FAQ about enabling or disabling Cloud Firewall - Cloud Firewall

Pourquoi ne puis-je pas activer Cloud Firewall pour mon compte ?
Comment désactiver Cloud Firewall ?
Que se passe-t-il si mon trafic dépasse la bande passante de mon édition Cloud Firewall ?
Pare-feu Internet
Pare-feu NAT
Pare-feu VPC

Impact de l'activation d'un pare-feu

Type de pare-feu	Impact
Pare-feu Internet	Vous pouvez créer, activer ou désactiver un pare-feu Internet sans modifier votre topologie réseau. L'ajout ou la suppression de la protection des ressources s'effectue en quelques secondes, sans impact sur vos services.
Pare-feu NAT	La création ou la suppression d'un pare-feu NAT n'a aucun impact sur vos services. Le temps de création dépend du nombre d'adresses IP élastiques (EIP) associées à la passerelle NAT. Chaque EIP supplémentaire ajoute environ 2 à 5 minutes au temps de création. L'activation ou la désactivation d'un pare-feu NAT prend environ 10 secondes. Durant ce processus, les connexions de longue durée peuvent subir une brève interruption de 1 à 2 secondes. Les connexions de courte durée ne sont pas affectées.
Pare-feu VPC pour Express Connect Pare-feu VPC pour un routeur de transit Édition de base	La création ou la suppression d'un pare-feu VPC n'a aucun impact sur vos services. La création prend environ 5 minutes. L'activation ou la désactivation d'un pare-feu VPC prend environ 5 à 30 minutes, selon le nombre d'entrées de route. Durant ce processus, les connexions de longue durée peuvent subir de brèves interruptions. Les connexions de courte durée ne sont pas affectées. Remarque Avant d'activer un pare-feu VPC, vérifiez si votre application prend en charge la retransmission TCP automatique. Surveillez attentivement l'état des connexions de votre application afin d'éviter toute interruption si elle ne dispose pas de mécanisme de retransmission.
Pare-feu VPC pour un routeur de transit Édition Entreprise	Redirection automatique du trafic La création ou la suppression d'un pare-feu VPC n'a aucun impact sur vos services. La création prend environ 5 minutes. L'activation ou la désactivation d'un pare-feu VPC prend environ 5 à 30 minutes, selon le nombre d'entrées de route. Ce processus n'a aucun impact sur vos services. Redirection manuelle du trafic La création ou la suppression d'un pare-feu VPC n'a aucun impact sur vos services. La création prend environ 5 minutes. Lorsque vous activez ou désactivez un pare-feu VPC, la durée de l'impact sur les services varie selon la méthode de basculement du trafic.

Comment désactiver Cloud Firewall ?

Si vos services n'ont plus besoin de la protection Cloud Firewall, vous pouvez libérer une instance afin d'éviter des frais supplémentaires.

Gestion des dépassements de trafic

Si le trafic de votre service dépasse la spécification de bande passante achetée, l'accord de niveau de service (SLA) n'est pas garanti. Ce dépassement peut entraîner une dégradation des services, pouvant inclure, sans s'y limiter : la désactivation de fonctionnalités de sécurité telles que le contrôle d'accès, l'IPS et l'audit des journaux ; le contournement du pare-feu pour les ressources à fort trafic ; et la perte de paquets due à la limitation de débit.

Si vous prévoyez que le trafic dépassera votre limite achetée, utilisez la fonctionnalité abonnement au trafic élastique paiement à l'utilisation.
Pour obtenir des informations sur le dépannage d'un trafic inhabituel, consultez la rubrique Dépanner un trafic inhabituel à la frontière Internet.
Pour savoir comment augmenter votre bande passante, consultez la rubrique Renouvellement.

Pourquoi ne puis-je pas activer Cloud Firewall pour mon compte ?

Cause

Lorsque vous vous connectez à la console Cloud Firewall, le message Your account cannot be used to activate Cloud Firewall. s'affiche. Cela peut se produire pour les raisons suivantes :

Votre compte Alibaba Cloud est un compte membre géré par un autre compte Alibaba Cloud.
Vous êtes un utilisateur RAM ne disposant pas des autorisations requises.

Solution

Vous pouvez survoler votre photo de profil dans le coin supérieur droit de la console pour vérifier le type de votre compte.

Si le compte est un compte Alibaba Cloud :

Vous devez utiliser le compte administrateur qui gère centralement ce compte membre pour vous connecter à la console Cloud Firewall, activer le service, puis activer la protection pour les ressources cloud du compte membre. Pour plus d'informations, consultez la rubrique Acheter Cloud Firewall.
Si le compte est un utilisateur RAM (sous-compte), vous devez utiliser le compte parent Alibaba Cloud (compte principal) pour accorder les autorisations createSlr, AliyunYundunCloudFirewallReadOnlyAccess et AliyunYundunCloudFirewallFullAccess à l'utilisateur RAM. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

Ici, createSlr est une stratégie d'autorisation personnalisée. Vous devez créer cette stratégie. Le script est le suivant. Pour plus d'informations, consultez la rubrique Créer une stratégie d'autorisation personnalisée.
```
{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:166032244439****:role/*",
            "Effect": "Deny",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "cloudfw.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}
```
Remarque
Le format du paramètre Resource est acs:ram::ID du compte Alibaba Cloud:role/, où ID du compte Alibaba Cloud correspond à l'ID du compte racine propriétaire de l'utilisateur RAM.

Échecs d'activation du pare-feu

Message d'erreur	Solution
Votre instance Cloud Enterprise Network (CEN) n'est pas associée à un VPC intercomptes, Cloud Firewall n'est pas autorisé à accéder au VPC intercomptes, ou votre édition Cloud Firewall n'est pas l'édition Ultimate.	Utilisez le compte correspondant pour vous connecter à Cloud Firewall et accordez les autorisations requises avant d'activer le pare-feu VPC. Pour plus d'informations sur l'autorisation, consultez Autoriser Cloud Firewall à accéder aux ressources cloud. Pour passer à l'édition Ultimate de Cloud Firewall, consultez Renouvellement.
L'instance CEN pour laquelle vous souhaitez activer un pare-feu contient un VPC connecté à Express Connect et disposant déjà d'un pare-feu activé.	Pour obtenir une assistance technique, soumettez un .
La région où réside le VPC de l'instance CEN n'est pas prise en charge par le pare-feu VPC.	Pour plus d'informations, consultez Régions prises en charge.
Un pare-feu créé en mode manuel existe déjà dans la même région que l'instance CEN.	Pour obtenir une assistance technique, soumettez un .
L'instance CEN ne possède qu'une seule instance réseau ou aucun VPC.	Vous ne pouvez pas créer d'instance Cloud Firewall si l'instance CEN ne contient aucun VPC ou seulement un VPC. Ajoutez davantage de VPC à l'instance CEN et réessayez.
Le nombre de VPC pour lesquels un pare-feu peut être activé dans la même région a atteint le quota.	Nous vous recommandons d'utiliser un routeur de transit CEN. Pour plus d'informations, soumettez un pour obtenir une assistance technique.
Le compte gestionnaire de l'instance CEN intercomptes n'a pas acheté Cloud Firewall.	Utilisez le compte gestionnaire pour acheter Cloud Firewall.
Le nombre de routes personnalisées pour l'instance VPC dépasse le quota.	Accédez à la console VPC et choisissez O&M and Monitoring > Quota Management. Sur la page Gestion des quotas, augmentez le quota de routes personnalisées pour la table de routage sous votre compte.
Le quota de pare-feu VPC est atteint.	Nous vous recommandons d'augmenter votre quota de pare-feu.
Une configuration de bloc CIDR en double a été détectée. Seuls les blocs CIDR des routeurs de bordure virtuelle (VBR) peuvent être dupliqués. Les blocs CIDR de différents VPC ou d'un VPC et d'un VBR ne peuvent pas être dupliqués.	Pour obtenir une assistance technique, soumettez un .
Le quota de priorités de routes basées sur des politiques est insuffisant.	Pour obtenir une assistance technique, soumettez un .
L'instance CEN contient des politiques de route de type Refuser, à l'exclusion des politiques de route système par défaut avec une priorité de 5000.	Nous vous recommandons de supprimer les politiques de route concernées ou de soumettre un pour obtenir une assistance technique.
Le nombre de VPC dans une région doit être inférieur au quota VPC, car le pare-feu VPC consomme un emplacement de quota.	Si le quota est atteint, accédez à la console VPC et sélectionnez la page Quota Management pour augmenter le quota VPC. Si le quota VPC ne peut pas être augmenté, soumettez un pour obtenir une assistance technique.
Les blocs CIDR annoncés de l'instance CEN contiennent des plages d'adresses IP publiques, à l'exclusion de 0.0.0.0/0. Cela peut provoquer des déconnexions en raison d'un accès unidirectionnel à SLB.	Pour obtenir une assistance technique, soumettez un .
Échec de la vérification des routes pointant vers un routeur de bordure (BR).	Pour obtenir une assistance technique, soumettez un .
Un VPC de l'instance CEN possède une table de routage personnalisée liée à un vSwitch.	Vous pouvez supprimer la table de routage personnalisée concernée ou dissocier le vSwitch de la table de routage personnalisée.
L'activation du pare-feu pour l'instance CEN entraînera un dépassement du quota de routes.	Nous vous recommandons de réduire le nombre de routes annoncées à 100 ou moins, ou de passer à l'architecture CEN-TR. Si nécessaire, soumettez un pour obtenir une assistance technique.
La région où se trouve le routeur de transit n'est pas prise en charge.	La région où réside le routeur de transit de l'instance CEN n'est pas prise en charge par le pare-feu VPC. Pour plus d'informations, consultez Régions prises en charge.
Le routeur de transit possède une connexion VPN.	Pour obtenir une assistance technique, soumettez un .
La table de routage du routeur de transit contient une liste de préfixes.	Nous vous recommandons d'annoncer les routes dans le VPC au lieu d'utiliser une liste de préfixes.
La table de routage du routeur de transit contient une route blackhole.	Pour obtenir une assistance technique, soumettez un .
La table de routage du routeur de transit contient une route statique.	Nous vous recommandons d'annoncer les routes dans le VPC au lieu d'utiliser une route statique.
La table de routage du routeur de transit présente un conflit de routes.	Nous vous recommandons de vérifier s'il existe des routes refusées susceptibles de provoquer le conflit.
La table de routage du routeur de transit présente un conflit de politique de route système.	Vérifiez si les types d'instances source et destination dans les conditions de correspondance de la politique de route système avec la priorité 5000 incluent CEN, VBR, VPN ou ECR. Si ce n'est pas le cas, soumettez un pour obtenir une assistance technique.
La table de routage du routeur de transit contient une route IPv6.	Cette configuration n'est actuellement pas prise en charge par Cloud Firewall.
Le pare-feu VPC n'est pas activé pour l'édition paiement à l'utilisation de Cloud Firewall.	Vous pouvez accéder à la console Cloud Firewall pour activer le pare-feu VPC. Pour plus d'informations, consultez Paiement à l'utilisation 2,0.
L'édition actuelle de Cloud Firewall ne prend pas en charge le pare-feu VPC.	Nous vous recommandons de mettre à niveau votre édition Cloud Firewall. Pour plus d'informations, consultez Mise à niveau et rétrogradation.
La synchronisation des ressources pour le pare-feu VPC n'est pas terminée.	Accédez à la console Cloud Firewall. Dans le volet de navigation de gauche, choisissez Firewall > VPC firewall. Sur la page Pare-feu VPC, cliquez sur Synchroniser les ressources et attendez 5 à 10 minutes.

À quoi sert le pare-feu Internet ?

Le pare-feu Internet protège plusieurs types de ressources publiques, telles que les adresses IP publiques des instances ECS, des instances SLB et des EIP. Après avoir activé le pare-feu Internet, le trafic entrant et sortant de ces ressources à la frontière Internet est redirigé vers Cloud Firewall. Cloud Firewall inspecte et filtre ce trafic, en n'autorisant que le trafic qui répond aux conditions spécifiées. Pour plus d'informations, consultez la rubrique Pare-feu Internet.

Le pare-feu Internet protège-t-il les ressources IPv6 ?

Oui. Depuis le 8 janvier 2025, Cloud Firewall prend entièrement en charge la protection des ressources IPv6.

Annonce connexe : [[Annonce] Lancement commercial de la prise en charge publique d'IPv6 pour Cloud Firewall en mode abonnement et paiement à l'utilisation](t2841574.xdita#)
Pour connaître les principes détaillés et les types de ressources concernés, consultez la rubrique Fonctionnement du pare-feu Internet.

Pour connaître l'étendue des ressources que le pare-feu Internet peut protéger, consultez la rubrique Étendue de la protection.

Le pare-feu Internet a-t-il un impact sur le trafic réseau ?

Si vous activez uniquement le pare-feu Internet sans configurer de politique de contrôle d'accès ni de prévention des intrusions, Cloud Firewall se contente d'inspecter le trafic et de générer des alertes. Il ne bloque aucun trafic.

Lorsque vous souscrivez à Cloud Firewall, le pare-feu Internet est activé par défaut pour toutes les ressources.

Quel est l'impact de la désactivation du pare-feu Internet ?

Si vous désactivez le pare-feu Internet, tout le trafic le contourne, ce qui entraîne les conséquences suivantes :

Les fonctionnalités de protection du pare-feu Internet deviennent inactives. Cela inclut les politiques de contrôle d'accès pour le trafic entrant et sortant à la frontière Internet, ainsi que la prévention des intrusions.
Les statistiques de trafic pour la frontière Internet, y compris les rapports d'analyse du trafic réseau et les journaux, ne sont plus générées.

Erreur de restriction réseau SLB lors de l'activation du pare-feu Internet

Cause

Lorsque vous activez le pare-feu Internet, le message suivant peut s'afficher : You cannot enable a firewall for the IP address because the network of the SLB instance does not support this operation. Cette situation peut se produire si la ressource SLB ne dispose que d'une adresse IP privée, laquelle ne prend pas en charge la protection par Cloud Firewall.

Solution

Pour les ressources ne disposant que d'une adresse IP privée, vous pouvez activer la protection Cloud Firewall en associant une EIP à la ressource afin de rediriger son trafic vers le pare-feu. Pour plus d'informations, consultez la rubrique Associer et gérer une EIP pour une instance CLB orientée vers l'intérieur.

Pourquoi les adresses IP publiques sont-elles absentes après la synchronisation des ressources dans l'édition gratuite ?

L'édition gratuite de Cloud Firewall ne peut synchroniser que les ressources EIP. Les nouvelles ressources apparaissent dans Cloud Firewall avec un délai de 24 heures (J+1). Elle ne peut pas synchroniser les adresses IP publiques des instances ECS ou SLB.

Pourquoi l'état d'une ressource du pare-feu Internet est-il « Protection anormale » ?

Cause

La ressource faisait partie d'une migration d'un réseau classique vers un VPC.
Lors de la libération d'une instance Classic Load Balancer (CLB) orientée vers l'extérieur, son adresse IP publique a été convertie en EIP et conservée.

Solution

Cliquez sur Disable, puis sur Enable pour rétablir un état normal.

L'activation d'un pare-feu VPC affecte-t-elle les règles de groupe de sécurité ECS ?

Non.

Lorsque vous activez un pare-feu VPC, Cloud Firewall crée automatiquement un groupe de sécurité nommé Cloud_Firewall_Security_Group et une politique d'autorisation correspondante pour permettre au trafic de traverser le pare-feu VPC. Ce groupe de sécurité gère uniquement le trafic au sein de ce VPC. Vos règles de groupe de sécurité ECS existantes restent effectives.

Pourquoi une erreur « instance réseau non autorisée » survient-elle lors de la création d'un pare-feu VPC ?

Cause

Votre instance CEN contient un VPC appartenant à un autre compte Alibaba Cloud, et ce compte n'a pas autorisé Cloud Firewall à accéder à ses ressources cloud.

Solution

Connectez-vous à la console Cloud Firewall avec le compte Alibaba Cloud non autorisé et suivez les instructions à l'écran pour autoriser le rôle de service Cloud Firewall. Pour plus d'informations, consultez la rubrique Autoriser Cloud Firewall à accéder aux ressources cloud.

Pourquoi ne puis-je pas sélectionner une table de routage homologue lors de la création d'un pare-feu VPC ?

Cause

Aucune connexion d'appairage VPC n'existe entre le VPC local et le VPC homologue, ou la table de routage homologue ne contient aucune route de retour pointant vers le bloc CIDR du VPC local. Dans ce cas, Cloud Firewall ne peut pas récupérer la table de routage homologue, de sorte que la liste déroulante Peer Route Table est vide et ne peut pas être sélectionnée.

Solution

Pour rendre la table de routage homologue sélectionnable lors de la création d'un pare-feu VPC, assurez-vous que les deux conditions suivantes sont remplies :

Une connexion d'appairage VPC est établie entre le VPC local et le VPC homologue, et son statut est Activated.
La table de routage homologue contient une entrée de route dont le bloc CIDR de destination est le bloc CIDR du VPC local et dont le saut suivant est la connexion d'appairage VPC.

Accédez à la page Route Tables dans la console VPC pour vérifier la configuration des routes. Une fois les routes configurées, revenez à la page VPC Firewall dans la console Cloud Firewall et cliquez sur Sync Assets. Une fois la synchronisation des ressources terminée, recréez le pare-feu VPC. La liste déroulante Peer Route Table sera alors renseignée avec des tables de routage sélectionnables.

Politique de route de refus pour les routeurs de transit de l'édition Basic

Après avoir activé un pare-feu VPC pour un VPC (par exemple, VPC-test) connecté via un routeur de transit de l'édition Basic, Cloud Firewall crée un nouveau VPC nommé Cloud_Firewall_VPC sous ce routeur de transit. Il annonce également une route statique pour rediriger le trafic des autres VPC non protégés sous le même routeur de transit vers Cloud Firewall.

Parallèlement, Cloud Firewall ajoute une route statique au sein de VPC-test qui pointe vers l'interface réseau élastique (ENI) du pare-feu, redirigeant ainsi le trafic sortant de VPC-test vers le pare-feu. Il crée également une politique de route de refus pour empêcher VPC-test d'apprendre les routes annoncées par l'instance CEN.

Important

Ne modifiez ni ne supprimez la politique de route et la table de routage décrites ci-dessus. Toute modification perturberait la redirection du trafic par Cloud Firewall et entraînerait des interruptions de service.

Pourquoi un pare-feu NAT crée-t-il une table de routage et une route 0.0.0.0/0 ?

Lorsque vous activez un pare-feu NAT, Cloud Firewall crée automatiquement une table de routage personnalisée nommée Cloud_Firewall_ROUTE_TABLE et ajoute une route 0.0.0.0/0 qui pointe vers la passerelle NAT. Il modifie également l'entrée de route 0.0.0.0/0 dans la table de routage système, en changeant son saut suivant pour l'interface réseau élastique (ENI) du pare-feu. Cela garantit que le trafic sortant de la passerelle NAT est redirigé vers Cloud Firewall.

Important

Ne modifiez ni ne supprimez cette table de routage ni ses entrées de route. Toute modification perturberait la redirection du trafic par Cloud Firewall et entraînerait des interruptions de service.

Correspondance du trafic sortant avec plusieurs pare-feu

Lorsqu'une instance ECS initie une requête sortante vers un domaine et que les trois pare-feu sont activés, le trafic est mis en correspondance comme suit :

L'instance ECS envoie une requête DNS, qui traverse le pare-feu DNS et est mise en correspondance avec ses politiques de contrôle d'accès.
Le trafic du réseau privé provenant de l'instance ECS traverse le pare-feu NAT et est mis en correspondance avec ses politiques de contrôle d'accès.
Le trafic privé autorisé passe par la passerelle NAT, qui traduit l'adresse IP source privée en adresse IP publique.
La passerelle NAT envoie le trafic public au pare-feu Internet, où il est mis en correspondance avec les politiques de contrôle d'accès du pare-feu Internet.
Le trafic est ensuite mis en correspondance avec les règles de renseignement sur les menaces, de protection de base, de défense intelligente et de correctif virtuel de Cloud Firewall.

Si le trafic ne correspond à aucune politique de refus au cours de ce processus, il atteint le domaine avec succès. S'il correspond à une politique de refus, le trafic est bloqué et ne peut pas accéder au domaine.

Pourquoi telnet fonctionne-t-il toujours après la configuration d'une politique de pare-feu NAT ?

Une EIP est liée à une entrée SNAT, un pare-feu NAT est activé et une politique de contrôle d'accès est configurée pour autoriser une instance ECS à accéder à un domaine spécifique uniquement via TCP en utilisant HTTP ou HTTPS. Cependant, l'instance ECS peut toujours utiliser la commande telnet pour accéder à d'autres domaines.

Cause : Lors du test avec la commande telnet, celle-ci ne dispose pas des fonctionnalités de protocole de couche application (comme HTTP ou HTTPS). Par conséquent, l'inspection approfondie des paquets (DPI) de Cloud Firewall ne peut pas identifier l'application spécifique, et l'application est étiquetée comme « Unknown ». Ce trafic ne correspond pas à la politique HTTP ou HTTPS. En mode loose, lors de la mise en correspondance des politiques d'application ou de domaine, Cloud Firewall autorise par défaut le trafic dont les applications ou les domaines ne sont pas identifiés. Pour garantir que ce trafic soit mis en correspondance avec les politiques suivantes, vous devez activer le mode strict.

Important
Le mode strict est un paramètre global. Son activation affectera la logique de mise en correspondance pour tout le trafic. Veuillez procéder avec prudence en fonction de vos besoins métier.
Solution : Nous déconseillons l'utilisation de telnet pour les tests. Utilisez plutôt la commande curl.

Pourquoi une partie du trafic du routeur de transit contourne-t-elle le pare-feu NAT ?

Ce problème survient généralement lorsqu'une connexion VPC depuis un routeur de transit (TR) est associée au vSwitch dédié créé automatiquement par le pare-feu NAT.

Fonctionnement :

Un pare-feu NAT s'appuie sur des configurations de routage spécifiques pour gérer le trafic. Dans une configuration standard, le processus est le suivant :

Redirection du trafic de service : La table de routage du vSwitch de service dans votre VPC dirige le trafic destiné à Internet vers le pare-feu NAT en tant que saut suivant. Cela garantit que tout le trafic subit d'abord une inspection de sécurité.
Transfert du trafic du pare-feu : Après que le pare-feu NAT a inspecté le trafic, la table de routage de son vSwitch dédié transfère le trafic vers la passerelle NAT en tant que saut suivant, qui l'envoie ensuite vers Internet.

Impact d'une configuration incorrecte Si vous liez le point de connexion TR au vSwitch dédié du pare-feu NAT, le trafic destiné à Internet provenant du TR entrera directement dans ce vSwitch. Ce trafic correspondra à l'entrée de route dont le saut suivant est la passerelle NAT, contournant ainsi l'inspection de sécurité du pare-feu NAT. Cela laisse une partie du trafic non surveillée.

Configuration recommandée Pour garantir que tout le trafic destiné à Internet soit traité par le pare-feu NAT, suivez ces bonnes pratiques :

Isolation du vSwitch : Le vSwitch dédié du pare-feu NAT ne doit pas être utilisé à d'autres fins, notamment comme point de connexion pour un TR.
Planification indépendante : Allouez un vSwitch séparé et dédié pour la connexion VPC du TR.
Vérification des routes : Confirmez que toutes les tables de routage pertinentes, y compris celle associée au vSwitch de la connexion TR, sont correctement configurées pour pointer les routes destinées à Internet vers le pare-feu NAT en tant que saut suivant.

Comment activer et configurer efficacement les politiques de contrôle d'accès à la frontière Internet de Cloud Firewall ?

Alors que le cloud computing devient essentiel à la transformation numérique, les architectures métier deviennent plus complexes et les périmètres de sécurité s'estompent. Les entreprises peuvent utiliser Cloud Firewall pour protéger les périmètres de leur réseau cloud. Cependant, la configuration des politiques de contrôle d'accès peut être compliquée si vous disposez d'un grand nombre d'adresses IP publiques.

Cloud Firewall propose des politiques intelligentes qui analysent automatiquement le trafic des 30 derniers jours, ainsi que la manière dont vos ressources IP cloud et vos services sont accessibles et effectuent des connexions sortantes. Sur la base de cette analyse, il suggère des politiques de contrôle d'accès appropriées pour le pare-feu Internet pour chaque adresse IP de destination ou domaine. Cela permet de réduire votre surface d'attaque Internet, de bloquer les adresses IP et domaines malveillants internes vers externes, et de diminuer le risque d'intrusion de service.

Pour savoir comment déployer des politiques de contrôle d'accès intelligentes pour le pare-feu Internet, consultez la rubrique Configurer les politiques de contrôle d'accès pour le pare-feu Internet.

Pare-feu VPC pour TR Enterprise : différences de version

Cloud Firewall a ajusté certaines fonctions du pare-feu VPC pour les routeurs de transit de l'édition Enterprise. Pour les pare-feu créés avec redirection automatique du trafic, la propriété du VPC du pare-feu est passée de votre compte à un compte de service géré. Les principales différences sont les suivantes :

Propriété du VPC du pare-feu : Dans la nouvelle version, le VPC du pare-feu n'appartient plus à votre compte, mais à un compte backend Cloud Firewall. Vous ne pouvez pas afficher ni modifier les ressources et configurations du VPC du pare-feu. Il ne consomme pas non plus votre quota régional de VPC.
Facturation : Dans l'ancienne architecture, vous étiez facturé pour les frais de transfert de trafic entre le routeur de transit et votre VPC de service, ainsi qu'entre le routeur de transit et le VPC du pare-feu. Dans la nouvelle version, puisque le VPC du pare-feu appartient à Cloud Firewall, les frais de transfert de trafic entre le routeur de transit et le VPC du pare-feu sont également pris en charge par Cloud Firewall.
Activation du pare-feu VPC : Lors de la création d'un pare-feu VPC, vous n'avez plus besoin de saisir trois blocs CIDR de vSwitch. Vous devez uniquement saisir un bloc CIDR d'au moins /27 qui n'entre pas en conflit avec votre plan réseau. Ce bloc CIDR sera utilisé pour allouer les vSwitch nécessaires lors de la création du pare-feu. Pour configurer un pare-feu VPC de l'édition Enterprise, consultez la rubrique Configurer un pare-feu VPC pour un routeur de transit de l'édition Enterprise.

Activation du nouveau pare-feu VPC TR Enterprise

Important

Prérequis : Cette option prend uniquement en charge la redirection automatique du trafic. Votre édition Cloud Firewall doit être en mode paiement à l'utilisation ou une édition abonnement avec la fonctionnalité paiement à l'utilisation pour le trafic élastique activée.

Si vous n'avez pas encore créé de pare-feu VPC : Activez d'abord la fonctionnalité de trafic protégé extensible (cette étape peut être ignorée pour les clients en mode paiement à l'utilisation), puis créez le pare-feu VPC.

Avertissement
Vous devez respecter strictement cet ordre.
Si vous avez déjà créé un pare-feu VPC :
- Supprimez les scénarios de redirection du trafic et le pare-feu VPC existant.
- Activez la fonctionnalité de trafic protégé extensible (cette étape peut être ignorée pour les clients en mode paiement à l'utilisation).
- Recréez le pare-feu VPC et les scénarios de redirection du trafic.
Pour connaître les étapes spécifiques d'activation de la fonctionnalité de trafic protégé extensible, consultez la rubrique Paiement à l'utilisation pour le trafic élastique avec un abonnement.

Y a-t-il de la latence avec un pare-feu VPC ?

Oui.

Un pare-feu VPC ajoute une latence de 4 à 8 ms pour le trafic entre différentes zones dans la même région et de 2 à 3 ms pour le trafic au sein de la même zone.