通过GWLB构建互联网边界防火墙

传统的公网服务部署方案中，VPC内的资源通过绑定公网IP与公网直接进行通信，但该方案存在以下安全隐患：

• 公网暴露面广：绑定的每个公网IP都是一个直接面向互联网的暴露点，当这些暴露点数量增多且分布在不同资源上时，企业的网络安全边界变得零散，难以进行统一的流量监控和策略管控。

• 策略管理复杂：需要为每个绑定公网IP的资源单独配置和维护安全策略（如安全组），不仅增加了运维复杂度及时间成本，也容易因配置疏漏产生安全风险。

• 缺乏深度安全检测：安全组及网络ACL主要基于四层（IP及端口）进行访问控制，无法对流量进行深度报文检测（DPI）、入侵防御等七层安全防护。

通过将IPv4网关与GWLB的联动部署，可构建集中、透明且可扩展的互联网边界防火墙。IPv4网关可将所有进出VPC的公网流量进行统一管控，再通过网关型负载均衡终端节点GWLBe将流量路由至GWLB后端防火墙等网络虚拟设备进行深度检测。经检测后，流量再次被路由回相应的GWLBe，最终转发至应用端。

关键特性

• IPv4网关

  • 集中控制公网访问流量：使用IPv4网关结合路由表等组件，可实现控制公网访问流量统一经过IPv4网关，有利于实施统一的安全策略和审计，有效降低分散接入带来的安全风险。

• GWLB

  • 透明的流量检测： 以三层网络网关的模式工作，流量在经过网络虚拟设备检测时，其源和目的IP地址保持不变，无需对客户端或后端服务进行任何修改。

  • 可扩展的网络虚拟设备： 可以根据业务流量的变化，随时在GWLB后端增减网络虚拟设备。

  • 跨可用区高可用部署： GWLB及其后端网络虚拟设备可部署在多个可用区，当单个可用区的网络虚拟设备或GWLBe发生故障时，流量会自动分发至其他可用区的正常节点，保障安全防护服务的高可用性。

使用场景

• 集中安全合规审计：为金融、政府等高安全合规要求行业的公网流量日志和安全策略提供统一安全设备集群，实现统一审计、监控及事件追溯。

• 公网业务深度安全防护：为对外提供服务的网站、API或应用提供深度内容检测，有效抵御Web攻击、恶意扫描、病毒入侵等高级威胁。

• VPC内资源安全访问公网：为VPC内主动访问互联网的资源（如更新补丁、调用外部API）提供安全的出向访问通道，防止其访问恶意站点及数据外泄。

使用限制

• GWLB后端启动至少一个网络虚拟设备。

• GWLB的后端服务器的访问策略（例如安全组）必须放通UDP协议类型和6081端口（Geneve协议端口）。

• 创建终端节点服务时，选择地域与可用区需要同时支持私网连接和GWLB实例的地域与可用区。关于私网连接和GWLB实例支持的地域，请参见支持私网连接的地域和可用区和GWLB支持的地域与可用区。

• GWLBe部署的可用区必须是终端节点服务资源（GWLB）部署的可用区的子集，才可以建立连接。

步骤一：配置网关型负载均衡

步骤二：配置网络虚拟设备

由于GWLB在OSI参考模型第三层以透明模式运行，所以在该负载均衡后端部署网络虚拟设备时，需要做一些适配工作，以确保网络虚拟设备具备接收、处理和回送Geneve封装业务流量的能力。

阿里云GWLB支持将各类第三方网络虚拟设备（如Fortinet、山石网科等品牌）集成至后端服务器组中。本文以iptables模拟后端网络虚拟设备为例，实际配置请根据设备厂商相关指导进行操作。

# Step1：保存配置脚本到指定文件
cat > setup_gwlb_multi_iptables.sh <<'EOF'
#!/bin/bash
# setup_gwlb_multi_iptables.sh
# 适用于多可用区GWLB实例场景，自动完成IP转发、iptables及hairpin NAT规则配置

# ---- 1. 配置参数（请根据实际情况修改） ----
instance_ip="10.0.1.40" # 当前ECS实例的私网IP，例如可用区B的ECS_01 
gwlb_ip1="10.0.1.41"   # 可用区B GWLB私网IP
gwlb_ip2="10.0.2.171"  # 可用区C GWLB私网IP

# ---- 2. 开启IPv4转发 ----
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.d/00-defaults.conf
sysctl -p /etc/sysctl.d/00-defaults.conf

# ---- 3. 安装iptables服务 ----
yum install iptables-services -y

# ---- 4. 启用并启动iptables服务----
systemctl enable iptables
systemctl start iptables

# ---- 5. 设置iptables基本策略为允许全部流量（仅测试/POC环境使用，生产环境请根据业务需要进行相应限制） ----
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# ---- 6. 清空所有iptables表和规则 ----
iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

# ---- 7. 配置多可用区GWLB的Hairpin NAT规则 ----
iptables -t nat -A PREROUTING -p udp -s $gwlb_ip1 -d $instance_ip -i eth0 -j DNAT --to-destination $gwlb_ip1:6081
iptables -t nat -A POSTROUTING -p udp --dport 6081 -s $gwlb_ip1 -d $gwlb_ip1 -o eth0 -j MASQUERADE

iptables -t nat -A PREROUTING -p udp -s $gwlb_ip2 -d $instance_ip -i eth0 -j DNAT --to-destination $gwlb_ip2:6081
iptables -t nat -A POSTROUTING -p udp --dport 6081 -s $gwlb_ip2 -d $gwlb_ip2 -o eth0 -j MASQUERADE

# ---- 8. 保存iptables规则 ----
service iptables save

echo "【完成】ECS $instance_ip 已应用多可用区GWLB的NAT与转发规则！"
EOF

# Step2：赋予脚本可执行权限
chmod +x setup_gwlb_multi_iptables.sh

# Step3：立即运行
sudo ./setup_gwlb_multi_iptables.sh

步骤三：配置私网连接

步骤四：配置路由

配置路由将流量路由至GWLBe。

1. 在路由表页面的顶部菜单栏，选择路由表所属的地域。

   本文场景中，选择华北6（乌兰察布）。

2. 请根据以下信息，依次单击目标路由表的ID，在路由表详情页进行路由配置。

   说明

   在路由表详情页面的路由条目列表 > 系统路由条目页签下，可查看系统路由条目。

   系统会在自定义路由表中自动添加以下系统路由：以路由表所属VPC内的交换机网段为目标网段的路由条目，用于交换机内的云产品通信。

   • IPv4网关路由表：IPv4网关的路由表必须具有将发往应用服务器的流量路由到GWLBe的条目。

     在路由表详情页面的路由条目列表 > 系统路由条目页签下，找到目标系统路由条目，然后在操作列单击编辑，在编辑路由表条目对话框，进行如下配置，然后单击确定。

     配置完成后，该路由条目会出现在自定义路由条目页签下。

     配置	目标网段为192.168.1.0/24的系统路由条目	目标网段为192.168.2.0/24的系统路由条目
     下一跳类型	选择网关型负载均衡终端节点。
     网关型负载均衡终端节点	选择已创建的可用区B的GWLBe_01。	选择已创建的可用区C的GWLBe_02。

   • 业务子网路由表：业务子网的路由表必须具有将来自应用服务器的所有流量路由到GWLBe的条目。

     分别在可用区B及可用区C的业务子网路由表详情页面选择路由条目列表 > 自定义路由条目页签，单击添加路由条目，在添加路由条目对话框，进行如下配置，然后单击确定。

     配置	业务子网B路由表	业务子网C路由表
     目标网段	0.0.0.0/0
     下一跳类型	选择网关型负载均衡终端节点。
     网关型负载均衡终端节点	选择已创建的可用区B的GWLBe_01。	选择已创建的可用区C的GWLBe_02。

   • GWLBe子网路由表：GWLBe子网的路由表必须将从检查返回的流量路由到最终目的地。对于来自互联网的流量，本地路由将确保其会到达应用服务器。对于来自应用服务器的流量，则添加将所有流量路由到IPv4网关的条目。

     分别在可用区B及可用区C的GWLBe子网路由表详情页面选择路由条目列表 > 自定义路由条目页签，单击添加路由条目，在添加路由条目对话框，进行如下配置，然后单击确定。

     配置	GWLBe子网路由表
     目标网段	0.0.0.0/0
     下一跳类型	选择IPv4网关。
     网关型负载均衡终端节点	选择已创建的IPv4网关。

步骤五：验证测试

登录安全设备服务器，捕获所有经过端口为6081的数据包，执行如下命令：

tcpdump -i any port 6081

返回报文显示有来自应用服务器ECS的请求和响应数据，实现了通过GWLB将流量路由至网络虚拟设备进行安全检测的过程。