Cloud Firewall:NAT Firewall

Mecanismo de protección

NAT Firewall ofrece funciones como activación con un solo clic, sincronización de activos, configuración de políticas de control de acceso para el límite NAT, análisis de tráfico y auditoría de registros.

Una vez habilitado NAT Firewall, este inspecciona todo el tráfico saliente de los recursos de red privada en su VPC (incluidos los recursos dentro de la misma VPC y entre distintas VPC) que pasa por el Internet NAT Gateway asociado. NAT Firewall evalúa el tráfico según las políticas de control de acceso configuradas y la base de datos integrada de inteligencia de amenazas de Cloud Firewall. Compara elementos del tráfico como direcciones de origen y destino, puertos, protocolos, aplicaciones y dominios para determinar si se permite el paso. Esto restringe el acceso no autorizado desde su red privada hacia internet.

Mecanismo de redirección de tráfico

Al habilitar NAT Firewall, Cloud Firewall modifica automáticamente la tabla de rutas para redirigir todo el tráfico saliente que utiliza el Internet NAT Gateway hacia Cloud Firewall para su inspección de seguridad.

Ruta del tráfico antes de habilitar NAT Firewall

Ruta del tráfico después de habilitar NAT Firewall

Al habilitar NAT Firewall, Cloud Firewall crea automáticamente interfaces de red elásticas (ENI) de interfaz de firewall correspondientes, basadas en las EIP asociadas al Internet NAT Gateway original. Por ejemplo, si el Internet NAT Gateway tiene dos EIP asociadas, Cloud Firewall crea una ENI de entrada (eni0) y dos ENI de salida (eni1 y eni2).

Al habilitar NAT Firewall, Cloud Firewall realiza automáticamente las siguientes configuraciones de enrutamiento para inspeccionar y proteger el tráfico saliente de sus activos de red privada:

1. Crea un vSwitch de firewall: este vSwitch transporta el tráfico redirigido y lo guía desde sus activos privados hacia internet a través de Cloud Firewall.

2. Crea una tabla de rutas personalizada y la asocia con el vSwitch de firewall: Cloud Firewall crea automáticamente una tabla de rutas personalizada llamada Cloud_Firewall_ROUTE_TABLE. Luego agrega una ruta estática con destino 0.0.0.0/0 y el siguiente salto apuntando al Internet NAT Gateway. Esto garantiza que el tráfico procesado por Cloud Firewall se enrute correctamente de vuelta al Internet NAT Gateway.

3. Agrega entradas SNAT: Cloud Firewall añade entradas SNAT específicas de ENI al Internet NAT Gateway. La ENI de origen se establece en las ENI de salida del firewall (como eni1 y eni2). Esto asegura que el tráfico saliente procesado por el firewall pueda someterse correctamente a la traducción de direcciones de origen.

4. Modifica la tabla de rutas del sistema: el siguiente salto de la ruta predeterminada (0.0.0.0/0) en la tabla de rutas del sistema cambia del Internet NAT Gateway a la ENI de entrada de Cloud Firewall (eni0).

Estas configuraciones de enrutamiento redirigen todo el tráfico saliente que usa el Internet NAT Gateway hacia Cloud Firewall. Posteriormente, Cloud Firewall realiza una inspección de seguridad de capa 4 a capa 7 sobre el tráfico, que incluye control de acceso, coincidencia con inteligencia de amenazas y defensa básica.

Impacto en sus servicios

Al habilitar o deshabilitar NAT Firewall, Cloud Firewall ejecuta un cambio de ruta. Esto provoca una desconexión transitoria de 1 a 2 segundos en conexiones de larga duración. Las conexiones de corta duración no se ven afectadas. Para minimizar el impacto en sus servicios, se recomienda realizar estas operaciones fuera del horario pico.

• La creación de un NAT Firewall no afecta sus servicios. Sin embargo, si decide habilitar el firewall durante la creación, se producirá una desconexión transitoria de 1 a 2 segundos en conexiones de larga duración. Las conexiones de corta duración no se ven afectadas.

  Nota

  El tiempo necesario para crear un NAT Firewall depende del número de EIP asociadas al Internet NAT Gateway. Cada EIP adicional incrementa el tiempo de creación en aproximadamente 2 a 5 minutos. Este proceso no afecta sus servicios.

• Deshabilitar y luego eliminar un NAT Firewall no afecta sus servicios.

• Si su tráfico supera el límite de rendimiento de su suscripción a Cloud Firewall, no se garantiza el acuerdo de nivel de servicio (SLA). Esto puede provocar degradación del servicio, como fallos en funciones de seguridad (control de acceso, IPS, auditoría de registros), la desactivación del firewall para activos que generan tráfico excesivo, o limitación de tasa y pérdida de paquetes.

  Si existe la posibilidad de que su tráfico supere el límite, le recomendamos consultar Pay-as-you-go for burstable traffic of subscription instances.

Límites

• Después de habilitar NAT Firewall, no modifique las rutas en el vSwitch del firewall ni ninguna ruta cuyo siguiente salto sea NAT Firewall. Cambiar estas rutas puede causar interrupciones en el servicio.

• Para agregar un nuevo bloque CIDR de protección entre VPC tras habilitar NAT Firewall, debe actualizar manualmente la tabla de rutas del vSwitch del firewall. También se recomienda actualizar la ruta correspondiente en la tabla de rutas que se usaba antes de habilitar el firewall. Esto evita problemas de enrutamiento si posteriormente se deshabilita el firewall.

• Si su suscripción a Cloud Firewall caduca y no se renueva a tiempo, NAT Firewall se libera automáticamente. El tráfico vuelve entonces a la ruta original de salida a internet, lo cual puede causar una breve interrupción del servicio.

  Para garantizar la disponibilidad del servicio, se recomienda habilitar la renovación automática o renovar su suscripción con anticipación. Para más información, consulte Renewal.

• Para los NAT Firewall creados antes del 1 de septiembre de 2023, el ancho de banda máximo de protección para todas las conexiones de red hacia el mismo par de IP y puerto de destino es de 20 Mbps. Si el ancho de banda de estas conexiones supera los 20 Mbps, podría experimentar inestabilidad en la red. Para aumentar este límite de ancho de banda, se recomienda eliminar y volver a crear el NAT Firewall.

  Los NAT Firewall creados a partir del 1 de septiembre de 2023 no tienen esta limitación de 20 Mbps. Su ancho de banda de protección puede alcanzar hasta 4 Gbps.

• NAT Firewall no protege el tráfico IPv6.

• NAT Firewall no admite capacidades del Sistema de Prevención de Intrusiones (IPS).

• La creación de un NAT Firewall agrega automáticamente nuevas entradas SNAT. La cantidad de nuevas entradas SNAT equivale al número de EIP asociadas al Internet NAT Gateway. No elimine ni modifique las entradas SNAT creadas por Cloud Firewall.

• Para obtener información sobre los límites de entradas SNAT, consulte NAT Gateway quotas. Asegúrese de reservar suficiente capacidad SNAT para NAT Firewall. El número de entradas SNAT reservadas debe ser igual al número de EIP asociadas al Internet NAT Gateway.

Flujo de trabajo

El siguiente diagrama de flujo muestra el proceso de uso de NAT Firewall.

Notas

• Un nuevo Internet NAT Gateway tarda entre 1 y 5 minutos en sincronizarse con el servicio NAT Firewall.

• Las nuevas EIP y entradas SNAT de un Internet NAT Gateway tardan entre 1 y 2 minutos en sincronizarse con NAT Firewall. Estos recursos solo entran en vigor una vez completada la sincronización.

  Alternativamente, puede ir a la página Firewall > Internet Firewall y hacer clic en Synchronize Assets para sincronizar manualmente las EIP y las entradas SNAT.

• Una nueva ruta que apunta a un Internet NAT Gateway tarda hasta 30 minutos en sincronizarse con NAT Firewall.

  Alternativamente, puede ir a la página Firewall > NAT Firewall y hacer clic en Synchronize Assets para sincronizar manualmente la ruta.

• Al crear un NAT Firewall, Cloud Firewall realiza las siguientes acciones:

  • Agrega una ruta 0.0.0.0/0 que apunta al Internet NAT Gateway en la tabla de rutas del vSwitch del firewall.

  • Modifica la entrada de ruta 0.0.0.0/0 en la tabla de rutas del sistema para cambiar su siguiente salto a una ENI de Cloud Firewall.

  Nota

  La creación de un NAT Firewall agrega una tabla de rutas personalizada a su VPC. Si la VPC donde crea el firewall contiene un clúster ACK que usa el plugin de red Flannel, debe configurar la función de tabla de rutas múltiples del Cloud Controller Manager después de crear el firewall. Agregue la tabla de rutas del sistema de la VPC a la lista de tablas de rutas. Si no realiza este paso, el escalado de nodos del clúster podría verse afectado. Para más información, consulte Use the multi-route-table feature of a VPC.

  Si ya utiliza la función de tabla de rutas múltiples del Cloud Controller Manager, puede ignorar esta nota.

Procedimiento

1. Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, haga clic en Firewall.

2. Haga clic en la pestaña NAT Firewall. En la columna Actions del Internet NAT Gateway objetivo, haga clic en Create.

3. En el panel Create NAT Firewall, haga clic en Check Now. Una vez superadas todas las comprobaciones, haga clic en Next.

   Si está seguro de que el Internet NAT Gateway cumple todos los requisitos, puede hacer clic en Skip and start creation now.

4. Seleccione un modo de redirección de tráfico:

   • Automatically Create vSwitch (Recomendado): este modo proporciona una redirección de tráfico totalmente automatizada y es adecuado para entornos con amplios segmentos de red.

   • Manually Select vSwitch: este modo requiere reutilizar un bloque CIDR de vSwitch existente o crear manualmente un vSwitch. Es adecuado para entornos con segmentos de red limitados y debe ser realizado por un usuario experimentado.

5. En el panel Create NAT Firewall, configure los siguientes parámetros.

   Parámetro		Descripción
   Basic Information	Name	Introduzca un nombre personalizado para NAT Firewall.
   Traffic Redirection Configurations	Select Route Table	Seleccione la tabla de rutas donde el Internet NAT Gateway es el siguiente salto actual. Al crear el firewall, el siguiente salto cambia automáticamente a una ENI de Cloud Firewall. Esto dirige el tráfico saliente de sus activos privados hacia NAT Firewall.
   	vSwitch CIDR block (Automatically Create vSwitch) o vSwitch for traffic redirection (Manually Select vSwitch)	Puede crear un vSwitch new o seleccionar uno existing. Reglas para configurar un nuevo vSwitch: Debe configurar un bloque CIDR de vSwitch con una máscara de al menos /28 que no entre en conflicto con su plan de red. Este bloque se asigna a NAT Firewall para la redirección de tráfico. El bloque CIDR del vSwitch debe ser una subred del bloque CIDR de la VPC y no debe entrar en conflicto con segmentos de red de servicios existentes. Se admiten bloques CIDR secundarios. Tras la asignación, Cloud Firewall asocia automáticamente el vSwitch con una tabla de rutas personalizada de redirección de tráfico. Notas para seleccionar un vSwitch existente: NAT Firewall requiere un vSwitch que cumpla los siguientes requisitos. Para más información, consulte Create and manage a VPC. El vSwitch, el Internet NAT Gateway y NAT Firewall deben estar en la misma VPC. El vSwitch y el Internet NAT Gateway deben estar en la misma zona de disponibilidad. El bloque CIDR del vSwitch debe tener una máscara de al menos /28, y el número de direcciones IP disponibles debe superar el número de EIP en el Internet NAT Gateway. El vSwitch no debe estar conectado a ningún otro recurso en la nube. Cree una nueva tabla de rutas y asóciela con el vSwitch. Para más información, consulte Create and manage a route table. (Opcional) Agregue entradas de ruta personalizadas distintas de la ruta 0.0.0.0/0 a la nueva tabla de rutas según sea necesario. Para más información, consulte Use custom route tables to manage network traffic. Por ejemplo, si sus servicios requieren comunicación entre VPC, debe agregar manualmente las rutas de retorno de las VPC a la tabla de rutas. Nota Si el vSwitch objetivo no aparece en la lista o está atenuado, compruebe si el vSwitch está asociado con otros recursos en la nube o con una tabla de rutas personalizada. Después de confirmar que la configuración del vSwitch es correcta, vaya a la pestaña NAT Firewall y haga clic en Synchronize Assets en la esquina superior derecha.
   Engine Mode	Engine Mode	El modo de coincidencia para las políticas de control de acceso. Loose Mode (Predeterminado): en este modo, si una política de control de acceso para aplicaciones o dominios encuentra tráfico de una aplicación o dominio no identificado, el tráfico se permite. Este modo prioriza la disponibilidad del servicio. Strict Mode: en este modo, si una política de control de acceso para aplicaciones o dominios encuentra tráfico de una aplicación o dominio no identificado, el tráfico se pasa a políticas posteriores para mayor coincidencia. Si una política de denegación coincide con el tráfico no identificado, el tráfico se bloquea.

6. Seleccione I have read and confirmed the preceding notes y luego haga clic en Enable Firewall.

7. Una vez creado NAT Firewall, debe establecer manualmente el Enabled Status en On.

   Después de habilitar el firewall, Cloud Firewall redirige el tráfico para su protección.

Configurar políticas de control de acceso

Si no configura ninguna política de control de acceso, Cloud Firewall permite todo el tráfico de forma predeterminada. Puede crear políticas de control de acceso para NAT Firewall y obtener un control detallado sobre el tráfico saliente a internet desde sus activos privados.

Vaya a la página Firewall > NAT Firewall. En la columna Actions del NAT Firewall objetivo, haga clic en el icono y seleccione Access Control.

En la página que aparece, puede crear una política de control de acceso para NAT Firewall. Para más información, consulte Configure an access control policy for a NAT Firewall.

Consultar registros de auditoría

Vaya a la página Firewall > NAT Firewall. En la columna Actions del NAT Firewall objetivo, haga clic en el icono y seleccione Log Audit.

En la página que aparece, puede consultar los registros de tráfico de acceso desde la red privada hacia internet. Para más información, consulte Log audit.

Ver análisis de tráfico

Vaya a la página Firewall > NAT Firewall. En la columna Actions del NAT Firewall objetivo, haga clic en el icono y seleccione Analysis.

La página que aparece muestra un análisis del tráfico de acceso a internet del Internet NAT Gateway. Para más información, consulte Outbound connections.

Ver estadísticas de tráfico de red privada NAT

En el panel de navegación izquierdo, haga clic en Overview. En la página Overview, haga clic en Purchased Specification Usage en la esquina superior derecha. Aquí puede ver la capacidad de tráfico de red privada NAT, el tráfico pico reciente y el uso de licencias de NAT Firewall.

Ver lista de vSwitch de NAT Firewall

Vaya a la página Firewall > NAT Firewall. En la esquina superior derecha de la lista de NAT Firewall, haga clic en Firewall vSwitch List.