Cloud Firewall:Konfigurasikan firewall VPC untuk router transit Edisi Perusahaan

Mekanisme perlindungan

Setelah Anda mengaktifkan firewall VPC, Cloud Firewall menyaring traffic antar VPC dengan menggunakan fitur seperti deep packet inspection (DPI), Pencegahan Intrusi, Intelijen ancaman, Pembenahan virtual, dan kebijakan kontrol akses. Berdasarkan hasil pemeriksaan tersebut, Cloud Firewall menentukan apakah traffic tersebut diizinkan atau tidak, sehingga memblokir akses tidak sah dan mengamankan traffic antar aset jaringan pribadi Anda.

Gambar berikut menunjukkan contoh cara firewall VPC melindungi router transit Edisi Perusahaan.

Untuk informasi lebih lanjut mengenai cakupan perlindungan, lihat Apa itu Cloud Firewall.

Dampak terhadap bisnis Anda

Anda dapat membuat firewall VPC dan menetapkan mode pengalihan lalu lintas (otomatis atau manual) untuk melindungi aset Anda tanpa mengganggu bisnis. Proses pembuatan memerlukan waktu sekitar 5 menit. Kami menyarankan agar Anda mengaktifkan firewall VPC selama jam sepi.

Pada mode pengalihan lalu lintas otomatis, proses mengaktifkan atau menonaktifkan firewall VPC memerlukan waktu sekitar 5 hingga 30 menit, tergantung pada jumlah entri rute. Hal ini tidak memengaruhi bisnis Anda.

Pada mode pengalihan lalu lintas manual, durasi dampak terhadap bisnis saat Anda mengaktifkan atau menonaktifkan firewall VPC bergantung pada metode switching traffic yang Anda gunakan.

Batasan

• Saat Anda mengaktifkan firewall VPC, Cloud Firewall membuat instans VPC baru bernama Cloud_Firewall_VPC. Pastikan kuota VPC Anda mencukupi. Untuk informasi lebih lanjut mengenai kuota VPC, lihat Batasan dan kuota.

• Mode pengalihan lalu lintas otomatis tidak mendukung skenario berikut:

  • Tabel rute router transit Edisi Perusahaan berisi route statis, kecuali route statis ke blok CIDR 100.64.0.0/10 dan subnet-nya.

  • Menggunakan beberapa skenario pengalihan lalu lintas untuk instans VPC, VBR, dan router transit (TR) secara bersamaan.

  • Menambahkan router transit Edisi Dasar ke dalam mode pengalihan lalu lintas.

  • Router transit memiliki konflik rute.

  • VPC menggunakan fitur daftar prefiks.

• Firewall VPC tidak dapat melindungi traffic dari gateway VPN (seperti gateway IPsec-VPN atau SSL-VPN) yang terhubung langsung ke VPC. Namun, firewall VPC dapat melindungi traffic dari koneksi IPsec-VPN yang disambungkan ke router transit. Untuk informasi lebih lanjut, lihat Skenario aplikasi IPsec-VPN (disambungkan ke router transit).

• Firewall VPC tidak melindungi traffic IPv6.

• Traffic yang ditujukan ke blok CIDR layanan cloud (100.64.0.0/10) dan rute dengan subnet mask 32-bit tidak dialihkan ke firewall VPC untuk perlindungan.

• Anda harus memelihara konfigurasi berikut:

  • Kebijakan routing pada tabel rute CEN-TR. Misalnya, Anda harus mengonfigurasi dan memelihara kebijakan prioritas rute untuk VBR secara manual pada tabel rute TR firewall VPC.

  • Route statis untuk blok CIDR layanan cloud (100.64.0.0/10).

  • Pembelajaran rute pada tabel rute sistem.

Prasyarat

• Anda telah membeli Cloud Firewall Edisi Perusahaan, Edisi Ultimate, atau Pay-As-You-Go. Untuk informasi lebih lanjut, lihat Pembelian Cloud Firewall.

  Catatan

  Hanya Cloud Firewall Edisi Perusahaan, Edisi Ultimate, dan Pay-As-You-Go yang mendukung konfigurasi firewall VPC untuk router transit Edisi Perusahaan. Edisi Premium tidak mendukung fitur ini.

• Anda telah memberikan otorisasi kepada Cloud Firewall untuk mengakses sumber daya cloud Anda. Untuk informasi lebih lanjut, lihat Otorisasi Cloud Firewall untuk mengakses sumber daya cloud lainnya.

• Anda telah membeli instans CEN dan menggunakan router transit Edisi Perusahaan untuk membuat koneksi jaringan antar VPC atau antara jaringan on-premises dan cloud. Untuk informasi lebih lanjut, lihat Hubungkan jaringan on-premises dan cloud dan Hubungkan VPC lintas akun.

  Catatan

  Jika VPC dalam instans CEN Anda dimiliki oleh Akun Alibaba Cloud yang berbeda dan akun tersebut belum memberikan otorisasi kepada Cloud Firewall, Anda tidak dapat membuat firewall VPC. Untuk membuat firewall VPC, masuk ke Konsol Cloud Firewall dengan akun yang sesuai untuk memberikan otorisasi. Untuk informasi lebih lanjut, lihat Otorisasi Cloud Firewall untuk mengakses sumber daya cloud lainnya.

• Pastikan sumber daya jaringan Anda berada di wilayah yang didukung oleh firewall VPC. Jika tidak, Anda tidak dapat mengaktifkan firewall VPC. Untuk informasi lebih lanjut, lihat Wilayah yang didukung untuk produk cloud.

Prosedur

1. Masuk ke Konsol Cloud Firewall. Di panel navigasi kiri, klik Firewall.

2. Pada halaman Firewall, klik VPC Firewall.

3. Pada tab VPC Firewall, klik CEN (Enterprise Edition).

4. Temukan router transit di bawah instans CEN target, lalu klik Create pada kolom Actions.

   Jika aset yang ingin Anda lindungi tidak ada dalam daftar aset, klik Synchronize Assets untuk menyinkronkan aset dari Akun Alibaba Cloud Anda dan akun anggotanya.

   Penting

   • Automatic: Pola ini berlaku untuk instans firewall VPC yang dibuat untuk Cloud Firewall pay-as-you-go atau Cloud Firewall subscription dengan fitur elastic pay-as-you-go diaktifkan. Dalam pola ini, Cloud Firewall menanggung biaya traffic yang diproses oleh firewall VPC dan dikirim kembali ke router transit Edisi Perusahaan. Anda tidak dikenai biaya untuk traffic ini, dan traffic tersebut tidak mengurangi kuota spesifikasi VPC Anda.

   • Manual: Anda dikenai biaya traffic TR untuk traffic yang diproses oleh firewall VPC dan dikirim kembali ke router transit Edisi Perusahaan.

   Automatic (direkomendasikan)

   Pada mode otomatis, Anda dapat membuat skenario pengalihan lalu lintas untuk instans jaringan Anda berdasarkan kebutuhan bisnis. Firewall VPC secara otomatis mengonfigurasi rute pada router transit Edisi Perusahaan dan membuat antarmuka jaringan elastis untuk mengalihkan traffic ke firewall VPC.

   1. Pada panel Create VPC Firewall, konfigurasikan parameter firewall VPC seperti yang dijelaskan dalam tabel berikut. Lalu, klik Check Now. Setelah pemeriksaan selesai, klik Next.

      Parameter	Deskripsi
      Firewall Basic Information	Firewall Name: Beri nama firewall VPC. Nama ini mengidentifikasi instans firewall. Gunakan nama unik yang mencerminkan konteks bisnis Anda.
      VPC Configurations of Firewall	VPC CIDR Block of Firewall: Tetapkan blok CIDR VPC untuk Cloud Firewall. Untuk memastikan operasi yang tepat, tetapkan blok CIDR dengan subnet mask minimal /27 yang tidak bertentangan dengan paket jaringan Anda. Configure Zone: Catatan Jika zona primer dan sekunder keduanya diatur ke Default (Auto-assigned), maka digunakan mode dual-active, yang cocok untuk skenario bisnis yang tidak sensitif terhadap latensi dan mudah dikonfigurasi. Jika Anda menentukan zona primer dan sekunder, maka digunakan mode aktif-standby, yang cocok untuk skenario bisnis yang sensitif terhadap latensi dan dapat mengurangi latensi traffic. Anda dapat merujuk ke Praktik terbaik untuk migrasi zona firewall VPC untuk detail mengenai mode dual-active dan aktif-standby serta langkah-langkah migrasi. Primary Zone: Tetapkan zona primer. Cloud Firewall mendukung alokasi default zona vSwitch. Penting Jika layanan Anda sensitif terhadap latensi, kami menyarankan agar Anda menetapkan Primary Zone ke zona tempat layanan Anda dideploy untuk mengurangi latensi. Secondary Zone: Tetapkan zona sekunder. Secara default, firewall VPC meneruskan traffic melalui antarmuka jaringan elastis (ENI) di zona primer untuk efisiensi. Jika zona primer tidak tersedia, sistem secara otomatis beralih ke ENI di zona sekunder untuk memastikan kelangsungan bisnis.
      IPS	Pilih mode operasi dan kebijakan Pencegahan Intrusi untuk modul Intrusion Prevention System (IPS). IPS Mode Monitor Mode: Memantau dan menghasilkan peringatan untuk traffic berbahaya. Block Mode: Mencegat traffic berbahaya untuk memblokir intrusi. IPS Capabilities Basic Rules: Memberikan perlindungan dasar untuk aset Anda, termasuk memblokir serangan brute-force, kerentanan eksekusi perintah, dan koneksi ke server command and control (C&C) setelah infeksi. Virtual Patching: Memberikan perlindungan real-time terhadap kerentanan aplikasi berisiko tinggi yang populer. Catatan Pengaturan ini berlaku untuk semua instans jaringan di bawah instans CEN yang sama.

   2. Setelah pembuatan selesai, klik Next. Konfigurasikan skenario pengalihan lalu lintas seperti yang dijelaskan dalam tabel berikut.

      Anda juga dapat mengonfigurasi skenario pengalihan lalu lintas nanti sesuai kebutuhan bisnis Anda. Pada tab CEN (Enterprise Edition), temukan router transit target di bawah instans CEN, klik Configure Now pada kolom Firewall Status. Pada tab Traffic Redirection Scenario, klik Immediately Create Traffic Redirection Scenario, lalu klik Create Redirection Scenario untuk mengonfigurasinya.

      Parameter	Deskripsi
      Basic Information	Template Name: Nama templat pengalihan lalu lintas.
      Select a scenario	Pilih jenis skenario yang akan dikontrol dan dilindungi oleh firewall VPC. Instance-Instance: Mengontrol traffic antara dua instans jaringan. Cocok untuk topologi jaringan simple. Instance to Instances: Mengontrol traffic antara satu instans jaringan dan beberapa instans jaringan. Cocok untuk topologi jaringan bintang. Anda dapat memilih ALL untuk sub-instans pengalihan agar mengalihkan seluruh traffic ke instans pengalihan primer melalui Cloud Firewall. Ini setara dengan skenario pengalihan lalu lintas firewall VPC untuk router transit Edisi Dasar. Penting Skenario instans-ke-multi-instans tidak didukung jika tabel rute router transit berisi kebijakan rute deny kustom. Gunakan skenario interkoneksi multi-instans sebagai gantinya. Interconnected Instances: Mengontrol traffic di antara beberapa instans jaringan. Cocok untuk topologi jaringan Full Mesh. Catatan Instans jaringan adalah instans VPC, instans VBR, atau instans TR yang terhubung melalui router transit Edisi Perusahaan.
      Redirection object	Konfigurasikan Instance Type dan Instance ID untuk pengalihan lalu lintas.

      Penting

      Pada mode otomatis, jumlah VPC yang dilindungi ditentukan oleh jumlah instans jaringan (VPC, TR, dan VBR) yang dikonfigurasi dalam skenario pengalihan lalu lintas.

   3. Klik OK.

      Proses konfigurasi pengalihan lalu lintas dapat memakan waktu hingga 30 menit. Setelah proses selesai, traffic antar instans jaringan yang terhubung ke router transit akan dilindungi.

   Setelah firewall VPC dibuat, firewall tersebut secara otomatis diaktifkan. Cloud Firewall secara otomatis membuat sumber daya berikut di VPC Anda:

   • Sumber daya VPC bernama Cloud_Firewall_VPC.

     Penting

     Jangan menambahkan sumber daya bisnis lain ke Cloud_Firewall_VPC. Jika tidak, Anda tidak dapat menghapus sumber daya tersebut saat menghapus firewall VPC. Jangan mengubah atau menghapus sumber daya jaringan di VPC ini secara manual.

   • Sumber daya vSwitch bernama Cloud_Firewall_VSWITCH.

   • Entri rute kustom dengan keterangan: Created by cloud firewall. Do not modify or delete it..

   Catatan

   Setelah Anda mengaktifkan firewall VPC, jika Anda menambah atau menghapus informasi tabel rute VPC, Cloud Firewall memerlukan waktu 15 hingga 30 menit untuk mempelajari rute tersebut. Kami menyarankan agar Anda menunggu proses pembelajaran rute selesai sebelum memverifikasi efektivitas tabel rute. Jika Anda memiliki pertanyaan, kirim .

   Manual

   Pada mode manual, Anda harus membuat antarmuka jaringan elastis untuk firewall VPC pada router transit Edisi Perusahaan secara manual dan mengonfigurasi rute untuk mengalihkan traffic ke ENI. Untuk petunjuk lengkap, lihat Lindungi seluruh traffic antar VPC yang terhubung oleh router transit CEN (pengalihan lalu lintas manual), Lindungi sebagian traffic antar VPC yang terhubung oleh router transit CEN (pengalihan lalu lintas manual), dan Lindungi traffic antar VPC lintas wilayah dalam instans CEN (pengalihan lalu lintas manual).

   Penting

   Pada mode manual, Anda juga harus memilih jaringan VPC dan vSwitch yang terhubung ke instans CEN. Jika Anda memilih mode manual, Anda harus memperpanjang instans Cloud Firewall Anda sebelum masa berlakunya habis. Jika tidak, ketika layanan Cloud Firewall tidak tersedia, pengalihan lalu lintas gagal dan menyebabkan gangguan jaringan.

   1. Pada panel Create VPC Firewall, konfigurasikan firewall VPC.

      Parameter	Deskripsi
      Firewall Basic Information	Firewall Name: Masukkan nama unik dan deskriptif untuk instans firewall VPC. VPC: Konfigurasikan VPC untuk firewall. Penting VPC yang dikonfigurasi harus dimiliki oleh akun yang sama dengan CEN-TR. Jika tidak, firewall VPC tidak dapat dibuat. vSwitch: Konfigurasikan vSwitch untuk firewall.
      Intrusion prevention	Pilih mode operasi dan kebijakan Pencegahan Intrusi untuk modul IPS. IPS Mode Monitor Mode: Memantau dan menghasilkan peringatan untuk traffic berbahaya. Block Mode: Mencegat traffic berbahaya untuk memblokir intrusi. IPS Capabilities Basic Rules: Memberikan perlindungan dasar untuk aset Anda, termasuk memblokir serangan brute-force, kerentanan eksekusi perintah, dan koneksi ke server C&C. Virtual Patching: Memberikan perlindungan real-time terhadap kerentanan aplikasi berisiko tinggi yang populer. Catatan Pengaturan ini berlaku untuk semua instans jaringan di bawah instans CEN yang sama.

   2. Klik Start Creation.

   Setelah Anda mengaktifkan firewall VPC, Cloud Firewall secara otomatis menambahkan grup keamanan bernama Cloud_Firewall_Security_Group. Grup keamanan ini memiliki kebijakan allow yang telah dikonfigurasi sebelumnya (juga dikenal sebagai authorization policy) untuk mengizinkan traffic ke firewall VPC.

   Penting

   Jangan menghapus grup keamanan Cloud_Firewall_Security_Group atau kebijakan allow-nya. Melakukannya akan menyebabkan gangguan traffic.

   Peringatan

   • Setelah membuat firewall VPC, mengubah vSwitch atau tabel rute di VPC firewall dapat menyebabkan gangguan traffic.

   • Menonaktifkan atau menghapus firewall VPC untuk router transit Edisi Perusahaan dalam mode manual dapat menyebabkan gangguan traffic.

   Lakukan operasi batch atau sering-sering mengaktifkan/menonaktifkan firewall VPC selama jam sepi untuk meminimalkan dampak terhadap bisnis Anda.

Ubah konfigurasi pengalihan otomatis

Untuk memodifikasi atau menghapus konfigurasi mode pengalihan lalu lintas otomatis, temukan router transit target di bawah instans CEN, klik Details pada kolom Actions, lalu lakukan operasi berikut pada tab Traffic Redirection Scenario pada panel VPC Firewall Details.