Cloud Firewall：配置Express ConnectVPC邊界防火牆

防護組網圖

關於防護範圍，請參見什麼是Cloud Firewall。

對業務的影響

建立VPC邊界防火牆時，您無需更改當前的網路拓撲，可以建立VPC邊界防火牆，實現對業務資產的保護。建立時間長度約5分鐘。對業務無影響。建議您在業務低峰期開啟VPC邊界防火牆。

開啟和關閉VPC邊界防火牆，預計約需要5~30分鐘（取決於路由條目數），過程中會出現長串連秒級閃斷，短串連無影響。

前提條件

• 已開通企業版、旗艦版或隨用隨付版Cloud Firewall。具體操作，請參見購買Cloud Firewall服務。

  說明

  只有Cloud Firewall企業版、旗艦版和隨用隨付版支援配置企業版轉寄路由器的VPC邊界防火牆，進階版不支援。

• 已授權Cloud Firewall訪問雲資源。具體操作，請參見授權Cloud Firewall訪問雲資源。

• 已購買Express Connect執行個體，並且已使用Express Connect或者VPC對等串連完成了VPC之間的網路互聯。具體操作，請參見使用VPC對等串連實現VPC私網互連。

• 確保您網路資源所在的地區都是VPC邊界防火牆支援的地區。具體資訊，請參見支援的地區。

操作步驟

1. 登入Cloud Firewall控制台，在左側導覽列，單擊防火牆開關。

2. 在VPC邊界防火牆頁簽，單擊Express Connect。

3. 在Express Connect頁簽，單擊同步資產，系統為您同步當前帳號及其成員帳號的資產資訊。

   整個過程預計需要1~2分鐘。

4. 定位到需要建立VPC邊界防火牆的Express Connect執行個體，在操作列單擊創建。

   如果Express Connect執行個體過多，您可以在列表上方使用地區、VPC執行個體過濾列表。

5. 在建立VPC邊界防火牆對話方塊，完成VPC邊界防火牆配置。配置描述如下。

   配置項	說明
   实例名称	定義VPC邊界防火牆的名稱。該名稱用於識別VPC邊界防火牆執行個體，建議您使用具有業務意義的名稱，並保證名稱的唯一性。
   對等互連方式	確認互連方式。對等互連方式指VPC之間或VPC與本機資料中心之間的通訊方式，此處固定為Express Connect，無需您手動設定。
   VPC	確認VPC地區和VPC執行個體，選擇要防護的路由表，並填寫目標網段。 路由表 建立VPC時，系統會為您自動建立一張預設的路由表，用於為專用網路添加系統路由來管理專用網路的流量。VPC支援按需建立多個路由表。詳細內容，請參見路由表概述。 在Cloud Firewall控制台建立VPC邊界防火牆時，Cloud Firewall自動讀取您的VPC路由表資訊。Express Connect支援多個路由表，因此您在Express Connect下建立VPC邊界防火牆時可看到多個路由表，並可以選擇需要防護的VPC路由表。 目標網段 在路由表下拉式清單中選中某個路由時，目標網段會自動展示該路由表的預設目標網段。如果您需要防護其他網段，可手動修改目標網段。支援添加多個網段，多個網段間用英文逗號隔開。 重要 開啟VPC邊界防火牆後，若需要增加防護網段，需進行手動調整。
   對端VPC	確認對端VPC地區和VPC執行個體，選擇要防護的路由表，並填寫目標網段。 重要 開啟VPC邊界防火牆後，若需要增加防護網段，需進行手動調整。
   入侵防禦	選擇要開啟的入侵防禦策略，可選項： IPS防禦模式 觀察模式：開啟觀察模式後，對惡意流量進行監控並警示。 攔截模式：開啟攔截模式後，對惡意流量進行攔截，阻斷入侵活動。支援三種攔截模式： 拦截模式-宽松 拦截模式-中等 拦截模式-严格 IPS防禦能力 基礎規則：開啟基礎規則後，為您的資產提供基礎的防護能力，包括爆破攔截、命令執行漏洞攔截、以及對被感染後串連C&C（命令控制）的行為進行管控。 虛擬補丁：開啟虛擬補丁後，即時防禦熱門的高危應用漏洞。
   開啟VPC防火牆開關	開啟開關，則在建立VPC邊界防火牆後，自動開啟VPC邊界防火牆開關。

6. 單擊提交並確認。

   說明

   開啟VPC邊界防火牆後，如果增加或者刪除VPC路由表資訊，Cloud Firewall需要15~30分鐘的時間完成路由學習。建議您等待Cloud Firewall路由學習完成後觀察路由表生效情況，如有疑問，請提交工單，聯絡產品技術專家進行諮詢。

   VPC邊界防火牆建立完成後，Cloud Firewall會在Virtual Private Cloud中自動為您建立以下資源：

   自訂路由表條目：備忘資訊為Created by cloud firewall. Do not modify or delete it.。

   開啟VPC邊界防火牆後，會自動添加名稱為Cloud_Firewall_Security_Group的安全性群組，並且為該安全性群組自動設定了允許存取策略（即授權策略），用於允許存取到VPC邊界防火牆的流量。

   重要

   Cloud_Firewall_Security_Group的安全性群組和允許存取策略不可以刪除，否則會導致流量無法流入VPC邊界防火牆。

   如果需要大量操作或頻繁開關VPC邊界防火牆，為不影響您的業務，建議在業務流量較小的低峰期進行。

7. 在Express Connect頁簽，開啟已建立的VPC邊界防火牆開關。

   只有開啟VPC邊界防火牆，Cloud Firewall才能夠防護您的網路資源。當VPC邊界防火牆的防火牆狀態變更為已開啟，則表示成功開啟VPC邊界防火牆。

關閉VPC邊界防火牆

如果您需要關閉VPC邊界防火牆，可以在Express Connect頁簽，定位到目標VPC邊界防火牆執行個體，關閉防火牆開關。

當VPC邊界防火牆的防火牆狀態變更為未開啟，則表示成功關閉VPC邊界防火牆。