Cloud Firewall:Configure a VPC Firewall for a VPC Peering Connection

Topología de protección

Para obtener más información sobre el alcance de la protección, consulte What is Cloud Firewall?

Impacto en los servicios

Puede crear un VPC Firewall para proteger sus activos sin modificar la topología de red. El proceso de creación tarda aproximadamente 5 minutos y no afecta a sus servicios. Se recomienda habilitar el VPC Firewall fuera del horario de mayor actividad.

Habilitar o deshabilitar un VPC Firewall toma entre 5 y 30 minutos, según la cantidad de entradas de ruta. Durante este proceso, las conexiones de larga duración pueden experimentar breves interrupciones de unos segundos. Las conexiones de corta duración no se ven afectadas.

Requisitos previos

• Activó Cloud Firewall Enterprise Edition, Ultimate Edition o Pay-As-You-Go Edition. Para obtener más información, consulte Purchase Cloud Firewall.

  Nota

  Solo Cloud Firewall Enterprise Edition, Ultimate Edition y Pay-As-You-Go Edition son compatibles con el VPC Firewall. Premium Edition no admite esta función.

• Autorizó a Cloud Firewall para acceder a sus recursos en la nube. Para obtener más información, consulte Authorize Cloud Firewall to access cloud resources.

• Creó una instancia de VPC Peering Connection para conectar las VPC. Para obtener más información, consulte Use VPC Peering Connection to connect VPCs.

• Asegúrese de que sus recursos de red estén desplegados en regiones compatibles con el VPC Firewall. Para obtener más información, consulte Supported regions.

Procedimiento

1. Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, haga clic en Firewall.

2. En la pestaña VPC Firewall, haga clic en la subpestaña Peering Connection.

3. En la subpestaña Peering Connection, haga clic en Synchronize Assets. El sistema sincroniza los activos de su cuenta y de sus cuentas miembro.

   Este proceso tarda entre 1 y 2 minutos.

4. Busque la instancia de VPC Peering Connection que desea proteger y haga clic en Create en la columna Actions.

   Si tiene una gran cantidad de instancias de VPC Peering Connection, puede filtrar la lista por región o por instancia de VPC.

5. En el cuadro de diálogo Create VPC Firewall, configure los parámetros.

   Parámetro	Descripción
   Instance Name	Use un nombre descriptivo para facilitar la identificación.
   Connection Type	Este campo se establece automáticamente en VPC Peering Connection y no se puede modificar.
   VPC	Confirme la región y la instancia de la VPC, seleccione la Route Table que desea proteger e introduzca el Destination CIDR Block. Tabla de rutas Cuando crea una VPC, se genera automáticamente una tabla de rutas predeterminada para gestionar el tráfico mediante la adición de rutas del sistema. Puede crear varias tablas de rutas según sus necesidades. Para obtener más información, consulte Route table overview. En la consola de Cloud Firewall, el sistema lee automáticamente la información de la tabla de rutas de su VPC. Una VPC Peering Connection admite varias tablas de rutas. Puede consultar y seleccionar las tablas de rutas específicas que desea proteger. Bloque CIDR de destino Al seleccionar una tabla de rutas, su bloque CIDR de destino predeterminado aparece automáticamente. Puede modificar manualmente el bloque CIDR de destino para proteger otros segmentos de red. Es posible agregar varios bloques CIDR separados por comas (,). Importante Una vez habilitado el VPC Firewall, debe editar manualmente su configuración para agregar los bloques CIDR protegidos.
   Peer VPC	Confirme la región y la instancia de la VPC par, seleccione la Route Table que desea proteger e introduzca el Destination CIDR Block. Importante Una vez habilitado el VPC Firewall, debe editar manualmente su configuración para agregar los bloques CIDR protegidos.
   IPS	Seleccione una política del Intrusion Prevention System (IPS): IPS mode Monitor Mode: identifica y registra el tráfico malicioso sin bloquearlo. Block Mode: bloquea el tráfico malicioso para evitar intrusiones. Hay tres niveles de rigurosidad disponibles: Block Mode - Loose Blocking Mode - Medium Block Mode - Strict IPS Capabilities Basic Rules: proporciona protección básica contra amenazas como ataques de fuerza bruta, vulnerabilidades de ejecución de comandos y devoluciones de llamada a servidores de comando y control (C&C). Virtual Patching: ofrece defensa en tiempo real contra vulnerabilidades de aplicaciones de alto riesgo.
   Enable VPC Firewall	Habilite esta opción para activar automáticamente el VPC Firewall después de crearlo.

6. Haga clic en Submit y confirme la acción.

   Nota

   Después de habilitar el VPC Firewall, Cloud Firewall puede tardar entre 15 y 30 minutos en aprender las rutas si agrega o elimina información de la tabla de rutas de la VPC. Se recomienda esperar a que finalice el proceso de aprendizaje de rutas y luego comprobar que la tabla de rutas esté activa. Si tiene alguna duda, envíe un para consultar a los expertos técnicos del producto.

   Una vez creado el VPC Firewall, Cloud Firewall genera automáticamente los siguientes recursos en la VPC asociada:

   Entradas personalizadas en la tabla de rutas con las siguientes observaciones: Created by cloud firewall. Do not modify or delete it..

   Cuando habilita el VPC Firewall, el sistema crea automáticamente un security group llamado Cloud_Firewall_Security_Group y configura una Authorization Policy para permitir el tráfico hacia el VPC Firewall.

   Importante

   No elimine el security group Cloud_Firewall_Security_Group ni su política de autorización. De lo contrario, el tráfico no se podrá redirigir al VPC Firewall.

   Para evitar interrupciones del servicio, ejecute operaciones por lotes o habilite y deshabilite el VPC Firewall con frecuencia solo fuera del horario de mayor actividad.

7. En la subpestaña Peering Connection, active el interruptor del VPC Firewall que creó.

   Cloud Firewall solo puede proteger sus recursos de red cuando el VPC Firewall está habilitado. El VPC Firewall se encuentra habilitado cuando su Firewall Status cambia a Enabled.

Deshabilitar un VPC Firewall

Si necesita deshabilitar un VPC Firewall, vaya a la subpestaña Peering Connection, busque la instancia de firewall correspondiente y desactive su Firewall.

El VPC Firewall queda deshabilitado cuando su Firewall Status cambia a Disabled.