文档

配置高速通道VPC边界防火墙

更新时间:
重要

本文中含有需要您注意的重要提示信息,忽略该信息可能对您的业务造成影响,请务必仔细阅读。

如果您的组网中VPC实例通过VPC对等连接或者高速通道的方式连接,可以通过VPC边界防火墙防护组网中VPC实例之间的流量,提高业务资产的安全性。本文介绍如何配置高速通道VPC边界防火墙。

功能介绍

防护组网图

image

关于防护范围,请参见什么是云防火墙

对业务的影响

创建VPC边界防火墙时,您无需更改当前的网络拓扑,可以创建VPC边界防火墙,实现对业务资产的保护。创建时长约5分钟。对业务无影响。建议您在业务低峰期开启VPC边界防火墙。

开启和关闭VPC边界防火墙,预计约需要5~30分钟(取决于路由条目数),过程中会出现长连接秒级闪断,短连接无影响。

说明

建议在开启VPC边界防火墙之前检查您的应用程序是否支持TCP自动重传机制,并密切关注应用连接状态,以避免由于未配置重传机制而导致的连接中断。

使用限制

限制项

说明

处理建议

VPC的限制

开启VPC边界防火墙时,需要新增一个命名为Cloud_Firewall_VPC的VPC实例,请确保您账号下有足够的可创建的VPC数。关于VPC的数量限制,请参见限制与配额

例如,同一地域内支持创建的VPC的数量默认为10个,由于开启VPC边界防火墙后会自动创建一个VPC,此时您最多可以再创建9个VPC。

如果配额已满,您需要修改VPC配额的上限。 具体操作,请参见管理VPC配额

流量类型限制

VPC边界防火墙不支持防护IPv6流量。

路由限制

在高速通道中不支持防护子网掩码为32位的路由。如果路由的子网掩码为32位,开启VPC边界防火墙后,会导致对此网段的网络访问中断。

建议您先将网段掩码长度修改为小于等于30后,再开启VPC边界防火墙,或者加入钉群(群号:33081734),联系产品技术专家进行咨询。

查看统计信息

云防火墙为您展示当前账号下VPC边界防火墙的统计信息。

  1. 登录云防火墙控制台。在左侧导航栏,单击防火墙开关

  2. VPC边界防火墙页签,您可以查看当前账号下VPC防火墙未创建数、已创建数和可用授权数;网元总数、未保护数和已保护数。

    当版本默认的可用授权数(可防护VPC边界防火墙实例数)占用满时,您可以单击升级授权数根据实际需求进行授权数扩展。关于各版本支持的可防护VPC边界防火墙实例数,请参见包年包月

    image.png

  3. 单击VPC防火墙区域的查看图标,查看云企业网(企业版)、云企业网(基础版)和高速通道VPC防火墙实例未创建数、已创建数。

  4. 单击网元保护数区域的查看图标,查看网元VPC、VBR、TR、VPN的总数以及未保护和已保护数。

其中,数据统计逻辑如下:

  • 云企业网(企业版)

    • 网元未保护数:表示未接入VPC边界防火墙保护的网元数,包含VPC、VBR、TR、VPN(不含手动模式下的网元数)。

    • 网元已保护数:表示已接入VPC边界防火墙保护的网元数,包含VPC、VBR、TR、VPN(不含手动模式下的网元数)。

    • 可用授权数:已开启VPC边界防火墙实例数,以单个CEN-TR计算。

  • 云企业网(基础版)

    • 网元未保护数:未接入VPC边界防火墙保护的VPC数。

    • 网元已保护数:已接入VPC边界防火墙保护的VPC数。

    • 可用授权数:已开启VPC边界防火墙实例数,以单个VPC计算。

  • 高速通道

    • 网元未保护数:未接入VPC边界防火墙保护的VPC数。

    • 网元已保护数:已接入VPC边界防火墙的VPC数。

    • 可用授权数:已开启VPC边界防火墙实例数,以每对VPC(即VPC实例和对端VPC实例)计算。

创建VPC边界防火墙

前提条件

  • 已开通企业版、旗舰版云防火墙。具体操作,请参见购买云防火墙服务

    只有云防火墙企业版和旗舰版支持配置高速通道VPC边界防火墙。

  • 已授权云防火墙访问云资源。具体操作,请参见授权云防火墙访问云资源

  • 已购买高速通道实例,并且已使用高速通道或者VPC对等连接完成了VPC之间的网络互联。具体操作,请参见创建和管理VPC对等连接

  • 确保您网络资源所在的地域都是VPC边界防火墙支持的地域。具体信息,请参见支持的地域

警告

创建VPC边界防火墙后,变更所创建的云防火墙VPC中的交换机及路由表,可能会导致流量中断。

操作步骤

  1. 登录云防火墙控制台,在左侧导航栏,单击防火墙开关

  2. VPC边界防火墙页签,单击高速通道

  3. 高速通道页签,单击同步资产,系统为您同步当前账号及其成员账号的资产信息。

    整个过程预计需要1~2分钟。

  4. 定位到需要创建VPC边界防火墙的高速通道实例,在操作列单击创建

    如果高速通道实例过多,您可以在列表上方使用地域、VPC实例过滤列表。

  5. 创建VPC边界防火墙对话框,完成VPC边界防火墙配置。配置描述如下。

    配置项

    说明

    实例名

    定义VPC边界防火墙的名称。该名称用于识别VPC边界防火墙实例,建议您使用具有业务意义的名称,并保证名称的唯一性。

    对等互通方式

    确认互通方式。对等互通方式指VPC之间或VPC与本地数据中心之间的通信方式,此处固定为高速通道,无需您手动设置。

    VPC

    确认VPC地域和VPC实例,选择要防护的路由表,并填写目标网段

    • 路由表

      创建VPC时,系统会为您自动创建一张默认的路由表,用于为专有网络添加系统路由来管理专有网络的流量。VPC支持按需创建多个路由表。详细内容,请参见路由表概述

      在云防火墙控制台创建VPC边界防火墙时,云防火墙自动读取您的VPC路由表信息。高速通道支持多个路由表,因此您在高速通道下创建VPC边界防火墙时可看到多个路由表,并可以选择需要防护的VPC路由表。

    • 目标网段

      在路由表下拉列表中选中某个路由时,目标网段会自动展示该路由表的默认目标网段。如果您需要防护其他网段,可手动修改目标网段。支持添加多个网段,多个网段间用英文逗号隔开。

    对端VPC

    确认对端VPC地域和VPC实例,选择要防护的路由表,并填写目标网段

    入侵防御

    选择要开启的入侵防御策略,可选项:

    • IPS防御模式

      • 观察模式:开启观察模式后,对恶意流量进行监控并告警。

      • 拦截模式:开启拦截模式后,对恶意流量进行拦截,阻断入侵活动。

    • IPS防御能力

      • 基础规则:开启基础规则后,为您的资产提供基础的防护能力,包括爆破拦截、命令执行漏洞拦截、以及对被感染后连接C&C(命令控制)的行为进行管控。

      • 虚拟补丁:开启虚拟补丁后,实时防御热门的高危应用漏洞。

    开启VPC防火墙开关

    开启开关,则在创建VPC边界防火墙后,自动开启VPC边界防火墙开关。

  6. 单击提交并确认。

    说明

    开启VPC边界防火墙后,如果增加或者删除VPC路由表信息,云防火墙需要15~30分钟的时间完成路由学习。建议您等待云防火墙路由学习完成后观察路由表生效情况,或加入钉群(群号:33081734),联系产品技术专家进行咨询。

    VPC边界防火墙创建完成后,云防火墙会在专有网络VPC中自动为您创建以下资源:

    • VPC资源:名称为Cloud_Firewall_VPC

      重要

      请勿将其他业务资源加入到Cloud_Firewall_VPC,否则会导致删除VPC边界防火墙时,您添加的其他业务资源无法删除。请勿手动修改和删除此VPC内的网络资源。

    • 交换机资源:名称为Cloud_Firewall_VSWITCH

    • 自定义路由表条目:备注信息为Created by cloud firewall. Do not modify or delete it.

    开启VPC边界防火墙后,云服务器ECS(Elastic Compute Service)会自动添加名称为Cloud_Firewall_Security_Group的安全组,并且为该安全组自动配置了放行策略(即授权策略),用于放行VPC边界防火墙到ECS的入方向流量。

    重要

    Cloud_Firewall_Security_Group的安全组和放行策略不可以删除,否则会导致VPC边界防火墙到ECS的入方向流量无法受到VPC边界防火墙的防护。

    如果需要批量操作或频繁开关VPC边界防火墙,为不影响您的业务,建议在业务流量较小的低峰期进行。

开启或关闭VPC边界防火墙

警告

关闭VPC边界防火墙时,在关闭过程中可能会导致流量闪断。

只有开启VPC边界防火墙,云防火墙才能够防护您的网络资源。

  1. 防火墙开关页面,单击VPC边界防火墙

  2. 高速通道页签,定位到目标VPC边界防火墙实例,开启或关闭防火墙开关

    开启或关闭VPC边界防火墙开关后,请耐心等待。当VPC边界防火墙的防火墙状态变更为已开启,则表示成功开启VPC边界防火墙。当VPC边界防火墙的防火墙状态变更为未开启,则表示成功关闭VPC边界防火墙。

编辑或删除VPC边界防火墙

警告

删除VPC边界防火墙时,在删除过程中可能会导致流量闪断。

如果您需要修改VPC边界防火墙的配置,或者业务已不需要该VPC边界防火墙,可以在高速通道页签,定位到目标VPC边界防火墙实例,单击右侧操作列的编辑删除

相关文档

  • 开启VPC边界防火墙后,您可以设置VPC边界防火墙策略,控制VPC之间的访问活动。具体操作,请参见VPC边界防火墙访问策略

  • 开启VPC边界防火墙后,您可以通过VPC互访功能,查看VPC之间的相互访问流量。具体操作,请参见VPC互访

  • 开启VPC边界防火墙后,您可以通过VPC防护功能,查看云防火墙拦截到的VPC之间的异常事件信息。具体操作,请参见查看VPC拦截事件