防護(hù)云企業(yè)網(wǎng)TR連接的VPC之間的所有流量
本文中含有需要您注意的重要提示信息，忽略該信息可能對您的業(yè)務(wù)造成影響，請務(wù)必仔細(xì)閱讀。
當(dāng)您使用了轉(zhuǎn)發(fā)路由器TR（Transit Router），可以手動配置轉(zhuǎn)發(fā)路由器與VPC邊界防火墻之間的互訪路由，實(shí)現(xiàn)VPC邊界防火墻對轉(zhuǎn)發(fā)路由器連接的VPC之間的所有流量進(jìn)行防護(hù)。本文介紹了如何連通轉(zhuǎn)發(fā)路由器與VPC邊界防火墻之間的網(wǎng)絡(luò)。
適用對象
云防火墻可以防護(hù)通過云企業(yè)網(wǎng)轉(zhuǎn)發(fā)路由器連接的網(wǎng)絡(luò)實(shí)例之間的流量，網(wǎng)絡(luò)實(shí)例包括VPC、VBR、CCN、VPN。
本文僅針對VPC邊界防火墻手動引流模式的配置，適用于對多個(gè)VPC（相同地域）之間互訪流量的防護(hù)。
場景示意圖
前提條件
已在云企業(yè)網(wǎng)控制臺創(chuàng)建了云企業(yè)網(wǎng)實(shí)例，且創(chuàng)建了兩個(gè)專有網(wǎng)絡(luò)VPC（本文中分別以VPC-01和VPC-02為例）。具體操作，請參見創(chuàng)建云企業(yè)網(wǎng)實(shí)例。
步驟一：為VPC邊界防火墻創(chuàng)建VPC實(shí)例
VPC邊界防火墻需要占用一個(gè)VPC，所以您需要專門創(chuàng)建一個(gè)VPC實(shí)例。
在頂部菜單欄，選擇要創(chuàng)建自定義專有網(wǎng)絡(luò)的地域，單擊創(chuàng)建專有網(wǎng)絡(luò)。
在創(chuàng)建專有網(wǎng)絡(luò)對話框，根據(jù)以下信息配置專有網(wǎng)絡(luò)，然后單擊確認(rèn)。
配置項(xiàng)
如何設(shè)置
地域
選擇需要開啟VPC防火墻的地域。
名稱
VPC實(shí)例名稱，本文示例中為Cfw-TR-manual-VPC。
IPv4網(wǎng)段
VPC的主IPv4網(wǎng)段，需要至少26位的私網(wǎng)地址，并且不與業(yè)務(wù)使用的網(wǎng)段沖突。
交換機(jī)
網(wǎng)絡(luò)連接實(shí)例可綁定的交換機(jī)，需要至少28位的私網(wǎng)地址。
其中，2個(gè)交換機(jī)提供給TR網(wǎng)絡(luò)實(shí)例連接使用，需選擇兩個(gè)支持TR服務(wù)且不同的可用區(qū)進(jìn)行創(chuàng)建，建議選擇業(yè)務(wù)所在的可用區(qū)以降低延遲；另1個(gè)交換機(jī)提供給VPC邊界防火墻使用，可用區(qū)任選。
本文示例中，TR網(wǎng)絡(luò)實(shí)例連接主交換機(jī)命名為TR-Vswitch-01，備交換機(jī)命名為TR-VSwitch-02，VPC防火墻交換機(jī)命名為Cfw-Vswitch。
在專有網(wǎng)絡(luò)頁面，定位到防火墻VPC實(shí)例Cfw-TR-manual-VPC，并單擊實(shí)例ID。
在該專有網(wǎng)絡(luò)頁面資源管理頁簽，單擊路由表的添加選項(xiàng)或在路由表頁面單擊創(chuàng)建路由表。
在創(chuàng)建路由表對話框，根據(jù)以下信息配置路由表，然后單擊確認(rèn)。
配置項(xiàng)
如何設(shè)置
專有網(wǎng)絡(luò)
選擇上述步驟創(chuàng)建的防火墻VPC。本文示例選擇Cfw-TR-manual-VPC。
綁定對象類型
選擇路由表綁定的對象類型為交換機(jī)。
名稱
自定義路由表的名稱。本文示例的自定義路由表名稱配置實(shí)例值為VPC-CFW-RouteTable。
步驟二：在轉(zhuǎn)發(fā)路由器中添加防火墻VPC的網(wǎng)絡(luò)實(shí)例連接
本步驟建立VPC實(shí)例（Cfw-TR-manual-VPC）與轉(zhuǎn)發(fā)路由器企業(yè)版之間的連接。
- 登錄云企業(yè)網(wǎng)管理控制臺。
在云企業(yè)網(wǎng)實(shí)例頁面，定位到需要引流到云防火墻VPC邊界防火墻的云企業(yè)網(wǎng)實(shí)例，并單擊實(shí)例ID。
在該云企業(yè)網(wǎng)實(shí)例頁面基本信息頁簽，單擊操作列的創(chuàng)建網(wǎng)絡(luò)實(shí)例連接或單擊頁面上方VPC基礎(chǔ)信息右側(cè)的
圖標(biāo)。在連接網(wǎng)絡(luò)實(shí)例頁面，設(shè)置Cfw-TR-manual-VPC和轉(zhuǎn)發(fā)路由器之間的連接信息。
以下是創(chuàng)建網(wǎng)絡(luò)連接實(shí)例時(shí)，關(guān)鍵的配置項(xiàng)說明。
配置項(xiàng)
如何設(shè)置
實(shí)例類型
通過云企業(yè)網(wǎng)連接的網(wǎng)絡(luò)實(shí)例的類型。此處選擇專有網(wǎng)絡(luò)（VPC）。
地域
通過云企業(yè)網(wǎng)連接的網(wǎng)絡(luò)實(shí)例的地址。此處需要與創(chuàng)建Cfw-TR-manual-VPC時(shí)指定的地域保持一致。
網(wǎng)絡(luò)實(shí)例
通過云企業(yè)網(wǎng)連接的網(wǎng)絡(luò)實(shí)例。此處選擇Cfw-TR-manual-VPC的實(shí)例ID。
交換機(jī)
網(wǎng)絡(luò)連接實(shí)例可綁定的交換機(jī)。主交換機(jī)選擇TR-Vswitch-01，備交換機(jī)為TR-VSwitch-02。
其他配置項(xiàng)的說明，請參見使用企業(yè)版轉(zhuǎn)發(fā)路由器創(chuàng)建VPC連接。
步驟三：為兩個(gè)VPC創(chuàng)建云企業(yè)網(wǎng)網(wǎng)絡(luò)實(shí)例連接
您需要為VPC-01和VPC-02分別創(chuàng)建網(wǎng)絡(luò)實(shí)例連接，將兩個(gè)VPC加載到該云企業(yè)網(wǎng)中。
相關(guān)內(nèi)容，請參見使用企業(yè)版轉(zhuǎn)發(fā)路由器創(chuàng)建VPC連接。
步驟四：創(chuàng)建VPC邊界防火墻
本步驟為Cfw-TR-manual-VPC創(chuàng)建VPC邊界防火墻。
在云防火墻控制臺頁簽，找到需要開啟防火墻的轉(zhuǎn)發(fā)路由實(shí)例，單擊操作列創(chuàng)建。創(chuàng)建該VPC邊界防火墻時(shí)，引流模式選擇手動引流、專有網(wǎng)絡(luò)選擇Cfw-TR-manual-VPC、交換機(jī)選擇Cfw-Vswitch。相關(guān)內(nèi)容，請參見配置企業(yè)版轉(zhuǎn)發(fā)路由器的VPC邊界防火墻。
完成此步驟后，云防火墻會在Cfw-Vswitch下創(chuàng)建1個(gè)彈性網(wǎng)卡用于引流（可在ECS控制臺的頁面查看，系統(tǒng)默認(rèn)分配名稱為cfw-bonding-eni的網(wǎng)卡）。
步驟五：為防火墻VPC配置VPC路由
本步驟配置VPC路由，將TR轉(zhuǎn)發(fā)到防火墻VPC的流量引流到VPC邊界防火墻上，并將VPC邊界防火墻處理完的流量再轉(zhuǎn)發(fā)到TR。
在路由表頁面，選擇防火墻VPC實(shí)例的系統(tǒng)路由表。
在路由條目列表，選擇自定義路由條目頁簽。
單擊添加路由條目，配置以下路由條目信息，同時(shí)刪除其他自定義路由條目（若有）。
關(guān)鍵配置項(xiàng)說明：
目標(biāo)網(wǎng)段：選擇0.0.0.0/0。
下一跳類型：選擇輔助彈性網(wǎng)卡。
輔助彈性網(wǎng)卡：選擇步驟三創(chuàng)建的Cfw-bonding-eni。
本步驟完成后，TR轉(zhuǎn)發(fā)到防火墻VPC的流量會被引流到VPC邊界防火墻上。
在路由表頁面，打開此前創(chuàng)建的自定義路由表VPC-CFW-RouteTable，在已綁定交換機(jī)頁簽，單擊綁定交換機(jī)。其中交換機(jī)選擇Cfw-Vswitch。然后單擊確定。
在路由條目列表頁簽，選擇自定義路由條目頁簽。單擊添加路由條目，配置以下路由條目信息，同時(shí)刪除其他自定義路由條目（若有）。
關(guān)鍵配置項(xiàng)說明：
目標(biāo)網(wǎng)段：選擇0.0.0.0/0。
下一跳類型：選擇轉(zhuǎn)發(fā)路由器。
轉(zhuǎn)發(fā)路由器：選擇VPC防火墻的網(wǎng)絡(luò)實(shí)例連接。
本操作完成后，VPC邊界防火墻處理完的流量會被再轉(zhuǎn)發(fā)到TR。
步驟六：配置轉(zhuǎn)發(fā)路由器的路由
本步驟為VPC-01、VPC-02和防火墻VPC配置轉(zhuǎn)發(fā)路由器的路由，實(shí)現(xiàn)VPC-01和VPC-02互訪流量過VPC邊界防火墻。
- 登錄云企業(yè)網(wǎng)管理控制臺。
在云企業(yè)網(wǎng)控制臺，定位到需要開啟VPC邊界防火墻的轉(zhuǎn)發(fā)路由器，單擊實(shí)例ID，然后切換到轉(zhuǎn)發(fā)路由器路由表頁簽。
在轉(zhuǎn)發(fā)路由器路由表頁簽，單擊左側(cè)路由器列表中第一行的系統(tǒng)路由表。
在系統(tǒng)路由表的路由表詳情頁簽中，單擊路由學(xué)習(xí)頁簽。
在路由學(xué)習(xí)頁簽，創(chuàng)建兩條路由學(xué)習(xí)，關(guān)聯(lián)連接分別選擇VPC-01和VPC-02。
本操作會為系統(tǒng)路由表創(chuàng)建路由學(xué)習(xí)，自動同步VPC-01和VPC-02的路由。
路由學(xué)習(xí)創(chuàng)建完成后，您可以在路由條目頁簽查看自動學(xué)習(xí)的路由信息。
切換到系統(tǒng)路由表的路由表詳情頁面，單擊關(guān)聯(lián)轉(zhuǎn)發(fā)頁簽。
在關(guān)聯(lián)轉(zhuǎn)發(fā)頁簽，單擊創(chuàng)建關(guān)聯(lián)轉(zhuǎn)發(fā)。
在添加關(guān)聯(lián)轉(zhuǎn)發(fā)對話框，選擇Cfw-TR-manual-VPC。
本操作完成后，防火墻VPC可以通過轉(zhuǎn)發(fā)路由器自動轉(zhuǎn)發(fā)目的為VPC-01和VPC-02的流量。
單擊轉(zhuǎn)發(fā)路由器路由表頁面左側(cè)的創(chuàng)建路由表按鈕。在創(chuàng)建路由表對話框，配置路由表的信息。
轉(zhuǎn)發(fā)路由器選擇需要開啟VPC邊界防火墻的轉(zhuǎn)發(fā)路由器，并配置對應(yīng)的路由表名稱。本文示例中路由表名稱設(shè)置為Cfw-TR-RouteTable。
新增的路由表Cfw-TR-RouteTable用于轉(zhuǎn)發(fā)VPC-01和VPC-02到VPC邊界防火墻Cfw-TR-manual-VPC之間的流量。
定位到Cfw-TR-RouteTable路由表，單擊創(chuàng)建路由條目。在添加路由條目對話框，配置路由條目的信息。
配置項(xiàng)說明：
目的地址：選擇默認(rèn)地址段
0.0.0.0/0。是否為黑洞路由：選擇默認(rèn)選項(xiàng)
否。下一跳連接：選擇防火墻VPC實(shí)例Cfw-TR-manual-VPC對應(yīng)的轉(zhuǎn)發(fā)路由器連接實(shí)例ID。
在轉(zhuǎn)發(fā)路由器路由表頁簽，單擊左側(cè)路由表列表中的系統(tǒng)路由表，然后在路由表詳情頁簽，單擊關(guān)聯(lián)轉(zhuǎn)發(fā)。
警告下列操作12-14由于發(fā)生路由切換，會造成TCP長連接閃斷，建議在業(yè)務(wù)低峰期或者變更窗口期進(jìn)行操作。
在關(guān)聯(lián)轉(zhuǎn)發(fā)頁簽，刪除下一跳為VPC-01和VPC-02的關(guān)聯(lián)轉(zhuǎn)發(fā)。然后在轉(zhuǎn)發(fā)路由器路由表頁簽，單擊左側(cè)路由表列表中Cfw-TR-RouteTable路由表。
在路由表詳情頁面，單擊關(guān)聯(lián)轉(zhuǎn)發(fā)，然后單擊創(chuàng)建關(guān)聯(lián)轉(zhuǎn)發(fā)。
在添加關(guān)聯(lián)轉(zhuǎn)發(fā)頁面，關(guān)聯(lián)轉(zhuǎn)發(fā)選擇VPC-01和VPC-02，單擊確定保存該關(guān)聯(lián)轉(zhuǎn)發(fā)設(shè)置。
本操作完成后，VPC-01和VPC-02的流量關(guān)聯(lián)轉(zhuǎn)發(fā)到Cfw-TR-RouteTable，VPC-01和VPC-02的互訪流量會被轉(zhuǎn)發(fā)到防火墻VPC。
步驟七：驗(yàn)證轉(zhuǎn)發(fā)配置是否成功
您可以在流量日志功能查看是否有來自該云企業(yè)網(wǎng)的流量日志。如果有相關(guān)流量日志，代表轉(zhuǎn)發(fā)配置成功。具體步驟，請參見日志審計(jì)。