Qu'est-ce qu'un pare-feu VPC, schéma d'architecture, cas d'utilisation - Cloud Firewall

Cette rubrique décrit les concepts clés et les cas d'utilisation du pare-feu VPC de Cloud Firewall.

Qu'est-ce qu'un pare-feu VPC

Un pare-feu VPC inspecte et contrôle le trafic entre les Virtual Private Clouds (VPC), ainsi qu'entre les VPC et les centres de données sur site. Si vos VPC sont connectés via un Cloud Enterprise Network (CEN) ou une connexion Express Connect, créez un pare-feu VPC pour contrôler le trafic entre les VPC et entre les VPC et vos centres de données sur site.

Les pare-feux VPC prennent également en charge la gestion intercomptes. Par exemple, imaginons que le compte A possède une instance Cloud Enterprise Network (CEN) et le VPC_1, tandis que le compte B possède le VPC_2. Si les deux VPC sont connectés via l'instance CEN du compte A, utilisez le compte A pour acheter Cloud Firewall Édition Enterprise ou Édition Ultimate afin de protéger le trafic entre le VPC_1 et le VPC_2.

Fonctionnement

Pour consulter les schémas d'architecture illustrant le fonctionnement du pare-feu VPC, reportez-vous aux rubriques suivantes :

Périmètre de protection

Cloud Firewall propose trois types de pare-feux VPC. Choisissez celui qui correspond le mieux à votre topologie réseau.

Type de pare-feu VPC	Scénario	Guide d'utilisation
Pare-feu VPC pour routeur de transit Édition Enterprise	Prend en charge la protection : Trafic entre plusieurs VPC dans la même région Trafic entre plusieurs VPC interrégions via un routeur de transit Édition Enterprise Trafic entre les VPC et les Virtual Border Routers (VBR) (c'est-à-dire le trafic entre les VPC et les centres de données sur site) Trafic entre les VPC et les Cloud Connect Networks (CCN) Trafic entre plusieurs VBR Trafic entre les CCN et les VBR Trafic entre les VPC et les VPN publics Ne prend pas en charge la protection : Trafic entre plusieurs CCN	Connecter plusieurs CCN
Pare-feu VPC pour routeur de transit Édition Basic	Prend en charge la protection : Trafic entre plusieurs VPC dans la même région Trafic entre plusieurs VPC interrégions via un routeur de transit Édition Basic Trafic entre les VPC et les Virtual Border Routers (VBR) (c'est-à-dire le trafic entre les VPC et les centres de données sur site) Trafic entre les VPC et les Cloud Connect Networks (CCN) Ne prend pas en charge la protection : Trafic entre plusieurs VBR Trafic entre les CCN et les VBR Trafic entre plusieurs CCN	Configurer le pare-feu VPC pour un Cloud Enterprise Network
Pare-feu VPC pour Express Connect	Prend en charge la protection : Trafic entre plusieurs VPC du même compte dans la même région en mode VPC Express Connect Trafic entre plusieurs VPC dans la même région (y compris intra-compte et intercomptes) en mode appairage de VPC Ne prend pas en charge la protection : Trafic intercomptes et interrégions entre plusieurs VPC en mode VPC Express Connect Trafic d'accès mutuel entre un VPC et un Virtual Border Router (VBR) Remarque Si vous devez protéger le trafic VPC interrégions et intercomptes, ou le trafic entre les VPC et les VBR, nous vous recommandons d'utiliser Cloud Enterprise Network. Pour plus d'informations, soumettez un ticket.	Configurer le pare-feu VPC pour une connexion d'appairage

Les politiques de contrôle d'accès des trois types de pare-feux VPC sont indépendantes. Créez une instance de pare-feu VPC pour chaque type et configurez les politiques de contrôle d'accès pour chaque instance individuellement.

Remarque

Les pare-feux VPC ne prennent pas en charge la fonctionnalité jumbo frame.

Spécifications

Les spécifications du pare-feu VPC reposent sur deux métriques clés : le nombre d'instances de pare-feu VPC et la capacité de traitement du trafic.

Spécification

Description

Abonnement

Paiement à l'utilisation

Nombre d'instances de pare-feu VPC

Nombre maximal d'instances de pare-feu VPC que vous pouvez créer.

Le quota dépend du nombre d'instances de pare-feu VPC que vous créez et de la capacité de traitement du trafic VPC que vous achetez. Si votre quota est insuffisant, mettez à niveau les spécifications. Pour plus d'informations, consultez la rubrique Configurer un pare-feu VPC pour un routeur de transit Édition Enterprise.

Les quotas varient selon l'édition de Cloud Firewall. Pour plus d'informations, consultez la rubrique Abonnement 2.0.

Remarque

Si votre trafic dépasse la capacité de traitement achetée de Cloud Firewall, l'accord de niveau de service (SLA) ne s'applique pas. Cela peut entraîner une dégradation du service, telle que des défaillances des fonctionnalités de sécurité comme les politiques de contrôle d'accès (ACL), le système de prévention des intrusions (IPS) et l'audit des journaux. Cela peut également provoquer la désactivation de la protection par pare-feu pour les ressources générant un trafic excessif, ou une perte de paquets due à la limitation du débit.

Si vous prévoyez des pics de trafic susceptibles de dépasser votre quota, nous vous recommandons d'utiliser la méthode de facturation paiement à l'utilisation pour le trafic élastique.

La facturation est basée sur le nombre réel d'instances protégées et sur le volume total de trafic traité. Aucune limite de quota ne s'applique. Pour plus d'informations sur la facturation, consultez la rubrique Paiement à l'utilisation 2,0.

Capacité de traitement du trafic VPC

Pic de trafic maximal pouvant être protégé entre les VPC.

Protection des ressources et utilisation du quota

Consultez l'état de protection des ressources de votre compte sur la page Pare-feu VPC.

Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.
L'onglet VPC Firewall affiche le nombre de pare-feux VPC non créés et créés, ainsi que le quota disponible pour votre compte. Vous pouvez également consulter le nombre total d'éléments réseau, ainsi que le nombre d'éléments réseau non protégés et protégés.

Si vous épuisez le quota disponible pour votre édition, cliquez sur Increase Quota pour l'augmenter. Pour plus d'informations sur le nombre d'instances de pare-feu VPC prises en charge par chaque édition, consultez la rubrique Abonnement 2.0.

Dans la section Protected Network Elements, une info-bulle indique que les données affichées sont dédupliquées.
Dans la section Pare-feu VPC, cliquez sur l'icône pour afficher le nombre d'instances de pare-feu non créées et créées pour Cloud Enterprise Network (CEN) (Édition Enterprise), Cloud Enterprise Network (CEN) (Édition Basic) et Express Connect.
Dans la section Protected Network Elements, cliquez sur l'icône pour afficher les nombres totaux, non protégés et protégés des éléments réseau, y compris les VPC, les VBR, les TR et les passerelles VPN.

Les données sont calculées comme suit :

Cloud Enterprise Network (CEN) (Édition Enterprise)
- Éléments réseau non protégés : Nombre d'éléments réseau non protégés par un pare-feu VPC. Cela inclut les VPC, les VBR, les TR et les passerelles VPN. Ce décompte exclut les éléments réseau gérés en mode manuel.
- Éléments réseau protégés : Nombre d'éléments réseau protégés par un pare-feu VPC. Cela inclut les VPC, les VBR, les TR et les passerelles VPN. Ce décompte exclut les éléments réseau gérés en mode manuel.
- Quota disponible : Nombre d'instances de pare-feu VPC activées. Chaque routeur de transit CEN consomme un quota.
Cloud Enterprise Network (CEN) (Édition Basic)
- Éléments réseau non protégés : Nombre de VPC non protégés par un pare-feu VPC.
- Éléments réseau protégés : Nombre de VPC protégés par un pare-feu VPC.
- Quota disponible : Nombre d'instances de pare-feu VPC activées. Chaque VPC consomme un quota.
Express Connect
- Éléments réseau non protégés : Nombre de VPC non protégés par un pare-feu VPC.
- Éléments réseau protégés : Nombre de VPC protégés par un pare-feu VPC.
- Quota disponible : Nombre d'instances de pare-feu VPC activées. Chaque paire de VPC, composée d'un VPC local et de son VPC pair, consomme un quota.