Este tópico descreve como migrar um firewall de VPC da arquitetura ativo-ativo padrão para uma arquitetura ativo-passivo específica. Essa migração reduz a latência causada pelo tráfego que transita entre zonas de disponibilidade.
Cenário de exemplo
Suponha que você crie um firewall de VPC na região Singapore e selecione a opção Default (Auto-assigned) para as zonas de disponibilidade primária e secundária.
Por padrão, o firewall de VPC usa uma arquitetura ativo-ativo para recuperação de desastres. Nessa arquitetura, o cluster do Cloud Firewall não encaminha o tráfego com base na proximidade. Em vez disso, ele balanceia o tráfego aleatoriamente entre as duas zonas de disponibilidade.
Para resolver isso, o VPC Firewall oferece suporte a uma arquitetura ativo-passivo. Essa arquitetura prioriza o processamento de tráfego na zona primária e usa a zona secundária apenas para failover de recuperação de desastres.
Se você tiver um firewall de VPC que use a arquitetura ativo-ativo, siga as etapas deste tópico para migrá-lo para a arquitetura ativo-passivo.
Antes da migração | Após a migração |
 |  |
Precauções
Para migrar, desative, exclua e, em seguida, recrie os firewalls de VPC na região especificada. O sistema mantém suas políticas de controle de acesso existentes durante esse processo.
-
No CEN (Basic Edition), ativar ou desativar o redirecionamento de tráfego para o firewall de VPC interrompe brevemente o roteamento por alguns segundos.
No CEN (Enterprise Edition), esse processo não causa interrupção no roteamento.
Para evitar que o sistema bloqueie o tráfego unidirecional durante esse processo, configure uma política de permissão de alta prioridade para tráfego ANY. Para obter mais informações, consulte Configure uma política de controle de acesso para um firewall de VPC.
Antes de começar, anote os blocos CIDR da VPC e do vSwitch do seu firewall de VPC existente. Você precisará dessas informações para recriar o firewall.
Em uma arquitetura ativo-passivo, existem dependências entre as zonas de disponibilidade primária e secundária. As zonas de disponibilidade selecionáveis se limitam às opções disponíveis no console.
Migração do CEN (Basic Edition) para uma arquitetura ativo-passivo
Para migrar um firewall de VPC de uma instância do CEN (Basic Edition) de uma arquitetura ativo-ativo para uma arquitetura ativo-passivo em uma região específica, primeiro desative e exclua todos os firewalls de VPC associados à instância do CEN nessa região e, em seguida, recrie-os.
Etapa 1: Desativar e excluir os firewalls de VPC
Faça login no console do Cloud Firewall. No painel de navegação à esquerda, clique em Firewall.
Na guia , clique em Batch Disable.
Na caixa de diálogo Batch Disable, selecione a CEN Instance e a Region e, em seguida, clique em OK.
Depois de desativar os firewalls, localize o ativo na região especificada e clique em Delete na coluna Actions para excluir todos os firewalls de VPC nessa região.
Etapa 2: Criar um firewall de VPC
Na coluna Actions da instância do CEN na região especificada, clique em Create.
-
No painel Create Firewall, clique em One-click Check.
Para um roteador de trânsito da Basic Edition, execute uma verificação de diagnóstico e verifique se é possível ativar o firewall de VPC. Ao concluir a verificação, visualize os resultados no assistente Enable Diagnosis. Se já conhecer o processo, ignore esta verificação e crie o firewall diretamente. Se o diagnóstico falhar, consulte Causas e soluções para falhas de ativação do Cloud Firewall para obter mais informações.
-
Configure parâmetros como o bloco CIDR da VPC do firewall, as zonas de disponibilidade primária e secundária, a instância do vSwitch e a zona de disponibilidade para a VPC de negócios, além das configurações de prevenção contra intrusões.
Importante-
Para ativar a arquitetura ativo-passivo, defina as Zonas de Disponibilidade Primária e Secundária na seção Configurações de VPC do Firewall para as zonas de disponibilidade da sua carga de trabalho. Porém, se a Zona de Disponibilidade dos vSwitches para VPCs de Negócios for diferente da zona primária, ainda poderá haver latência de tráfego.
Se a sua carga de trabalho for sensível à latência, defina tanto a zona primária na seção Configurações de VPC do Firewall quanto a zona de disponibilidade dos vSwitches para VPCs de Negócios como a zona de disponibilidade primária da sua carga de trabalho. Isso minimiza a latência.
As configurações de prevenção contra intrusões aplicam-se a todas as instâncias de rede dentro da mesma instância do CEN.
-
Clique em Start Creation para criar o firewall de VPC.
Depois de criar o firewall, repita essas etapas para outras VPCs de negócios na instância do CEN, garantindo que as zonas de disponibilidade dos vSwitches correspondam à zona de disponibilidade primária do firewall.
Depois que todas as VPCs na região estiverem configuradas, ative o firewall para todas elas na coluna Firewall.
Migração do CEN (Enterprise Edition) para uma arquitetura ativo-passivo
Para migrar um firewall de VPC de uma instância do CEN (Enterprise Edition) de uma arquitetura ativo-ativo para uma arquitetura ativo-passivo, primeiro exclua o cenário de redirecionamento de tráfego da região, exclua e recrie o firewall de VPC e, em seguida, restaure o cenário original de redirecionamento de tráfego.
Etapa 1: Desativar e excluir o cenário de redirecionamento de tráfego
Faça login no console do Cloud Firewall. No painel de navegação à esquerda, clique em Firewall.
Na guia , localize o firewall de VPC na região de destino e clique em Details na coluna Actions.
Na guia , desative o seletor.
-
Na caixa de diálogo Disable Traffic Redirection Scenario, selecione Roll Back Route e clique em OK.
Durante a desativação do cenário, acompanhe o progresso da tarefa na guia Firewall Task.
Depois de desativar o cenário, clique em Delete para removê-lo. Em seguida, feche o painel VPC Firewall Details.
Etapa 2: Excluir o firewall de VPC
Localize a instância do CEN para a região especificada e clique em Delete na coluna Actions.
Na caixa de diálogo Delete, clique em OK para excluir a instância do firewall.
Etapa 3: Criar o firewall e configurar o redirecionamento de tráfego
Localize a instância do CEN para a região especificada e clique em Create na coluna Actions.
-
No painel Create Firewall, selecione Automatic e clique em Quick Diagnosis.
Para um roteador de trânsito da Enterprise Edition, execute uma verificação de diagnóstico e verifique se é possível ativar o firewall de VPC. Ao concluir a verificação, visualize os resultados no assistente Precheck. Se já conhecer o processo, clique em Skip and start creation now.. Se o diagnóstico falhar, consulte Causas e soluções para falhas de ativação do Cloud Firewall para obter mais informações.
-
Configure parâmetros como o bloco CIDR da VPC do firewall, as zonas de disponibilidade primária e secundária e as configurações de prevenção contra intrusões.
ImportanteSe a sua carga de trabalho for sensível à latência, selecione as zonas de disponibilidade reais da sua carga de trabalho como zonas primária e secundária para reduzir a latência.
As configurações de prevenção contra intrusões aplicam-se a todas as instâncias de rede dentro da mesma instância do CEN.
Insira um bloco CIDR de pelo menos /27 para a VPC do firewall que não se sobreponha ao seu plano de rede existente. O sistema usa esse bloco CIDR para alocar os vSwitches necessários para criar o firewall.
Depois de criar o firewall de VPC, clique em Next para reconfigurar o cenário de redirecionamento de tráfego.
Clique em Next para concluir a configuração e ativar automaticamente o firewall de VPC.