Использование стороннего межсетевого экрана для очистки трафика сетей VPC

VPC, подсети и маршрутизация

Между подсетями VPC всегда есть доступ друг к другу через встроенный виртуальный роутер. В таблице маршрутизации VPC все подсети являются connected networks.

Чтобы перенаправить трафик из подсетей VPC в другое устройство, необходимо вынести эти подсети в отдельные VPC.

VPC Peering и маршрутизация

Маршруты до сетей из разных VPC в качестве маршрутизатора используют VPC Peering Connection, что приводит к тому, что трафик сначала попадает в таблицу маршрутизации VPC по умолчанию. Если в этой таблице маршрутизации есть маршруты в другие VPC, то трафик по умолчанию будет направлен через виртуальные маршрутизаторы облака.

Чтобы трафик проходил через сторонний межсетевой экран, необходимо использовать пользовательские таблицы маршрутизации для маршрутов через VPC Peering Connection.

Direct Connect и маршрутизация

При настройке Direct Connect маршруты до удаленных сетей попадают в таблицу маршрутизации по умолчанию. Если в этой таблице маршрутизации есть маршруты в другие VPC, то трафик по умолчанию будет направлен через виртуальные маршрутизаторы облака.

Чтобы перенаправить трафик из подсетей VPC в другое устройство, необходимо вынести Direct Connect Virtual Interface отдельно от других VPC.

Планирование ресурсов

Перед началом работы нужно создать VPC, виртуальные машины ECS и VPC Peering Connection. Подробная информация о необходимых ресурсах представлена в Таблице 1.

Настройка маршрутов

Чтобы обеспечить взаимодействие между VPC и очистку трафика через межсетевой экран, нужно добавить маршруты в таблицы маршрутизации VPC. Подробная информация о таблицах маршрутизации в Таблице 5.

Процесс

1. Создайте VPC-A, VPC-B, VPC-C, VPC-X и их подсети.

   См.также

   Подробнее о VPC и их подсетях смотрите в Таблице 2.

   Создание сети и подсети

2. Создайте пользовательскую таблицу маршрутизации в VPC-X.

3. Свяжите subnet-X01 с созданной пользовательской таблицей маршрутизации.

4. Создайте виртуальные машины ECS в VPC-A, VPC-B и VPC-X.

   См.также

   Создание виртуальной машины ECS

5. Настройте Direct Connect: создайте виртуальный шлюз и виртуальный интерфейс в VPC-X.

   Примечание

   В настройках виртуального шлюза в блоке Subnet CIDR Block укажите все облачные подсети, до которых необходимо предоставить доступ через Direct Connect.

6. Настройте NIC ecs-X и установите сторонний межсетевой экран на ecs-X.

   • Отключите проверку source/destination check для NIC ecs-X.

     

   • Установите сторонний межсетевой экран на ecs-X.

     Примечание

     Сетевой драйвер динамически регулирует количество очередей сетевых карт в зависимости от количества виртуальных ядер ECS. Для некоторых ОС в настройках образа необходимо включить поддержку Multi-Queue на уровне образа IMS. Для этого:

     1. После загрузки образа нажмите Modify, чтобы изменить его настройки.

     2. В поле NIC Multi-Queue выберите Supported.

     

7. (Опционально) Настройте виртуальный IP-адрес для ВМ.

   Можно создать две ВМ в VPC-X и привязать их к одному виртуальному IP-адресу, чтобы они могли работать в активном и резервном режиме. Если активная ВМ неисправна и не может предоставлять услуги, виртуальный IP-адрес будет динамически переключен на резервный ECS для продолжения предоставления услуг. Пропустите этот шаг, если ECS, на котором развернут межсетевой экран, не нуждается в работе в активном/резервном режиме.

   • Назначьте виртуальный IP-адрес в подсети VPC-X.

   • Привяжите виртуальный IP-адрес к активному и резервному ECS, на которых развернут межсетевой экран.

8. Создайте три VPC Peering Connection и настройте маршруты.

   • Создайте три соединения VPC Peering.

     См.также

     Подробнее о соединениях VPC Peering смотрите в Таблице 4

     Создание виртуальной машины ECS

   • В таблицах маршрутизации по умолчанию трех VPC с развернутыми ВМ добавьте маршруты с назначением на три другие сети VPC и с next hop, установленным на VPC Peering Connection.

     В этом примере добавьте маршруты, запланированные в Таблице 6, в таблицы маршрутизации VPC-A, VPC-B и VPC-C.

   • Добавьте маршруты в таблицу маршрутизации по умолчанию и пользовательскую таблицу маршрутизации VPC с межсетевым экраном.

     В этом примере добавьте маршруты, запланированные в Таблице 7, в таблицу маршрутизации по умолчанию и пользовательскую таблицу маршрутизации VPC-X.

9. Войдите в ВМ, чтобы проверить работу межсетевого экрана.

   В этом примере для входа в ECS используется VNC, предоставляемый на консоли управления.

10. Войдите в ecs-A01 и проверьте соединение между VPC-A и VPC-B.

    ping Private IP address of ecs-B01

    Пример команды:

    ping 10.2.0.10

    Если отображается следующая информация, две сети VPC соединены друг с другом.

    [root@ecs-A01 ~]# ping 10.2.0.10
    PING 10.2.0.10 (10.2.0.10) 56(84) bytes of data.
    64 bytes from 10.2.0.10: icmp_seq=1 ttl=64 time=0.849 ms
    64 bytes from 10.2.0.10: icmp_seq=2 ttl=64 time=0.455 ms
    64 bytes from 10.2.0.10: icmp_seq=3 ttl=64 time=0.385 ms
    64 bytes from 10.2.0.10: icmp_seq=4 ttl=64 time=0.372 ms
    ...
    --- 10.2.0.10 ping statistics ---
    
    

11. Повторите пункт 8, чтобы проверить связь между другими VPC.