文档中心

云防火墙

VPC边界防火墙

VPC边界防火墙配置

VPC边界防火墙配置

本文介绍如何开启、关闭和编辑VPC边界防火墙。

注意

本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。

前提条件

已开通云防火墙企业版、旗舰版。

已购买TR中转路由器，并且使用中转路由器完成了VPC之间或VPC与VPN、VPC与专线之间的网络互通。具体操作，请参见实现指定VPC之间的互通与隔离、实现不同VPC与IDC之间的独立互通。

使用限制

当中转路由器的路由表中存在100.64.0.0/10内的静态路由时，不支持引流配置。

不支持路由冲突的VPC网络实例引流配置，包括VPC网络实例之间路由冲突、VPC网络实例与防火墙VPC路由冲突，否则配置自动引流场景后网络会中断，建议您根据业务合理规划防火墙VPC网段和VPC网络实例网段。

自动引流模式不支持IPsec-VPN实例。

VPC防火墙暂不支持IPv6场景。

注意事项

说明

在对自动引流场景进行新增、编辑、删除时，会存在几秒钟网络延迟以及可能会造成业务中断，建议您在业务低峰期进行开启和操作。

手动引流模式下，开启和关闭VPC边界防火墙，需要用户配置正确路由表以及兜底路由表。

中转路由器防护概览

登录云防火墙控制台，在左侧导航栏，单击防火墙开关。

在防火墙开关页面，点击VPC边界防火墙。

产品功能引导模块

查看视频教学 / 帮助文档：提供视频和详细的文字手册，适合在初次使用或遇到疑问时查阅。

配置策略：点击后将进入访问控制策略配置页面。可以在此定义具体的放行或拦截规则，例如，允许哪个 VPC 访问哪个 VPC 的特定端口。

VPC 互访分析：点击后可查看 VPC 之间的实际网络访问拓扑和流量情况，帮助识别潜在的风险路径或未授权访问。

防护原理 / 最佳实践 / 常见问题：深入了解产品架构、学习专家建议和快速排查故障。

查看当前中转路由器防护概览，一个TR中转路由器实例对应一个VPC边界防火墙。

参数	说明
未防护	展示未被VPC防火墙保护的TR中转路由器实例数量。
已防护/实例授权规格	已防护：已被VPC防火墙保护的TR中转路由器实例数量。实例授权规格：您当前购买的VPC防火墙实例规格。
已防护带宽规格/带宽授权规格	已防护带宽规格：所有已创建的 VPC 防火墙实例配置的防护带宽之和。带宽授权规格：购买的总带宽配额。

5.资产列表概述

字段名称	含义与解读
中转路由实例名称/ID	用于唯一标识一个中转路由器实例。VPC 防火墙与中转路由器绑定，一个TR中转路由器实例对应一个VPC边界防火墙。点击中转路由器名称，可快速跳转至中转路由器控制台页面。
地域	该中转路由器实例所在的地域。
7天流量峰值 / 防护带宽规格	前者是该实例在过去7天内的实际最高流量速率，后者是为它配置的防护带宽上限。通过对比两者，可以判断带宽配置是否合理。如果峰值持续接近规格上限，则需要考虑升级带宽。
引流模式	自动模式：表示由平台自动配置路由来完成流量牵引。手动模式：平台创建防火墙实例，引流由用户自主配置路由进行流量牵引。
VPC防火墙实例名称/ID	如果该中转路由器已创建防火墙，此处会显示对应的防火墙实例名称和ID。如果为空，则表示尚未创建。
防火墙状态	标识防火墙实例的生命周期状态，主要有两种：已创建：表示防火墙已成功创建并与中转路由器关联。未创建：表示该中转路由器尚未配置 VPC 防火墙。
操作	提供新建防火墙、详情、删除等操作。

创建VPC边界防火墙

在VPC防火墙表格中选择需要防护的中转路由器点击【新建云防火墙】。

参考下表，配置相关参数，并单击“提交下一步”按钮，完成操作。

步骤一：选择引流模式

参数	说明
自动引流（推荐）	您只需要选择需要引流的VPC、专线实例即可，云防火墙自动联动TR中转路由器配置路由表完成引流。自动引流模式不支持IPsec-VPN实例。
手动引流	需要您结合自身业务需求手动在TR中转路由器上配置引流策略，将业务流量引流至云防火墙。

步骤二：新建VPC边界防火墙

引流模式选择完后，需进行防火墙创建配置。

参数	说明	取值样例
防火墙名称	为您的防火墙实例设定一个易于识别的自定义名称。建议采用统一的命名规范，例如业务/项目-环境-用途，如 CRM-prod-main-fw。	IDC-火山防火墙
防护带宽规格	设置此防火墙实例能够处理的最大网络流量，单位为 Mbps。该值决定了防火墙的性能上限。建议根据您所要防护的 VPC 间业务流量峰值进行评估，并适当预留冗余。	500Mbps
防火墙 VPC 网段	子网 1、子网 2 作为流量引流子网，分别承载业务流量入口，引流至云防火墙，构成双可用区/双路径的高可用架构。建议配置28位子网。子网 3 作为防火墙实例子网，用于部署云防火墙 ECS 集群，统一完成访问控制、IPS 等安全检测，并将合规流量转发至目标业务 VPC。当防火墙处理流量在50 Gbps以下时，建议配置28位子网。当防火墙处理流量在50 Gbps以上时，需配置16-27位子网。当您业务流量较大时，通过工单联系我们协助评估子网大小。注意所有子网网段绝不能与您任何需要防护的业务 VPC、IPSec、专线网段重叠，否则将导致路由冲突和业务中断。创建成功后，该网段不可修改。	192.168.0.0/24
VPC 子网 1 网段			192.168.0.16/28
VPC 子网 2 网段			192.168.0.32/28
VPC 子网 3 网段			192.168.0.48/28
所属项目	选择VPC防火墙所属的项目，更多项目详情，请参见项目概述。若进入创建页面前，在顶部导航栏选择账号全部资源，则您可以下拉选择已有项目。若进入创建页面前，在顶部导航栏选择目标项目，则仅支持选择目标项目。	default(默认项目)
标签	按需防火墙添加一个或多个用户标签。更多标签详情，请参见标签概述。标签由标签键（Key）和标签值（Value）两部分组成，对公网NAT网关进行标记和分类。单击添加标签可添加多个标签，最多可同时添加20个标签。	标签键：cfw-key 标签值：cfw-test

单击“提交下一步”按钮，进行引流配置。若选择“手动引流配置”，则需要您在TR中转路由器上进行路由配置手动引流。

步骤三：云防火墙引流配置（自动引流）

在云防火墙创建完成后，需进行引流配置。

配置项	配置说明	配置参数
引流场景名称	定义引流场景的名称。该名称用于标记引流场景类型，建议设置一个唯一且易于识别的名称，例如 VPC-A-to-VPC-B 或 IDC-to-Cloud-Backup	IDC-to-VPC
引流场景选择	根据网络实例（VPC、专线、VPN）防护需求，选择引流场景类型。点到点 (Point-to-Point)：最简单的互通模式，用于连接两个网络实例。流量将通过中心的防火墙进行转发和过滤。适用场景：两个开发环境 VPC 互通、生产 VPC 与测试 VPC 隔离访问等。点到多点 (Point-to-Multipoint)：也称为“星型”或“Hub-Spoke”模型。一个中心网络实例（Hub）与多个分支网络实例（Spoke）互联，分支之间流量不过防火墙。适用场景：总部网络作为中心，连接多个分支机构；共享服务 VPC 连接多个业务 VPC。多点互联 (Any-to-Any)：也称为“网状”或“Mesh”模型。所有加入此场景的网络实例都可以互相通信，流量统一由中心节点转发。适用场景：需要多个对等 VPC 之间自由通信的复杂业务环境。	多点互联
实例选择	配置需要引流的网络实例（多点互联）	业务VPC IDC

单击“提交下一步”按钮，完成引流配置，创建引流过程时间较长，预计在10分钟左右（路由条目数越多时间越长）。完成后，即可实现对中转路由器连接的网络实例之间的流量防护。

完成引流配置后，云防火墙会在TR中转路由器中创建以下资源。

TR中转路由器新增一个“CFW_system_请勿编辑”的网络实例连接，该实例为VPC防火墙实例。

路由表中新增若干个“CFW_system_请勿编辑”的路由表，关联转发分别关联网络实例和VPC防火墙，用于防火墙和网络实例之间流量牵引。

注意

请勿编辑TR中VPC防火墙网络实例连接以及相关路由表，可能会导致流量中断。

当云防火墙开关关闭或服务到期时，系统会自动将 VPC 实例的流量转发至系统路由表。为确保业务正常运行，请您务必在系统路由表中配置相应的兜底路由

编辑或删除VPC防火墙

编辑VPC防火墙：您可以修改VPC防火墙的“防火墙名称”、“防护带宽规格”、“标签”。

删除VPC防火墙：删除云防火墙后，业务流量将不受VPC防火墙的访问控制，请谨慎删除。

注意

为避免业务中断，删除VPC防火墙实例前，需要注意以下事项：

手动模式下，需要在中转路由器中提前删除指向VPC防火墙的路由，再删除防火墙实例。

自动模式下，如果防火墙为开启状态，需要先删除所有引流场景，再删除防火墙实例。

最佳实践

VPC与VPC之间流量访问控制（自动引流配置）

VPC与专线之间流量访问控制（自动引流配置）

VPC与VPN之间流量访问控制（手动引流配置）

VPN与专线之间流量访问控制（手动引流配置）

最近更新时间：2026.03.12 13:03:33

这个页面对您有帮助吗？

有用

有用

无用

无用