中转路由器
中转路由器
文档指南
请输入
- 文档首页
中转路由器中转路由器最佳实践实现不同VPC之间的安全互访
复制全文
下载 pdf实现不同VPC之间的安全互访
文档反馈
问问助手本文将介绍如何通过中转路由器将访问请求引流至已部署火山引擎云防火墙或第三方防火墙的安全网络，从而实现两个VPC之间的安全互访。
场景介绍
某企业在火山引擎华南1（广州）地域的3个VPC内部署了私网业务，其中，vpc01、vpc02中分别部署业务A、业务B，vpc03中部署了防火墙软件。出于业务安全考虑，要求业务A和业务B之间的访问流量必须经过防火墙软件进行流量清洗。具体场景如下图所示。
说明
数据规划
同地域不同VPC之间流量安全互访的数据规划如下图所示，组网场景中各云产品的具体数据如下表1、表2所示。
上图中，网络流量路径说明如下（以vpc01访问vpc02为例，vpc02访问vpc01原理类似）：
- 云服务器ecs01向ecs02发起访问请求后，系统根据ecs01所属子网关联的VPC路由表，匹配下一跳为tr01的路由条目，将访问请求转发到中转路由器tr01。
- 中转路由器根据attach-vpc01关联转发的TR系统路由表，匹配到目标网段后，将访问请求转发到attach-vpc03。
- 在vpc03中，根据TR服务网卡所属子网关联的VPC路由表，匹配下一跳为ecs-fw的路由条目，将访问请求转发到云服务器ecs-fw。
- 访问请求在云服务器ecs-fw中经过防火墙的流量清洗后，根据云服务器所属子网关联的VPC路由表，匹配下一跳为tr01的路由条目，将访问请求转发到中转路由器tr01。
- 中转路由器根据attach-vpc03关联转发的TR自定义路由表，匹配到目标网段后，将访问请求最终送达vpc02，实现vpc01安全访问vpc02。
表1 私有网络
表2 中转路由器
前提条件
- 已完成所需VPC及子网的创建，详细步骤请参见创建私有网络。
- 已完成各VPC中云服务器实例的创建，详细步骤请参见购买云服务器实例。
- 云服务器ecs-fw中已部署防火墙，且防火墙中已放通vpc01和vpc02网段。
说明
配置步骤
步骤一：创建TR实例与VPC之间的网络实例连接
- 基础配置
-
- 路由配置
-
步骤二：配置TR路由表
- 在TR系统路由表中配置路由，将来自vpc01和vpc02的访问请求转发到vpc03。
- 详细配置步骤请参见创建静态路由，本文示例中需要配置的路由条目如下表所示。
- 序号目标网段下一跳1192.168.1.0/24attach-vpc032172.16.1.0/24attach-vpc03
- 确认TR自定义路由表中是否存在vpc01和vpc02的子网路由。
- 是，请执行步骤三：配置VPC路由表。
说明
本文示例中，由于步骤一已为连接vpc01和vpc02的网络实例连接开启了路由学习，因此直接跳过本步骤。
- 否，请参考创建路由学习分别创建TR自定义路由表与attach-vpc01和attach-vpc02的路由学习。配置完成后，TR自定义路由表中的路由条目如下表所示。
- 序号目标网段下一跳1192.168.1.0/24attach-vpc012172.16.1.0/24attach-vpc02
步骤三：配置VPC路由表
- 确认vpc01和vpc02路由表中是否存在下一跳为tr01的路由条目。
- 是，请跳过本步骤，直接执行第2步。
说明
由于步骤一已为连接vpc01的网络实例连接开启了路由同步，因此直接执行第2步。
- 否，请参考开启路由同步为网络实例连接attach-vpc01、attach-vpc02开启路由同步。配置完成后，vpc01和vpc02系统路由表中自动添加的路由条目如下表所示。
- VPC名称路由条目类型目标网段下一跳vpc01系统路由条目172.16.1.0/24tr01vpc02系统路由条目192.168.1.0/24tr01
- 配置vpc03系统路由表，将访问vpc01和vpc02的请求转发到云服务器ecs-fw。
- 在vpc03系统路由表中添加如下路由条目，详细步骤请参见添加路由条目。
- 序号路由条目类型目标网段下一跳1自定义路由条目192.168.1.0/24ecs-fw2自定义路由条目172.16.1.0/24ecs-fw
- 配置vpc03自定义路由表，将访问vpc01和vpc02的请求转发到中转路由器tr01。
- 参考开启路由同步为网络实例连接attach-vpc03开启路由同步。
- 配置完成后，vpc03自定义路由表中自动添加如下路由条目。
- 序号路由条目类型目标网段下一跳1系统路由条目192.168.1.0/24tr012系统路由条目172.16.1.0/24tr01
步骤四：配置云服务器ecs-fw开启IP转发功能（可选）
- 登录云服务器ecs-fw，详情请参见登录Linux实例或登录Windows实例。
- 执行以下命令，查看云服务器是否开启IP转发功能。
-
- 返回结果为1，说明已开启IP转发，则无需执行以下步骤。
- 返回结果为0，说明未开启IP转发，请继续执行以下步骤。
- 执行以下命令，打开sysctl.conf文件。
-
- 按i进入编辑模式，修改net.ipv4.ip_forward字段的值为1开启IP转发功能。
说明
如果sysctl.conf文件中没有net.ipv4.ip_forward字段，那么请在文件末尾手动添加net.ipv4.ip_forward = 1。
- 按esc退出编辑模式，输入:wq保存并退出文件。
- 执行以下命令，重启系统使配置生效。
-
结果验证
- 登录vpc01中的云服务器实例ecs01，详情请参见登录Linux实例或登录Windows实例。
- 执行命令ping连接vpc02中的云服务器，验证vpc01能正常访问vpc02。
- 返回如下图所示，则说明访问正常。
-
- 同理，登录vpc02中的云服务器实例ecs02，执行ping命令验证vpc02能够正常访问vpc01。
- 查看网络实例连接attach-vpc03的监控数据，流入带宽和流出带宽不为0，则说明vpc01和vpc02之间的互访流量是通过vpc03完成转发的。
- 查看监控数据的详细步骤请参见查看监控数据。
- 在防火墙中查看，确认vpc01和vpc02之间的互访流量经过了防火墙清洗。
最近更新时间：2026.03.23 19:11:32
这个页面对您有帮助吗？
有用
有用
无用
无用