FAQ about enabling or disabling cloud Firewall - Cloud Firewall: Central de Documentação do Alibaba Cloud

Why can't I ative cloud Firewall for my account?
How do I disable cloud Firewall?
What happens if my traffic exceeds the bandwidth of my cloud Firewall edition?
Firewall de internet
Firewall nat
Firewall VPC

Impacto da ativação de um firewall

Tipo de firewall	Impacto
Firewall de internet	A criação, ativação ou desativação de um firewall de internet não altera a topologia da sua rede. Você pode adicionar ou remover a proteção de ativos em segundos, sem gerar impacto nos seus service.
Firewall nat	A criação ou exclusão de um firewall nat não impacta os seus service. O tempo de criação depende da quantidade de endereços ip elásticos (EIPs) associados ao nat gateway. Cada EIP adicional adiciona aproximadamente de 2 a 5 minutos ao tempo de criação. A ativação ou desativação de um firewall nat leva cerca de 10 segundos. Durante esse processo, conexões de longa duração podem sofrer uma breve interrupção de 1 a 2 segundos. Conexões de curta duração não são afetadas.
Firewall VPC para Express Connect Firewall VPC para um transit router da Basic Edition	A criação ou exclusão de um firewall VPC não impacta os seus service. A criação leva aproximadamente 5 minutos. A ativação ou desativação de um firewall VPC leva de 5 a 30 minutos, dependendo da quantidade de entradas de rota. Durante esse processo, conexões de longa duração podem sofrer breves interrupções. Conexões de curta duração não são afetadas. Nota Antes de ative um firewall VPC, verifique se a sua aplicação suporta retransmissão automática de tcp. Monitore de perto o status de conexão da sua aplicação para evitar interrupções caso ela não possua um mecanismo de retransmissão.
Firewall VPC para um transit router da Enterprise Edition	Redirecionamento automático de tráfego A criação ou exclusão de um firewall VPC não impacta os seus service. A criação leva aproximadamente 5 minutos. A ativação ou desativação de um firewall VPC leva de 5 a 30 minutos, dependendo da quantidade de entradas de rota. Esse processo não gera impacto nos seus service. Redirecionamento manual de tráfego A criação ou exclusão de um firewall VPC não impacta os seus service. A criação leva aproximadamente 5 minutos. Ao ative ou desativar um firewall VPC, a duração do impacto no service varia de acordo com o método de alternância de tráfego.

Como desativar o cloud Firewall?

Se os seus service não precisarem mais da proteção do cloud Firewall, você pode release an instance para evitar cobranças adicionais.

Como lidar com excessos de tráfego

Se o tráfego do seu service exceder a especificação de largura de banda adquirida, o acordo de nível de service (SLA) não será garantido. Esse excesso pode causar degradação do service, o que inclui, mas não se limita a: resources de segurança desativados, como controle de acesso, IPS e Log Audit; bypass de firewall para ativos de alto tráfego; e perda de pacotes por limitação de taxa.

Se você prevê que o tráfego excederá o limite adquirido, use o recurso subscription elastic traffic pay-as-you-go.
Para obter informações sobre como solucionar problemas de tráfego incomum, consulte Troubleshoot unusual traffic on the Internet border.
Para obter informações sobre como atualizar sua largura de banda, consulte Subscription expiration and renewal.

Por que não consigo ative o cloud Firewall para a minha conta?

Causa

Ao fazer login no cloud Firewall console, a mensagem Your account cannot be used to activate Cloud Firewall. é exibida. Isso pode ocorrer pelos seguintes motivos:

Sua conta Alibaba Cloud é uma conta de membro gerenciada por outra conta Alibaba Cloud.
Você é um usuário RAM sem as permissões necessárias.

Solução

Passe o mouse sobre a sua foto de perfil no canto superior direito do console para verifique o tipo da sua conta.

Se a conta for uma conta Alibaba Cloud:

Você deve usar a conta de administrador que gerencie centralmente esta conta de membro para fazer login no cloud Firewall console, ative o service e, em seguida, ative a proteção para os ativos de cloud da conta de membro. Para mais informações, consulte Purchase cloud Firewall.
Se a conta for um usuário RAM (subconta), você deve usar a conta Alibaba Cloud pai (conta principal) para conceder as permissões createSlr, AliyunYundunCloudFirewallReadOnlyAccess e AliyunYundunCloudFirewallFullAccess ao usuário RAM. Para mais informações, consulte gerencie RAM user permissions.

Neste caso, createSlr é uma política de permissão personalizada. Você deve crie essa política. O script é o seguinte. Para mais informações, consulte crie a custom permission policy.
```
{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:166032244439****:role/*",
            "Effect": "Deny",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": [
                        "cloudfw.aliyuncs.com"
                    ]
                }
            }
        }
    ],
    "Version": "1"
}
```
Nota
O formato do parâmetro Resource é acs:ram::ID da conta Alibaba Cloud:role/, onde ID da conta Alibaba Cloud é o ID da conta raiz que possui o usuário RAM.

Falhas na ativação do firewall

Mensagem de erro	Solução
Sua instância do cloud Enterprise Network (CEN) não está associada a uma VPC entre contas, o cloud Firewall não está autorizado a acessar a VPC entre contas ou a sua edição do cloud Firewall não é a Ultimate Edition.	Use a conta correspondente para fazer login no cloud Firewall e conceda as permissões necessárias antes de ative o firewall VPC. Para mais informações sobre autorização, consulte Authorize cloud Firewall to access cloud resources. Para atualizar para a Ultimate Edition do cloud Firewall, consulte Renewal.
A instância CEN para a qual você deseja ative um firewall contém uma VPC conectada ao Express Connect e que já possui um firewall ativado.	Para obter assistência técnica, envie um .
A região onde a VPC na instância CEN reside não é suportada pelo firewall VPC.	Para mais informações, consulte Supported regions.
Já existe um firewall criado no modo manual na mesma região da instância CEN.	Para obter assistência técnica, envie um .
A instância CEN possui apenas uma instância de rede ou nenhuma VPC.	Não é possível crie uma instância do cloud Firewall se a instância CEN não tiver VPCs ou tiver apenas uma VPC. Adicione mais VPCs à instância CEN e tente novamente.
O número de VPCs para as quais um firewall pode ser ativado na mesma região atingiu a cota.	Recomendamos o uso de um transit router CEN. Para mais informações, envie um para obter assistência técnica.
A conta gerenciadora da instância CEN entre contas não adquiriu o cloud Firewall.	Use a conta gerenciadora para adquirir o cloud Firewall.
O número de rotas personalizadas para a instância VPC excede a cota.	acesse o VPC console e escolha O&M and Monitoring > Quota Management. Na página Quota Management, aumente a cota de rotas personalizadas para a tabela de rotas da sua conta.
A cota do firewall VPC está cheia.	Recomendamos que você aumente a sua cota de firewall.
Foi detectada uma configuração duplicada de bloco CIDR. Apenas blocos CIDR de virtual border routers (VBRs) podem ser duplicados. Blocos CIDR de VPCs diferentes ou de uma VPC e um VBR não podem ser duplicados.	Para obter assistência técnica, envie um .
A cota para prioridades de rotas baseadas em políticas é insuficiente.	Para obter assistência técnica, envie um .
A instância CEN contém políticas de rota do tipo Deny, excluindo políticas de rota padrão do sistema com prioridade 5000.	Recomendamos que você exclua as políticas de rota relevantes ou envie um para obter assistência técnica.
O número de VPCs em uma região deve ser menor que a cota de VPC, pois o firewall VPC consome um espaço da cota.	Se a cota estiver cheia, acesse o VPC console e selecione a página Quota Management para aumentar a cota de VPC. Se a cota de VPC não puder ser aumentada, envie um para obter assistência técnica.
Os blocos CIDR anunciados da instância CEN contêm intervalos de ips públicos, excluindo 0.0.0.0/0. Isso pode fazer com que o acesso unidirecional ao SLB cause desconexões.	Para obter assistência técnica, envie um .
Falha ao verifique rotas que apontam para um border router (BR).	Para obter assistência técnica, envie um .
Uma VPC na instância CEN possui uma tabela de rotas personalizada vinculada a um vSwitch.	Você pode exclua a tabela de rotas personalizada relevante ou desvincular o vSwitch da tabela de rotas personalizada.
A ativação do firewall para a instância CEN fará com que o número de rotas exceda a cota.	Recomendamos que você reduza o número de rotas anunciadas para 100 ou menos, ou atualize para a arquitetura CEN-TR. Se necessário, envie um para obter assistência técnica.
A região onde o transit router está localizado não é suportada.	A região onde o transit router na instância CEN reside não é suportada pelo firewall VPC. Para mais informações, consulte Supported regions.
O transit router possui uma conexão VPN.	Para obter assistência técnica, envie um .
A tabela de rotas do transit router contém uma lista de prefixos.	Recomendamos que você anuncie rotas na VPC em vez de usar uma lista de prefixos.
A tabela de rotas do transit router contém uma rota blackhole.	Para obter assistência técnica, envie um .
A tabela de rotas do transit router contém uma rota estática.	Recomendamos que você anuncie rotas na VPC em vez de usar uma rota estática.
A tabela de rotas do transit router possui um conflito de rotas.	Recomendamos que você verifique se há rotas negadas que possam estar causando o conflito.
A tabela de rotas do transit router possui um conflito de política de rota do sistema.	verifique se os tipos de instância de source e destino nas condições de correspondência da política de rota do sistema com prioridade 5000 incluem CEN, VBR, VPN ou ECR. Caso contrário, envie um para obter assistência técnica.
A tabela de rotas do transit router contém uma rota IPv6.	Atualmente, isso não é suportado pelo cloud Firewall.
O firewall VPC não está ativado para a edição de pagamento conforme o uso do cloud Firewall.	acesse o cloud Firewall console para ative o firewall VPC. Para mais informações, consulte Pay-as-you-go 2.0.
A edição atual do cloud Firewall não suporta o firewall VPC.	Recomendamos que você atualize a sua edição do cloud Firewall. Para mais informações, consulte Upgrade and downgrade.
A sincronização de ativos para o firewall VPC não foi concluída.	acesse o cloud Firewall console. No painel de navegação à esquerda, escolha Firewall > VPC firewall. Na página VPC firewall, clique em Synchronize Assets e aguarde de 5 a 10 minutos.

Qual é a finalidade do firewall de internet?

O firewall de internet pode proteger vários tipos de ativos públicos, como os endereços ip públicos de instâncias ecs, instâncias SLB e EIPs. Após ative o firewall de internet, o tráfego de entrada e saída desses ativos na borda da internet é encaminhado para o cloud Firewall. O cloud Firewall inspeciona e filtra o tráfego, permitindo apenas a passagem do tráfego que atende às condições especificadas. Para mais informações, consulte Internet firewall.

O firewall de internet protege ativos IPv6?

Sim. A partir de 8 de janeiro de 2025, o cloud Firewall suporta totalmente a proteção de ativos IPv6.

Anúncio relacionado: [[Announcement] Commercial launch of public IPv6 support for subscription and pay-as-you-go cloud Firewall](t2841574.xdita#)
Para princípios detalhados e tipos de ativos, consulte How the internet firewall works.

Para o escopo de ativos que o firewall de internet pode proteger, consulte Protection scope.

O firewall de internet afeta o tráfego de rede?

Se você apenas ative o firewall de internet sem configure nenhuma política de controle de acesso ou prevenção de intrusões, o cloud Firewall apenas inspecionará e gerará alertas para o tráfego. Ele não bloqueia nenhum tráfego.

Ao adquirir o cloud Firewall, o firewall de internet é ativado por padrão para todos os ativos.

Qual é o impacto de desativar o firewall de internet?

Se você desativar o firewall de internet, todo o tráfego o contornará, o que gera as seguintes consequências:

Os resources de proteção do firewall de internet ficam inativos. Isso inclui políticas de controle de acesso para tráfego de entrada e saída na borda da internet e prevenção de intrusões.
As estatísticas de tráfego para a borda da internet, incluindo relatórios de análise de tráfego de rede e logs, deixam de ser geradas.

Erro de restrição de rede do SLB ao ative o firewall de internet

Causa

Ao ative o firewall de internet, você pode ver a mensagem: You cannot enable a firewall for the ip address because the network of the SLB instance does not support this operation. Isso pode ocorrer se o ativo SLB tiver apenas um endereço ip privado, que não suporta a proteção do cloud Firewall.

Solução

Para ativos que possuem apenas um endereço ip privado, você pode ative a proteção do cloud Firewall associando um EIP ao ativo para redirecionar seu tráfego para o firewall. Para mais informações, consulte Associate and gerencie an EIP for an internal-facing CLB instance.

Por que os ips públicos estão ausentes após a sincronização de ativos na Free Edition?

A Free Edition do cloud Firewall pode sincronizar apenas ativos EIP. Ativos recém-adicionados aparecem no cloud Firewall após um atraso de 24 horas (dia T+1). Ela não pode sincronizar endereços ip públicos de instâncias ecs ou SLB.

Por que o status de um ativo do firewall de internet é 'Protection abnormal'?

Causa

O ativo fazia parte de uma migração de rede clássica para VPC.
Quando uma instância de Classic Load Balancer (CLB) voltada para o público foi liberada, seu endereço ip público foi convertido em um EIP e retido.

Solução

Clique em Disable e, em seguida, em Enable para restaurar o status normal.

A ativação de um firewall VPC afeta as regras do grupo de segurança do ecs?

Não.

Ao ative um firewall VPC, o cloud Firewall crie automaticamente um grupo de segurança chamado Cloud_Firewall_Security_Group e uma política de permissão correspondente para permitir que o tráfego passe pelo firewall VPC. Esse grupo de segurança gerencie apenas o tráfego dentro daquela VPC. As regras existentes do seu grupo de segurança do ecs permanecem efetivas.

Por que ocorre um erro de 'unauthorized network instance' ao crie um firewall VPC?

Causa

Sua instância CEN contém uma VPC que pertence a outra conta Alibaba Cloud, e essa conta não autorizou o cloud Firewall a acessar seus recursos de cloud.

Solução

Faça login no cloud Firewall console com a conta Alibaba Cloud não autorizada e siga as instruções na tela para autorizar a função de service do cloud Firewall. Para mais informações, consulte Authorize cloud Firewall to access cloud resources.

Por que não consigo selecionar uma tabela de rotas par ao crie um firewall VPC?

Causa

Não existe nenhuma conexão de peering VPC entre a VPC local e a VPC par, ou a tabela de rotas par não possui uma rota de retorno apontando para o bloco CIDR da VPC local. Nesse caso, o cloud Firewall não consegue recuperar a tabela de rotas par, então a lista suspensa Peer Route Table está vazia e não pode ser selecionada.

Solução

Para tornar a tabela de rotas par selecionável ao crie um firewall VPC, certifique-se de que as duas condições a seguir sejam atendidas:

Uma conexão de peering VPC foi estabelecida entre a VPC local e a VPC par, e seu status é Activated.
A tabela de rotas par contém uma entrada de rota cujo bloco CIDR de destino é o bloco CIDR da VPC local e cujo próximo salto é a conexão de peering VPC.

acesse a página Route Tables no VPC console para verifique a configuração de rotas. Após configure as rotas, volte para a página VPC Firewall no cloud Firewall console e clique em Sync Assets. Após a conclusão da sincronização de ativos, crie o firewall VPC novamente. A lista suspensa Peer Route Table será então preenchida com tabelas de rotas selecionáveis.

Política de rota de negação para transit routers da Basic Edition

Após ative um firewall VPC para uma VPC (por exemplo, VPC-test) conectada por meio de um transit router da Basic Edition, o cloud Firewall crie uma nova VPC chamada Cloud_Firewall_VPC sob esse transit router. Ele também anuncia uma rota estática para redirecionar o tráfego de outras VPCs não protegidas sob o mesmo transit router para o cloud Firewall.

Ao mesmo tempo, o cloud Firewall adiciona uma rota estática dentro da VPC-test que aponta para a interface de rede elástica (ENI) do firewall, redirecionando o tráfego de saída da VPC-test para o firewall. Ele também crie uma política de rota de negação para impedir que a VPC-test aprenda rotas anunciadas pela instância CEN.

Importante

Não modifique nem exclua a política de rota e a tabela de rotas descritas acima. Fazer isso interromperá o redirecionamento de tráfego do cloud Firewall e causará interrupções no service.

Por que um firewall nat crie uma tabela de rotas e uma rota 0.0.0.0/0

Ao ative um firewall nat, o cloud Firewall crie automaticamente uma tabela de rotas personalizada chamada Cloud_Firewall_ROUTE_TABLE e adiciona uma rota 0.0.0.0/0 que aponta para o nat gateway. Ele também modifique a entrada de rota 0.0.0.0/0 na tabela de rotas do sistema, alterando seu próximo salto para a interface de rede elástica (ENI) do firewall. Isso garante que o tráfego de saída do nat gateway seja redirecionado para o cloud Firewall.

Importante

Não modifique nem exclua esta tabela de rotas ou suas entradas de rota. Fazer isso interromperá o redirecionamento de tráfego do cloud Firewall e causará interrupções no service.

Correspondência de tráfego de saída com múltiplos firewalls

Quando uma instância ecs inicia uma solicitação de saída para um domínio e todos os três firewalls estão ativados, o tráfego é correspondido da seguinte forma:

A instância ecs envia uma solicitação DNS, que passa pelo firewall DNS e é correspondida com suas políticas de controle de acesso.
O tráfego de rede privada da instância ecs passa pelo firewall nat e é correspondido com suas políticas de controle de acesso.
O tráfego privado permitido passa pelo nat gateway, que traduz o endereço ip de source privado para um endereço ip público.
O nat gateway envia o tráfego público para o firewall de internet, onde é correspondido com as políticas de controle de acesso do firewall de internet.
O tráfego é então correspondido com as regras de threat intelligence, proteção básica, defesa de inteligência e correção virtual do cloud Firewall.

Se o tráfego não corresponder a nenhuma política de negação durante esse processo, ele alcança o domínio com sucesso. Se corresponder a qualquer política de negação, o tráfego será bloqueado e não poderá acessar o domínio.

Por que o telnet ainda funciona após configure uma política de firewall nat?

Um EIP está vinculado a uma entrada SNAT, um firewall nat está ativado e uma política de controle de acesso é configurada para permitir que uma instância ecs acesse um domínio específico apenas via tcp usando http ou HTTPS. No entanto, a instância ecs ainda pode usar o comando telnet para acessar outros domínios.

Causa: Ao testar com o comando telnet, ele não possui resources de protocolo de camada de aplicação (como http ou HTTPS). Como resultado, a inspeção profunda de pacotes (DPI) do cloud Firewall não consegue identificar a aplicação específica, e a aplicação é rotulada como "Unknown". Esse tráfego não corresponde à política http ou HTTPS. No loose mode, ao corresponder políticas de aplicação ou domínio, o cloud Firewall permite por padrão o tráfego com aplicações ou domínios não identificados. Para garantir que esse tráfego seja correspondido com políticas subsequentes, você deve ative o strict mode.

Importante
O strict mode é uma configuração global. Ativá-lo afetará a lógica de correspondência para todo o tráfego. Prossiga com cautela de acordo com as necessidades do seu negócio.
Solução: Não recomendamos o uso do telnet para testes. Use o comando curl em vez disso.

Por que parte do tráfego do transit router contorna o firewall nat?

Esse problema geralmente ocorre quando uma conexão VPC de um transit router (TR) está associada ao vSwitch dedicado criado automaticamente pelo firewall nat.

Como funciona:

Um firewall nat depende de configurações de rota específicas para gerencie o tráfego. Em uma configuração padrão, o processo é o seguinte:

Redirecionamento de tráfego do service: A tabela de rotas do vSwitch de service na sua VPC direciona o tráfego destinado à internet para o firewall nat como o próximo salto. Isso garante que todo o tráfego passe primeiro por uma inspeção de segurança.
Encaminhamento de tráfego do firewall: Após o firewall nat inspecionar o tráfego, a tabela de rotas do seu vSwitch dedicado encaminha o tráfego para o nat gateway como o próximo salto, que então o envia para a internet.

Impacto da configuração incorretaSe você vincular o ponto de conexão do TR ao vSwitch dedicado do firewall nat, o tráfego destinado à internet proveniente do TR entrará diretamente neste vSwitch. Esse tráfego corresponderá à entrada de rota cujo próximo salto é o nat gateway, contornando assim a inspeção de segurança do firewall nat. Isso deixa parte do tráfego sem monitoramento.

Configuração recomendadaPara garantir que todo o tráfego destinado à internet seja processado pelo firewall nat, siga estas práticas recomendadas:

Isolamento de vSwitch: O vSwitch dedicado do firewall nat não deve ser usado para outros fins, incluindo como ponto de conexão para um TR.
Planejamento independente: Aloque um vSwitch separado e dedicado para a conexão VPC do TR.
Verificação de rotas: confirme se todas as tabelas de rotas relevantes, incluindo a associada ao vSwitch da conexão do TR, estão configuradas corretamente para apontar as rotas destinadas à internet para o firewall nat como o próximo salto.

Como ative e configure de forma eficiente as políticas de controle de acesso de borda de internet do cloud Firewall?

À medida que a cloud computing se torna essencial para a transformação digital, as arquiteturas de negócios ficam mais complexas e os perímetros de segurança se tornam menos nítidos. As empresas podem usar o cloud Firewall para proteger seus perímetros de rede de cloud. No entanto, configure políticas de controle de acesso pode ser complicado se você tiver um grande número de endereços ip públicos.

O cloud Firewall fornece políticas inteligentes que analisam automaticamente o tráfego dos últimos 30 dias, bem como a forma como seus ativos de ip de cloud e service são acessados e como fazem conexões de saída. Com base nessa análise, ele sugere políticas de controle de acesso apropriadas para o firewall de internet para cada endereço ip ou domínio de destino. Isso ajuda a reduzir sua superfície de ataque na internet, bloquear endereços ip e domínios maliciosos de dentro para fora e diminuir o risco de intrusão no service.

Para obter informações sobre como implantar políticas inteligentes de controle de acesso para o firewall de internet, consulte configure access control policies for the internet firewall.

Firewall VPC para Enterprise TR: diferenças de versão

O cloud Firewall ajustou algumas funções do firewall VPC para transit routers da Enterprise Edition. Para firewalls criados com redirecionamento automático de tráfego, a propriedade da VPC do firewall mudou da sua conta para uma conta de service gerenciada. As principais diferenças são as seguintes:

Propriedade da VPC do firewall: Na nova versão, a VPC do firewall não pertence mais à sua conta, mas a uma conta em segundo plano do cloud Firewall. Você não pode visualize nem modifique os recursos e configurações da VPC do firewall. Ela também não consome a sua cota regional de VPC.
Faturamento: Na arquitetura antiga, você era cobrado pelas taxas de transferência de tráfego entre o transit router e sua VPC de service, e também entre o transit router e a VPC do firewall. Na nova versão, como a VPC do firewall é de propriedade do cloud Firewall, as taxas de transferência de tráfego entre o transit router e a VPC do firewall também são cobertas pelo cloud Firewall.
Ativação do firewall VPC: Ao crie um firewall VPC, você não precisa mais insira três blocos CIDR de vSwitch. Você só precisa insira um bloco CIDR de pelo menos /27 que não entre em conflito com o seu plano de rede. Esse bloco CIDR será usado para alocar os vSwitches necessários durante a criação do firewall. Para configure um firewall VPC da Enterprise Edition, consulte configure a VPC firewall for an Enterprise Edition transit router.

Ativando o novo firewall VPC para Enterprise TR

Importante

Requisitos: Isso suporta apenas redirecionamento automático de tráfego. A sua edição do cloud Firewall deve ser de pagamento conforme o uso ou uma edição de assinatura com o recurso de pagamento conforme o uso para tráfego elástico ativado.

Se você não criou um firewall VPC: Primeiro, ative o recurso de tráfego protegido com capacidade de burst (esta etapa pode ser ignorada para clientes de pagamento conforme o uso) e, em seguida, crie o firewall VPC.

Aviso
Você deve seguir esta ordem estritamente.
Se você já criou um firewall VPC:
- exclua os cenários de redirecionamento de tráfego e o firewall VPC existente.
- ative o recurso de tráfego protegido com capacidade de burst (esta etapa pode ser ignorada para clientes de pagamento conforme o uso).
- crie novamente o firewall VPC e os cenários de redirecionamento de tráfego.
Para obter etapas específicas sobre como ative o recurso de tráfego protegido com capacidade de burst, consulte Pay-as-you-go for elastic traffic with a subscription.

Há latência com um firewall VPC?

Sim.

Um firewall VPC adiciona de 4 a 8 ms de latência para o tráfego entre zonas diferentes na mesma região e de 2 a 3 ms para o tráfego dentro da mesma zona.