Este tópico descreve como usar uma política de roteamento para restringir a comunicação entre instâncias de Virtual Private Cloud (VPC) conectadas a uma instância do Cloud Enterprise Network (CEN).
Pré-requisitos
Este tópico se aplica apenas a roteadores de trânsito da Basic Edition.
Você criou uma instância do Cloud Enterprise Network (CEN). Para mais informações, consulte Criar uma instância CEN.
Você conectou suas instâncias de VPC à instância do CEN. Para mais informações, consulte Usar um roteador de trânsito da Basic Edition para criar uma conexão de VPC.
Informações de fundo
Por padrão, todas as instâncias de rede conectadas à mesma instância do Cloud Enterprise Network (CEN), como Virtual Private Clouds (VPCs), Virtual Border Routers (VBRs) e instâncias do Cloud Connect Network (CCN), podem se comunicar entre si. No entanto, em alguns cenários, talvez seja necessário restringir essa comunicação.
Conforme mostrado na figura anterior, VPC1, VPC2 e VPC3 estão conectadas à mesma instância do CEN. Por padrão, essas três VPCs conseguem se comunicar livremente. Caso precise bloquear o tráfego entre VPC1 e VPC2, utilize políticas de roteamento para restringir a comunicação entre elas. Após aplicar essa configuração, a comunicação continua permitida entre VPC1 e VPC3, bem como entre VPC2 e VPC3.
Etapa 1: Bloquear tráfego de VPC1 para VPC2
Faça login no console do Cloud Enterprise Network.
Na página CEN Instance, localize a instância CEN desejada e clique em seu ID.
Na página de detalhes da instância CEN, localize o roteador de trânsito na região de destino e clique no ID do roteador.
Na página de detalhes do roteador de trânsito, clique na aba Route Table e, em seguida, clique em Route Maps.
-
Na página Route Maps, clique em Add Route Map. Configure a política de roteamento com as definições abaixo e clique em OK.
Policy Priority: Insira 20. Um valor menor indica maior prioridade.
Region: Selecione China (Hangzhou).
Policy Direction: Selecione RegionOut.
Match Condition: Defina a lista de IDs de instância de origem com o ID da instância VPC1 e a lista de IDs de instância de destino com o ID da instância VPC2.
Policy Action: Selecione Deny.
Após adicionar a política, verifique sua eficácia. Na aba Network Instance Route Table, selecione a instância de rede VPC1. Localize a entrada de rota para 192.168.0.0/24. O Route Type deve ser CEN e o status Reject. Isso confirma que a política está ativa e bloqueia o tráfego de VPC1 para VPC2.
Etapa 2: Bloquear tráfego de VPC2 para VPC1
No painel de navegação à esquerda, clique em CEN Instance.
Na página CEN Instance, localize a instância CEN desejada e clique em seu ID.
Na página de detalhes da instância CEN, localize o roteador de trânsito na região de destino e clique no ID do roteador.
Na página de detalhes do roteador de trânsito, clique na aba Route Table e, em seguida, clique em Route Maps.
-
Na página Route Maps, clique em Add Route Map. Configure a política de roteamento com as definições abaixo e clique em OK.
Policy Priority: Insira 50. Um valor menor indica maior prioridade.
Region: Selecione China (Hangzhou).
Policy Direction: Selecione RegionOut.
Match Condition: Defina a lista de IDs de instância de origem com o ID da instância VPC2 e a lista de IDs de instância de destino com o ID da instância VPC1.
Policy Action: Selecione Deny.
Após adicionar a política, verifique sua eficácia. Na aba Network Instance Route Table, selecione a instância de rede VPC2. O status da entrada de rota para 172.16.0.0/24 deve aparecer como Reject. Isso confirma que a política está funcionando corretamente.
Etapa 3: Testar conectividade de rede
Faça login na instância ECS1 na VPC1.
-
Use o comando ping para testar o endereço IP da instância ECS2 na VPC2 e verificar se a comunicação ocorre normalmente.
O teste de ping falha. Isso confirma que a instância ECS1 não consegue acessar a instância ECS2.
[root@xxx ~]# ping 192.168.0.1 PING 192.168.0.1 (192.168.0.1) 56(84) bytes of data. ^C --- 192.168.0.1 ping statistics --- 17 packets transmitted, 0 received, 100% packet loss, time 15999ms Faça login na instância ECS2 na VPC2.
-
Use o comando ping para testar o endereço IP da instância ECS1 na VPC1 e verificar a conectividade.
O teste de ping falha. Isso confirma que a instância ECS2 não consegue acessar a instância ECS1.
[root@xxx ~]# ping 172.16.0.1 PING 172.16.0.1 (172.16.0.1) 56(84) bytes of data. ^C --- 172.16.0.1 ping statistics --- 6 packets transmitted, 0 received, 100% packet loss, time 5000ms
Faça login na instância ECS1 na VPC1.
-
Execute o comando ping para testar o endereço IP da instância ECS3 na VPC3 e verificar a conectividade.
O teste de ping é bem-sucedido. Isso confirma que a instância ECS1 consegue acessar a instância ECS3.
C:\Users\Administrator>ping 10.0.0.1 Pinging 10.0.0.1 with 32 bytes of data: Reply from 10.0.0.1: bytes=32 time<1ms TTL=128 Reply from 10.0.0.1: bytes=32 time<1ms TTL=128 Reply from 10.0.0.1: bytes=32 time<1ms TTL=128 Reply from 10.0.0.1: bytes=32 time<1ms TTL=128 Ping statistics for 10.0.0.1: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms Faça login na instância ECS3 na VPC3.
-
Use o comando ping para testar o endereço IP da instância ECS1 na VPC1 e verificar se a comunicação ocorre normalmente.
O teste de ping é bem-sucedido. Isso confirma que a instância ECS3 consegue acessar a instância ECS1.
C:\Users\Administrator>ping 172.16.0.1 Pinging 172.16.0.1 with 32 bytes of data: Reply from 172.16.0.1: bytes=32 time<1ms TTL=128 Reply from 172.16.0.1: bytes=32 time<1ms TTL=128 Reply from 172.16.0.1: bytes=32 time<1ms TTL=128 Reply from 172.16.0.1: bytes=32 time<1ms TTL=128 Ping statistics for 172.16.0.1: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms
Faça login na instância ECS2 na VPC2.
-
Use o comando ping para testar o endereço IP da instância ECS3 na VPC3 e verificar a conectividade de rede.
O teste de ping é bem-sucedido. Isso confirma que a instância ECS2 consegue acessar a instância ECS3.
Faça login na instância ECS3 na VPC3.
-
Execute o comando ping para testar o endereço IP da instância ECS2 na VPC2 e verificar a conectividade.
O teste de ping é bem-sucedido. Isso confirma que a instância ECS3 consegue acessar a instância ECS2.
C:\Users\Administrator>ping 192.168.0.1 Pinging 192.168.0.1 with 32 bytes of data: Reply from 192.168.0.1: bytes=32 time<1ms TTL=128 Reply from 192.168.0.1: bytes=32 time<1ms TTL=128 Reply from 192.168.0.1: bytes=32 time<1ms TTL=128 Reply from 192.168.0.1: bytes=32 time<1ms TTL=128 Ping statistics for 192.168.0.1: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms