Cloud Firewall:Protect selected traffic between VPCs with a TR in manual mode

Cenários aplicáveis

O Cloud Firewall pode proteger o tráfego entre instâncias de rede conectadas por meio de um Transit Router (TR) do Cloud Enterprise Network (CEN). Essas instâncias de rede incluem VPCs, Virtual Border Routers (VBRs), instâncias do Cloud Connect Network (CCN) e gateways de VPN.

Este tópico descreve como configurar um vpc firewall no modo de redirecionamento manual de tráfego para proteger o tráfego entre várias VPCs na mesma região.

Pré-requisitos

Você já criou uma instância do Cloud Enterprise Network (CEN) no console do CEN, junto com três VPCs (VPC1, VPC2 e DMZ VPC neste exemplo) e dois VBRs (IDC-1 e IDC-2 neste exemplo). Para mais informações, consulte {{XREF_0}}.

Neste exemplo, o Cloud Firewall protege o tráfego entre a VPC1, o IDC-1, o IDC-2 e outras VPCs. O tráfego entre a VPC2 e a DMZ VPC não é protegido. O tráfego de qualquer VPC ou IDC para a rota padrão 0.0.0.0/0 também não é protegido.

Etapa 1: Crie uma VPC para o vpc firewall

O vpc firewall requer uma VPC dedicada. Você deve criar uma instância de VPC dedicada para essa finalidade.

1. Acesse o console de VPC.

2. Na barra de navegação superior, selecione a região onde deseja criar a VPC e clique em Create VPC.

3. Na página Create VPC, configure a VPC com as seguintes informações e clique em OK.

   Parâmetro	Descrição
   Region	Selecione a região onde deseja ativar o vpc firewall.
   Name	Insira um nome para a instância de VPC. Este exemplo usa FW VPC.
   IPv4 CIDR	Especifique o bloco CIDR IPv4 primário para a VPC. Deve ser um bloco CIDR privado com uma máscara de pelo menos /26 e não deve entrar em conflito com os blocos CIDR do seu serviço.
   vSwitch	Especifique os vSwitches para a conexão da instância de rede. Cada vSwitch deve ter um bloco CIDR privado com uma máscara de pelo menos /28. Crie três vSwitches. Dois vSwitches são usados para a conexão da instância de rede do TR. Eles devem ser criados em zonas de disponibilidade diferentes que suportam o serviço TR. Recomendamos selecionar as zonas de disponibilidade onde seus serviços estão implantados para reduzir a latência. O terceiro vSwitch é usado para o vpc firewall e pode ser criado em qualquer zona de disponibilidade. Neste exemplo, o vSwitch Primary para a conexão do TR é nomeado TR-Vswitch-01, o vSwitch Secondary é nomeado TR-VSwitch-02 e o vSwitch para o vpc firewall é nomeado Cfw-Vswitch.

4. Na página VPC, localize a instância de VPC do firewall FW VPC e clique em seu ID de instância.

5. Na aba Resource Management, clique em Add na seção Route Table.

6. Na caixa de diálogo Create Route Table, configure a tabela de rotas com as seguintes informações e clique em OK.

   Parâmetro	Descrição
   VPC	Selecione a VPC do firewall que você criou. Este exemplo usa FW VPC.
   Associated Resource Type	Selecione vSwitch como o tipo de recurso a ser associado à tabela de rotas.
   Name	Insira um nome para a tabela de rotas personalizada. Este exemplo usa VPC-CFW-RouteTable.

Etapa 2: Conecte a VPC do firewall ao TR

Nesta etapa, você conectará a instância de VPC (FW VPC) ao Transit Router Enterprise Edition.

1. Acesse o console do CEN.

2. Na página CEN Instance, localize a instância do CEN para a qual deseja redirecionar o tráfego para o vpc firewall e clique em seu ID de instância.

3. Na aba Basic Settings da página de detalhes da instância, clique em Create Connection na coluna Actions ou clique no ícone à direita das informações da VPC.

4. Na página Create Intra-Region Connection, configure a conexão entre FW VPC e o Transit Router.

   A tabela a seguir descreve os principais parâmetros para criar a conexão de rede.

   Parâmetro	Descrição
   Network Type	O tipo de instância de rede a ser conectada por meio do CEN. Selecione VPC.
   Region	A região da instância de rede. Deve ser a mesma região onde FW VPC foi criada.
   Networks	A instância de rede a ser conectada por meio do CEN. Selecione o ID da instância de FW VPC.
   VSwitch	Os vSwitches a serem associados à conexão de rede. Selecione TR-Vswitch-01 para o vSwitch Primary e TR-VSwitch-02 para o vSwitch Secondary.

   Para obter informações sobre outros parâmetros, consulte {{XREF_1}}.

Etapa 3: Crie conexões de rede para VPCs e VBRs

Você precisa criar conexões de instância de rede para VPC1, VPC2, DMZ VPC, IDC-1 e IDC-2 para anexá-las à instância do CEN.

Para mais informações, consulte {{XREF_2}}.

Etapa 4: Crie um vpc firewall

Crie um vpc firewall para FW VPC.

No console do Cloud Firewall, acesse Firewall > VPC Firewall > CEN(Enterprise Edition). Encontre o Transit Router para o qual deseja ativar o firewall e clique em Create na coluna Actions. Ao criar o vpc firewall, selecione Manual para Traffic Redirection Mode, selecione FW VPC para VPC e selecione Cfw-Vswitch para vSwitch. Para mais informações, consulte {{XREF_3}}.

Etapa 5: Configure rotas para a VPC do firewall

Configure rotas de VPC para direcionar o tráfego do TR para o vpc firewall e de volta.

1. Acesse o console de VPC.

2. Na página Route Table, selecione a tabela de rotas do sistema da instância de VPC do firewall.

3. Na aba Route Entry List, selecione a aba Custom.

4. Clique em Add Route Entry, configure a seguinte entrada de rota e exclua quaisquer outras entradas de rota personalizadas existentes.

   Descrições dos principais parâmetros:

   • Destination CIDR Block: Selecione 0.0.0.0/0.

   • Next Hop Type: Selecione ENI.

   • ENI: Selecione Cfw-bonding-eni, que foi criada na Etapa 4.

   Após concluir esta etapa, o tráfego do TR para a VPC do firewall será redirecionado para o vpc firewall.

5. Na página Route Table, abra a tabela de rotas personalizada VPC-CFW-RouteTable que você criou anteriormente. Na aba Associated vSwitch, clique em Associate vSwitch. Para vSwitch, selecione Cfw-Vswitch. Em seguida, clique em OK.

6. Na aba Route Entry List, selecione a aba Custom. Clique em Add Route Entry, configure a seguinte entrada de rota e exclua quaisquer outras entradas de rota personalizadas existentes.

   Descrições dos principais parâmetros:

   • Destination CIDR Block: Selecione 0.0.0.0/0.

   • Next Hop Type: Selecione Transit Router.

   • Transit Router: Selecione a conexão da instância de rede para o vpc firewall.

   O vpc firewall então encaminha o tráfego processado de volta para o TR.

Etapa 6: Configure rotas para o TR

Configure rotas no Transit Router para VPC1, VPC2 e a VPC do firewall para garantir que o tráfego entre VPC1 e VPC2 passe pelo vpc firewall.

1. Acesse o console do CEN.

2. No console do Cloud Enterprise Network, localize o Transit Router para o qual deseja ativar o vpc firewall, clique em seu ID de instância e acesse a aba Route Table.

3. Crie duas tabelas de rotas: Cfw-Untrust-RouteTable e Cfw-Trust-RouteTable.

   1. Na aba Route Table, clique em Create Route Table.

   2. Na caixa de diálogo Create Route Table, crie as tabelas de rotas Cfw-Untrust-RouteTable e Cfw-Trust-RouteTable.

      Transit Router: Selecione o Transit Router para o qual deseja ativar o vpc firewall.

      Nota

      • Tabela de rotas Cfw-Untrust-RouteTable: Encaminha o tráfego da VPC1, IDC-1 e IDC-2 para a FW VPC.

      • Tabela de rotas Cfw-Trust-RouteTable: Encaminha o tráfego da FW VPC para a VPC1, VPC2, DMZ VPC, IDC-1 e IDC-2.

4. Configure a tabela de rotas Cfw-Trust-RouteTable.

   Configure a tabela de rotas Cfw-Trust-RouteTable para aprender rotas automaticamente da VPC1, VPC2, DMZ VPC, IDC-1 e IDC-2, e associe o tráfego da FW VPC à Cfw-Trust-RouteTable.

   1. Clique na tabela de rotas Cfw-Trust-RouteTable criada e, no painel de detalhes, clique na aba Route Propagation.

   2. Na aba Route Propagation, clique em Create Route Propagation.

   3. Na caixa de diálogo Create Route Propagation, selecione VPC1, VPC2, DMZ VPC, IDC-1 e IDC-2 na lista suspensa Attachments to Propagate Routes From. Em seguida, clique em OK.

      Após ativar a propagação de rotas, você pode visualizar as entradas de rota aprendidas automaticamente na aba Route Entry.

   4. Na aba Route Table, clique na tabela de rotas do sistema na lista à esquerda e, em seguida, clique na aba Route Table Association no painel de detalhes da tabela de rotas.

   5. Na aba Route Table Association da tabela de rotas do sistema, clique na tabela de rotas Cfw-Trust-RouteTable criada e, na aba Route Table Association, clique em Create Association.

   6. Na página Create Association, selecione FW VPC na lista suspensa Route Table Association. Em seguida, clique em OK.

5. Configure a tabela de rotas Cfw-Untrust-RouteTable.

   Por padrão, a tabela de rotas personalizada Cfw-Untrust-RouteTable direciona o tráfego para a instância de VPC.

   1. Clique na tabela de rotas Cfw-Untrust-RouteTable criada e, no painel de detalhes, clique na aba Route Entry.

   2. Na aba Route Entry, clique em Create Route Entry.

   3. Na caixa de diálogo Add Route Entry, configure a entrada de rota.

      Descrições dos parâmetros:

      • Destination CIDR: Selecione o intervalo de endereços 10.0.0.0/8.

      • Blackhole Route: Selecione a opção padrão No.

      • Next hop: Selecione a instância de VPC do firewall (FW VPC).

   4. Repita as etapas anteriores para adicionar as seguintes rotas.

      • Adicione uma rota para o bloco CIDR 172.16.0.0/12 com o próximo salto definido para a instância de VPC do firewall (FW VPC).

      • Adicione uma rota para o bloco CIDR 192.168.0.0/16 com o próximo salto definido para a instância de VPC do firewall (FW VPC).

      • Adicione uma rota para o bloco CIDR 61.20.0.0/16 com o próximo salto definido para a instância de VPC do firewall (FW VPC).

      • Adicione uma rota para o bloco CIDR 0.0.0.0/0 com o próximo salto definido para a DMZ VPC.

6. Configure a tabela de rotas do sistema para direcionar o tráfego da VPC1, IDC-1 e IDC-2 através do Cloud Firewall.

   Aviso

   Esta operação causará uma breve interrupção no tráfego. Recomendamos realizá-la em horários de menor movimento ou dentro de uma janela de manutenção programada.

   1. Na aba Route Table, clique na tabela de rotas do sistema na lista à esquerda e, em seguida, clique na aba Route Propagation no painel de detalhes.

   2. Na aba Route Propagation, exclua as entradas de propagação de rotas para VPC1, IDC-1, FW VPC e IDC-2.

      Após esta operação, apenas as entradas de propagação de rotas para VPC2 e DMZ VPC permanecerão na sua tabela de rotas do sistema. Você pode visualizar as entradas de rota aprendidas automaticamente na aba Route Entries.

   3. Na aba Route Entry, clique em Create Route Entry.

   4. Na caixa de diálogo Add Route Entry, adicione as seguintes rotas.

      • Adicione uma rota para o bloco CIDR 10.0.0.0/24 (VPC1) com o próximo salto definido para a instância de VPC do firewall (FW VPC).

      • Adicione uma rota para o bloco CIDR 172.16.0.0/12 (IDC-1) com o próximo salto definido para a instância de VPC do firewall (FW VPC).

      • Adicione uma rota para o bloco CIDR 61.20.0.0/16 (IDC-2) com o próximo salto definido para a instância de VPC do firewall (FW VPC).

7. Altere as associações da tabela de rotas para direcionar o tráfego da VPC1, IDC-1 e IDC-2 para outras VPCs através do Cloud Firewall.

   Associe o tráfego da VPC1, IDC-1 e IDC-2 à Cfw-Untrust-RouteTable.

   Aviso

   Esta operação causará uma breve interrupção no tráfego. Recomendamos realizá-la em horários de menor movimento ou dentro de uma janela de manutenção programada.

   1. Na aba Route Table Association da tabela de rotas do sistema, exclua as associações para VPC1, IDC-1 e IDC-2.

   2. Na aba Route Table Association da tabela de rotas Cfw-Untrust-RouteTable, clique em Create Association.

   3. Na caixa de diálogo Create Association, selecione VPC1, IDC-1 e IDC-2 na lista suspensa Route Table Association. Em seguida, clique em OK.

   4. Na aba Route Table Association, clique em Create Route Forwarding.

   5. Na caixa de diálogo Add Route Forwarding, na lista suspensa Route Table Association, selecione VPC1, IDC-1 e IDC-2. Em seguida, clique em OK.

Após a conclusão desta etapa, o CEN direciona o tráfego para a instância de VPC do vpc firewall.

Etapa 7: Verifique a configuração de encaminhamento

Para obter as etapas detalhadas, consulte {{XREF_4}}.