当您使用了转发路由器TR（Transit Router），可以手动配置转发路由器与VPC边界防火墙之间的互访路由，实现VPC边界防火墙对转发路由器连接的VPC之间的所有流量进行防护。本文介绍了如何连通转发路由器与VPC边界防火墙之间的网络。

前提条件

  1. 已在云企业网控制台创建了云企业网实例，且创建了两个专有网络VPC（本文中分别以VPC-01和VPC-02为例）。具体操作，请参见创建云企业网实例。
  2. 已在专有网络控制台手动创建了VPC边界防火墙的VPC实例（本文中以Cfw-TR-manual-VPC为例），且为该VPC实例创建了3个交换机（其中2个交换机提供给TR网络实例连接使用，可用区与TR网络实例连接的主备可用区保持一致。本文示例中命名分别为TR-Vswitch-01和TR-VSwitch-02，1个交换机提供给创建VPC边界防火墙的时候使用，本文示例中命名为Cfw-Vswitch）。
  3. 已在专有网络控制台为Cfw-TR-manual-VPC创建自定义路由表（本文中以VPC-CFW-RouteTable为例）。
示意图如下：导流图

适用对象

云防火墙可以防护通过云企业网转发路由器连接的网络实例之间的流量，网络实例包括VPC、VBR、CCN。

本文仅针对VPC边界防火墙手动引流模式的配置，适用于对多个VPC（相同地域）之间互访流量的防护。

步骤一：在转发路由器中添加防火墙VPC的网络实例连接

本步骤建立VPC实例（Cfw-TR-manual-VPC）与转发路由器企业版之间的连接。

  1. 登录云企业网管理控制台。
  2. 在云企业网实例页面，定位到需要引流到云防火墙VPC边界防火墙的云企业网实例，并单击实例ID。
  3. 在该云企业网实例页面基本信息页签，单击操作列的创建网络实例连接或单击页面上方VPC基础信息右侧的添加图标图标。
  4. 在连接网络实例页面，设置Cfw-TR-manual-VPC和转发路由器之间的连接信息。
    以下是创建网络连接实例时，关键的配置项说明。
    配置项 如何设置
    实例类型 通过云企业网连接的网络实例的类型。此处选择专有网络（VPC）。
    地域 通过云企业网连接的网络实例的地址。此处需要与创建Cfw-TR-manual-VPC时指定的地域保持一致。
    网络实例 通过云企业网连接的网络实例。此处选择Cfw-TR-manual-VPC的实例ID。
    交换机 网络连接实例可绑定的交换机。主交换机选择TR-Vswitch-01，备交换机为TR-VSwitch-02。

    其他配置项的说明，请参见使用企业版转发路由器创建VPC连接。

步骤二：为两个VPC创建云企业网网络实例连接

您需要为VPC-01和VPC-02分别创建网络实例连接，将两个VPC加载到该云企业网中。

相关内容，请参见使用企业版转发路由器创建VPC连接。

步骤三：创建VPC边界防火墙

本步骤为Cfw-TR-manual-VPC创建VPC边界防火墙。

在云防火墙控制台防火墙开关 > 防火墙开关页面的VPC边界防火墙页签，单击云企业网定位到网络实例Cfw-TR-manual-VPC，单击操作列创建。创建该VPC边界防火墙时，路由模式选择手动、专有网络选择Cfw-TR-manual-VPC、交换机选择Cfw-Vswitch。相关内容，请参见为云企业网创建VPC边界防火墙。

说明 完成此步骤后，您会拥有1个弹性网卡（在ECS控制台的网络与安全 > 弹性网卡页面，系统默认分配名称为cfw-bonding-eni的网卡）。

步骤四：为VPC-01和VPC-02创建路由

本步骤为云企业网和VPC边界防火墙之间的流量创建路由。

  1. 登录云企业网管理控制台。
  2. 在云企业网实例页面，定位到需要引流到云防火墙VPC边界防火墙的云企业网实例，并单击实例ID。
  3. 在该云企业网实例页面的转发路由器列表，单击路由表列下的数字，打开转发路由器路由表页签。
  4. 单击转发路由器路由表页签左侧的创建路由表。在创建路由表对话框，配置路由表的信息。

    转发路由器选择默认的路由器。本文示例中路由表名称设置为Cfw-TR-RouteTable。

    新增的路由表Cfw-TR-RouteTable用于转发VPC-01和VPC-02到VPC边界防火墙Cfw-TR-manual-VPC之间的流量。

  5. 定位到Cfw-TR-RouteTable路由表，单击创建路由条目。在添加路由条目对话框，配置路由条目的信息。
    配置项说明：
    • 目的地址：选择默认地址段0.0.0.0/0。
    • 是否为黑洞路由：选择默认选项否。
    • 下一跳连接：选择防火墙VPC实例Cfw-TR-manual-VPC。
    本操作完成后，来自云企业网自定义路由表Cfw-TR-RouteTable的流量会默认指向VPC防火墙。
  6. 在转发路由器路由表页签，单击左侧路由表列表中的系统路由表，然后在路由表详情页签，单击关联转发。
  7. 在关联转发页签，删除下一跳为VPC-01和VPC-02的关联转发。然后在转发路由器路由表页签，单击左侧路由表列表中Cfw-TR-RouteTable路由表。
  8. 在路由表详情页面，单击关联转发，然后单击创建关联转发。
  9. 在添加关联转发页面，关联转发选择VPC-01和VPC-02，单击确定保存该关联转发设置。
    本操作完成后，两个VPC的流量关联转发到Cfw-TR-RouteTable。
  10. 在转发路由器页面，单击左侧路由器列表中的系统路由表。
  11. 在系统路由表的路由表详情页签中，单击路由学习页签。
  12. 在路由学习页签，创建两条路由学习，关联连接分别选择VPC-01和VPC-02。

    本操作会为系统路由表创建路由学习，自动同步VPC-01和VPC-02的路由。

    路由学习创建完成后，您可以在路由条目页签查看自动学习的路由信息。

  13. 在当前的系统路由表的路由表详情页面，单击关联转发页签。
  14. 在关联转发页签，单击创建关联转发。
  15. 在添加关联转发对话框，选择Cfw-TR-manual-VPC。

本步骤完成后，云企业网路由配置完成，流量牵引到VPC边界防火墙的VPC实例上。

步骤五：添加VPC路由表到VPC边界防火墙

本步骤将防火墙VPC实例的路由引流到VPC边界防火墙上。

  1. 登录专有网络管理控制台。
  2. 在路由表页面，打开路由表VPC-CFW-RouteTable，在已绑定交换机页签，单击绑定交换机。其中交换机选择Cfw-Vswitch。然后单击确定。
  3. 在路由条目列表页签，选择自定义路由条目页签。单击添加路由条目，配置路由条目信息。
    关键配置项说明：
    • 目标网段：选择0.0.0.0/0。
    • 下一跳类型：选择转发路由器。
    • 转发路由器：选择默认项，即VPC防火墙的网络实例连接。
    本操作完成后，VPC边界防火墙出方向的流量会通过子网路由表转发到云企业网转发路由器TR。
  4. 在路由表列表页面，选择防火墙VPC实例的系统路由表。
  5. 在路由条目列表，单击自定义页签。
  6. 单击添加自定义路由条目，配置路由条目信息。
    关键配置项说明：
    • 目标网段：选择0.0.0.0/0。
    • 下一跳类型：选择辅助弹性网卡。
    • 辅助弹性网卡：选择Cfw-bonding-eni。
  7. 在自定义页签，单击其他自定义路由条目操作列删除，删除其他自定义路由条目。
    本步骤完成后，来自防火墙VPC实例的流量会牵引到云防火墙实例上。

步骤六：验证转发配置是否成功

您可以在流量日志功能查看是否有来自该云企业网的流量日志。如果有相关流量日志，代表转发配置成功。具体步骤，请参见流量日志。