Cloud Firewall:NAT Firewall

Mecanismo de proteção

O NAT Firewall oferece recursos como ativação com um clique, sincronização de ativos, configuração de políticas de controle de acesso para o limite NAT, análise de tráfego e auditoria de logs.

Após ative o NAT Firewall, ele inspeciona todo o tráfego de saída dos recursos de rede privada na sua VPC (incluindo recursos na mesma VPC e em VPC diferentes) que passa pelo Internet NAT Gateway associado. O NAT Firewall avalia o tráfego com base nas políticas de controle de acesso configuradas e no banco de dados integrado de inteligência contra ameaças do cloud Firewall. Ele corresponde a elementos de tráfego, como endereços de source e destino, portas, protocolos, aplicativos e domínios, para determinar se o tráfego deve ser permitido. Isso restringe o acesso não autorizado da sua rede privada à internet.

Mecanismo de redirecionamento de tráfego

Ao ative o NAT Firewall, o cloud Firewall modifique automaticamente a tabela de rotas para redirecionar todo o tráfego de saída que utiliza o Internet NAT Gateway para o cloud Firewall, visando a inspeção de segurança.

Caminho do tráfego antes de ative o NAT Firewall

Caminho do tráfego após ative o NAT Firewall

Ao ative o NAT Firewall, o cloud Firewall cria automaticamente interfaces de rede elásticas (ENIs) de interface de firewall correspondentes, com base nos EIPs associados ao Internet NAT Gateway original. Por exemplo, se o Internet NAT Gateway estiver associado a dois EIPs, o cloud Firewall criará uma ENI de entrada (eni0) e duas ENIs de saída (eni1 e eni2).

Ao ative o NAT Firewall, o cloud Firewall executa automaticamente as seguintes configurações de roteamento para inspecionar e proteger o tráfego de saída dos seus ativos de rede privada:

1. Cria um vSwitch de firewall: este vSwitch transporta o tráfego redirecionado, guiando-o dos seus ativos privados para a internet através do cloud Firewall.

2. Cria uma tabela de rotas personalizada e a associa ao vSwitch de firewall: o cloud Firewall cria automaticamente uma tabela de rotas personalizada chamada Cloud_Firewall_ROUTE_TABLE. Em seguida, adiciona uma rota estática com o destino 0.0.0.0/0 e o próximo salto apontando para o Internet NAT Gateway. Isso garante que o tráfego processado pelo cloud Firewall seja roteado corretamente de volta para o Internet NAT Gateway.

3. Adiciona entradas SNAT: o cloud Firewall adiciona entradas SNAT específicas de ENI ao Internet NAT Gateway. A ENI de source é definida como as ENIs de saída do firewall (como eni1 e eni2). Isso garante que o tráfego de saída processado pelo firewall possa passar corretamente pela tradução de endereços de source.

4. modifique a tabela de rotas do sistema: o próximo salto da rota padrão (0.0.0.0/0) na tabela de rotas do sistema é alterado do Internet NAT Gateway para a ENI de entrada do cloud Firewall (eni0).

Essas configurações de roteamento redirecionam todo o tráfego de saída que usa o Internet NAT Gateway para o cloud Firewall. O cloud Firewall então realiza a inspeção de segurança da Camada 4 à Camada 7 no tráfego, incluindo controle de acesso, correspondência de inteligência contra ameaças e defesa básica.

Impacto nos seus service

Ao ative ou desativar o NAT Firewall, o cloud Firewall executa uma troca de rota. Isso causa uma desconexão transitória de 1 a 2 segundos para conexões de longa duração. Conexões de curta duração não são afetadas. Para minimizar o impacto nos seus service, recomendamos realizar essas operações fora dos horários de pico.

• A criação de um NAT Firewall não afeta seus service. No entanto, se você optar por ative o firewall durante a criação, isso causará uma desconexão transitória de 1 a 2 segundos para conexões de longa duração. Conexões de curta duração não são afetadas.

  Nota

  O tempo necessário para criar um NAT Firewall depende do número de EIPs associados ao Internet NAT Gateway. Cada EIP adicional aumenta o tempo de criação em aproximadamente 2 a 5 minutos. Esse processo não afeta seus service.

• Desativar e, em seguida, exclua um NAT Firewall não afeta seus service.

• Se o seu tráfego exceder o limite de throughput da sua assinatura do cloud Firewall, o contrato de nível de serviço (SLA) não será garantido. Isso pode desencadear a degradação do service, como a falha de recursos de segurança (controle de acesso, IPS, auditoria de logs), a desativação do firewall para ativos que geram tráfego excessivo, ou limitação de taxa e perda de pacotes.

  Se o seu tráfego puder exceder o limite, recomendamos que você consulte Pay-as-you-go for burstable traffic of subscription instances.

Limitações

• Após ative o NAT Firewall, não altere as rotas no vSwitch do firewall nem qualquer rota cujo próximo salto seja o NAT Firewall. A modifique dessas rotas pode causar interrupções no service.

• Para adicionar um novo bloco CIDR para proteção entre VPC após ative o NAT Firewall, atualize manualmente a tabela de rotas do vSwitch do firewall. Também recomendamos atualize a rota correspondente na tabela de rotas que era usada antes da ativação do firewall. Isso evita problemas de roteamento caso o firewall seja desativado posteriormente.

• Se a sua assinatura do cloud Firewall expirar e não for renovada a tempo, o NAT Firewall será liberado automaticamente. O tráfego então reverte para a rota original de saída para a internet, o que pode causar uma breve interrupção no service.

  Para garantir a disponibilidade do service, recomendamos ative a renovação automática ou renovar sua assinatura antecipadamente. Para mais informações, consulte Subscription expiration and renewal.

• Para NAT Firewalls criados antes de 1º de setembro de 2023, a largura de banda máxima de proteção para todas as conexões de rede para o mesmo par de IP e porta de destino é de 20 Mbps. Se a largura de banda para essas conexões exceder 20 Mbps, você poderá sofrer instabilidade na rede. Para aumentar esse limite de largura de banda, recomendamos exclua e recriar o NAT Firewall.

  Os NAT Firewalls criados em ou após 1º de setembro de 2023 não possuem esse limite de largura de banda de 20 Mbps. A largura de banda de proteção deles pode chegar a até 4 Gbps.

• O NAT Firewall não protege o tráfego IPv6.

• O NAT Firewall não oferece suporte aos recursos do Sistema de Prevenção de Intrusões (IPS).

• A criação de um NAT Firewall adiciona automaticamente novas entradas SNAT. O número de novas entradas SNAT é igual ao número de EIPs associados ao Internet NAT Gateway. Não exclua nem modifique as entradas SNAT criadas pelo cloud Firewall.

• Para obter informações sobre os limites das entradas SNAT, consulte NAT Gateway quotas. Certifique-se de reservar capacidade SNAT suficiente para o NAT Firewall. O número de entradas SNAT reservadas deve ser igual ao número de EIPs associados ao Internet NAT Gateway.

Observações

• Leva de 1 a 5 minutos para que um novo Internet NAT Gateway seja sincronizado com o service NAT Firewall.

• Novos EIPs e entradas SNAT para um Internet NAT Gateway levam de 1 a 2 minutos para serem sincronizados com o NAT Firewall. Esses recursos só entram em vigor após a conclusão da sincronização.

  Alternativamente, acesse a página Firewall > Internet Firewall e clique em Synchronize Assets para sincronizar manualmente os EIPs e as entradas SNAT.

• Uma nova rota que aponta para um Internet NAT Gateway leva até 30 minutos para ser sincronizada com o NAT Firewall.

  Alternativamente, acesse a página Firewall > NAT Firewall e clique em Synchronize Assets para sincronizar manualmente a rota.

• Ao criar um NAT Firewall, o cloud Firewall executa as seguintes ações:

  • Adiciona uma rota 0.0.0.0/0 que aponta para o Internet NAT Gateway na tabela de rotas do vSwitch do firewall.

  • modifique a entrada de rota 0.0.0.0/0 na tabela de rotas do sistema para alterar seu próximo salto para uma ENI do cloud Firewall.

  Nota

  A criação de um NAT Firewall adiciona uma tabela de rotas personalizada à sua VPC. Se a VPC onde você está criando o firewall contiver um cluster ACK que usa o plugin de rede Flannel, você deverá configure o recurso de tabela de múltiplas rotas do Cloud Controller Manager após a criação do firewall. Adicione a tabela de rotas do sistema da VPC à lista de tabelas de rotas. Se você não executar esta etapa, o dimensionamento dos nós do cluster poderá ser afetado. Para mais informações, consulte Use the multi-route-table feature of a VPC.

  Se você já estiver usando o recurso de tabela de múltiplas rotas do Cloud Controller Manager, ignore esta nota.

Procedimento

1. Faça login no console do cloud Firewall. No painel de navegação à esquerda, clique em Firewall.

2. clique em guia NAT Firewall. Na coluna Actions do Internet NAT Gateway de destino, clique em Create.

3. No painel Create NAT Firewall, clique em Check Now. Após a aprovação de todas as verificações, clique em Next.

   Se tiver certeza de que o Internet NAT Gateway atende a todos os requisitos, clique em Skip and start creation now.

4. escolha um modo de redirecionamento de tráfego:

   • Automatically Create vSwitch (Recommended): este modo fornece redirecionamento de tráfego totalmente automatizado e é adequado para ambientes com amplos segmentos de rede.

   • Manually Select vSwitch: este modo exige que você reutilize um bloco CIDR de vSwitch existente ou crie manualmente um vSwitch. É adequado para ambientes com segmentos de rede limitados e deve ser executado por um usuário experiente.

5. No painel Create NAT Firewall, configure os seguintes parâmetros.

   Parâmetro		Descrição
   Basic Information	Name	Insira um nome personalizado para o NAT Firewall.
   Traffic Redirection Configurations	Select Route Table	Selecione a tabela de rotas onde o Internet NAT Gateway é o próximo salto atual. Quando o firewall é criado, o próximo salto é alterado automaticamente para uma ENI do cloud Firewall. Isso direciona o tráfego de saída dos seus ativos privados para o NAT Firewall.
   	vSwitch CIDR block (Automatically Create vSwitch) ou vSwitch for traffic redirection (Manually Select vSwitch)	Crie um vSwitch new ou selecione um existing. Regras para configure um novo vSwitch: configure um bloco CIDR de vSwitch com pelo menos uma máscara /28 que não entre em conflito com seu plano de rede. Isso é alocado para o NAT Firewall para redirecionamento de tráfego. O bloco CIDR do vSwitch deve ser uma sub-rede do bloco CIDR da VPC e não deve entrar em conflito com segmentos de rede de service existentes. Blocos CIDR secundários são suportados. Após a alocação, o cloud Firewall associa automaticamente o vSwitch a uma tabela de rotas de redirecionamento de tráfego personalizada. Observações para selecionar um vSwitch existente: O NAT Firewall requer um vSwitch que atenda aos seguintes requisitos. Para mais informações, consulte Create and manage a VPC. O vSwitch, o Internet NAT Gateway e o NAT Firewall devem estar na mesma VPC. O vSwitch e o Internet NAT Gateway devem estar na mesma zona de disponibilidade. O bloco CIDR do vSwitch deve ter pelo menos uma máscara /28, e o número de endereços IP disponíveis deve exceder o número de EIPs no Internet NAT Gateway. O vSwitch não deve estar conectado a nenhum outro recurso cloud. Crie uma nova tabela de rotas e associe-a ao vSwitch. Para mais informações, consulte Create and manage a route table. (Opcional) Adicione entradas de rota personalizadas, além da rota 0.0.0.0/0, à nova tabela de rotas conforme necessário. Para mais informações, consulte Use custom route tables to manage network traffic. Por exemplo, se seus service exigirem comunicação entre VPC, adicione manualmente as rotas de retorno para as VPC na tabela de rotas. Nota Se o vSwitch de destino não aparecer na lista ou estiver esmaecido, verifique se o vSwitch está associado a outros recursos cloud ou a uma tabela de rotas personalizada. Após confirme que a configuração do vSwitch está correta, acesse a guia NAT Firewall e clique em Synchronize Assets no canto superior direito.
   Engine Mode	Engine Mode	O modo de correspondência para políticas de controle de acesso. Loose Mode (Padrão): neste modo, se uma política de controle de acesso para aplicativos ou domínios encontrar tráfego de um aplicativo ou domínio não identificado, o tráfego será permitido. Este modo prioriza a disponibilidade do service. Strict Mode: neste modo, se uma política de controle de acesso para aplicativos ou domínios encontrar tráfego de um aplicativo ou domínio não identificado, o tráfego será passado para políticas subsequentes para maior correspondência. Se uma política de negação corresponder ao tráfego não identificado, o tráfego será bloqueado.

6. Selecione I have read and confirmed the preceding notes e, em seguida, clique em Enable Firewall.

7. Após a criação do NAT Firewall, defina manualmente o Enabled Status como On.

   Após ative o firewall, o cloud Firewall redireciona o tráfego para proteção.

configure políticas de controle de acesso

Se você não configure nenhuma política de controle de acesso, o cloud Firewall permitirá todo o tráfego por padrão. Crie políticas de controle de acesso para o NAT Firewall para obter um controle refinado sobre o tráfego de saída para a internet a partir dos seus ativos privados.

acesse a página Firewall > NAT Firewall. Na coluna Actions do NAT Firewall de destino, clique no ícone e selecione Access Control.

Na página exibida, crie uma política de controle de acesso para o NAT Firewall. Para mais informações, consulte Configure an access control policy for a NAT Firewall.

Consultar logs de auditoria

acesse a página Firewall > NAT Firewall. Na coluna Actions do NAT Firewall de destino, clique no ícone e selecione Log Audit.

Na página exibida, consulte os logs de tráfego para acesso da rede privada à internet. Para mais informações, consulte Log audit.

visualize análise de tráfego

acesse a página Firewall > NAT Firewall. Na coluna Actions do NAT Firewall de destino, clique no ícone e selecione Analysis.

A página exibida mostra uma análise de tráfego do acesso à internet do Internet NAT Gateway. Para mais informações, consulte Outbound connections.

visualize estatísticas de tráfego de rede privada NAT

No painel de navegação à esquerda, clique em Overview. Na página Overview, clique em Purchased Specification Usage no canto superior direito. Aqui, visualize a capacidade de tráfego de rede privada NAT, o pico de tráfego recente e o uso de licenças do NAT Firewall.

visualize lista de vSwitch do NAT Firewall

acesse a página Firewall > NAT Firewall. No canto superior direito da lista do NAT Firewall, clique em Firewall vSwitch List.