更新时间:2024-11-12
简介
本节介绍如何部署AF多网卡路由模式实现单VPC与跨VPC云服务器ECS防护。
环境介绍
当前华为云拥有VPC1(192)和VPC2(172),子网中分别有一台Linux服务器(网站服务器/数据库服务器),且拥有一个EIP对外提供网站服务
网站服务器1:192.168.0.20/24(EIP:1.92.121.37)
内网服务器2:172.16.0.10/24



实现效果
路由模式部署AF云防火墙防护VPC1以及VPC2的两台服务器,实现发布业务以及代理上网防护,且不改变业务访问方式(依旧使用EIP:1.92.121.37访问网站)
操作步骤
①、新增子网:在VPC1中新增子网192.168.1.0/24
②、将AF安装部署在VPC1中(本次选择192.168.1.0/24子网网段)


③、添加网卡:为AF绑定弹性网卡
登录华为云控制台-弹性云服务器ECS-(找到AF实例)-弹性网卡-绑定弹性网卡
新增弹性网卡,子网网段选择192.168.0.0/24

④、关闭网卡源目检查

二、登录配置AF
AFeth0:192.168.1.22(EIP:1.92.121.37)
AFeth1:192.168.0.91
配置接口地址、区域(根据需求配置_改环境eth0为WAN口)



PS:华为云默认网关为子网第一个可用IP(如:192.168.1.0/24网段-网关为192.168.1.1)
配置静态路由:
配置VPC2服务器172.168.0.10路由指向AF_eth1口(Lan口)网关

①、配置防火墙代理上网-SNAT
【策略】-【地址转换】-【IPV4地址转换】-新增[源地址转换]
注意:源地址不要选择全部,请选择具体的私网网段/私网地址

②、配置业务发布网站-DNAT
【策略】-【地址转换】-【IPV4地址转换】-新增[目的地址转换]


③、配置应用控制策略-ACL
【策略】-【访问控制】-【应用控制策略】-新增放通ACL

三、平台配置
①、配置引流路由
华为云控制台-【虚拟私有云VPC】-【路由表】
点击VPC1-192的默认路由表(AF所在VPC)添加路由 0.0.0.0/0 -->扩展网卡/弹性辅助网卡--AF_Lan口
作用:将VPC1-192的所有子网中的服务器ECS上网流量引流至AF(注意:该路由只作用与没有EIP的服务器)


②、配置对等连接
华为云控制台-【虚拟私有云VPC】-【对等连接】
创建对等连接-将VPC1-192与VPC2-172网络打通


③、配置对等连接路由
点击VPC2-172的默认路由表 添加路由 0.0.0.0/0 -->对等连接-192-172
点击VPC1-192的默认路由表(AF所在VPC)添加路由 172.16.0.0/16 -->对等连接-192-172
作用:
将VPC2-172内的服务器上网流量引流至AF所在VPC(通过AF代理上网)
将VPC1-VPC2回包路由打通






四、业务验证
①、业务网站服务器:192.168.0.20访问
本次使用业务网站ssh端口测试,使用EIP:1.92.121.37的22端口访问业务网站

②、数据库服务器:172.16.0.10访问
本次使用业务网站ssh端口测试,使用EIP:1.92.121.37的2222端口访问

五、流量走向分析
①、VPC2-172内服务器上网流量解析

数据包分析


②、业务访问流量解析

数据包分析:
访问EIP:2222端口



