Cloud Firewall:Configure a VPC Firewall for a VPC Peering Connection

Topologie de protection

Pour plus d'informations sur la portée de la protection, consultez la rubrique Qu'est-ce que Cloud Firewall ?

Impact sur les services

Vous pouvez créer un pare-feu VPC pour protéger vos ressources sans modifier votre topologie réseau. La création prend environ 5 minutes et n'affecte pas vos services. Nous vous recommandons d'activer le pare-feu VPC pendant les heures creuses.

L'activation ou la désactivation d'un pare-feu VPC prend de 5 à 30 minutes, selon le nombre d'entrées de routage. Pendant cette opération, les connexions persistantes peuvent subir de brèves interruptions de quelques secondes. Les connexions éphémères ne sont pas affectées.

Prérequis

• Vous avez activé Cloud Firewall Enterprise Edition, Ultimate Edition ou Pay-As-You-Go Edition. Pour plus d'informations, consultez la rubrique Acheter Cloud Firewall.

  Remarque

  Seules les éditions Enterprise Edition, Ultimate Edition et Pay-As-You-Go Edition de Cloud Firewall prennent en charge le pare-feu VPC. L'édition Premium Edition ne prend pas en charge cette fonctionnalité.

• Vous avez autorisé Cloud Firewall à accéder à vos ressources cloud. Pour plus d'informations, consultez la rubrique Autoriser Cloud Firewall à accéder aux ressources cloud.

• Vous avez créé une instance de connexion d'appairage VPC pour connecter les VPC. Pour plus d'informations, consultez la rubrique Utiliser une connexion d'appairage VPC pour connecter des VPC.

• Assurez-vous que vos ressources réseau sont déployées dans des régions qui prennent en charge le pare-feu VPC. Pour plus d'informations, consultez la rubrique Régions prises en charge.

Procédure

1. Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.

2. Sous l'onglet VPC Firewall, cliquez sur le sous-onglet Peering Connection.

3. Sous le sous-onglet Peering Connection, cliquez sur Synchronize Assets. Le système synchronise les ressources pour votre compte et ses comptes membres.

   Cette opération prend 1 à 2 minutes.

4. Localisez l'instance de connexion d'appairage VPC que vous souhaitez protéger et cliquez sur Create dans la colonne Actions.

   Si vous disposez d'un grand nombre d'instances de connexion d'appairage VPC, vous pouvez filtrer la liste par région ou par instance VPC.

5. Dans la boîte de dialogue Create VPC Firewall, configurez les paramètres.

   Paramètre	Description
   Instance Name	Utilisez un nom descriptif pour faciliter l'identification.
   Connection Type	Ce champ est automatiquement défini sur VPC Peering Connection et ne peut pas être modifié.
   VPC	Confirmez la région et l'instance VPC, sélectionnez la Route Table à protéger, puis saisissez le Destination CIDR Block. Table de routage Lorsque vous créez un VPC, une table de routage par défaut est automatiquement créée pour gérer le trafic en ajoutant des routes système. Vous pouvez créer plusieurs tables de routage selon vos besoins. Pour plus d'informations, consultez la rubrique Présentation des tables de routage. Dans la console Cloud Firewall, la console lit automatiquement les informations de votre table de routage VPC. Une connexion d'appairage VPC prend en charge plusieurs tables de routage. Vous pouvez afficher et sélectionner les tables de routage spécifiques que vous souhaitez protéger. Bloc CIDR de destination Lorsque vous sélectionnez une table de routage, son bloc CIDR de destination par défaut s'affiche automatiquement. Vous pouvez modifier manuellement le bloc CIDR de destination pour protéger d'autres segments de réseau. Vous pouvez ajouter plusieurs blocs CIDR, séparés par des virgules (,). Important Une fois le pare-feu VPC activé, vous devez modifier manuellement sa configuration pour ajouter les blocs CIDR protégés.
   Peer VPC	Confirmez la région et l'instance du VPC pair, sélectionnez la Route Table à protéger, puis saisissez le Destination CIDR Block. Important Une fois le pare-feu VPC activé, vous devez modifier manuellement sa configuration pour ajouter les blocs CIDR protégés.
   IPS	Sélectionnez une politique Intrusion Prevention System (IPS) : IPS mode Monitor Mode : Identifie et enregistre le trafic malveillant sans le bloquer. Block Mode : Bloque le trafic malveillant pour prévenir les intrusions. Trois niveaux de strictesse sont disponibles : Block Mode - Loose Blocking Mode - Medium Block Mode - Strict IPS Capabilities Basic Rules : Fournit une protection de base contre les menaces telles que les attaques par force brute, les vulnérabilités d'exécution de commandes et les rappels de serveurs de commande et de contrôle (C&C). Virtual Patching : Fournit une défense en temps réel contre les vulnérabilités applicatives à haut risque.
   Enable VPC Firewall	Activez cette option pour activer automatiquement le pare-feu VPC après sa création.

6. Cliquez sur Submit et confirmez l'action.

   Remarque

   Après avoir activé le pare-feu VPC, il peut s'écouler de 15 à 30 minutes pour que Cloud Firewall apprenne les routes si vous ajoutez ou supprimez des informations de table de routage VPC. Nous vous recommandons d'attendre la fin du processus d'apprentissage des routes, puis de vérifier que la table de routage est effective. Pour toute question, soumettez un afin de consulter les experts techniques du produit.

   Après la création du pare-feu VPC, Cloud Firewall crée automatiquement les ressources suivantes dans le VPC associé :

   Des entrées de table de routage personnalisées avec les remarques suivantes : Created by cloud firewall. Do not modify or delete it..

   Lorsque vous activez le pare-feu VPC, le système crée automatiquement un groupe de sécurité nommé Cloud_Firewall_Security_Group et configure une Authorization Policy pour celui-ci afin d'autoriser le trafic vers le pare-feu VPC.

   Important

   Ne supprimez pas le groupe de sécurité Cloud_Firewall_Security_Group ni sa politique d'autorisation. Sinon, le trafic ne pourra pas être redirigé vers le pare-feu VPC.

   Pour éviter les interruptions de service, effectuez les opérations par lot ou activez et désactivez fréquemment le pare-feu VPC uniquement pendant les heures creuses.

7. Sous le sous-onglet Peering Connection, activez l'interrupteur du pare-feu VPC que vous avez créé.

   Cloud Firewall ne peut protéger vos ressources réseau que lorsque le pare-feu VPC est activé. Le pare-feu VPC est activé lorsque son Firewall Status passe à Enabled.

Désactiver un pare-feu VPC

Si vous devez désactiver un pare-feu VPC, accédez au sous-onglet Peering Connection, localisez l'instance de pare-feu cible, puis désactivez son Firewall.

Le pare-feu VPC est désactivé lorsque son Firewall Status passe à Disabled.