配置基础版转发路由器的VPC边界防火墙

防护原理

开启VPC边界防火墙后，云防火墙会基于DPI流量分析、IPS入侵防御规则、威胁情报、虚拟补丁、访问控制策略等，对VPC互访的流量进行过滤，判断流量是否满足放行条件，有效拦截非法的访问流量，保障私网资产之间的流量安全。

基础版转发路由器VPC边界防火墙的防护场景示例如下图所示：

关于防护范围，请参见什么是云防火墙。

对业务的影响

创建VPC边界防火墙时，您无需更改当前的网络拓扑，可以一键创建VPC边界防火墙并设置引流模式（自动引流或者手动引流），实现对业务资产的保护，对业务无影响。创建时长约5分钟。建议您在业务低峰期开启VPC边界防火墙。

开启和关闭VPC边界防火墙，预计约需要5~30分钟（取决于路由条目数），过程中会出现长连接秒级闪断，短连接无影响。

前提条件

• 已开通企业版、旗舰版或按量付费版云防火墙。具体操作，请参见购买云防火墙服务。

  说明

  只有云防火墙企业版、旗舰版和按量付费版支持配置企业版转发路由器的VPC边界防火墙，高级版不支持。

• 已授权云防火墙访问云资源。具体操作，请参见授权云防火墙访问云资源。

• 已购买了云企业网实例，且已使用云企业网完成了VPC之间的网络互通。具体操作，请参见使用云企业网实现同地域VPC互通（基础版）、使用云企业网实现跨地域跨账号VPC互通（基础版）。

  说明

  在云企业网中存在跨账号开通的VPC时，如果跨账号开通的VPC未获得云防火墙的授权，您将无法创建VPC边界防火墙。建议您使用对应账号登录云防火墙完成授权后，再开启VPC边界防火墙。具体操作，请参见授权云防火墙访问云资源。

• 确保您网络资源所在的地域都是VPC边界防火墙支持的地域。具体信息，请参见支持的地域。

操作步骤

1. 登录云防火墙控制台，在左侧导航栏，单击防火墙开关。

2. 在防火墙开关页面，单击VPC边界防火墙。

3. 在VPC边界防火墙页签，单击云企业网（基础版）。

4. 定位到目标VPC边界防火墙的云企业网的网络实例，单击操作列下的创建。

   如果在资产列表中没有需要开启保护的资产，您可以单击同步资产，同步当前阿里云账号及其成员账号的资产信息。

5. 在创建防火墙面板，根据配置向导，完成VPC边界防火墙配置。

   基础版转发路由器支持诊断是否满足一键开启VPC边界防火墙的条件。您可以在检测完成后，在诊断记录面板查看诊断结果。如果您已了解VPC边界防火墙的创建细则，可以直接跳过一键开启诊断功能，直接创建。

   以下表格介绍了云企业网连通模式下，VPC边界防火墙的配置。

   配置项	说明

   配置项	说明
   基本信息	名称：定义VPC边界防火墙的名称。该名称用于识别VPC边界防火墙实例，建议您根据业务的实际情况输入具有意义的名称，并保证名称的唯一性。
   防火墙VPC的配置	为自动创建的云防火墙VPC和交换机分配网段，用于自动创建防火墙安全VPC（Cloud_Firewall_VPC）进行流量引流处理。从分配的VPC网段中划分1个子网网段，该子网网段用于云防火墙VPC的交换机。子网网段的掩码需小于等于29位，且不与网络规划的网段冲突。 重要 请基于业务配置，VPC边界防火墙创建完成后无法更改，如需更改需删除后重新创建。 防火墙所使用VPC：默认值为10.0.0.0/8，您可以自定义防火墙VPC的网段。支持设置的网段包含：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16及其子网。 交换机网段：默认值为10.219.219.216/29。如果默认值与您的业务网络规划冲突，您可以自定义该网段。 交换机可用区：云防火墙支持默认分配交换机可用区，您也可以自行设置。如果您的业务延时敏感，您可以自定义防火墙交换机可用区和业务VPC交换机可用区相同，以便降低延时。
   请分配业务VPC所需要的交换机	需要配置引流保护的业务VPC交换机，用于云防火墙引流所需要的弹性网卡使用。云防火墙会自动分配，如果您的业务延时敏感，可以自定义业务VPC可用区，以降低网络延时。 重要 基于业务配置，创建完成后无法更改，如需更改需删除后重新创建。 可用区：选择业务VPC交换机的可用区。 交换机实例：选择业务VPC的交换机实例。
   引流配置	开启或关闭引流开关，查看防护的网段。
   入侵防御	选择入侵防御模块（IPS）的工作模式、入侵防御策略。 IPS防御模式 观察模式：开启观察模式后，对恶意流量进行监控并告警。 拦截模式：开启拦截模式后，对恶意流量进行拦截，阻断入侵活动。 IPS防御能力 基础规则：开启基础规则后，为您的资产提供基础的防护能力，包括爆破拦截、命令执行漏洞拦截、以及对被感染后连接C&C（命令控制）的行为进行管控。 虚拟补丁：开启虚拟补丁后，实时防御热门的高危应用漏洞。 说明 此设置将应用于同一云企业网下的所有网络实例。

6. 单击开始创建，创建VPC边界防火墙。

7. 在云企业网（基础版）页签，开启已创建的VPC边界防火墙开关。

   只有开启VPC边界防火墙，云防火墙才能够防护您的网络资源。当VPC边界防火墙的防火墙状态变更为已开启，则表示成功开启VPC边界防火墙。

   说明

   开启VPC边界防火墙后，如果增加或者删除VPC路由表信息，云防火墙需要15~30分钟的时间完成路由学习。建议您等待云防火墙路由学习完成后观察路由表生效情况，或加入钉群（群号：33081734），联系产品技术专家进行咨询。

   VPC边界防火墙创建完成后，云防火墙会在专有网络VPC中自动为您创建以下资源：

   • VPC资源：名称为Cloud_Firewall_VPC。

     重要

     请勿将其他业务资源加入到Cloud_Firewall_VPC，否则会导致删除VPC边界防火墙时，您添加的其他业务资源无法删除。请勿手动修改和删除此VPC内的网络资源。

   • 交换机资源：名称为Cloud_Firewall_VSWITCH。

   • 自定义路由表条目：备注信息为Created by cloud firewall. Do not modify or delete it.。

   开启VPC边界防火墙后，会自动为Cloud_Firewall_VPC和业务VPC添加名称为Cloud_Firewall_Security_Group的安全组，并且为该安全组自动配置了放行策略（即授权策略），用于放行到VPC边界防火墙的流量。

   重要

   Cloud_Firewall_Security_Group的安全组和放行策略不可以删除，否则会导致业务流量中断。

   如果需要批量操作或频繁开关VPC边界防火墙，为不影响您的业务，建议在业务流量较小的低峰期进行。

编辑VPC边界防火墙

如果您需要修改VPC边界防火墙的配置，可以在VPC边界防火墙的云企业网（基础版）页签，定位到目标VPC边界防火墙的云企业网的网络实例，单击右侧操作列的编辑进行修改。

关闭VPC边界防火墙

1. 在防火墙开关页面，单击VPC边界防火墙。

2. 在云企业网（基础版）页签，定位到目标VPC边界防火墙的云企业网的网络实例，关闭防火墙开关。

   关闭VPC边界防火墙开关后，请耐心等待。当VPC边界防火墙的防火墙状态变更为未开启，则表示成功关闭VPC边界防火墙。

删除VPC边界防火墙

如果您业务已不需要该VPC边界防火墙，可以在VPC边界防火墙的云企业网（基础版）页签，定位到目标VPC边界防火墙的云企业网的网络实例，单击右侧操作列的删除。