功能介紹

防護原理

開啟VPC邊界防火墻后，云防火墻會基于DPI流量分析、IPS入侵防御規則、威脅情報、虛擬補丁、訪問控制策略等，對VPC互訪的流量進行過濾，判斷流量是否滿足放行條件，有效攔截非法的訪問流量，保障私網資產之間的流量安全。

基礎版轉發路由器VPC邊界防火墻的防護場景示例如下圖所示：

關于防護范圍，請參見什么是云防火墻。

對業務的影響

創建VPC邊界防火墻時，您無需更改當前的網絡拓撲，可以一鍵創建VPC邊界防火墻并設置引流模式（自動引流或者手動引流），實現對業務資產的保護，對業務無影響。創建時長約5分鐘。建議您在業務低峰期開啟VPC邊界防火墻。

開啟和關閉VPC邊界防火墻，預計約需要5~30分鐘（取決于路由條目數），過程中會出現長連接秒級閃斷，短連接無影響。

使用限制

創建并開啟VPC邊界防火墻

前提條件

• 已開通企業版、旗艦版云防火墻。具體操作，請參見購買云防火墻服務。

  只有云防火墻企業版和旗艦版支持配置基礎版轉發路由器的VPC邊界防火墻。

• 已授權云防火墻訪問云資源。具體操作，請參見授權云防火墻訪問云資源。

• 已購買了云企業網實例，且已使用云企業網完成了VPC之間的網絡互通。具體操作，請參見使用云企業網實現同地域VPC互通（基礎版）、使用云企業網實現跨地域跨賬號VPC互通（基礎版）。

  說明

  在云企業網中存在跨賬號開通的VPC時，如果跨賬號開通的VPC未獲得云防火墻的授權或您的云防火墻版本不是旗艦版，您將無法創建VPC邊界防火墻。建議您使用對應賬號登錄云防火墻完成授權后或者升級到云防火墻旗艦版，再開啟VPC邊界防火墻。具體操作，請參見授權云防火墻訪問云資源、升級和降配。

• 確保您網絡資源所在的地域都是VPC邊界防火墻支持的地域。具體信息，請參見支持的地域。

操作步驟

1. 登錄云防火墻控制臺，在左側導航欄，單擊防火墻開關

2. 在防火墻開關頁面，單擊VPC邊界防火墻。

3. 在VPC邊界防火墻頁簽，單擊云企業網（基礎版）。

4. 定位到目標VPC邊界防火墻的云企業網的網絡實例，單擊操作列下的創建。

   如果在資產列表中沒有需要開啟保護的資產，您可以單擊同步資產，同步當前阿里云賬號及其成員賬號的資產信息。

5. 在創建防火墻面板，根據配置向導，完成VPC邊界防火墻配置。

   基礎版轉發路由器支持診斷是否滿足一鍵開啟VPC邊界防火墻的條件。您可以在檢測完成后，在診斷記錄面板查看診斷結果。如果您已了解VPC邊界防火墻的創建細則，可以直接跳過一鍵開啟診斷功能，直接創建。

   以下表格介紹了云企業網連通模式下，VPC邊界防火墻的配置。

   配置項	說明
   基本信息	名稱：定義VPC邊界防火墻的名稱。該名稱用于識別VPC邊界防火墻實例，建議您根據業務的實際情況輸入具有意義的名稱，并保證名稱的唯一性。
   防火墻VPC的配置	為自動創建的云防火墻VPC和交換機分配網段，用于自動創建防火墻安全VPC（Cloud_Firewall_VPC）進行流量引流處理。從分配的VPC網段中劃分1個子網網段，該子網網段用于云防火墻VPC的交換機。子網網段的掩碼需小于等于29位，且不與網絡規劃的網段沖突。 重要 請基于業務配置，VPC邊界防火墻創建完成后無法更改，如需更改需刪除后重新創建。 防火墻所使用VPC：默認值為10.0.0.0/8，您可以自定義防火墻VPC的網段。支持設置的網段包含：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16及其子網。 交換機網段：默認值為10.219.219.216/29。如果默認值與您的業務網絡規劃沖突，您可以自定義該網段。 交換機可用區：云防火墻支持默認分配交換機可用區，您也可以自行設置。如果您的業務延時敏感，您可以自定義防火墻交換機可用區和業務VPC交換機可用區相同，以便降低延時。
   請分配業務VPC所需要的交換機	需要配置引流保護的業務VPC交換機，用于云防火墻引流所需要的彈性網卡使用。云防火墻會自動分配，如果您的業務延時敏感，可以自定義業務VPC可用區，以降低網絡延時。 重要 基于業務配置，創建完成后無法更改，如需更改需刪除后重新創建。 可用區：選擇業務VPC交換機的可用區。 交換機實例：選擇業務VPC的交換機實例。
   引流配置	開啟或關閉引流開關，查看防護的網段。
   入侵防御	選擇入侵防御模塊（IPS）的工作模式、入侵防御策略。 IPS防御模式 觀察模式：開啟觀察模式后，對惡意流量進行監控并告警。 攔截模式：開啟攔截模式后，對惡意流量進行攔截，阻斷入侵活動。 IPS防御能力 基礎規則：開啟基礎規則后，為您的資產提供基礎的防護能力，包括爆破攔截、命令執行漏洞攔截、以及對被感染后連接C&C（命令控制）的行為進行管控。 虛擬補丁：開啟虛擬補丁后，實時防御熱門的高危應用漏洞。 說明 此設置將應用于同一云企業網下的所有網絡實例。

6. 單擊開始創建，創建VPC邊界防火墻。

7. 在云企業網（基礎版）頁簽，開啟已創建的VPC邊界防火墻開關。

   只有開啟VPC邊界防火墻，云防火墻才能夠防護您的網絡資源。當VPC邊界防火墻的防火墻狀態變更為已開啟，則表示成功開啟VPC邊界防火墻。

   說明

   開啟VPC邊界防火墻后，如果增加或者刪除VPC路由表信息，云防火墻需要15~30分鐘的時間完成路由學習。建議您等待云防火墻路由學習完成后觀察路由表生效情況，或加入釘群（群號：33081734），聯系產品技術專家進行咨詢。

   VPC邊界防火墻創建完成后，云防火墻會在專有網絡VPC中自動為您創建以下資源：

   • VPC資源：名稱為Cloud_Firewall_VPC。

     重要

     請勿將其他業務資源加入到Cloud_Firewall_VPC，否則會導致刪除VPC邊界防火墻時，您添加的其他業務資源無法刪除。請勿手動修改和刪除此VPC內的網絡資源。

   • 交換機資源：名稱為Cloud_Firewall_VSWITCH。

   • 自定義路由表條目：備注信息為Created by cloud firewall. Do not modify or delete it.。

   開啟VPC邊界防火墻后，會自動為Cloud_Firewall_VPC和業務VPC添加名稱為Cloud_Firewall_Security_Group的安全組，并且為該安全組自動配置了放行策略（即授權策略），用于放行到VPC邊界防火墻的流量。

   重要

   Cloud_Firewall_Security_Group的安全組和放行策略不可以刪除，否則會導致業務流量中斷。

   如果需要批量操作或頻繁開關VPC邊界防火墻，為不影響您的業務，建議在業務流量較小的低峰期進行。

更多操作

編輯VPC邊界防火墻

如果您需要修改VPC邊界防火墻的配置，可以在VPC邊界防火墻的云企業網（基礎版）頁簽，定位到目標VPC邊界防火墻的云企業網的網絡實例，單擊右側操作列的編輯進行修改。

關閉VPC邊界防火墻

1. 在防火墻開關頁面，單擊VPC邊界防火墻。

2. 在云企業網（基礎版）頁簽，定位到目標VPC邊界防火墻的云企業網的網絡實例，關閉防火墻開關。

   關閉VPC邊界防火墻開關后，請耐心等待。當VPC邊界防火墻的防火墻狀態變更為未開啟，則表示成功關閉VPC邊界防火墻。

刪除VPC邊界防火墻

如果您業務已不需要該VPC邊界防火墻，可以在VPC邊界防火墻的云企業網（基礎版）頁簽，定位到目標VPC邊界防火墻的云企業網的網絡實例，單擊右側操作列的刪除。

相關文檔

• VPC邊界防火墻概述

• 開啟VPC邊界防火墻是否會影響ECS安全組規則？

• 基礎版轉發路由器場景，開啟VPC邊界防火墻后多了一條拒絕路由策略？