本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。
当您使用了转发路由器TR（Transit Router），可以手动配置转发路由器与VPC边界防火墙之间的互访路由，实现VPC边界防火墙对转发路由器连接的VPC之间的所有流量进行防护。本文介绍了如何连通转发路由器与VPC边界防火墙之间的网络。
适用对象
云防火墙可以防护通过云企业网转发路由器连接的网络实例之间的流量，网络实例包括VPC、VBR、CCN、VPN。
本文仅针对VPC边界防火墙手动引流模式的配置，适用于对多个VPC（相同地域）之间互访流量的防护。
场景示意图
前提条件
已在云企业网控制台创建了云企业网实例，且创建了两个专有网络VPC（本文中分别以VPC-01和VPC-02为例）。具体操作，请参见创建云企业网实例。
步骤一：为VPC边界防火墙创建VPC实例
VPC边界防火墙需要占用一个VPC，所以您需要专门创建一个VPC实例。
登录专有网络管理控制台。
在顶部菜单栏，选择要创建自定义专有网络的地域，单击创建专有网络。
在创建专有网络对话框，根据以下信息配置专有网络，然后单击确认。
配置项
如何设置
地域
选择需要开启VPC防火墙的地域。
名称
VPC实例名称，本文示例中为Cfw-TR-manual-VPC。
IPv4网段
VPC的主IPv4网段，需要至少26位的私网地址，并且不与业务使用的网段冲突。
交换机
网络连接实例可绑定的交换机，需要至少28位的私网地址。
其中，2个交换机提供给TR网络实例连接使用，需选择两个支持TR服务且不同的可用区进行创建，建议选择业务所在的可用区以降低延迟；另1个交换机提供给VPC边界防火墙使用，可用区任选。
本文示例中，TR网络实例连接主交换机命名为TR-Vswitch-01，备交换机命名为TR-VSwitch-02，VPC防火墙交换机命名为Cfw-Vswitch。
在专有网络页面，定位到防火墙VPC实例Cfw-TR-manual-VPC，并单击实例ID。
在该专有网络页面资源管理页签，单击路由表的添加选项或在路由表页面单击创建路由表。
在创建路由表对话框，根据以下信息配置路由表，然后单击确认。
配置项
如何设置
专有网络
选择上述步骤创建的防火墙VPC。本文示例选择Cfw-TR-manual-VPC。
绑定对象类型
选择路由表绑定的对象类型为交换机。
名称
自定义路由表的名称。本文示例的自定义路由表名称配置实例值为VPC-CFW-RouteTable。
步骤二：在转发路由器中添加防火墙VPC的网络实例连接
本步骤建立VPC实例（Cfw-TR-manual-VPC）与转发路由器企业版之间的连接。
- 登录云企业网管理控制台。
在云企业网实例页面，定位到需要引流到云防火墙VPC边界防火墙的云企业网实例，并单击实例ID。
在该云企业网实例页面基本信息页签，单击操作列的创建网络实例连接或单击页面上方VPC基础信息右侧的
图标。在连接网络实例页面，设置Cfw-TR-manual-VPC和转发路由器之间的连接信息。
以下是创建网络连接实例时，关键的配置项说明。
配置项
如何设置
实例类型
通过云企业网连接的网络实例的类型。此处选择专有网络（VPC）。
地域
通过云企业网连接的网络实例的地址。此处需要与创建Cfw-TR-manual-VPC时指定的地域保持一致。
网络实例
通过云企业网连接的网络实例。此处选择Cfw-TR-manual-VPC的实例ID。
交换机
网络连接实例可绑定的交换机。主交换机选择TR-Vswitch-01，备交换机为TR-VSwitch-02。
其他配置项的说明，请参见使用企业版转发路由器创建VPC连接。
步骤三：为两个VPC创建云企业网网络实例连接
您需要为VPC-01和VPC-02分别创建网络实例连接，将两个VPC加载到该云企业网中。
相关内容，请参见使用企业版转发路由器创建VPC连接。
步骤四：创建VPC边界防火墙
本步骤为Cfw-TR-manual-VPC创建VPC边界防火墙。
在云防火墙控制台页签，找到需要开启防火墙的转发路由实例，单击操作列创建。创建该VPC边界防火墙时，引流模式选择手动引流、专有网络选择Cfw-TR-manual-VPC、交换机选择Cfw-Vswitch。相关内容，请参见配置企业版转发路由器的VPC边界防火墙。
完成此步骤后，云防火墙会在Cfw-Vswitch下创建1个弹性网卡用于引流（可在ECS控制台的页面查看，系统默认分配名称为cfw-bonding-eni的网卡）。
步骤五：为防火墙VPC配置VPC路由
本步骤配置VPC路由，将TR转发到防火墙VPC的流量引流到VPC边界防火墙上，并将VPC边界防火墙处理完的流量再转发到TR。
登录专有网络管理控制台。
在路由表页面，选择防火墙VPC实例的系统路由表。
在路由条目列表，选择自定义路由条目页签。
单击添加路由条目，配置以下路由条目信息，同时删除其他自定义路由条目（若有）。
关键配置项说明：
目标网段：选择0.0.0.0/0。
下一跳类型：选择辅助弹性网卡。
辅助弹性网卡：选择步骤三创建的Cfw-bonding-eni。
本步骤完成后，TR转发到防火墙VPC的流量会被引流到VPC边界防火墙上。
在路由表页面，打开此前创建的自定义路由表VPC-CFW-RouteTable，在已绑定交换机页签，单击绑定交换机。其中交换机选择Cfw-Vswitch。然后单击确定。
在路由条目列表页签，选择自定义路由条目页签。单击添加路由条目，配置以下路由条目信息，同时删除其他自定义路由条目（若有）。
关键配置项说明：
目标网段：选择0.0.0.0/0。
下一跳类型：选择转发路由器。
转发路由器：选择VPC防火墙的网络实例连接。
本操作完成后，VPC边界防火墙处理完的流量会被再转发到TR。
步骤六：配置转发路由器的路由
本步骤为VPC-01、VPC-02和防火墙VPC配置转发路由器的路由，实现VPC-01和VPC-02互访流量过VPC边界防火墙。
- 登录云企业网管理控制台。
在云企业网控制台，定位到需要开启VPC边界防火墙的转发路由器，单击实例ID，然后切换到转发路由器路由表页签。
在转发路由器路由表页签，单击左侧路由器列表中第一行的系统路由表。
在系统路由表的路由表详情页签中，单击路由学习页签。
在路由学习页签，创建两条路由学习，关联连接分别选择VPC-01和VPC-02。
本操作会为系统路由表创建路由学习，自动同步VPC-01和VPC-02的路由。
路由学习创建完成后，您可以在路由条目页签查看自动学习的路由信息。
切换到系统路由表的路由表详情页面，单击关联转发页签。
在关联转发页签，单击创建关联转发。
在添加关联转发对话框，选择Cfw-TR-manual-VPC。
本操作完成后，防火墙VPC可以通过转发路由器自动转发目的为VPC-01和VPC-02的流量。
单击转发路由器路由表页面左侧的创建路由表按钮。在创建路由表对话框，配置路由表的信息。
转发路由器选择需要开启VPC边界防火墙的转发路由器，并配置对应的路由表名称。本文示例中路由表名称设置为Cfw-TR-RouteTable。
新增的路由表Cfw-TR-RouteTable用于转发VPC-01和VPC-02到VPC边界防火墙Cfw-TR-manual-VPC之间的流量。
定位到Cfw-TR-RouteTable路由表，单击创建路由条目。在添加路由条目对话框，配置路由条目的信息。
配置项说明：
目的地址：选择默认地址段
0.0.0.0/0。是否为黑洞路由：选择默认选项
否。下一跳连接：选择防火墙VPC实例Cfw-TR-manual-VPC对应的转发路由器连接实例ID。
在转发路由器路由表页签，单击左侧路由表列表中的系统路由表，然后在路由表详情页签，单击关联转发。
警告下列操作12-14由于发生路由切换，会造成TCP长连接闪断，建议在业务低峰期或者变更窗口期进行操作。
在关联转发页签，删除下一跳为VPC-01和VPC-02的关联转发。然后在转发路由器路由表页签，单击左侧路由表列表中Cfw-TR-RouteTable路由表。
在路由表详情页面，单击关联转发，然后单击创建关联转发。
在添加关联转发页面，关联转发选择VPC-01和VPC-02，单击确定保存该关联转发设置。
本操作完成后，VPC-01和VPC-02的流量关联转发到Cfw-TR-RouteTable，VPC-01和VPC-02的互访流量会被转发到防火墙VPC。
步骤七：验证转发配置是否成功
您可以在流量日志功能查看是否有来自该云企业网的流量日志。如果有相关流量日志，代表转发配置成功。具体步骤，请参见日志审计。