URL-Filterdienst konfigurieren

Mit dem URL-Filterdienst können Sie den Zugriff auf bestimmte Webdomains steuern, indem Sie sie blockieren oder zulassen. Damit Sie den URL-Filterdienst in Ihrem Netzwerk aktivieren können, müssen Sie mehrere Cloud Next Generation Firewall-Komponenten einrichten, darunter Firewall-Endpunkte, Sicherheitsprofile und Sicherheitsprofilgruppen. Dieses Dokument bietet einen allgemeinen Workflow, der beschreibt, wie diese Komponenten konfiguriert und der URL-Filterdienst aktiviert wird.

Weitere Informationen zum URL-Filterdienst finden Sie unter Übersicht über den URL-Filterdienst.

Erforderliche Rollen

IAM-Rollen (Identity and Access Management) steuern die Aktionen im Zusammenhang mit der Konfiguration und Aktivierung des URL-Filterdienstes. In der folgenden Tabelle wird beschrieben, welche Rollen für die einzelnen Schritte erforderlich sind:

Funktion	Erforderliche Rolle
Firewall-Endpunkt und Firewall-Endpunktverknüpfung für ein VPC-Netzwerk (Virtual Private Cloud) erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Firewall-Endpunktadministrator“ (roles/networksecurity.firewallEndpointAdmin) die auf Organisationsebene für Sicherheitsprofile für die URL-Filterung auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile für die URL-Filterung auf Projektebene gewährt wird Diese Rollen enthalten die folgende Berechtigung zum Erstellen eines Firewall-Endpunkts: networksecurity.firewallEndpoints.create Außerdem enthalten diese Rollen die folgenden Berechtigungen zum Erstellen einer Firewall-Endpunktverknüpfung: networksecurity.firewallEndpointAssociations.create networksecurity.firewallEndpoints.use für die Organisation, in der sich der Firewall-Endpunkt befindet
Sicherheitsprofil für die URL-Filterung, Sicherheitsprofil für die Bedrohungsvermeidung und Sicherheitsprofilgruppe erstellen	Eine der folgenden Rollen: Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Administrator von Sicherheitsprofilen“ (roles/networksecurity.securityProfileAdmin) die auf Organisationsebene für Sicherheitsprofile für die URL-Filterung auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile für die URL-Filterung auf Projektebene gewährt wird Diese Rollen enthalten die folgenden erforderlichen Berechtigungen: networksecurity.securityProfileGroups.create zum Erstellen einer Sicherheitsprofilgruppe networksecurity.securityProfiles.create zum Erstellen eines Sicherheitsprofils für die URL-Filterung oder eines Sicherheitsprofils für die Bedrohungsvermeidung
Hierarchische Firewallrichtlinie und zugehörige Regeln erstellen	Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin) Diese Rolle ist erforderlich, um eine hierarchische Firewallrichtlinie zu erstellen. Sie müssen die Rolle für die Ressource gewähren, auf der Sie die Richtlinie erstellen möchten. Außerdem ist diese Rolle erforderlich, um eine Regel in einer hierarchischen Firewallrichtlinie zu erstellen. Sie müssen die Rolle für die Ressource gewähren, die die Richtlinie enthält, oder für die Richtlinie selbst. Die Rolle enthält die folgenden erforderlichen Berechtigungen: compute.firewallPolicies.create zum Erstellen einer hierarchischen Firewallrichtlinie compute.firewallPolicies.update zum Erstellen einer Regel für eine hierarchische Firewallrichtlinie
Hierarchische Firewallrichtlinie mit einer Organisation oder einem Ordner verknüpfen	Eine der folgenden Rollenkombinationen: Rolle „Administrator von Compute-Sicherheitsressourcen für die Organisation“ (roles/compute.orgSecurityResourceAdmin) für die Zielressource und Rolle „Nutzer von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyUser) für die Richtlinienressource oder für die Richtlinie selbst Rolle „Administrator von Compute-Sicherheitsressourcen für die Organisation“ (roles/compute.orgSecurityResourceAdmin) für die Zielressource und Rolle „Administrator von Compute-Firewall-Richtlinien für die Organisation“ (roles/compute.orgFirewallPolicyAdmin) für die Richtlinienressource oder für die Richtlinie selbst Diese Rollen enthalten die folgenden erforderlichen Berechtigungen: compute.firewallPolicies.addAssociation für die Firewallrichtlinie compute.organizations.setFirewallPolicy für die Zielressource
Globale Netzwerk-Firewallrichtlinie und zugehörige Regeln erstellen	Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin) Diese Rolle ist erforderlich, um eine globale Netzwerk-Firewallrichtlinie zu erstellen. Sie müssen die Rolle für das Projekt gewähren, in dem Sie die Richtlinie erstellen möchten. Außerdem ist diese Rolle erforderlich, um eine Regel in einer globalen Netzwerk-Firewallrichtlinie zu erstellen. Sie müssen die Rolle für das Projekt gewähren, das die Richtlinie enthält, oder für die Richtlinie selbst. Die Rolle enthält die folgenden erforderlichen Berechtigungen: compute.firewallPolicies.create zum Erstellen einer globalen Netzwerk-Firewallrichtlinie compute.firewallPolicies.update zum Erstellen einer Regel für eine globale Netzwerk-Firewallrichtlinie
Globale Netzwerk-Firewallrichtlinie mit einem VPC-Netzwerk verknüpfen	Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Diese Rolle enthält die folgenden erforderlichen Berechtigungen: compute.firewallPolicies.use compute.networks.setFirewallPolicy
CA-Pool erstellen	Rolle „Operation Manager für CA Service“ (roles/privateca.caManager) Wenn Sie die TLS-Prüfung (Transport Layer Security) verwenden, ist diese Rolle erforderlich, um einen CA-Pool zu erstellen.
TLS-Prüfungsrichtlinie erstellen	Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin) Rolle „Compute-Sicherheitsadministrator“ (roles/compute.securityAdmin) Wenn Sie die TLS-Prüfung verwenden, benötigen Sie eine der oben genannten Rollen, um eine TLS-Prüfungsrichtlinie zu erstellen. Diese Rollen enthalten die folgenden erforderlichen Berechtigungen: certificatemanager.trustconfigs.list certificatemanager.trustconfigs.use networksecurity.operations.get networksecurity.tlsInspectionPolicies.create networksecurity.tlsInspectionPolicies.list privateca.caPools.list privateca.caPools.use privateca.certificateAuthorities.list

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Möglicherweise können Sie die vorgeschriebenen Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

URL-Filterdienst ohne TLS-Prüfung konfigurieren

Führen Sie die folgenden Aufgaben aus, um den URL-Filterdienst in Ihrem Netzwerk zu konfigurieren.

1. Firewall-Endpunkt erstellen

   Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie in derselben Zone wie die Arbeitslast erstellen müssen, die Sie mit dem URL-Filterdienst schützen möchten.

   Sie können einen Firewall-Endpunkt mit oder ohne Jumbo-Frame-Unterstützung erstellen.

   Weitere Informationen finden Sie unter Firewall Endpunkt erstellen.

2. Firewall-Endpunkt mit Ihren VPC-Netzwerken verknüpfen

   Um den URL-Filterdienst zu aktivieren, verknüpfen Sie den Firewall-Endpunkt mit Ihren VPC-Netzwerken. Achten Sie darauf, dass Sie Ihre Arbeitslasten in derselben Zone wie den Firewall-Endpunkt ausführen.

   Ein Firewall-Endpunkt mit Jumbo-Frame-Unterstützung kann nur Pakete mit einer Größe von bis zu 8.500 Byte akzeptieren. Alternativ kann ein Firewall-Endpunkt ohne Jumbo-Frame-Unterstützung nur Pakete mit einer Größe von bis zu 1.460 Byte akzeptieren. Wenn Sie den URL-Filterdienst benötigen, empfehlen wir,die verknüpften VPC-Netzwerke so zu konfigurieren,dass die MTU-Limits (Maximum Transmission Unit) von 8.500 Byte und 1.460 Byte verwendet werden. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

   Weitere Informationen zum Erstellen von Firewall-Endpunktverknüpfungen finden Sie unter Firewall-Endpunktverknüpfungen erstellen.

3. Sicherheitsprofil für die URL-Filterung erstellen

   Wenn Sie den Zugriff auf bestimmte Domains zulassen oder verweigern möchten, erstellen Sie ein Sicherheitsprofil vom Typ url-filtering und geben Sie Ihre Abgleichsstrings mit URL-Listen an.

   Weitere Informationen finden Sie unter Sicherheitsprofil für die URL-Filterung erstellen.

4. Optional können Sie ein Sicherheitsprofil erstellen, um den Traffic auf Bedrohungen zu prüfen.

   Wenn Sie den Traffic auf Sicherheitsbedrohungen prüfen möchten, erstellen Sie ein weiteres Sicherheitsprofil vom Typ threat-prevention. Prüfen Sie die Liste der Bedrohungssignaturen, bewerten Sie die Standardantworten und passen Sie die Aktionen für die ausgewählten Signaturen nach Bedarf an.

   Weitere Informationen finden Sie unter Sicherheitsprofil für die Bedrohungsvermeidung erstellen. Weitere Informationen zum Dienst zur Einbruchserkennung und ‑prävention finden Sie unter Übersicht über den Dienst zur Einbruchserkennung und ‑prävention.

5. Sicherheitsprofilgruppe erstellen

   Eine Sicherheitsprofilgruppe fungiert als Container für Sicherheitsprofile. Erstellen Sie eine Sicherheitsprofilgruppe, um die Sicherheitsprofile einzufügen, die Sie in den vorherigen Schritten erstellt haben.

   Weitere Informationen finden Sie unter Sicherheitsprofil gruppe.

6. URL-Filterdienst konfigurieren und auf Ihren Netzwerkverkehr anwenden

   Um den URL-Filterdienst zu konfigurieren, erstellen Sie eine globale Netzwerk-Firewall richtlinie oder eine hierarchische Firewallrichtlinie mit Layer-7-Prüfung.

   • Wenn Sie eine neue globale Firewallrichtlinie erstellen oder eine vorhandene verwenden, fügen Sie eine Firewallrichtlinienregel mit der Aktion apply_security_profile_group hinzu und geben Sie den Namen der zuvor erstellten Sicherheitsprofilgruppe an. Achten Sie darauf, dass die Firewallrichtlinie demselben VPC-Netzwerk zugeordnet ist wie die Arbeitslasten, die geprüft werden müssen.

     Weitere Informationen finden Sie unter Globale Netzwerk-Firewall richtlinie erstellen und Firewallrichtlinienregel hinzufügen.

   • Wenn Sie eine neue hierarchische Firewallrichtlinie erstellen oder eine vorhandene verwenden, fügen Sie eine Firewallrichtlinienregel mit der Aktion apply_security_profile_group hinzu. Achten Sie darauf, dass die Firewallrichtlinie demselben VPC-Netzwerk zugeordnet ist wie die Arbeitslasten, die geprüft werden müssen.

     Weitere Informationen finden Sie unter Aufgaben für Firewallrichtlinienregeln.

URL-Filterdienst mit TLS-Prüfung konfigurieren

Führen Sie die folgenden Aufgaben aus, um den URL-Filterdienst mit TLS-Prüfung in Ihrem Netzwerk zu konfigurieren.

1. Firewall-Endpunkt erstellen

   Sie können einen Firewall-Endpunkt mit oder ohne Jumbo-Frame-Unterstützung erstellen.

   Ein Firewall-Endpunkt ist eine zonale Ressource, die Sie in derselben Zone wie die Arbeitslast erstellen müssen, die Sie mit dem URL-Filterdienst schützen möchten.

   Weitere Informationen finden Sie unter Firewall Endpunkt erstellen.

2. Firewall-Endpunkt mit Ihren VPC-Netzwerken verknüpfen

   Um den URL-Filterdienst zu aktivieren, verknüpfen Sie den Firewall-Endpunkt mit Ihren VPC-Netzwerken. Achten Sie darauf, dass Sie Ihre Arbeitslasten in derselben Zone wie den Firewall-Endpunkt ausführen.

   Ein Firewall-Endpunkt mit Jumbo-Frame-Unterstützung kann nur Pakete mit einer Größe von bis zu 8.500 Byte akzeptieren. Alternativ kann ein Firewall-Endpunkt ohne Jumbo-Frame-Unterstützung nur Pakete mit einer Größe von bis zu 1.460 Byte akzeptieren. Wenn Sie den URL-Filterdienst benötigen, empfehlen wir,die verknüpften VPC-Netzwerke so zu konfigurieren,dass die MTU-Limits (Maximum Transmission Unit) von 8.500 Byte und 1.460 Byte verwendet werden. Weitere Informationen finden Sie unter Unterstützte Paketgröße.

   Weitere Informationen zum Erstellen von Firewall-Endpunktverknüpfungen finden Sie unter Firewall-Endpunktverknüpfungen erstellen.

3. Sicherheitsprofil für die URL-Filterung erstellen

   Wenn Sie den Zugriff auf bestimmte Domains zulassen oder verweigern möchten, erstellen Sie ein Sicherheitsprofil vom Typ url-filtering und geben Sie Ihre Abgleichsstrings mit URL-Listen an.

   Weitere Informationen finden Sie unter Sicherheitsprofil für die URL-Filterung erstellen.

4. Optional können Sie ein Sicherheitsprofil erstellen, um den Traffic auf Bedrohungen zu prüfen.

   Wenn Sie den Traffic auf Sicherheitsbedrohungen prüfen möchten, erstellen Sie ein weiteres Sicherheitsprofil vom Typ threat-prevention. Prüfen Sie die Liste der Bedrohungssignaturen, bewerten Sie die Standardantworten und passen Sie die Aktionen für die ausgewählten Signaturen nach Bedarf an.

   Weitere Informationen finden Sie unter Sicherheitsprofil für die Bedrohungsvermeidung erstellen. Weitere Informationen zum Dienst zur Einbruchserkennung und ‑prävention finden Sie unter Übersicht über den Dienst zur Einbruchserkennung und ‑prävention.

5. Sicherheitsprofilgruppe erstellen

   Eine Sicherheitsprofilgruppe fungiert als Container für Sicherheitsprofile. Erstellen Sie eine Sicherheitsprofilgruppe, um die Sicherheitsprofile einzufügen, die Sie in den vorherigen Schritten erstellt haben.

   Weitere Informationen finden Sie unter Sicherheitsprofil gruppe.

6. Ressourcen zum Prüfen von verschlüsseltem Traffic erstellen und konfigurieren

   1. CA-Pool (Zertifizierungsstellenpool) erstellen

      Ein CA-Pool ist eine Sammlung von Zertifizierungsstellen mit einer gemeinsamen Richtlinie für das Ausstellen von Zertifikaten sowie einer IAM-Richtlinie. Ein regionaler CA-Pool muss vorhanden sein, bevor Sie die TLS-Prüfung konfigurieren können.

      Weitere Informationen finden Sie unter CA -Pool erstellen.

   2. Stammzertifizierungsstelle erstellen

      Um die TLS-Prüfung zu verwenden, benötigen Sie mindestens eine Stammzertifizierungsstelle. Die Stammzertifizierungsstelle signiert eine Zwischenzertifizierungsstelle, die dann alle Blattzertifikate für die Clients signiert. Weitere Informationen finden Sie in der Referenzdokumentation zum gcloud privateca roots create Befehl.

   3. Erforderliche Berechtigungen für den Dienst-Agent für Netzwerksicherheit (P4SA) gewähren

      Cloud NGFW benötigt einen P4SA, um Zwischenzertifizierungsstellen für die TLS-Prüfung zu generieren. Der Dienst-Agent benötigt die erforderlichen Berechtigungen, um Zertifikate für den CA-Pool anzufordern.

      Weitere Informationen finden Sie unter Dienstkonto erstellen.

7. Regionale TLS-Prüfungsrichtlinie erstellen

   Eine TLS-Prüfungsrichtlinie gibt an, wie verschlüsselter Traffic abgefangen wird. Eine regionale TLS-Prüfungsrichtlinie kann die Konfigurationen für die TLS-Prüfung enthalten.

   Weitere Informationen finden Sie unter TLS-Prüfungs richtlinie erstellen.

8. Firewall-Endpunkt mit der TLS-Prüfungsrichtlinie verknüpfen

9. URL-Filterdienst konfigurieren und auf Ihren Netzwerkverkehr anwenden

   Um den URL-Filterdienst zu konfigurieren, erstellen Sie eine globale Netzwerk-Firewall richtlinie oder eine hierarchische Firewallrichtlinie mit Layer-7-Prüfung.

   • Wenn Sie eine neue globale Firewallrichtlinie erstellen oder eine vorhandene verwenden, fügen Sie eine Firewallrichtlinienregel mit der Aktion apply_security_profile_group hinzu und geben Sie den Namen der zuvor erstellten Sicherheitsprofilgruppe an. Achten Sie darauf, dass die Firewallrichtlinie demselben VPC-Netzwerk zugeordnet ist wie die Arbeitslasten, die geprüft werden müssen.

     Weitere Informationen finden Sie unter Globale Netzwerk-Firewall richtlinie erstellen und Firewallrichtlinienregel hinzufügen.

   • Wenn Sie eine neue hierarchische Firewallrichtlinie erstellen oder eine vorhandene verwenden, fügen Sie eine Firewallrichtlinienregel mit der konfigurierten Aktion apply_security_profile_group hinzu. Achten Sie darauf, dass die Firewallrichtlinie demselben VPC-Netzwerk zugeordnet ist wie die Arbeitslasten, die geprüft werden müssen.

     Weitere Informationen finden Sie unter Aufgaben für Firewallrichtlinienregeln.

Beispiel für ein Bereitstellungsmodell

Das folgende Diagramm zeigt ein Beispiel für die Bereitstellung des URL-Filterdienstes mit mehreren Firewall-Endpunkten, die für zwei VPC-Netzwerke in derselben Region, aber in zwei verschiedenen Zonen konfiguriert wurden.

Die Beispielbereitstellung hat die folgende Konfiguration:

1. Zwei Sicherheitsprofilgruppen:

   1. Security profile group 1 mit Sicherheitsprofil Security profile 1.

   2. Security profile group 2 mit dem Sicherheitsprofil Security profile 2.

2. Die Kunden-VPC 1 (VPC 1) hat eine Firewallrichtlinie, bei der die Sicherheitsprofilgruppe auf Security profile group 1 gesetzt ist.

3. Die Kunden-VPC 2 (VPC 2) hat eine Firewallrichtlinie, bei der die Sicherheitsprofilgruppe auf Security profile group 2 gesetzt ist.

4. Der Firewall-Endpunkt Firewall endpoint 1 führt die URL-Filterung für Arbeitslasten aus, die in VPC 1 und VPC 2 in der Zone us-west1-a ausgeführt werden.

5. Der Firewall-Endpunkt Firewall endpoint 2 führt die URL-Filterung mit aktivierter TLS-Prüfung für Arbeitslasten aus, die in VPC 1 und VPC 2 in der Zone us-west1-b ausgeführt werden.

Nächste Schritte

• Sicherheitsprofile
• Sicherheitsprofilgruppen
• Firewall-Endpunkte