创建VPC边界防火墙

操作场景

创建VPC边界防火墙主要是为了防护VPC与IDC、VPC与VPC之间的东西向流量可视化与安全管控，对流量做访问控制、入侵防御与异常拦截，保障云上内部网络安全。

本章节将介绍如何在云防火墙中创建VPC边界防火墙。

约束与限制

创建防火墙时，为了引流需要选择企业路由器和配置IPv4网段。其中，使用的企业路由器和规划的网段需要满足以下限制条件：

创建VPC边界防火墙

1. 查看当前账号下是否已有可用企业路由器。
   • 是，已有可用企业路由器，继续执行2。
   • 否，无可用企业路由器，请先进行创建，再执行后续步骤。
     • 关于企业路由器的收费，请参见企业路由器计费说明。
     • 创建企业路由器详细操作请参见创建企业路由器。创建时，建议关闭“默认路由表关联”、“默认路由表传播”和“自动接受共享连接”。
       图1 企业路由器配置
       

2. 查看是否已购买专业版云防火墙。
   • 是，已有专业版云防火墙，继续执行3。
   • 否，无专业版云防火墙，请先参见购买及变更云防火墙进行购买，再执行后续步骤。

3. 创建VPC边界防火墙。
   1. 进入云防火墙的VPC边界防火墙管理页面。
   2. 单击管理控制台左上角的，选择区域。
   3. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。
   4. 在VPC边界防火墙管理页面中，单击“创建VPC间防火墙”。
   5. 在弹出的“创建VPC间防火墙”页面中，选择路由方式为“企业路由器”，单击“下一步”。
   6. 在“规划网段并创建防火墙”页面中，选择企业路由器并配置合适的网段。
      图2 创建VPC间防火墙
      

      表3 规划网段

      参数名称	说明
      企业路由器	选择用于引流的企业路由器，需要满足以下限制： 没有与其他防火墙实例关联，且需归属本账号所有。 非共享企业路由器。 需要关闭“默认路由表关联”、“默认路由表传播”和“自动接受共享连接”功能。
      网络规划	配置合适的网段用于流量转发。 网段配置后，云防火墙将默认创建InspectionVPC（流量检测专用VPC，此VPC不会创建在您的账号上，即不占用您的防护VPC个数）。该VPC的核心作用是作为流量中转载体，一方面将VPC间流量转发至云防火墙进行检测与防护，另一方面会自动分配与云防火墙关联的专用子网，专门承载并转发东西向VPC间云防火墙流量（即不同VPC之间互访的流量）。配置InspectionVPC的网段需要特别注意以下几点： 资源归属与网段规划：InspectionVPC不归属用户账户（不在用户账户资源列表中显示），但需由用户自主规划其网段。网段可用空间越大，云防火墙后续扩容（如增加防护节点、扩展流量处理能力）的灵活性越高。 网段冲突规避：规划的InspectionVPC网段，不得与当前已接入防护的业务网段重合，也需避免与后续拟接入防护的业务网段冲突，防止流量路由异常。 仅支持私网地址段（即在10.0.0.0/8、172.16.0.0/12、192.168.0.0/16范围内），否则可能在SNAT等访问公网的场景下产生路由冲突。 10.6.0.0/16-10.7.0.0/16网段为防火墙保留网段，不可使用。 创建后无法修改：东西向引流场景下，InspectionVPC的网段一旦设置完成，暂不支持后续修改。因此，强烈建议在配置前充分评估后续业务扩展需求，提前预留网段冗余。具体可参考表4配置InspectionVPC的网段掩码，确保满足长期使用需求。

      表4 网段掩码

      网段掩码	支持防护的最大流量
      / 24	20 Gbps
      / 23	45 Gbps
      / 22	95 Gbps
      / 21	195 Gbps
      / 20	395 Gbps

   7. 单击“确认”，需等待3-5分钟，完成防火墙创建。

      创建过程中您只能浏览“总览”页，防火墙的“状态”会变为“升级中”。

后续操作

创建VPC边界防火墙并关联企业路由器后，需要配置企业路由器并将流量引至云防火墙，详细操作请参见配置企业路由器并将流量引至云防火墙。