配置高速通道VPC边界防火墙
如果您的组网中VPC实例通过VPC对等连接或者高速通道的方式连接，可以通过VPC边界防火墙防护组网中VPC实例之间的流量，提高业务资产的安全性。本文介绍如何配置高速通道VPC边界防火墙。
功能介绍
防护组网图
关于防护范围，请参见什么是云防火墙。
使用限制
限制项 | 处理建议 |
开启VPC边界防火墙时，需要新增一个命名为Cloud_Firewall_VPC的VPC实例，请确保您账号下有足够的可创建的VPC数。关于VPC的数量限制，请参见限制与配额。 例如，同一地域内支持创建的VPC的数量默认为10个，由于开启VPC边界防火墙后会自动创建一个VPC，此时您最多可以再创建9个VPC。 | 如果配额已满，您需要修改VPC配额的上限。 具体操作，请参见管理VPC配额。 |
在高速通道中不支持防护子网掩码为32位的路由。如果路由的子网掩码为32位，开启VPC边界防火墙后，会导致对此网段的网络访问中断。 | 建议您先将网段掩码长度修改为小于等于30后，再开启VPC边界防火墙，或者加入钉群（群号：33081734），联系产品技术专家进行咨询。 |
前提条件
已开通企业版、旗舰版云防火墙。具体操作，请参见购买云防火墙服务。
只有云防火墙企业版和旗舰版支持配置高速通道VPC边界防火墙。
已授权云防火墙访问云资源。具体操作，请参见授权云防火墙访问云资源。
已购买高速通道实例，并且已使用高速通道或者VPC对等连接完成了VPC之间的网络互联。具体操作，请参见创建和管理VPC对等连接。
确保您网络资源所在的地域都是VPC边界防火墙支持的地域。具体信息，请参见支持的地域。
查看统计信息
云防火墙为您展示当前账号下VPC边界防火墙的统计信息。
登录云防火墙控制台。在左侧导航栏，单击防火墙开关。
在VPC边界防火墙页签，您可以查看当前账号下VPC防火墙未创建数、已创建数和可用授权数；网元总数、未保护数和已保护数。
当版本默认的可用授权数（可防护VPC边界防火墙实例数）占用满时，您可以单击升级授权数，根据实际需求进行授权数扩展。关于各版本支持的可防护VPC边界防火墙实例数，请参见包年包月。
单击VPC防火墙区域的
图标，查看云企业网（企业版）、云企业网（基础版）和高速通道VPC防火墙实例未创建数、已创建数。单击网元保护数区域的
图标，查看网元VPC、VBR、TR、VPN的总数以及未保护和已保护数。
其中，数据统计逻辑如下：
云企业网（企业版）
网元未保护数：表示未接入VPC边界防火墙保护的网元数，包含VPC、VBR、TR、VPN（不含手动模式下的网元数）。
网元已保护数：表示已接入VPC边界防火墙保护的网元数，包含VPC、VBR、TR、VPN（不含手动模式下的网元数）。
可用授权数：已开启VPC边界防火墙实例数，以单个CEN-TR计算。
云企业网（基础版）
网元未保护数：未接入VPC边界防火墙保护的VPC数。
网元已保护数：已接入VPC边界防火墙保护的VPC数。
可用授权数：已开启VPC边界防火墙实例数，以单个VPC计算。
高速通道
网元未保护数：未接入VPC边界防火墙保护的VPC数。
网元已保护数：已接入VPC边界防火墙的VPC数。
可用授权数：已开启VPC边界防火墙实例数，以每对VPC（即VPC实例和对端VPC实例）计算。
创建VPC边界防火墙
创建VPC边界防火墙后，变更所创建的云防火墙VPC中的交换机及路由表，可能会导致流量中断。
登录云防火墙控制台，在左侧导航栏，单击防火墙开关。
在VPC边界防火墙页签，单击高速通道。
在高速通道页签，单击同步资产，系统为您同步当前账号及其成员账号的资产信息。
整个过程预计需要1~2分钟。
定位到需要创建VPC边界防火墙的高速通道实例，在操作列单击创建。
如果高速通道实例过多，您可以在列表上方使用地域、VPC实例、云防火墙配置状态过滤列表。例如，您可以将状态设置为未配置并单击搜索，查询所有未配置VPC边界防火墙的高速通道实例。
在创建VPC边界防火墙对话框，完成VPC边界防火墙配置。配置描述如下。
配置项
说明
实例名
定义VPC边界防火墙的名称。该名称用于识别VPC边界防火墙实例，建议您使用具有业务意义的名称，并保证名称的唯一性。
对等互通方式
确认互通方式。对等互通方式指VPC之间或VPC与本地数据中心之间的通信方式，此处固定为高速通道，无需您手动设置。
VPC
确认VPC地域和VPC实例，选择要防护的路由表，并填写目标网段。
路由表
创建VPC时，系统会为您自动创建一张默认的路由表，用于为专有网络添加系统路由来管理专有网络的流量。VPC支持按需创建多个路由表。详细内容，请参见路由表概述。
在云防火墙控制台创建VPC边界防火墙时，云防火墙自动读取您的VPC路由表信息。高速通道支持多个路由表，因此您在高速通道下创建VPC边界防火墙时可看到多个路由表，并可以选择需要防护的VPC路由表。
目标网段
在路由表下拉列表中选中某个路由时，目标网段会自动展示该路由表的默认目标网段。如果您需要防护其他网段，可手动修改目标网段。支持添加多个网段，多个网段间用英文逗号隔开。
对端VPC
确认对端VPC地域和VPC实例，选择要防护的路由表，并填写目标网段。
入侵防御
选择要开启的入侵防御策略，可选项：
IPS防御模式
观察模式：开启观察模式后，对恶意流量进行监控并告警。
拦截模式：开启拦截模式后，对恶意流量进行拦截，阻断入侵活动。
IPS防御能力
基础规则：开启基础规则后，为您的资产提供基础的防护能力，包括爆破拦截、命令执行漏洞拦截、以及对被感染后连接C&C（命令控制）的行为进行管控。
虚拟补丁：开启虚拟补丁后，实时防御热门的高危应用漏洞。
开启VPC边界防火墙
开启开关，则在创建VPC边界防火墙后，自动开启VPC边界防火墙开关。
单击提交并确认。
说明开启VPC边界防火墙后，如果增加或者删除VPC路由表信息，云防火墙需要15~30分钟的时间完成路由学习。建议您等待云防火墙路由学习完成后观察路由表生效情况，或加入钉群（群号：33081734），联系产品技术专家进行咨询。
VPC边界防火墙创建完成后，云防火墙会在专有网络VPC中自动为您创建以下资源：
VPC资源：名称为
Cloud_Firewall_VPC。重要请勿将其他业务资源加入到Cloud_Firewall_VPC，否则会导致删除VPC边界防火墙时，您添加的其他业务资源无法删除。请勿手动修改和删除此VPC内的网络资源。
交换机资源：名称为
Cloud_Firewall_VSWITCH。自定义路由表条目：备注信息为
Created by cloud firewall. Do not modify or delete it.。
开启VPC边界防火墙后，云服务器ECS（Elastic Compute Service）会自动添加名称为Cloud_Firewall_Security_Group的安全组，并且为该安全组自动配置了放行策略（即授权策略），用于放行VPC边界防火墙到ECS的入方向流量。
重要Cloud_Firewall_Security_Group的安全组和放行策略不可以删除，否则会导致VPC边界防火墙到ECS的入方向流量无法受到VPC边界防火墙的防护。
如果需要批量操作或频繁开关VPC边界防火墙，为不影响您的业务，建议在业务流量较小的低峰期进行。
开启或关闭VPC边界防火墙
关闭VPC边界防火墙时，在关闭过程中可能会导致流量闪断。
只有开启VPC边界防火墙，云防火墙才能够防护您的网络资源。
在防火墙开关页面，单击VPC边界防火墙。
在高速通道页签，定位到目标VPC边界防火墙实例，开启或关闭防火墙开关。
开启或关闭VPC边界防火墙开关后，请耐心等待。当VPC边界防火墙的防火墙状态变更为已开启，则表示成功开启VPC边界防火墙。当VPC边界防火墙的防火墙状态变更为未开启，则表示成功关闭VPC边界防火墙。
编辑或删除VPC边界防火墙
删除VPC边界防火墙时，在删除过程中可能会导致流量闪断。
如果您需要修改VPC边界防火墙的配置，或者业务已不需要该VPC边界防火墙，可以在高速通道页签，定位到目标VPC边界防火墙实例，单击右侧操作列的编辑或删除。
相关文档
开启VPC边界防火墙后，您可以设置VPC边界防火墙策略，控制VPC之间的访问活动。具体操作，请参见VPC边界防火墙访问策略。
开启VPC边界防火墙后，您可以通过VPC互访功能，查看VPC之间的相互访问流量。具体操作，请参见VPC互访。
开启VPC边界防火墙后，您可以通过VPC防护功能，查看云防火墙拦截到的VPC之间的异常事件信息。具体操作，请参见查看VPC拦截事件。
