本文介绍在开启VPC边界防火墙时,需要您注意的限制条件及处理建议。
通用限制
限制项 | 处理建议 |
---|---|
每个地域最多支持19个VPC实例和1个VPC边界防火墙(即VPC边界防火墙会占用1个配额)。开启VPC边界防火墙后,每个地域会自动新增一个VPC(即新增一个实例名称为Cloud_Firewall_VPC的VPC。关于如何查看该VPC的详细信息,请参见查看专有网络)。VPC配额不足的情况下,您将无法开启VPC边界防火墙。 | 如果配额已满,您需要修改VPC配额的上限,具体操作,请参见管理配额。
注意 如果VPC配额上限已无法修改,请咨询云防火墙钉钉群售后人员。
|
云企业网相关限制
限制项 | 处理建议 |
---|---|
在云企业网中存在跨账号开通的VPC时,如果跨账号开通的VPC未获得云防火墙的授权或您的云防火墙版本不是旗舰版,您将无法创建VPC边界防火墙。 |
|
云企业网中的VPC所在的地域都需要是VPC边界防火墙支持的地域,否则会导致无法为该云企业网开启VPC边界防火墙。 | 云企业网中的VPC所在的地域都是VPC边界防火墙支持的地域。相关内容,请参见VPC边界防火墙支持的地域。 |
如果您是在2021年05月01日之前开通了VPC边界防火墙,并且您的网络拓扑中存在公网私用的地址段,开启VPC边界防火墙后,您的服务器对SLB和RDS的访问将会中断。
注意 2021年05月01日及之后开通VPC边界防火墙的用户无此限制。
|
建议按标准规划您的网络,避免出现公网私用的情况。 |
云企业网中发布的路由数最大为100。 | 建议您减少发布的路由数,并将路由数减少到100条以内。如有需要,请联系云防火墙钉群售后人员。 |
开启VPC边界防火墙会为用户添加自定义路由。由于每个用户VPC路由表中自定义路由的数量存在限制,超过数量限制则无法再为您开启VPC边界防火墙。VPC实例自定义路由的最大数量为400。 | 增加VPC的配额。
您需要修改当前账号下VPC路由表的自定义路由配额,具体操作,请参见管理配额。 |
在云企业网中开启VPC边界防火墙时,如果VPC中存在自定义路由表且绑定了vSwitch,不支持开通VPC边界防火墙。 | 您可以删除相关的自定义路由表或vSwitch解除绑定自定义路由表。 |
以下非VPC间互访流量不经过云防火墙,因此无法受到云防火墙的防护:
|
如果您需要进一步咨询,请联系云防火墙钉钉群售后人员。 |
SLB和RDS等云服务在开启或关闭VPC边界防火墙过程中,会出现长连接失效问题。 |
|
已开启VPC边界防火墙的VPC数量和地域数量的总和小于等于32个(未开启VPC边界防火墙不影响)。 | 无。 |
在云企业网中开启VPC边界防火墙时,支持添加的网络实例数量为15个。 | 建议您使用云企业网转发路由器。相关信息,请咨询云防火墙钉钉群售后人员。 |
为云企业网创建VPC边界防火墙时,该云企业网中不能存在策略行为设置为拒绝类型的路由策略(系统默认生产的优先级为5000拒绝类型路由策略除外),否则将会导致业务中断。 | 建议您删除相关路由策略,或咨询云防火墙钉钉群售后人员。 |
开启VPC边界防火墙后,如果增加或者删除云企业网的路由策略,云防火墙需要15~30分钟的时间完成路由学习。 | 建议您等待云防火墙路由学习完成后观察路由策略生效情况,或通过云防火墙钉钉群咨询售后人员。 |
单专线云企业网用户使用防火墙时,开墙或者网络割接时可能会造成流量中断。 | 建议开墙或者网络割接前,先通过云防火墙钉钉群咨询售后人员。 |
云企业网转发路由器相关限制
限制项 | 处理建议 |
---|---|
在云企业网中开启VPC边界防火墙时, 转发路由器支持添加的网络实例(包含VPC、VBR和CCN)在每个地域数量最多为100个。
说明 转发路由器支持添加的VPC中,包含了开启VPC边界防火墙时自动新增的VPC(即新增一个实例名称为Cloud_Firewall_VPC的VPC。关于如何查看该VPC的详细信息,请参见查看专有网络)。
|
无。 |
转发路由器存在如下限制:
|
如果您需要将VPC加入白名单,请联系钉钉群售后人员。 |
高速通道相关限制
限制项 | 处理建议 |
---|---|
在高速通道中开启VPC边界防火墙,不支持防护VPC跨地域、跨账号及VPC与VBR间的互访流量。 | 如果需要防护VPC跨地域、跨账号或VPC与VBR间的互访流量,建议您改为组云企业网组网。相关信息,请咨询产品钉钉群售后人员。 |
开启VPC边界防火墙会为用户添加自定义路由。由于每个用户VPC路由表中自定义路由的数量存在限制,超过数量限制则无法再为您开启VPC边界防火墙。VPC实例自定义路由的最大数量为400。 | 增加VPC的配额。
您需要修改当前账号下VPC路由表的自定义路由配额,具体操作,请参见管理配额。 |
在高速通道中不支持32位网段的路由。如果有32位网段的路由,开启VPC边界防火墙后,会导致对此网段的网络访问中断。 | 建议您先将网段掩码长度修改为小于等于30后,再开启VPC边界防火墙,或者联系产品钉钉群售后人员。 |
开启VPC边界防火墙后,如果增加或者删除高速通道的VPC路由表信息,云防火墙需要15~30分钟的时间完成路由学习。 | 建议您等待云防火墙路由学习完成后观察路由表生效情况,或通过云防火墙钉钉群咨询售后人员。 |