Cloud Firewall:FAQ tentang pengaturan Cloud Firewall

• Mengapa saya tidak dapat mengaktifkan Cloud Firewall untuk akun saya?

• Bagaimana cara menonaktifkan Cloud Firewall?

• Apa yang terjadi jika lalu lintas jaringan saya melebihi bandwidth edisi Cloud Firewall saya?

• Internet firewall

  • Apa dampak dari mengaktifkan firewall?

  • Apa tujuan internet firewall?

  • Apakah internet firewall melindungi aset IPv6?

  • Apakah internet firewall memengaruhi lalu lintas jaringan?

  • Apa dampak dari menonaktifkan internet firewall?

  • Mengapa saya menerima error pembatasan jaringan terkait SLB saat mengaktifkan internet firewall?

  • Mengapa beberapa aset alamat IP publik tidak ditampilkan setelah saya menyinkronkan aset di Edisi Gratis?

  • Bagaimana lalu lintas keluar dicocokkan ketika internet firewall, NAT firewall, dan DNS firewall semuanya diaktifkan?

  • Bagaimana cara mengaktifkan dan mengonfigurasi kebijakan kontrol akses untuk internet firewall secara efisien?

  • Mengapa status aset untuk internet firewall menunjukkan "Protection abnormal"?

• NAT firewall

  • Apa dampak dari mengaktifkan firewall?

  • Mengapa NAT firewall membuat tabel rute dan menambahkan rute statis 0.0.0.0/0?

  • Bagaimana lalu lintas keluar dicocokkan ketika internet firewall, NAT firewall, dan DNS firewall semuanya diaktifkan?

  • Mengapa saya masih dapat menggunakan perintah telnet setelah mengonfigurasi kebijakan kontrol akses untuk NAT firewall?

  • Mengapa sebagian lalu lintas dari router transit melewati NAT firewall yang telah saya konfigurasi?

• VPC firewall

  • Apa dampak dari mengaktifkan firewall?

  • Apakah aturan security group ECS terpengaruh jika saya mengaktifkan VPC firewall?

  • Mengapa saya diminta bahwa terdapat instance jaringan yang tidak sah saat membuat VPC firewall?

  • Setelah saya mengaktifkan VPC firewall untuk router transit Edisi Dasar, mengapa kebijakan rute deny ditambahkan?

Dampak mengaktifkan firewall

Bagaimana cara menonaktifkan Cloud Firewall?

Jika layanan Anda tidak lagi memerlukan perlindungan Cloud Firewall, Anda dapat melepaskan instans untuk menghindari biaya lebih lanjut.

Mengapa saya tidak dapat mengaktifkan Cloud Firewall untuk akun saya?

Apa tujuan internet firewall?

Internet firewall dapat melindungi berbagai jenis aset publik, seperti alamat IP publik dari instance ECS, instance SLB, dan EIP. Setelah Anda mengaktifkan internet firewall, lalu lintas jaringan ke dan dari aset-aset ini di perbatasan internet dialihkan ke Cloud Firewall. Cloud Firewall memeriksa dan menyaring lalu lintas tersebut, hanya mengizinkan lalu lintas yang memenuhi kondisi tertentu untuk dilewatkan. Untuk informasi lebih lanjut, lihat Internet firewall.

Apakah internet firewall melindungi aset IPv6?

Ya. Mulai 8 Januari 2025, Cloud Firewall sepenuhnya mendukung perlindungan aset IPv6.

• Pengumuman terkait: [Announcement] Commercial launch of public IPv6 support for subscription and pay-as-you-go Cloud Firewall

• Untuk prinsip detail dan jenis aset, lihat How the internet firewall works.

Untuk cakupan aset yang dapat dilindungi oleh internet firewall, lihat Protection scope.

Apakah internet firewall memengaruhi network traffic?

Jika Anda hanya mengaktifkan internet firewall tanpa mengonfigurasi kebijakan access control atau intrusion prevention apa pun, Cloud Firewall hanya memeriksa dan menghasilkan peringatan untuk lalu lintas jaringan. Firewall tidak memblokir lalu lintas apa pun.

Saat Anda membeli Cloud Firewall, internet firewall diaktifkan secara default untuk semua aset.

Apa dampak dari menonaktifkan internet firewall?

Jika Anda menonaktifkan internet firewall, seluruh lalu lintas jaringan melewatinya, yang berakibat sebagai berikut:

• Fitur perlindungan internet firewall menjadi tidak aktif. Ini mencakup kebijakan kontrol akses untuk lalu lintas inbound dan outbound di perbatasan internet serta Pencegahan Intrusi.

• Statistik lalu lintas untuk perbatasan internet, termasuk laporan analisis lalu lintas jaringan dan log, tidak lagi dihasilkan.

Error pembatasan jaringan SLB saat mengaktifkan internet firewall

Mengapa IP publik hilang setelah menyinkronkan aset di Edisi Gratis?

Cloud Firewall Edisi Gratis hanya dapat menyinkronkan aset EIP. Aset yang baru ditambahkan muncul di Cloud Firewall setelah penundaan 24 jam (hari T+1). Edisi ini tidak dapat menyinkronkan alamat IP publik dari instance ECS atau SLB.

Mengapa status aset internet firewall 'Protection abnormal'?

Apakah mengaktifkan VPC firewall memengaruhi aturan security group ECS?

Tidak.

Saat Anda mengaktifkan VPC firewall, Cloud Firewall secara otomatis membuat security group bernama Cloud_Firewall_Security_Group dan kebijakan allow terkait untuk mengizinkan lalu lintas melewati VPC firewall. Security group ini hanya mengelola lalu lintas dalam VPC tersebut. Aturan security group ECS yang sudah ada tetap berlaku.

Mengapa muncul error 'instance jaringan tidak sah' saat membuat VPC firewall?

Kebijakan rute deny untuk router transit Edisi Dasar

Setelah Anda mengaktifkan VPC firewall untuk VPC (misalnya, VPC-test) yang terhubung melalui router transit Edisi Dasar, Cloud Firewall membuat VPC baru bernama Cloud_Firewall_VPC di bawah router transit tersebut. Firewall juga mengiklankan rute statis untuk mengalihkan lalu lintas dari VPC lain yang tidak dilindungi di bawah router transit yang sama ke Cloud Firewall.

Pada saat yang sama, Cloud Firewall menambahkan rute statis dalam VPC-test yang mengarah ke antarmuka jaringan elastis (ENI) firewall, mengalihkan lalu lintas keluar dari VPC-test ke firewall. Firewall juga membuat kebijakan rute deny untuk mencegah VPC-test mempelajari rute yang diiklankan oleh instans CEN.

Mengapa NAT firewall membuat tabel rute dan rute 0.0.0.0/0

Saat Anda mengaktifkan NAT firewall, Cloud Firewall secara otomatis membuat tabel rute kustom bernama Cloud_Firewall_ROUTE_TABLE dan menambahkan rute 0.0.0.0/0 yang mengarah ke gerbang NAT. Firewall juga memodifikasi entri rute 0.0.0.0/0 di tabel rute sistem, mengubah lompatan berikutnya (next hop) menjadi antarmuka jaringan elastis (ENI) firewall. Hal ini memastikan bahwa lalu lintas keluar dari gerbang NAT dialihkan ke Cloud Firewall.

Pencocokan outbound traffic dengan beberapa firewall

Saat instance ECS memulai permintaan lalu lintas keluar ke domain dan ketiga firewall diaktifkan, lalu lintas tersebut dicocokkan sebagai berikut:

1. Instance ECS mengirim permintaan DNS, yang melewati DNS firewall dan dicocokkan dengan kebijakan kontrol aksesnya.

2. Lalu lintas jaringan pribadi dari instance ECS melewati NAT firewall dan dicocokkan dengan kebijakan kontrol aksesnya.

3. Lalu lintas pribadi yang diizinkan melewati gerbang NAT, yang menerjemahkan alamat IP sumber pribadi menjadi alamat IP publik.

4. Gerbang NAT mengirim lalu lintas publik ke internet firewall, di mana lalu lintas tersebut dicocokkan dengan kebijakan kontrol akses internet firewall.

5. Lalu lintas tersebut kemudian dicocokkan dengan aturan intelijen ancaman, perlindungan dasar, pertahanan cerdas, dan pembenahan virtual Cloud Firewall.

Jika lalu lintas tidak cocok dengan kebijakan deny selama proses ini, lalu lintas berhasil mencapai domain tersebut. Jika lalu lintas cocok dengan kebijakan deny apa pun, lalu lintas tersebut diblokir dan tidak dapat mengakses domain tersebut.

Mengapa telnet masih berfungsi setelah mengonfigurasi kebijakan NAT firewall?

EIP dikaitkan dengan entri SNAT, NAT firewall diaktifkan, dan kebijakan kontrol akses dikonfigurasi untuk mengizinkan instance ECS mengakses domain tertentu hanya melalui TCP menggunakan HTTP atau HTTPS. Namun, instance ECS masih dapat menggunakan perintah telnet untuk mengakses domain lain.

• Penyebab: Saat Anda menguji dengan perintah telnet, perintah tersebut tidak memiliki fitur protokol lapisan aplikasi (seperti HTTP atau HTTPS). Akibatnya, Deep Packet Inspection (DPI) Cloud Firewall tidak dapat mengidentifikasi aplikasi spesifik, dan aplikasi tersebut diberi label "Unknown." Lalu lintas ini tidak cocok dengan kebijakan HTTP atau HTTPS. Dalam mode longgar, saat mencocokkan kebijakan aplikasi atau domain, Cloud Firewall secara default mengizinkan lalu lintas dengan aplikasi atau domain yang tidak teridentifikasi. Untuk memastikan lalu lintas tersebut dicocokkan dengan kebijakan berikutnya, Anda harus mengaktifkan mode ketat.

  Penting

  Mode ketat adalah pengaturan global. Mengaktifkannya akan memengaruhi logika pencocokan untuk seluruh lalu lintas. Harap berhati-hati sesuai kebutuhan bisnis Anda.

• Solusi: Kami tidak menyarankan menggunakan telnet untuk pengujian. Gunakan perintah curl sebagai gantinya.

Mengapa sebagian traffic router transit melewati NAT firewall?

Masalah ini biasanya terjadi ketika koneksi VPC dari router transit (TR) dikaitkan dengan vSwitch khusus yang dibuat secara otomatis oleh NAT firewall.

Cara kerjanya:

NAT firewall bergantung pada konfigurasi rute tertentu untuk mengelola lalu lintas. Dalam pengaturan standar, prosesnya sebagai berikut:

1. Pengalihan lalu lintas layanan: Tabel rute vSwitch layanan di VPC Anda mengarahkan lalu lintas yang menuju internet ke NAT firewall sebagai next hop. Hal ini memastikan seluruh lalu lintas menjalani pemeriksaan keamanan terlebih dahulu.

2. Penerusan lalu lintas firewall: Setelah NAT firewall memeriksa lalu lintas, tabel rute vSwitch khususnya meneruskan lalu lintas ke gerbang NAT sebagai next hop, yang kemudian mengirimnya ke internet.

Dampak konfigurasi salah
Jika Anda mengaitkan titik koneksi TR ke vSwitch khusus NAT firewall, lalu lintas yang menuju internet dari TR akan langsung memasuki vSwitch ini. Lalu lintas tersebut akan mencocokkan entri rute yang next hop-nya adalah gerbang NAT, sehingga melewati pemeriksaan keamanan NAT firewall. Hal ini menyebabkan sebagian lalu lintas tidak terpantau.

Konfigurasi yang direkomendasikan
Untuk memastikan seluruh lalu lintas yang menuju internet diproses oleh NAT firewall, ikuti praktik terbaik berikut:

• Isolasi vSwitch: vSwitch khusus NAT firewall tidak boleh digunakan untuk tujuan lain, termasuk sebagai titik koneksi untuk TR.

• Perencanaan independen: Alokasikan vSwitch terpisah dan khusus untuk koneksi VPC TR.

• Verifikasi rute: Pastikan semua tabel rute terkait, termasuk yang dikaitkan dengan vSwitch koneksi TR, dikonfigurasi dengan benar untuk mengarahkan rute yang menuju internet ke NAT firewall sebagai next hop.

Bagaimana cara mengaktifkan dan mengonfigurasi kebijakan kontrol akses batas internet Cloud Firewall secara efisien?

VPC firewall untuk TR Edisi Perusahaan: perbedaan versi

Cloud Firewall telah menyesuaikan beberapa fungsi VPC firewall untuk router transit Edisi Perusahaan. Untuk firewall yang dibuat dengan pengalihan lalu lintas otomatis, kepemilikan VPC firewall telah berubah dari akun Anda ke akun layanan terkelola. Perbedaan utamanya sebagai berikut:

1. Kepemilikan VPC firewall: Di versi baru, VPC firewall tidak lagi dimiliki oleh akun Anda, melainkan oleh akun latar belakang Cloud Firewall. Anda tidak dapat melihat atau mengubah sumber daya dan konfigurasi VPC firewall tersebut. VPC firewall juga tidak mengonsumsi kuota VPC regional Anda.

2. Penagihan: Di arsitektur lama, Anda dikenai biaya transfer lalu lintas antara router transit dan VPC layanan Anda, serta antara router transit dan VPC firewall. Di versi baru, karena VPC firewall dimiliki oleh Cloud Firewall, biaya transfer lalu lintas antara router transit dan VPC firewall juga ditanggung oleh Cloud Firewall.

3. Mengaktifkan VPC firewall: Saat membuat VPC firewall, Anda tidak perlu lagi memasukkan tiga Blok CIDR vSwitch. Anda hanya perlu memasukkan satu Blok CIDR minimal /27 yang tidak bertentangan dengan paket jaringan Anda. Blok CIDR ini akan digunakan untuk mengalokasikan vSwitch yang diperlukan selama pembuatan firewall. Untuk mengonfigurasi VPC firewall Edisi Perusahaan, lihat Configure a VPC firewall for an Enterprise Edition transit router.

Apakah terdapat latensi dengan VPC firewall?

Ya.

VPC firewall menambahkan latensi 4 hingga 8 ms untuk lalu lintas antar zona dalam wilayah yang sama dan 2 hingga 3 ms untuk lalu lintas dalam zona yang sama.