文档中心

云防火墙

VPC边界防火墙

VPC边界防火墙介绍

什么是 VPC 边界防火墙？

VPC 边界防火墙支持专有网络 VPC 和 VPC 之间、VPC 和本地数据中心（VPN 或专线）、VPC 和第三方云（VPN 或专线网关）之间流量的访问控制，做好业务隔离，有效拦截内部网络之间的未授权访问。

VPC 边界防火墙引流原理

云防火墙通过 TR 中转路由器自定义路由的方式进行流量牵引，以下图场景为例，介绍云防火墙引流工作原理。

某企业部署了开发 VPC（192.168.1.0/24，192.168.2.0/24）和测试 VPC（172.16.1.0/24，172.16.2.0/24），这些 VPC 均已通过 TR 中转路由器进行双向连接。现在需要将 VPC 之间流量引流至云防火墙。

防火墙引流配置

登录云防火墙控制台，在左侧导航栏，单击防火墙开关。

在防火墙开关页面，点击 VPC 边界防火墙。

在下方表格中选择需要防护的中转路由器点击【新建云防火墙】，并在引流模式中选择【自动引流】。

进行防火墙创建配置。

参数	说明	取值样例
防火墙名称	为您的防火墙实例设定一个易于识别的自定义名称。建议采用统一的命名规范，例如业务/项目-环境-用途，如 CRM-prod-main-fw。	CRM-prod-main-fw
防护带宽规格	设置此防火墙实例能够处理的最大网络流量，单位为 Mbps。该值决定了防火墙的性能上限。建议根据您所要防护的 VPC 间业务流量峰值进行评估，并适当预留冗余。	200Mbps
防火墙 VPC 网段	子网 1、子网 2 作为流量引流子网，分别承载业务流量入口，并将流量引流至云防火墙，构成双可用区/双路径的高可用架构。建议配置28位子网。子网 3 作为防火墙实例子网，用于部署云防火墙 ECS 集群，统一完成访问控制、IPS 等安全检测，并将合规流量转发至目标业务 VPC。当防火墙处理流量在100 Gbps以下时，建议配置28位子网。当防火墙处理流量在100 Gbps以上时，需配置16-27位子网。当您业务流量较大时，通过工单联系我们协助评估子网大小。注意所有子网网段绝不能与您任何需要防护的业务 VPC、IPSec、专线网段重叠，否则将导致路由冲突和业务中断。创建成功后，该网段不可修改。	192.168.0.0/24
VPC 子网 1 网段			192.168.0.16/28
VPC 子网 2 网段			192.168.0.32/28
VPC 子网 3 网段			192.168.0.48/28
所属项目	选择VPC防火墙所属的项目，更多项目详情，请参见项目概述。若进入创建页面前，在顶部导航栏选择账号全部资源，则您可以下拉选择已有项目。若进入创建页面前，在顶部导航栏选择目标项目，则仅支持选择目标项目。	default(默认项目)
标签	按需防火墙添加一个或多个用户标签。更多标签详情，请参见标签概述。标签由标签键（Key）和标签值（Value）两部分组成，对公网NAT网关进行标记和分类。单击添加标签可添加多个标签，最多可同时添加20个标签。	标签键：cfw-key 标签值：cfw-test

进行引流场景配置。

引流场景名称	定义引流场景的名称。该名称用于标记引流场景类型，建议您根据业务的实际情况输入具有意义的名称。	业务 VPC 引流
引流场景选择	根据网络实例（VPC、专线、VPN）防护需求，选择引流场景类型。点到点 (Point-to-Point)：最简单的互通模式，用于连接两个网络实例。流量将通过中心的防火墙进行转发和过滤。适用场景：两个开发环境 VPC 互通、生产 VPC 与测试 VPC 隔离访问等。点到多点 (Point-to-Multipoint)：也称为“星型”或“Hub-Spoke”模型。一个中心网络实例（Hub）与多个分支网络实例（Spoke）互联，分支之间流量不过防火墙。适用场景：总部网络作为中心，连接多个分支机构；共享服务 VPC 连接多个业务 VPC。多点互联 (Any-to-Any)：也称为“网状”或“Mesh”模型。所有加入此场景的网络实例都可以互相通信，流量统一由中心节点转发。适用场景：需要多个对等 VPC 之间自由通信的复杂业务环境。	点到点
实例选择	配置需要引流的网络实例	开发 VPC 测试 VPC

防火墙引流路由介绍

云防火墙引流架构图如下图所示，开发 VPC 访问测试 VPC 整个过程如下。

开发 VPC 请求流量转发至云防火墙进行检查：开发 VPC -> TR 中转路由器 -> VPC 边界防火墙。

云防火墙将检查后流量转发至测试 VPC：VPC 边界防火墙 -> TR 转路由器 -> 测试 VPC。

测试 VPC 将响应流量转发至云防火墙进行检查：测试 VPC -> TR 中转路由器 -> VPC 边界防火墙。

云防火墙将检查后流量转发至开发 VPC：VPC 边界防火墙 -> TR 转路由器 -> 开发 VPC。

中转路由器路由表如下所示

最佳实践：

VPC与VPC之间流量访问控制（自动引流配置）

VPC与专线之间流量访问控制（自动引流配置）

VPC与VPN之间流量访问控制（手动引流配置）

VPN与专线之间流量访问控制（手动引流配置）

最近更新时间：2026.03.12 13:03:33

这个页面对您有帮助吗？

有用

无用