基于企业路由器实现VPC间部分流量防护

应用场景

企业上云后，通常会通过企业路由器ER（Enterprise Router）打通多个VPC或线下IDC，实现云上路由统一管理，以及云上云下网络互通。但在复杂的企业网络下，存在部分场景，非核心VPC之间的流量无需经过安全检查，以降低性能开销和管理成本。

本文介绍如何基于企业路由器实现VPC间部分流量防护。

应用示例

某大型企业需要将A云上的业务通过专线迁移至华为云，由于迁移数据量大，预期造成相较平时数倍的带宽峰值，且在出A云前会在A云上经过一次安全检测，因此，与安全团队商议后，决策该场景安全风险较低，在迁移期间暂不加入云防火墙防护。但华为云上的业务间互访流量必须经过防火墙防护。

此时，该大型企业的业务组网、路由规划及流量路径说明如下：

业务组网

图1 业务组网

流量路径	是否需要防火墙防护
业务A <-> 业务B	需要
业务A <-> A云	不需要
业务B <-> A云	不需要

路由表规划

此时，需要在ER上构建四张路由表。

路由表1：业务A -> 其他业务以及专线对端
- 关联：VPC-业务A
- 路由：
  
  目的地址
  
  下一跳
  
  路由类型
  
  172.16.30.0/24
  
  A云-DGW连接
  
  传播路由
  
  0.0.0.0/0
  
  云防火墙
  
  静态路由
路由表2：业务B -> 其他业务以及专线对端
- 关联：VPC-业务B
- 路由：
  
  目的地址
  
  下一跳
  
  路由类型
  
  172.16.30.0/24
  
  A云-DGW连接
  
  传播路由
  
  0.0.0.0/0
  
  云防火墙
  
  静态路由
路由表3：云防火墙 -> 华为云上业务
- 关联：云防火墙
- 路由：
  
  目的地址
  
  下一跳
  
  路由类型
  
  10.0.10.0/24
  
  VPC-业务A连接
  
  传播路由
  
  10.0.20.0/24
  
  VPC-业务B连接
  
  传播路由
路由表4：A云 -> 华为云上业务
- 关联：A云-DGW连接
- 路由：
  
  目的地址
  
  下一跳
  
  路由类型
  
  10.0.10.0/24
  
  VPC-业务A连接
  
  传播路由
  
  10.0.20.0/24
  
  VPC-业务B连接
  
  传播路由

目的地址	下一跳	路由类型
172.16.30.0/24	A云-DGW连接	传播路由
0.0.0.0/0	云防火墙	静态路由

目的地址	下一跳	路由类型
172.16.30.0/24	A云-DGW连接	传播路由
0.0.0.0/0	云防火墙	静态路由

目的地址	下一跳	路由类型
10.0.10.0/24	VPC-业务A连接	传播路由
10.0.20.0/24	VPC-业务B连接	传播路由

目的地址	下一跳	路由类型
10.0.10.0/24	VPC-业务A连接	传播路由
10.0.20.0/24	VPC-业务B连接	传播路由

流量路径

经过防火墙流量：
- 业务A -> 业务B：业务A > 路由表1 > 云防火墙 > 路由表2 > 业务B
- 业务B -> 业务A：业务B > 路由表3 > 云防火墙 > 路由表2 > 业务A
图2 经过防火墙流量
不经过防火墙流量：
- 业务A -> A云：业务A > 路由表1 > A云
- 业务B -> A云：业务B > 路由表2 >A云
- A云 -> 业务A或业务B：A云 > 路由表4 >业务A或B
图3 不经过防火墙流量

约束与限制

仅“专业版”支持VPC边界防火墙。
当前场景依赖企业路由器（Enterprise Router，ER）服务引流，因此需要当前账号下需存在可用的企业路由器。
- 关于企业路由器的收费，请参见企业路由器计费说明。
- 创建企业路由器请参见创建企业路由器。创建时，建议取消勾选“默认路由表关联”和“默认路由表传播”。
- 企业路由器用于引流，选择时需满足以下限制：
  - 没有与其它防火墙实例关联。
  - 需归属本账号，非共享企业路由器。
  - 需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。
如果您存在私用公网（即使用10.0.0.0/8、172.16.0.0/12、192.168.0.0/16以及运营商级NAT保留网段100.64.0.0/10以外的公网网段作为私网地址段）的情况，请您修改私网网段或提交工单进行私网网段扩容，否则云防火墙可能无法正常转发您VPC间的流量。

操作步骤

如下介绍基于企业路由器实现VPC间部分流量防护的操作步骤：

步骤1：创建防火墙

登录云防火墙控制台。
单击管理控制台左上角的，选择区域。
在左侧导航栏中，选择“资产管理 > VPC边界防火墙管理”，进入“VPC边界防火墙管理”页面。
单击“创建VPC间防火墙”，并在弹出的创建VPC间防火墙页面中，选择企业路由器并配置合适的网段。
- 企业路由器用于引流，选择时需满足以下限制：
  - 没有与其它防火墙实例关联。
  - 需归属本账号，非共享企业路由器。
  - 需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。
- 网段配置后默认创建InspectionVPC将流量转发至云防火墙，并自动分配云墙关联子网，将云防火墙流量转发到企业路由器，选择时需注意以下限制：
  - 创建防火墙后不支持修改网段。
  - 该网段需满足以下条件：
    - 仅支持私网地址段（即在10.0.0.0/8、172.16.0.0/12、192.168.0.0/16范围内），否则可能在SNAT等访问公网的场景下产生路由冲突。
    - 10.6.0.0/16-10.7.0.0/16网段为防火墙保留网段，不可使用。
    - 不可与需要开启防护的私网网段重合，否则会因路由冲突，导致该网段无法防护。
单击“确认”，需等待3-5分钟，完成防火墙创建。

步骤2：配置企业路由器并将流量引至云防火墙

登录云防火墙控制台。
单击管理控制台左上角的，选择区域。
在左侧导航栏中，选择“资产管理 > VPC边界防火墙管理”，进入“VPC边界防火墙管理”页面。
添加VPC连接。
单击“防火墙状态”侧的“编辑防护VPC”，进入企业路由器页面，在企业路由器中添加连接。
- 支持添加的连接类型请参见连接概述。
- 下文以防护两个VPC为例（至少需要添加两条VPC连接，用于连接两个VPC和ER之间）。操作步骤请参见企业路由器中添加VPC连接。
- 防火墙创建后自动生成一条防火墙连接（名称：cfw-er-auto-attach，连接类型：云防火墙（CFW）），防护VPC的连接需手动添加；每增加一个防护的VPC，都需要增加一条连接。
  例如：对VPC1连接命名为vpc-1；对VPC2连接命名为vpc-2。

创建路由表。

创建4张路由表，本文示例分别命名为er-rtb-01、er-rtb-02、er-rtb-03、er-rtb-04。

进入企业路由器列表页面。
单击步骤1：创建防火墙中创建企业路由器时选择的企业路由器名称，进入基本信息页面后，选择“路由表”页签。

在路由表页面中，单击“创建路由表”。

表1 创建路由表参数说明
参数名称	参数说明	取值样例
名称	输入路由表的名称。命名规则如下：长度范围为1~64位。名称由中文、英文字母、数字、下划线（_）、中划线（-）、点（.）组成。	er-rtb-01
AS_Path选路策略	可选参数。不配置：表示路由在形成负载分担时，比较AS_Path属性，优选AS_Path长度较短的。AS_Path属性按矢量顺序记录了BGP路由从本地到目的地址所要经过的所有AS编号，AS_Path记录的AS编号越少，证明长度越短。忽略相同长度AS_Path：设置该参数后，路由在形成负载分担时不比较相同长度的AS_Path属性。AS_Path可防止自治系统AS之间发生BGP环路，开启“忽略相同长度AS_Path”选项，可能导致BGP环路。	不配置
标签	可选参数。您可以在创建路由表的时候为路由表绑定标签，标签用于标识云资源，可通过标签实现对云资源的分类和搜索。关于标签更详细的说明，请参见标签概述。	“标签键”：test “标签值”：01
描述	可选参数。您可以根据需要在文本框中输入对该路由表的描述信息。	-

单击“确定”。
重复5.c-5.d，创建另外3个路由表。

配置路由表1。

在路由表页面，单击5已创建的路由表1名称（本文示例er-rtb-01）。

单击“关联”页签，进入关联页面后，单击“创建关联”，并配置关联参数信息，单击“确定”。

表2 创建VPC1关联参数说明
参数名称	参数说明	取值样例
连接类型	选择连接类型：虚拟私有云（VPC）。	虚拟私有云（VPC）
连接	在连接下拉列表中，选择需防护的VPC连接。	vpc-1