適用對象

云防火墻可以防護通過云企業(yè)網轉發(fā)路由器連接的網絡實例之間的流量，網絡實例包括VPC、VBR、CCN、VPN。

本文僅針對VPC邊界防火墻手動引流模式的配置，適用于對多個VPC（相同地域）之間互訪流量的防護。

場景示意圖

步驟二：在轉發(fā)路由器中添加防火墻VPC的網絡實例連接

本步驟建立VPC實例（FW VPC）與轉發(fā)路由器企業(yè)版之間的連接。

1. 登錄云企業(yè)網管理控制臺。

2. 在云企業(yè)網實例頁面，定位到需要引流到云防火墻VPC邊界防火墻的云企業(yè)網實例，并單擊實例ID。

3. 在該云企業(yè)網實例頁面基本信息頁簽，單擊操作列的創(chuàng)建網絡實例連接或單擊頁面上方VPC基礎信息右側的圖標。

4. 在連接網絡實例頁面，設置FW VPC和轉發(fā)路由器之間的連接信息。

   以下是創(chuàng)建網絡連接實例時，關鍵的配置項說明。

   配置項	如何設置
   實例類型	通過云企業(yè)網連接的網絡實例的類型。此處選擇專有網絡（VPC）。
   地域	通過云企業(yè)網連接的網絡實例的地址。此處需要與創(chuàng)建FW VPC時指定的地域保持一致。
   網絡實例	通過云企業(yè)網連接的網絡實例。此處選擇FW VPC的實例ID。
   交換機	網絡連接實例可綁定的交換機。主交換機選擇TR-Vswitch-01，備交換機為TR-VSwitch-02。

   其他配置項的說明，請參見使用企業(yè)版轉發(fā)路由器創(chuàng)建VPC連接。

步驟三：為VPC、VBR創(chuàng)建云企業(yè)網網絡實例連接

您需要為VPC1、VPC2、DMZ VPC及IDC-1、IDC-2分別創(chuàng)建網絡實例連接，并將創(chuàng)建的VPC和VBR加載到該云企業(yè)網中。

具體操作，請參見使用企業(yè)版轉發(fā)路由器創(chuàng)建VPC連接。

步驟四：創(chuàng)建VPC邊界防火墻

本步驟為FW VPC創(chuàng)建VPC邊界防火墻。

在云防火墻控制臺防火墻開關 > VPC邊界防火墻 > 云企業(yè)網（企業(yè)版）頁簽，找到需要開啟防火墻的轉發(fā)路由實例，單擊操作列創(chuàng)建。創(chuàng)建該VPC邊界防火墻時，引流模式選擇手動引流、專有網絡選擇FW VPC、交換機選擇Cfw-Vswitch。相關內容，請參見配置企業(yè)版轉發(fā)路由器的VPC邊界防火墻。

步驟五：為防火墻VPC配置VPC路由

本步驟配置VPC路由，將TR轉發(fā)到防火墻VPC的流量引流到VPC邊界防火墻上，并將VPC邊界防火墻處理完的流量再轉發(fā)到TR。

1. 登錄專有網絡管理控制臺。

2. 在路由表頁面，選擇防火墻VPC實例的系統(tǒng)路由表。

3. 在路由條目列表，選擇自定義路由條目頁簽。

4. 單擊添加路由條目，配置以下路由條目信息，同時刪除其他自定義路由條目（若有）。

   關鍵配置項說明：

   • 目標網段：選擇0.0.0.0/0。

   • 下一跳類型：選擇輔助彈性網卡。

   • 輔助彈性網卡：選擇步驟三創(chuàng)建的Cfw-bonding-eni。

   本步驟完成后，TR轉發(fā)到防火墻VPC的流量會被引流到VPC邊界防火墻上。

5. 在路由表頁面，打開此前創(chuàng)建的自定義路由表VPC-CFW-RouteTable，在已綁定交換機頁簽，單擊綁定交換機。其中交換機選擇Cfw-Vswitch。然后單擊確定。

6. 在路由條目列表頁簽，選擇自定義路由條目頁簽。單擊添加路由條目，配置以下路由條目信息，同時刪除其他自定義路由條目（若有）。

   關鍵配置項說明：

   • 目標網段：選擇0.0.0.0/0。

   • 下一跳類型：選擇轉發(fā)路由器。

   • 轉發(fā)路由器：選擇VPC防火墻的網絡實例連接。

   本操作完成后，VPC邊界防火墻處理完的流量會被再轉發(fā)到TR。

步驟六：配置轉發(fā)路由器的路由

本步驟為VPC-01、VPC-02和防火墻VPC配置轉發(fā)路由器的路由，實現VPC-01和VPC-02互訪流量過VPC邊界防火墻。

1. 登錄云企業(yè)網管理控制臺。

2. 在云企業(yè)網控制臺，定位到需要開啟VPC邊界防火墻的轉發(fā)路由器，單擊實例ID，然后切換到轉發(fā)路由器路由表頁簽。

3. 創(chuàng)建路由表Cfw-Untrust-RouteTable和Cfw-Trust-RouteTable。

   1. 在轉發(fā)路由器路由表頁簽，單擊創(chuàng)建路由表。

   2. 在創(chuàng)建路由表對話框，配置路由表Cfw-Untrust-RouteTable和Cfw-Trust-RouteTable。

      轉發(fā)路由器：選擇需要開啟VPC邊界防火墻的轉發(fā)路由器。

      說明

      • 路由表Cfw-Untrust-RouteTable：用于轉發(fā)VPC1、IDC-1、IDC-2的流量到FW VPC。

      • 路由表Cfw-Trust-RouteTable：用于轉發(fā)FW VPC流量到VPC1、VPC2、DMZ VPC、IDC-1、IDC-2。

4. 配置路由表Cfw-Trust-RouteTable。

   為路由表Cfw-Trust-RouteTable自動同步VPC1、VPC2、DMZ VPC、IDC-1、IDC-2的路由，并將FW VPC的流量關聯轉發(fā)到Cfw-Trust-RouteTable。

   1. 單擊已創(chuàng)建的Cfw-Trust-RouteTable路由表，在右側區(qū)域，單擊路由學習。

   2. 在路由學習頁簽，單擊創(chuàng)建路由學習。

   3. 在添加路由學習對話框，關聯連接分別選擇VPC1、VPC2、DMZ VPC、IDC-1、IDC-2。然后單擊確定。

      路由學習創(chuàng)建完成后，您可以在路由條目頁簽中看到自動學習的路由信息。

   4. 在轉發(fā)路由器路由表頁簽，單擊左側路由表列表中的系統(tǒng)路由表，然后在路由表詳情頁簽，單擊關聯轉發(fā)。

   5. 在關聯轉發(fā)頁簽，單擊已創(chuàng)建的Cfw-Trust-RouteTable路由表，在關聯轉發(fā)頁簽，單擊創(chuàng)建關聯轉發(fā)。

   6. 在添加關聯轉發(fā)頁面，在關聯轉發(fā)下拉框，選擇FW VPC。然后單擊確定。

5. 配置路由表Cfw-Untrust-RouteTable。

   將云企業(yè)網自定義路由表Cfw-Untrust-RouteTable的流量會默認指向VPC實例。

   1. 單擊已創(chuàng)建的Cfw-Untrust-RouteTable路由表，在右側區(qū)域，單擊路由條目。

   2. 在路由條目頁簽，單擊創(chuàng)建路由條目。

   3. 在添加路由條目對話框，配置路由條目的信息。

      配置項說明：

      • 目的地址CIDR：選擇默認地址段10.0.0.0/8。

      • 是否為黑洞路由：選擇默認選項否。

      • 下一跳連接：選擇防火墻VPC實例（FW VPC）。

   4. 重復上述步驟，新增如下網段路由。

      • 新增172.16.0.0/12網段路由，下一跳到防火墻VPC實例（FW VPC）。

      • 新增192.168.0.0/16的網段路由，下一跳到防火墻VPC實例（FW VPC）。

      • 新增61.20.0.0/16的網段路由，下一跳到防火墻VPC實例（FW VPC）。

      • 新增0.0.0.0/0的網段路由，下一跳到DMZ VPC。

6. 配置系統(tǒng)路由表實現訪問VPC1、IDC-1和IDC-2的流量經過云防火墻。

   警告

   本操作期間會產生流量中斷，請在業(yè)務低峰期或者變更窗口期進行操作。

   1. 在轉發(fā)路由器路由表頁簽，單擊左側路由表列表中的系統(tǒng)路由表，然后在右側區(qū)域，單擊路由學習。

   2. 在路由學習頁簽，刪除VPC1、IDC-1、FW VPC、IDC-2的路由學習。

      該操作后，您的系統(tǒng)路由表只保留VPC2和DMZ VPC的路由學習。配置完成后，您可以在路由條目頁簽中看到自動學習的路由信息。

   3. 在路由條目頁簽，單擊創(chuàng)建路由條目。

   4. 在添加路由條目對話框，新增如下網段路由。

      • 新增10.0.0.0/24（VPC1）網段路由，下一跳到防火墻VPC實例（FW VPC）。

      • 新增172.16.0.0/12（IDC-1）的網段路由，下一跳到防火墻VPC實例（FW VPC）。

      • 新增61.20.0.0/16（IDC-2）的網段路由，下一跳到防火墻VPC實例（FW VPC）。

7. 切換關聯轉發(fā)實現VPC1、IDC-1和IDC-2訪問其他VPC的流量經過云防火墻。

   將VPC1、IDC-1、IDC-2的流量關聯轉發(fā)到Cfw-Untrust-RouteTable。

   警告

   本操作期間會產生流量中斷，請在業(yè)務低峰期或者變更窗口期進行操作。

   1. 在系統(tǒng)路由表的關聯轉發(fā)頁簽，刪除下一跳為VPC1、IDC-1、IDC-2的關聯轉發(fā)。

   2. 在Cfw-Untrust-RouteTable路由表的關聯轉發(fā)頁簽，單擊創(chuàng)建關聯轉發(fā)。

   3. 在添加關聯轉發(fā)對話框，在關聯轉發(fā)下拉框，選擇VPC1、IDC-1、IDC-2。然后單擊確定。

   4. 在關聯轉發(fā)頁簽，單擊創(chuàng)建關聯轉發(fā)。

   5. 在添加關聯轉發(fā)對話框，在關聯轉發(fā)下拉框，選擇VPC1、IDC-1、IDC-2。然后單擊確定。

本步驟完成后，云企業(yè)網路由配置完成，流量牽引到VPC邊界防火墻的VPC實例上。

步驟七：驗證轉發(fā)配置是否成功

具體步驟，請參見日志審計。