Use a gateway route table to control traffic into a VPC - Virtual Private Cloud

Vous pouvez utiliser une passerelle IPv4 ou IPv6 associée à une table de routage de passerelle pour rediriger le trafic Internet entrant vers un dispositif de sécurité afin d'inspecter et de filtrer les données en profondeur. Cette approche renforce la sécurité en prévenant les attaques malveillantes et les accès non autorisés. Cette rubrique explique comment utiliser une passerelle IPv4 et une table de routage de passerelle pour contrôler le trafic entrant dans un VPC.

Scénario

Certaines organisations déploient des dispositifs de sécurité tiers au sein d'un VPC pour nettoyer le trafic Internet entrant. Ces dispositifs peuvent être des solutions matérielles ou logicielles de sécurité réseau proposées par des fournisseurs indépendants, telles que des pare-feu ou des systèmes de détection d'intrusion. En modifiant les entrées de routage système dans une table de routage de passerelle et en associant cette table à une passerelle IPv4, vous pouvez rediriger le trafic Internet entrant vers un dispositif de sécurité pour inspecter et contrôler le trafic pénétrant dans votre VPC.

Prérequis

Vous avez créé un VPC dans la région Chine (Shanghai) ainsi que deux instances ECS, nommées ECS-A et ECS-B, au sein de ce VPC.
Vous avez créé deux tables de routage personnalisées et les avez associées respectivement à vSwitch 1 et vSwitch 2.

Procédure

Étape 1 : Créer une passerelle IPv4 et associer la table de routage

Créez et activez une passerelle IPv4.
1. Connectez-vous à la console des passerelles IPv4. Dans la barre de navigation supérieure, sélectionnez la région où se trouve le VPC. Cet exemple utilise la région Chine (Shanghai).
2. Cliquez sur Create IPv4 Gateway. Sur la page Create IPv4 Gateway, sélectionnez un Resource Group et configurez un tag selon vos besoins. Ensuite, sélectionnez le VPC cible dans la liste déroulante VPC et cliquez sur Create.
3. Sélectionnez la table de routage du vSwitch contenant l'instance ECS-A et cliquez sur Activate.
  - Lorsque vous activez la passerelle, le système ajoute une entrée de routage par défaut avec un bloc CIDR de destination 0.0.0.0/0 pointant vers la passerelle IPv4. Cette entrée de routage permet l'accès à Internet pour le vSwitch. Si une entrée de routage par défaut avec le bloc CIDR de destination 0.0.0.0/0 existe déjà, le système ne peut pas ajouter une autre entrée de routage par défaut pour la passerelle IPv4.
  - Le trafic réseau au sein du VPC n'est pas affecté avant l'activation de la passerelle IPv4. Toutefois, le basculement du chemin de trafic lors de l'activation peut provoquer une brève interruption du réseau.
  Dans la section Select Route Table, sélectionnez la table de routage personnalisée que vous souhaitez associer. Nous vous recommandons de sélectionner une table de routage personnalisée plutôt que la table de routage principale. Ensuite, cliquez sur Activate.
4. La passerelle IPv4 est activée et la table de routage du vSwitch est configurée.
  
  Après avoir créé la passerelle IPv4, vérifiez que son Status est Available. Ce statut indique que la passerelle est active et que sa table de routage est configurée.
Créez une table de routage de passerelle.
1. Connectez-vous à la console des tables de routage. Dans la barre de navigation supérieure, sélectionnez la région où se trouve la passerelle IPv4. Cet exemple utilise la région Chine (Shanghai).
2. Cliquez sur Create Route Table, sélectionnez le VPC, définissez Associated Resource Type sur Border Gateway, spécifiez un nom pour la table de routage, puis cliquez sur OK.
Associez la table de routage de passerelle à une passerelle de bordure.
1. Sur la page de détails de la table de routage de passerelle, associez une passerelle de bordure.
  
  Dans la boîte de dialogue qui s'affiche, sélectionnez la passerelle IPv4 cible dont le statut est Bindable, puis cliquez sur OK.
2. Une fois la liaison terminée, vérifiez que le statut de la passerelle de bordure est Available. Dans l'onglet Bound Border Gateways, un statut Available indique que la liaison a réussi.

Étape 2 : Configurer le dispositif de sécurité

Important

Dans ce scénario, l'instance ECS-A agit comme un dispositif de sécurité et vous devez activer le transfert IP sur celle-ci. Si vous utilisez un dispositif de sécurité tiers, contactez le fournisseur du dispositif pour obtenir de l'aide concernant le déploiement en fonction de vos besoins métier.

Cet exemple utilise une instance ECS exécutant Alibaba Cloud Linux 3.2104 64 bits.

Connectez-vous à l'instance ECS-A et exécutez les commandes suivantes pour configurer le transfert IP.

Permanent

# Permanently enable IP forwarding by writing the setting to the configuration file.
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
# Apply the change immediately.
sysctl -p

Temporary

# Temporarily enable IP forwarding. This setting does not persist after a restart.
sysctl -w net.ipv4.ip_forward=1

Étape 3 : Configurer les routes

Configurez une table de routage personnalisée pour le trafic sortant.
1. Sur la page Route Tables, localisez la table de routage personnalisée du vSwitch contenant l'instance ECS-B, puis cliquez sur l'ID de la table de routage.
2. Accédez à l'onglet Route Entry List > Custom Route et cliquez sur Add Route Entry. Définissez Destination CIDR Block sur 0.0.0.0/0, définissez Next Hop Type sur ECS Instance et sélectionnez ECS-A dans la liste déroulante ECS Instance.
Configurez la table de routage de passerelle pour le trafic entrant.
1. Sur la page Route Tables, localisez la table de routage de passerelle que vous avez créée, puis cliquez sur son ID.
2. Accédez à l'onglet Route Entry List > System Route pour afficher les entrées de routage système. Par défaut, le système ajoute des entrées de routage système avec le bloc CIDR de destination de chaque vSwitch.
3. Modifiez l'entrée de routage dont le Destination CIDR Block correspond à vSwitch 2, et définissez le prochain saut sur l'instance ECS-A, qui agit comme dispositif de sécurité. Pour l'entrée de routage système, cliquez sur Edit. Dans la boîte de dialogue Edit Route Entry, définissez Next Hop Type sur ECS Instance et sélectionnez ECS-A dans la liste déroulante ECS Instance.
4. Une fois la configuration terminée, le système convertit l'entrée de routage système en entrée de routage personnalisée. Vérifiez que le statut de l'entrée de routage est Available.
  
  Sur la page de la liste des entrées de routage, cliquez sur l'onglet Custom Route Entries pour afficher les détails de l'entrée de routage, tels que son bloc CIDR de destination (par exemple, 10.0.1.0/24) et son prochain saut (une instance ECS).

Vérifier les résultats

Assurez-vous que les configurations de la liste de contrôle d'accès réseau et du groupe de sécurité autorisent la connectivité pour tester les instances ECS dans le VPC.

Vérifier le trafic Internet entrant

Ouvrez un navigateur et saisissez http://<EIP of ECS-B>.

La page renvoie This is ECS-B!. Cela indique que la requête a atteint l'instance ECS-B.

Vérifier le flux de trafic via ECS-A

Connectez-vous à l'instance ECS-A et exécutez la commande tcpdump dst host <Private IP address of ECS-B> pour capturer le trafic destiné à l'instance ECS-B.

Ouvrez un navigateur et saisissez l'EIP de l'instance ECS-B. Ensuite, vérifiez le résultat de la capture de paquets sur l'instance ECS-A.

[root@ECS-A ~]# tcpdump dst host 10.0.1.221
dropped privs to tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
17:33:36.662426  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662445  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662818  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.662823  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.676731  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1519927262,
17:33:36.676737  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1, win 2058

Opérations supplémentaires

Gérer le trafic IPv6

Une passerelle IPv4 contrôle le trafic IPv4 public à la frontière d'un VPC. Pour contrôler le trafic IPv6 entrant dans un VPC, vous devez utiliser une passerelle IPv6 et l'associer à une table de routage de passerelle.

Le système crée automatiquement une passerelle IPv6 pour un VPC disposant d'un bloc CIDR IPv6. Assurez-vous d'avoir activé la bande passante publique IPv6 pour l'adresse IPv6 de l'instance ECS afin de permettre la communication entre l'instance ECS dans le VPC et l'Internet IPv6 .

Créez une table de routage de passerelle et associez-la à la passerelle IPv6.
1. Connectez-vous à la console des tables de routage. Dans la barre de navigation supérieure, sélectionnez la région où se trouve la passerelle IPv6.
2. Cliquez sur Create Route Table, sélectionnez le VPC, définissez Associated Resource Type sur Border Gateway, spécifiez un nom pour la table de routage, puis cliquez sur OK.
3. Sur la page de détails de la table de routage de passerelle, cliquez sur Associated Border Gateway > Associate Border Gateway, puis sélectionnez la passerelle IPv6 à associer.
Configurez la table de routage de passerelle pour router le trafic entrant.
1. Accédez à l'onglet Route Entry List > System Route pour afficher les entrées de routage système. Par défaut, le système ajoute des entrées de routage système avec le bloc CIDR de destination de chaque vSwitch.
2. Modifiez l'entrée de routage IPv6 dont le Destination CIDR Block correspond à vSwitch 2, et définissez le prochain saut sur l'instance ECS-A, qui agit comme dispositif de sécurité.

Ajuster les routes Internet entrantes

Vous pouvez ajuster les routes Internet entrantes en modifiant les entrées de routage système dans la table de routage de passerelle.

Le prochain saut d'une route IPv4 ou IPv6 peut être une ECS Instances, une ENI, un GWLB Endpoint ou un Route Target Group.

Vous ne pouvez modifier que les entrées de routage système dans une table de routage de passerelle. Vous ne pouvez pas créer d'entrées de routage personnalisées.
Après avoir modifié et enregistré une entrée de routage système, le système la convertit en entrée de routage personnalisée. Si vous supprimez l'entrée de routage personnalisée, elle redevient une entrée de routage système.
Lorsque vous modifiez une entrée de routage système dans une table de routage de passerelle, tenez compte des points suivants concernant les types de prochains sauts :
- Instance ECS/interface réseau élastique (ENI) : Permet l'accès à l'instance ou à l'ENI spécifiée au sein du vSwitch. Cette option est souvent utilisée pour rediriger en toute sécurité le trafic public vers une instance ECS ou une ENI spécifique. Si vous devez changer l'instance ECS ou l'ENI, vous devez supprimer l'entrée de routage, puis modifier à nouveau les informations de routage système. Vous ne pouvez pas remplacer directement l'instance ou l'ENI.
- Point de terminaison GWLB : Permet l'accès au point de terminaison spécifié au sein du vSwitch. Cette option est utilisée pour rediriger le trafic public vers des dispositifs de sécurité tiers dans les scénarios Gateway Load Balancer (GWLB).
  
  Pour plus d'informations sur les régions qui prennent en charge la modification du prochain saut vers un GWLB Endpoint, consultez Régions prenant en charge GWLB.
- Groupe de cibles de routage : Vous pouvez configurer deux instances de prochain saut en mode actif/passif. Le système effectue automatiquement des contrôles d'intégrité sur les instances. Si une instance devient indisponible, le système bascule automatiquement le trafic pour assurer une reprise après sinistre au niveau de la zone et réduire l'objectif de temps de récupération (RTO).

Dissocier une table de routage de passerelle**

Vous pouvez dissocier une table de routage de passerelle d'une passerelle IPv4 ou IPv6. Une fois dissociée, la passerelle de bordure ne fournit plus de capacités de routage de passerelle.

Sur la page Route Tables, localisez la table de routage de passerelle cible et cliquez sur son ID.
Cliquez sur l'onglet Associated Border Gateway, localisez la passerelle de bordure cible, puis cliquez sur Unbind dans la colonne Actions.
Dans la boîte de dialogue qui s'affiche, cliquez sur OK.

Supprimer une table de routage de passerelle

Vous devez dissocier une table de routage de passerelle d'une passerelle de bordure avant de pouvoir supprimer la table de routage.

Sur la page Route Tables, localisez la table de routage de passerelle cible, puis cliquez sur Delete dans la colonne Actions.
Dans la boîte de dialogue Delete Route Table, cliquez sur OK.

Documents connexes

Pour plus d'informations sur l'utilisation et les limitations des passerelles IPv4, consultez Passerelle IPv4.
Vous pouvez également gérer les tables de routage de passerelle en appelant les opérations d'API suivantes :