Descripción general del Proxy web seguro

Secure Web Proxy ayuda a proteger el tráfico de agentes saliente y el tráfico web estándar (HTTP y HTTPS) de la red interna de tu organización. Cuando configuras tus agentes de IA y cargas de trabajo no basadas en agentes para que usen Secure Web Proxy como puerta de enlace, el proxy actúa como un punto de control de seguridad obligatorio para cualquier aplicación o servicio que intente acceder a un sitio web fuera de tu organización.

Beneficios

Secure Web Proxy proporciona los siguientes beneficios clave:

  • Administración del tráfico saliente de los agentes de IA. Cuando se integra en Agent Gateway, Secure Web Proxy aplica políticas de seguridad centralizadas para el acceso de agentes a herramientas, extremos o modelos. Puedes aplicar perímetros de seguridad detallados, verificar de forma criptográfica las identidades de los agentes, inspeccionar las llamadas a herramientas del Protocolo de contexto del modelo (MCP) y aplicar barreras de seguridad de limpieza de contenido de Model Armor al tráfico saliente de los agentes.

  • Control de acceso adaptado a la identidad. El acceso se basa en identidades de agentes y cargas de trabajo criptográficas, en lugar de ubicaciones de red estáticas:

    • Identidades de agentes: Para los agentes de IA autónomos, puedes verificar las identidades de los agentes integrándolas con Identity and Access Management (IAM) y Identity-Aware Proxy (IAP) a través de vinculaciones de extensiones de Service Extensions.

    • Identidades para cargas de trabajo: En el caso de las cargas de trabajo no agénticas, puedes verificar las identidades de origen con cuentas de servicio, etiquetas seguras o certificados de cliente con TLS mutua (mTLS) de frontend.

    Este modelo centrado en la identidad habilita reglas de autorización detalladas que ayudan a restringir el tráfico web saliente a las cargas de trabajo y los agentes autenticados.

  • Seguridad predeterminada sólida. Secure Web Proxy tiene un parámetro de configuración predeterminado de deny-all que bloquea todo el tráfico saliente hasta que lo permitas de forma explícita. Google Cloud administra automáticamente todas las actualizaciones de software y de infraestructura, lo que minimiza el riesgo continuo de vulnerabilidades de seguridad.

  • Inspección centralizada. Secure Web Proxy consolida las solicitudes web salientes de tus cargas de trabajo en la nube y las oficinas conectadas en un solo punto de inspección para aplicar las políticas de forma coherente.

  • Observabilidad y seguimiento integrales. Todo el tráfico saliente se registra de forma centralizada en Cloud Logging y se integra en Cloud Trace y OpenTelemetry. Esta integración proporciona auditabilidad completa, investigación de incidentes y análisis de latencia de extremo a extremo.

Funciones admitidas

Secure Web Proxy admite las siguientes funciones:

  • Políticas de acceso de salida detalladas: Puedes aplicar controles de seguridad específicos según el tipo de tráfico:

    Esta función detallada de las políticas te permite crear y administrar componentes de reglas específicos y reutilizables en varias instancias de Secure Web Proxy.

  • Escalado automático de los proxies de Envoy de Secure Web Proxy: Secure Web Proxy admite el ajuste automático del tamaño del grupo de proxies de Envoy y la capacidad del grupo en una región, lo que permite un rendimiento coherente durante los períodos de alta demanda al costo más bajo. La función de ajuste de escala automático administra automáticamente los ajustes de capacidad en una región. Esto significa que no tienes que supervisar ni cambiar el tamaño de tu flota de proxies de forma manual, lo que garantiza un mejor rendimiento con menos tiempo operativo.

  • Limitación de frecuencia del servicio: Secure Web Proxy aplica límites de tráfico al tráfico web saliente para evitar que los clientes que consumen muchos recursos agoten la capacidad del servicio o generen costos excesivos, como los asociados con los tokens de modelos de lenguaje grande (LLM). Puedes adjuntar políticas de limitación de frecuencia de servicio a las puertas de enlace que se configuran con políticas de seguridad de puerta de enlace o políticas de autorización. Puedes usar políticas de limitación de frecuencia para priorizar o limitar el tráfico en función de los recuentos de solicitudes y las identidades de cliente específicas, como las principales de mTLS o las direcciones IP de origen.

  • Encriptación de extremo a extremo: Los túneles de proxy de cliente pueden transitar por TLS. Secure Web Proxy también admite CONNECT HTTP y HTTPS para las conexiones TLS de extremo a extremo iniciadas por el cliente con el servidor de destino. El servicio administra automáticamente esta medida de seguridad crucial para que el tráfico esté protegido sin necesidad de configurar o supervisar manualmente los estándares de encriptación.

  • Integración de los Registros de auditoría de Cloud y Google Cloud Observability: Con Google Cloud Observability, los Registros de auditoría de Cloud registran las acciones administrativas (cambios de política) y las solicitudes de acceso y las métricas (registros de transacciones de proxy) para Secure Web Proxy. Esta vista unificada e integrada facilita la supervisión de seguridad y los informes de cumplimiento.

Cómo funciona Secure Web Proxy

Secure Web Proxy actúa como un punto de control de seguridad obligatorio para todo el tráfico web desde la red de tu organización hacia Internet. Las cargas de trabajo internas deben cumplir con las reglas de seguridad de Secure Web Proxy antes de poder acceder a Internet.

  1. Puerta de enlace centralizada: Tus cargas de trabajo, como las máquinas virtuales (VM) y los contenedores, se configuran para enviar todas las solicitudes web salientes a la instancia central de Secure Web Proxy.

  2. Aplicación de políticas: El proxy inspecciona la solicitud y aplica tus políticas de seguridad para determinar si se debe permitir o rechazar la conexión.

  3. Protege el tráfico saliente: Si se permite la solicitud, el tráfico se enruta de forma segura a Internet con la infraestructura de Google Cloud, por lo general, Cloud NAT. El proxy también usa Cloud DNS para resolver direcciones web externas.

Políticas y reglas

Para proteger el tráfico saliente, elige una política de autorización o una política de seguridad de puerta de enlace como tu mecanismo de seguridad principal en tu instancia de Secure Web Proxy. Solo puedes configurar un modelo de política principal en una sola puerta de enlace. Además, puedes configurar de forma opcional políticas de límite de frecuencia del servicio además de la elección de la política principal.

  • Políticas de autorización: Estas políticas te permiten establecer verificaciones de control de acceso basadas en la identidad y en el destino cuando se procesan solicitudes salientes a través de tu instancia de Secure Web Proxy. Recomendamos usar este tipo de política en las siguientes situaciones:

    • Cuando implementas Secure Web Proxy como un Agent Gateway para administrar el tráfico agéntico.
    • Cuando implementas Secure Web Proxy para el tráfico no basado en agentes que requiere mTLS de frontend para verificar las identidades de origen o las extensiones de autorización personalizadas.

  • Políticas y reglas de seguridad de la puerta de enlace: Estas políticas y reglas definen los controles de acceso para el tráfico web de salida estándar que no es de agentes. Una política de seguridad de puerta de enlace funciona como el contenedor de reglas de seguridad individuales que permiten o deniegan el tráfico según las identidades de origen (cuentas de servicio o etiquetas seguras), los nombres de host de destino y los puertos.

  • Políticas de límite de frecuencia del servicio: Estas políticas te permiten aplicar límites de frecuencia de solicitudes específicos del cliente y de todo el servicio en el tráfico web saliente para proteger los destinos externos de las sobrecargas de tráfico y controlar los costos. Puedes adjuntar una política de límite de frecuencia de servicio a una puerta de enlace que use una política de autorización o una política de seguridad de puerta de enlace.

Integración de Agent Gateway con Secure Web Proxy

Las cargas de trabajo de IA empresariales implementadas en Google Cloud, incluidas las soluciones de software como servicio (SaaS), como Gemini Enterprise, los entornos de plataforma como servicio (PaaS), como Vertex AI Agent Engine, y los entornos de ejecución alojados en contenedores o de forma autónoma en Google Kubernetes Engine (GKE) y Cloud Run, requieren límites de red sólidos y centralizados para aplicar la privacidad de los datos, las políticas de cumplimiento y la prevención de amenazas.

Agent Gateway proporciona administración centralizada de políticas, verificación de identidad criptográfica y medidas de protección de seguridad para los agentes de IA. Para los agentes que se ejecutan en GKE o Cloud Run, puedes implementar una instancia de Secure Web Proxy como Agent Gateway. Esta configuración te permite aplicar políticas de seguridad centralizadas para el tráfico saliente a LLM, herramientas de MCP, APIs externas, agentes remotos o destinos web estándar.

Usar una instancia de Secure Web Proxy con un recurso agentGateway proporciona los siguientes beneficios:

  • Administración centralizada de políticas: Aplica políticas de autorización que se definen en un recurso agentGateway a tu instancia de Secure Web Proxy. Esta función te permite crear una postura de seguridad unificada en varios entornos de agentes.

  • Identidad del agente y mTLS: Usa la validación de certificados de cliente y las políticas de autorización para verificar y restringir de forma criptográfica las comunicaciones salientes en función de la identidad del agente.

  • Restricción de herramientas de MCP: Aplica reglas de HTTP detalladas en las interacciones de los agentes con servidores de herramientas de MCP externos, lo que restringe métodos de herramientas específicos (como tools/list o tools/call) y parámetros de métodos.

  • Verificación y limpieza de cargas útiles: Se integra directamente en Model Armor con vinculaciones de extensiones en Service Extensions para inspeccionar las instrucciones y las respuestas de los agentes en busca de filtraciones de datos sensibles o ataques de inyección de instrucciones.

Modos de Deployment

Puedes implementar tu instancia de Secure Web Proxy en cualquiera de los siguientes modos:

  • Modo de enrutamiento de proxy explícito: En este modo, debes configurar de forma explícita tus entornos de carga de trabajo y clientes para que apunten directamente al servidor proxy. Luego, Secure Web Proxy aísla a tus clientes de Internet. De esta manera, Secure Web Proxy actúa como un intermediario, establece conexiones TCP nuevas para el cliente y garantiza que cada conexión cumpla con los requisitos de la política de seguridad administrada.

  • Modo de adjunto de servicio de Private Service Connect: En este modo, puedes centralizar tus implementaciones de proxy web en una arquitectura compleja de varias nubes privadas virtuales (VPC).

  • Modo de próximo salto: En este modo, puedes configurar tu instancia de Secure Web Proxy para que actúe como un próximo salto para el enrutamiento en tu red. En otras palabras, puedes configurar el enrutamiento de tu red para que envíe automáticamente el tráfico saliente a tu instancia de Secure Web Proxy. Este método de implementación reduce la sobrecarga administrativa de tu organización, ya que no tienes que configurar de forma manual cada carga de trabajo o cliente de origen para usar el proxy.

Limitaciones

  • Versiones de IP: Secure Web Proxy solo admite IPv4; no se admite IPv6.

  • Versiones de HTTP: Secure Web Proxy admite las versiones HTTP/0.9, 1.0, 1.1 y 2.0. No se admite HTTP/3.

  • Permiso de implementación: Puedes implementar una instancia de Secure Web Proxy solo en un proyecto host, no en un proyecto de servicio.

Herramientas adicionales de Google Cloud para tener en cuenta

Puedes integrar Secure Web Proxy con las siguientes herramientas de Google Cloud para mejorar la postura de seguridad general de tus cargas de trabajo y aplicaciones:

  • Usa mTLS de frontend para permitir que Secure Web Proxy configure identidades de clientes validadas en las políticas de autorización y aplique un control de acceso detallado para el tráfico saliente.

  • Usa el Administrador de certificados para administrar las anclas de confianza (certificados raíz) y las AC intermedias necesarias para validar los certificados de cliente en las conexiones mTLS de frontend con Secure Web Proxy.

  • Implementa los Controles del servicio de VPC para evitar el robo de datos de los servicios de Google Cloud , como Cloud Storage y BigQuery.

  • Usa Trace para obtener datos de seguimiento distribuido de las solicitudes salientes y analizar la latencia de red de extremo a extremo.

¿Qué sigue?