Ver registros de transações de proxy

Os registros de transações de proxy fornecem informações detalhadas sobre cada solicitação processada pelo Secure Web Proxy. Esses registros incluem um registro de cada transação que o Secure Web Proxy media entre os usuários e a Internet. Neste documento, explicamos como acessar e interpretar os registros de transações gerados pelas instâncias do Secure Web Proxy.

Observação: quando você implanta uma instância do Secure Web Proxy como um Gateway de Agente, os registros de transações continuam sendo gravados no recurso monitorado padrão networkservices.googleapis.com/Gateway e mostram automaticamente os metadados de execução do agente de IA (agentGatewayInfo). Para mais informações, consulte Entradas de registro de transações do Gateway de Agente.

Tipos de entradas de registro de transações de proxy

As entradas de registro de transações de proxy são de três tipos:

• HttpRequest
• LoadBalancerLogEntry
• GatewayLogEntry

Esses registros são úteis para as seguintes ações:

• Análise de segurança e detecção de ameaças
• Solução de problemas de conectividade e política
• Auditoria do acesso à Web
• Análise de desempenho do Secure Web Proxy

HttpRequest

Essas entradas de registro contêm as seguintes informações:

Nome	Tipo	Descrição
requestMethod	String	Tipo de método de solicitação, como GET, HEAD, PUT ou POST.
requestUrl	String	Scheme (http ou https), nome do host, caminho e a parte da consulta do URL solicitado. Exemplo:http://example.com/some/info?color=red
requestSize	String (formato int64)	Tamanho, em bytes, da mensagem de solicitação HTTP, incluindo os cabeçalhos da solicitação e o corpo da solicitação.
status	Inteiro	Código de status HTTP ou HTTPS que indica a resposta. Por exemplo, 200 OK ou 404 Not Found.
responseSize	String (formato int64)	Tamanho, em bytes, do código de status HTTP enviado de volta ao cliente, incluindo os cabeçalhos e o corpo.
userAgent	String	User agent que o cliente envia, como Mozilla/4.0 (compatible; MSIE 6.0; Windows 98; Q312461; .NET CLR 1.0.3705).
remoteIp	String	Endereço IP (IPv4 ou IPv6) do cliente que emitiu a solicitação HTTP. Esse campo pode incluir informações de porta. Por exemplo, 192.168.1.1, 10.0.0.1:80 e FE80::0202:B3FF:FE1E:8329.
serverIp	String	Endereço IP (IPv4 ou IPv6) do servidor de origem para o qual a solicitação foi enviada. Esse campo pode incluir informações de porta. Por exemplo, 192.168.1.1, 10.0.0.1:80 e FE80::0202:B3FF:FE1E:8329.
referrer	String	URL de referência da solicitação, conforme definido em Definições de campo de cabeçalho HTTP/1.1.
latency	String (formato Duration)	Latência de processamento de solicitações no servidor, desde o momento em que a solicitação foi recebida até o envio da resposta. A latência é uma duração em segundos com até nove dígitos fracionários e termina com s, como 3.5s.
cacheLookup	Booleano	Indica se uma pesquisa de cache foi tentada.
cacheHit	Booleano	Indica se uma entidade foi disponibilizada do cache (com ou sem validação).
cacheValidatedWithOriginServer	Booleano	Indica se a resposta foi validada com o servidor de origem antes de ser disponibilizada pelo cache. Esse campo só é significativo se cacheHit for True.
cacheFillBytes	String (formato int64)	Número de bytes de código de status HTTP inseridos.
protocol	String	Protocolo usado para a solicitação, como HTTP/1.1, HTTP/2 e websocket.

LoadBalancerLogEntry

Essas entradas de registro contêm as seguintes informações:

Nome	Tipo	Descrição
insertId	String	ID de registro exclusivo
jsonPayload.@type	String	Tipo de registro. O valor do tipo de registro é sempre type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry.
jsonPayload.enforcedGatewaySecurityPolicy.hostname	String	Nome do host associado à solicitação.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.action	String	Ação realizada na solicitação.
jsonPayload.enforcedGatewaySecurityPolicy.matchedRules.rule	String	Nome da regra aplicada à solicitação.
jsonPayload.enforcedGatewaySecurityPolicy.clientServiceAccount	String	Conta de serviço associada à solicitação.
jsonPayload.enforcedGatewaySecurityPolicy.clientSecureTags	String	Tags seguras associadas à solicitação.

GatewayLogEntry

Essas entradas de registro contêm as seguintes informações:

Nome	Tipo	Descrição
resource_container	String	Contêiner associado ao gateway.
location	String	Nome da região em que o gateway está definido.
network_name	String	Nome da rede de nuvem privada virtual (VPC) em que o gateway foi criado.
gateway_type	String	Tipo de enumeração do gateway. Para o Secure Web Proxy, o valor precisa ser SECURE_WEB_GATEWAY.
gateway_name	String	Nome do recurso de gateway.

Formato dos registros de transações de proxy

Os registros de transações de proxy são gravados no Cloud Logging com o nome de registro projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests.

O payload JSON de cada entrada de registro contém informações detalhadas sobre a transação. As entradas de registro contêm os seguintes campos principais:

Nome	Tipo	Descrição
destination_ip	String	Endereço IP resolvido do destino.
instance	String	Nome da instância do Secure Web Proxy que processou a solicitação.
mtls_info	Objeto	Informações sobre o handshake mTLS, se aplicável.
policy_evaluation_results	Objeto	Informações sobre quais regras foram correspondidas e a ação resultante, como allow ou deny.
request_host	String	Nome do host solicitado.
request_method	String	Método HTTP, como GET ou POST.
request_path	String	Caminho da solicitação.
request_port	Inteiro	Porta de destino.
request_protocol	String	Versão do protocolo HTTP.
request_scheme	String	Scheme da solicitação de URL, como http ou https.
request_time	Carimbo de data/hora	Data e hora em que o proxy recebeu a solicitação. O carimbo de data/hora é especificado no formato ISO 8601: YYYY-MM-DDTHH:MM:SS.MsMsMsZoneOffset. Por exemplo, 2025-06-03T11:52:26.452Z.
response_code	Inteiro	Código de status HTTP retornado ao cliente.
response_size	Inteiro	Tamanho do corpo da resposta, medido em bytes.
response_time	Carimbo de data/hora	Data e hora em que o proxy enviou a resposta ao cliente. O carimbo de data/hora é especificado no formato ISO 8601: YYYY-MM-DDTHH:MM:SS.MsMsMsZoneOffset. Por exemplo, 2025-06-03T11:52:26.452Z.
source_ip	String	Endereço IP do cliente.
source_port	Inteiro	Porta de origem do cliente.
tls_cipher_suite	String	Conjunto de criptografia usado para a conexão TLS.
tls_version	String	Versão do TLS usada para a conexão.

Monitorar registros de transações de proxy

1. No console do Google Cloud , acesse a página Análise de registros.

   Acessar a Análise de registros

2. Selecionar o projeto Google Cloud .

3. Use a consulta a seguir para conferir todos os registros de transações do Secure Web Proxy:

   logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
   

   Substitua PROJECT_ID pelo ID do projeto de destino doGoogle Cloud .

   Confira alguns exemplos de consultas que você pode usar para ver detalhes específicos:

   • Encontre todos os pedidos negados.

     logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
     jsonPayload.policy_evaluation_results.policy_action="DENY"
     

   • Encontre solicitações de um endereço IP de origem específico.

     logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
     jsonPayload.source_ip="192.0.2.1"
     

   • Encontre solicitações para um host específico.

     logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
     jsonPayload.request_host="example.com"
     

Correlacionar registros de transações de proxy com o Cloud Trace

Visualizar

Este produto ou recurso está sujeito aos Termos das Soluções Pré-GA na seção Termos Gerais de Serviço dos Termos Específicos de Serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Quando o rastreamento distribuído está ativado no gateway do Secure Web Proxy, é possível correlacionar as entradas de registro de transações de proxy com períodos de trace no Trace seguindo estas etapas:

1. No console do Google Cloud , acesse a página Análise de registros.

   Acessar a Análise de registros

2. Abra qualquer entrada de registro gateway_requests.

3. Localize o campo trace de nível superior:

     projects/PROJECT_ID/traces/TRACE_ID
     

   Substitua:

   • PROJECT_ID: ID do projeto do Google Cloud .
   • TRACE_ID: ID de trace de 128 bits (hexadecimal de 32 caracteres) do cliente ou do período de trace. Por exemplo, 4bf92f3577b34da6a3ce929d0e0e4736.

4. Clique no URL trace e selecione Ver detalhes do trace para navegar diretamente para a cascata de trace no Cloud Trace.

5. Para filtrar registros de um ID de trace conhecido de um cliente instrumentado pelo OpenTelemetry, execute a seguinte consulta na Análise de Registros:

   logName="projects/PROJECT_ID/logs/networkservices.googleapis.com%2Fgateway_requests"
   trace="projects/PROJECT_ID/traces/TRACE_ID"
   

Para mais informações, consulte Visão geral do trace distribuído e Trace de tráfego de saída com o Cloud Trace.

Entradas de registro de transações do Gateway de Agente

Quando você implanta o Secure Web Proxy como um Gateway de Agente, os registros de transações são gravados no recurso monitorado padrão networkservices.googleapis.com/Gateway.

Além dos metadados de solicitação HTTP padrão, o campo jsonPayload inclui os seguintes campos especializados para tráfego de agentes:

• agentGatewayInfo: detalhes sobre a transação do agente:

  • agentRegistryResource: nome completo do recurso do destino correspondente do Agent Registry, como um servidor ou habilidade da Plataforma de Conteúdo de Modelo (MCP)
  • destinationUrn: informações sobre o URN de destino, como o endereço do servidor MCP.
  • mcpInfo: detalhes da chamada MCP JSON-RPC, incluindo o método (como tools/call ou resources/read) e o nome da ferramenta ou o URI do recurso (parameter)

• authzPolicyInfo: resultados da avaliação das políticas de autorização aplicadas à transação, incluindo result (ALLOWED ou DENIED) e os nomes das políticas de correspondência.

• tls: detalhes de TLS e atributos de verificação de certificado do cliente criptográfico (mTLS), como clientCertPresent e clientCertSha256Fingerprint.

Filtrar registros de transações do Gateway de Agente

Para ver as solicitações que o Secure Web Proxy processa para um Gateway de Agente na Análise de Registros, use uma consulta semelhante à seguinte:

resource.type="networkservices.googleapis.com/Gateway"
resource.labels.gateway_name="SECURE_WEB_PROXY_NAME"
jsonPayload.agentGatewayInfo:*

Substitua SECURE_WEB_PROXY_NAME pelo nome do gateway do Secure Web Proxy.

Para filtrar as solicitações que suas políticas de autorização negaram, use a seguinte consulta:

resource.type="networkservices.googleapis.com/Gateway"
resource.labels.gateway_name="SECURE_WEB_PROXY_NAME"
jsonPayload.authzPolicyInfo.result="DENIED"

Encaminhar registros de transações de proxy

É possível rotear registros de transações de proxy para outros destinos, como Cloud Storage, BigQuery ou Pub/Sub, usando coletores de registros. Para mais informações, consulte Entradas de registro de rota.

A seguir

• Visão geral do rastreamento distribuído
• Rastrear o tráfego de saída com o Cloud Trace
• Visão geral de registros e monitoramento
• Geração de registros de auditoria do Secure Web Proxy