logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
jsonPayload.source_ip="192.0.2.1"

    • Busca solicitudes a un host específico.

      logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
jsonPayload.request_host="example.com"

Correlaciona los registros de transacciones del proxy con Cloud Trace

Cuando el seguimiento distribuido está habilitado en tu puerta de enlace de Secure Web Proxy, puedes correlacionar las entradas de registro de transacciones del proxy con los intervalos de seguimiento en Trace siguiendo estos pasos:

  1. En la consola de Google Cloud , accede a la página Explorador de registros.

    Ve al Explorador de registros

  2. Expande cualquier entrada de registro de gateway_requests.

  3. Busca el campo trace de nivel superior: 

      projects/PROJECT_ID/traces/TRACE_ID

    Reemplaza lo siguiente:

    • PROJECT_IDEs el ID del proyecto de Google Cloud .
    • TRACE_ID: Es el ID de seguimiento de 128 bits (hexadecimal de 32 caracteres) de tu cliente o intervalo de seguimiento. Por ejemplo, 4bf92f3577b34da6a3ce929d0e0e4736.

  4. Haz clic en la URL de trace y, luego, selecciona Ver detalles del seguimiento para navegar directamente a la cascada de seguimiento en Cloud Trace.

  5. Para filtrar los registros de un ID de seguimiento conocido de un cliente instrumentado con OpenTelemetry, ejecuta la siguiente consulta en el Explorador de registros:

    logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
trace="projects/PROJECT_ID/traces/TRACE_ID"

Para obtener más información, consulta Descripción general del seguimiento distribuido y Realiza un seguimiento del tráfico saliente con Cloud Trace.

Entradas del registro de transacciones de Agent Gateway

Cuando implementas Secure Web Proxy como un Agent Gateway, los registros de transacciones se registran en el recurso supervisado networkservices.googleapis.com/Gateway estándar.

Además de los metadatos de solicitud HTTP estándar, el campo jsonPayload incluye los siguientes campos especializados para el tráfico de agentes:

  • agentGatewayInfo: Son los detalles sobre la transacción del agente:

    • agentRegistryResource: Es el nombre completo del recurso del destino de Agent Registry coincidente, como un servidor o una habilidad de Model Content Platform (MCP).
    • destinationUrn: información sobre el URN de destino, como la dirección del servidor de MCP
    • mcpInfo: Detalles de la llamada de MCP JSON-RPC, incluido el método (como tools/call o resources/read) y el nombre de la herramienta o el URI del recurso (parameter)

  • authzPolicyInfo: Son los resultados de la evaluación de las políticas de autorización que se aplican a la transacción, incluidos result (ALLOWED o DENIED) y los nombres de las políticas que coinciden.

  • tls: Son los detalles de TLS y los atributos de verificación del certificado de cliente criptográfico (mTLS), como clientCertPresent y clientCertSha256Fingerprint.

Filtrar los registros de transacciones de Agent Gateway

Para ver las solicitudes que Secure Web Proxy procesa para un Agent Gateway en el Explorador de registros, usa una consulta similar a la siguiente:

resource.type="networkservices.googleapis.com/Gateway"
resource.labels.gateway_name="SECURE_WEB_PROXY_NAME"
jsonPayload.agentGatewayInfo:*

Reemplaza SECURE_WEB_PROXY_NAME por el nombre de tu puerta de enlace de Secure Web Proxy.

Para filtrar las solicitudes que rechazaron tus políticas de autorización, usa la siguiente consulta:

resource.type="networkservices.googleapis.com/Gateway"
resource.labels.gateway_name="SECURE_WEB_PROXY_NAME"
jsonPayload.authzPolicyInfo.result="DENIED"

Enruta los registros de transacciones del proxy

Puedes enrutar los registros de transacciones del proxy a otros destinos, como Cloud Storage, BigQuery o Pub/Sub, con receptores de registros. Para obtener más información, consulta Entradas de registro de rutas.

Próximos pasos