Cloud Firewall:Configure a VPC firewall for a Basic Edition TR

Fonctionnement

Une fois le pare-feu VPC activé, Cloud Firewall intercepte et filtre le trafic entre les VPC. Il applique des mesures de sécurité telles que l'inspection approfondie des paquets (DPI), les règles du système de prévention des intrusions (IPS), la threat intelligence, le correctif virtuel et les politiques de contrôle d'accès afin de déterminer s'il faut autoriser ou bloquer le trafic. Cela permet de bloquer les accès non autorisés et de sécuriser le trafic entre vos ressources de réseau privé.

Le schéma suivant illustre un exemple de protection du trafic par un pare-feu VPC dans une topologie de routeur de transit Basic Edition.

Pour plus d'informations sur le périmètre de protection, consultez la section Qu'est-ce que Cloud Firewall ?

Impacts potentiels

La création d'un pare-feu VPC ne nécessite aucune modification de votre topologie réseau actuelle. Vous pouvez créer un pare-feu VPC et configurer la redirection automatique du trafic pour protéger vos ressources sans affecter vos services. Le processus de création prend environ 5 minutes. Nous vous recommandons d'activer le pare-feu VPC pendant les heures creuses.

L'activation ou la désactivation d'un pare-feu VPC prend de 5 à 30 minutes, selon le nombre d'entrées de routage. Durant cette opération, les connexions persistantes peuvent subir des interruptions transitoires de quelques secondes. Les connexions éphémères ne sont pas affectées.

Prérequis

• Vous avez souscrit à l'édition Enterprise, Ultimate ou Pay-as-you-go de Cloud Firewall. Pour plus d'informations, consultez la section Souscrire à Cloud Firewall.

  Remarque

  Seules les éditions Enterprise, Ultimate et Pay-as-you-go de Cloud Firewall prennent en charge la configuration d'un pare-feu VPC pour un routeur de transit Basic Edition. L'édition Premium ne prend pas en charge cette fonctionnalité.

• Vous avez autorisé Cloud Firewall à accéder à vos ressources cloud. Pour plus d'informations, consultez la section Autoriser Cloud Firewall à accéder aux ressources cloud.

• Vous avez souscrit à une instance CEN et l'avez utilisée pour établir la connectivité réseau entre les VPC. Pour plus d'informations, consultez les sections Connecter des VPC dans la même région (Basic Edition) et Connecter des VPC entre régions et comptes (Basic Edition).

  Remarque

  Si un VPC de votre instance CEN a été créé par un autre compte Alibaba Cloud et que ce compte n'a pas accordé les autorisations requises à Cloud Firewall, vous ne pouvez pas créer de pare-feu VPC. Nous vous recommandons de vous connecter à la console Cloud Firewall avec le compte correspondant pour accorder les autorisations, puis d'activer le pare-feu VPC. Pour plus d'informations, consultez la section Autoriser Cloud Firewall à accéder aux ressources cloud.

• Assurez-vous que les régions où se trouvent vos ressources réseau sont prises en charge par le pare-feu VPC. Pour plus d'informations, consultez la section Régions prises en charge.

Procédure

1. Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.

2. Sur la page Firewall, cliquez sur VPC Firewall.

3. Sous l'onglet VPC Firewall, cliquez sur Cloud Enterprise Network (Basic Edition).

4. Localisez l'instance CEN pour laquelle vous souhaitez créer un pare-feu VPC et cliquez sur Create dans la colonne Actions.

   Si la ressource que vous souhaitez protéger ne figure pas dans la liste des ressources, cliquez sur Synchronize Assets pour synchroniser les informations sur les ressources du compte Alibaba Cloud actuel et de ses comptes membres.

5. Dans le panneau Create Firewall, suivez l'assistant de configuration pour terminer la configuration du pare-feu VPC.

   Pour un routeur de transit Basic Edition, vous pouvez exécuter un diagnostic pour vérifier si les conditions de création du pare-feu sont remplies. Vous pouvez afficher les résultats dans l'assistant Enable Diagnosis. Si vous connaissez bien les exigences de création du pare-feu, vous pouvez ignorer le diagnostic et créer directement le pare-feu.

   Le tableau suivant décrit les configurations du pare-feu VPC dans un environnement connecté via CEN.

   Paramètre	Description
   Basic Information	Nom : Spécifiez un nom unique pour identifier l'instance de pare-feu VPC. Nous vous recommandons d'utiliser un nom significatif en fonction de vos besoins métier.
   VPC Configurations of Firewall	Attribuez des blocs CIDR au VPC Cloud Firewall et au vSwitch créés automatiquement. Ceux-ci sont utilisés pour créer un VPC de pare-feu dédié (Cloud_Firewall_VPC) pour la redirection du trafic. Un bloc CIDR de sous-réseau est alloué à partir du bloc CIDR VPC attribué pour le vSwitch du VPC Cloud Firewall. Le masque du sous-réseau doit être /29 ou plus court et ne doit pas entrer en conflit avec votre plan réseau. Important Ces paramètres dépendent de la configuration de votre service et ne peuvent pas être modifiés après la création. Pour effectuer des modifications, vous devez supprimer et recréer le pare-feu. VPC of Firewall : La valeur par défaut est 10.0.0.0/8. Vous pouvez personnaliser le bloc CIDR pour le VPC du pare-feu. Les plages prises en charge incluent 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 et leurs sous-réseaux. vSwitch CIDR Block : La valeur par défaut est 10.219.219.216/29. Si la valeur par défaut entre en conflit avec votre plan réseau, vous pouvez personnaliser ce bloc CIDR. Configurer la zone : Remarque Si les zones principale et secondaire sont toutes deux définies sur Default (Auto-assigned), le mode double actif est utilisé, ce qui convient aux scénarios métier peu sensibles à la latence et est facile à configurer. Si vous spécifiez des zones principale et secondaire, le mode actif-passif est utilisé, ce qui convient aux scénarios métier sensibles à la latence et peut réduire la latence du trafic. Vous pouvez consulter la section Bonnes pratiques pour la migration des zones de pare-feu VPC pour plus de détails sur les modes double actif et actif-passif ainsi que sur les étapes de migration. Primary Zone : Définissez la zone de disponibilité principale pour le vSwitch. Cloud Firewall prend également en charge l'attribution automatique de la zone de disponibilité du vSwitch. Important Si vos services sont sensibles à la latence, nous vous recommandons de définir la Zone principale sur la zone de disponibilité qui héberge la majorité de vos services. Ensuite, spécifiez la même zone de disponibilité pour le vSwitch du VPC de service afin de réduire encore la latence. Secondary Zone : Définissez la zone de disponibilité secondaire pour le vSwitch. Le pare-feu VPC transfère préférentiellement le trafic via la zone principale pour une transmission efficace. Lorsque la zone principale n'est pas disponible, le système bascule automatiquement le trafic vers la zone secondaire pour assurer la continuité des activités dans les scénarios de reprise après sinistre.
   Assign vSwitch for Firewall	Configurez le vSwitch dans le VPC de service nécessitant une protection du trafic. Ce vSwitch héberge l'interface réseau élastique (ENI) que Cloud Firewall utilise pour la redirection du trafic. Cloud Firewall peut attribuer le vSwitch automatiquement. Si vos services sont sensibles à la latence, vous pouvez personnaliser la zone de disponibilité du VPC de service pour réduire la latence réseau. Important Ce paramètre est basé sur la configuration de votre service et ne peut pas être modifié après la création. Pour effectuer des modifications, vous devez supprimer et recréer le pare-feu. Zone : Sélectionnez la zone de disponibilité pour le vSwitch du VPC de service. Pour réduire la latence, nous vous recommandons de la définir identique à la zone de disponibilité principale du vSwitch du VPC du pare-feu. vSwitch : Sélectionnez l'instance vSwitch du VPC de service.
   Redirection Configuration	Activez ou désactivez l'interrupteur de redirection et affichez les blocs CIDR protégés.
   IPS	Sélectionnez le mode de fonctionnement et la politique pour le module de système de prévention des intrusions (IPS). IPS Mode Monitor Mode : Surveille et génère des alertes pour le trafic malveillant. Block Mode : Bloque le trafic malveillant et intercepte les activités intrusives. IPS Capabilities Basic Rules : Fournit une protection de base pour vos ressources, y compris l'interception des attaques par force brute et des exploitations de vulnérabilités d'exécution de commandes, ainsi que le contrôle des connexions post-infection vers les serveurs de commande et de contrôle (C&C). Virtual Patching : Fournit une protection en temps réel contre les vulnérabilités d'application à haut risque populaires. Remarque Ce paramètre s'applique à toutes les instances réseau sous la même instance CEN.

6. Cliquez sur Start Creation pour créer le pare-feu VPC.

7. Sous l'onglet Cloud Enterprise Network (Basic Edition), activez l'interrupteur pour le pare-feu VPC que vous avez créé.

   Le pare-feu VPC doit être activé pour protéger vos ressources réseau. Le pare-feu VPC est activé avec succès lorsque son Firewall Status passe à Enabled.

   Remarque

   Après l'activation d'un pare-feu VPC, Cloud Firewall nécessite 15 à 30 minutes pour apprendre les nouvelles routes si vous ajoutez ou supprimez des entrées de routage VPC. Nous vous recommandons d'attendre la fin de l'apprentissage des routes, puis de vérifier que la table de routage est mise à jour. Si vous avez des questions, .

   Après la création du pare-feu VPC, Cloud Firewall crée automatiquement les ressources suivantes dans votre Virtual Private Cloud (VPC) :

   • Une ressource VPC nommée Cloud_Firewall_VPC.

     Important

     N'ajoutez pas d'autres ressources de service à Cloud_Firewall_VPC. Si vous le faites, ces ressources ne seront pas automatiquement supprimées lors de la suppression du pare-feu VPC. Ne modifiez ni ne supprimez manuellement les ressources réseau dans ce VPC.

   • Une ressource vSwitch nommée Cloud_Firewall_VSWITCH.

   • Des entrées de table de routage personnalisées avec la remarque : Created by cloud firewall. Do not modify or delete it..

   Après l'activation du pare-feu VPC, un groupe de sécurité nommé Cloud_Firewall_Security_Group est automatiquement ajouté à la fois à Cloud_Firewall_VPC et au VPC de service. Une politique d'autorisation est également configurée pour ce groupe de sécurité afin d'autoriser le trafic vers le pare-feu VPC.

   Important

   Ne supprimez pas le groupe de sécurité Cloud_Firewall_Security_Group ni sa politique d'autorisation. La suppression de l'un ou l'autre interrompra le trafic de service.

   Pour effectuer des opérations par lot ou activer et désactiver fréquemment le pare-feu VPC, nous vous recommandons d'effectuer ces actions pendant les heures creuses afin d'éviter d'affecter vos services.

Modifier un pare-feu VPC

Pour modifier la configuration d'un pare-feu VPC, sur la page VPC Firewall, accédez à l'onglet Cloud Enterprise Network (Basic Edition), localisez l'instance CEN cible et cliquez sur Edit dans la colonne Actions.

Désactiver un pare-feu VPC

1. Sur la page Firewall, cliquez sur VPC Firewall.

2. Sur la page VPC Firewall, accédez à l'onglet Cloud Enterprise Network (Basic Edition), localisez l'instance CEN cible et désactivez l'interrupteur Firewall.

   Après avoir désactivé l'interrupteur, veuillez patienter. Le pare-feu VPC est désactivé avec succès lorsque son Firewall Status passe à Disabled.

Supprimer un pare-feu VPC

Si vos services n'ont plus besoin du pare-feu VPC, sur la page VPC Firewall, accédez à l'onglet Cloud Enterprise Network (Basic Edition), localisez l'instance CEN cible et cliquez sur Delete dans la colonne Actions.