安全-华为云

虚拟私有云 VPC-通过对等连接和第三方防火墙实现多VPC互访流量清洗:约束与限制

约束与限制 VPC对等连接只能实现同区域VPC的网络互通，因此请确保您的VPC位于同一个区域内。需要通过VPC对等连接通信的VPC的子网网段不能重叠，否则对等连接不会生效，更多详情请参见无效的VPC对等连接配置。第三方防火墙部署的E CS 所在的子网需要关联自定义路由表，请确保您资源所在的区域支持自定义路由表功能。如果在网络控制台的左侧子栏目看到独立的“路由表”选项，表示支持自定义路由表功能。图2 支持定义路路由

虚拟私有云 VPC VPC网络安全

虚拟私有云 VPC-通过对等连接和第三方防火墙实现多VPC互访流量清洗:组网规划说明

组网规划说明本示例中需要在VPC路由表中配置路由，实现VPC之间的互通以及通过防火墙的流量清洗、组网规划总体说明请参见表5。以下路由规划详情仅为示例，供您参考，您需要根据实际业务情况规划路由。表5 云上VPC互访使用第三方防火墙组网规划总体说明路由表说明业务所在VPC vpc-A、vpc-B、vpc-C为业务VPC，路由表的规划详情如表6所示。在vpc-A、vpc-B、vpc-C的默认路由表中，分别添加指向其他VPC子网，下一跳为对等连接的路由，实现不同VPC之间的网络互通。防火墙所在VPC vpc-X为防火墙VPC，路由表的规划详情如表7所示。在vpc-X的默认路由表中，根据您防火墙部署方案分为以下情况：防火墙部署在一台ECS上，则添加目的地址为默认网段（0.0.0.0/0），下一跳为ecs-X01的路由，将流量引入防火墙所在的云服务器。防火墙部署在两台ECS上，对外通过同一个虚拟IP通信，当主ECS发生故障无法对外提供服务时，动态将虚拟IP切换到备ECS，继续对外提供服务。此场景下，则添加目的地址为默认网段（0.0.0.0/0），下一跳为虚拟IP的路由，将流量进入虚拟IP，由虚拟IP将流量引入防火墙所在的云服务器。本文以防火墙部署在一台ECS上为例，vpc-A、vpc-B、vpc-C互访的流量，都需要经过vpc-X，然后通过该条路由，将流量引入防火墙中进行清洗过滤。在vpc-X的自定义路由表中，添加目的地址为业务VPC子网网段（vpc-A、vpc-B、vpc-C子网），下一跳为对等连接的路由，将清洗后的流量引入业务VPC。表6 业务VPC路由表规划 VPC名称 VPC路由表目的地址下一跳类型下一跳路由类型路由作用 vpc-A 默认路由表：rtb-vpc-A 10.2.0.0/24 对等连接 peer-AX 自定义目的地址指向vpc-B的子网subnet-B01 连通子网subnet-A01和subnet-B01 10.3.0.0/24 对等连接 peer-AX 自定义目的地址指向vpc-C的子网subnet-C01 连通子网subnet-A01和subnet-C01 192.168.0.0/24 对等连接 peer-AX 自定义目的地址指向vpc-X的子网subnet-X01 连通子网subnet-A01和subnet-X01 vpc-B 默认路由表：rtb-vpc-B 10.1.0.0/24 对等连接 peer-BX 自定义目的地址指向vpc-A的子网subnet-A01 连通子网subnet-A01和subnet-B01 10.3.0.0/24 对等连接 peer-BX 自定义目的地址指向vpc-C的子网subnet-C01 连通子网subnet-B01和subnet-C01 192.168.0.0/24 对等连接 peer-BX 自定义目的地址指向vpc-X的子网subnet-X01 连通子网subnet-B01和subnet-X01 vpc-C 默认路由表：rtb-vpc-C 10.1.0.0/24 对等连接 peer-CX 自定义目的地址指向vpc-A的子网subnet-A01 连通子网subnet-A01和subnet-C01 10.2.0.0/24 对等连接 peer-CX 自定义目的地址指向vpc-B的子网subnet-B01 连通子网subnet-B01和subnet-C01 192.168.0.0/24 对等连接 peer-CX 自定义目的地址指向vpc-X的子网subnet-X01 连通子网subnet-C01和subnet-X01 表7 防火墙VPC路由表规划 VPC名称 VPC路由表目的地址下一跳类型下一跳路由类型路由作用 vpc-X 默认路由表：rtb-vpc-X 0.0.0.0/0 服务器实例 ECS-X 自定义目的地址指向部署防火墙的ecs-X 将vpc-X入方向的流量引入防火墙本文以防火墙部署在一台ECS上为例，如果您的防火墙同时部署在多台ECS上，对外通过虚拟IP通信，则路由下一跳选择虚拟IP。自定义路由表：rtb-vpc-custom-X 10.1.0.0/24 对等连接 peer-AX 自定义目的地址指向vpc-A的子网subnet-A01 连通子网subnet-A01和subnet-X01 10.2.0.0/24 对等连接 peer-BX 自定义目的地址指向vpc-B的子网subnet-B01 连通子网subnet-B01和subnet-X01 10.3.0.0/24 对等连接 peer-CX 自定义目的地址指向vpc-C的子网subnet-C01 连通子网subnet-C01和subnet-X01

虚拟私有云 VPC VPC网络安全

虚拟私有云 VPC-通过对等连接和第三方防火墙实现多VPC互访流量清洗:资源规划说明

资源规划说明本示例中需要创建虚拟私有云VPC 、弹性云服务器ECS 以及VPC对等连接，资源规划总体说明请参见表1。以下资源规划详情仅为示例，供您参考，您需要根据实际业务情况规划资源。表1 云上VPC互访使用第三方防火墙资源规划总体说明资源说明虚拟私有云VPC VPC的资源规划详情如表2所示。本示例中共有4个VPC，包括业务所在VPC和防火墙所在的VPC。这些VPC位于同一个区域内，且这些VPC的子网网段不重叠。 vpc-A、vpc-B、vpc-C为业务VPC，vpc-X为防火墙VPC，这些VPC通过对等连接实现网络互通。 vpc-A、vpc-B、vpc-C、vpc-X各有一个子网。 vpc-A、vpc-B、vpc-C各有一个默认路由表，子网关联VPC默认路由表。 vpc-X有两个路由表，一个系统自带的默认路由表，一个用户创建的自定义路由表，vpc-X的子网关联自定义路由表。默认路由表控制vpc-X的入方向流量，自定义路由表控制vpc-X的出方向流量。须知：需要通过对等连接通信的VPC的子网网段不能重叠，否则对等连接不会生效，更多详情请参见无效的VPC对等连接配置。弹性云服务器ECS ECS的资源规划详情如表3所示。本示例中共有4个ECS，这些ECS分别位于不同的VPC内，这些ECS如果位于不同的安全组，需要在安全组中添加规则放通对端安全组的网络。 VPC对等连接 VPC对等连接的资源规划详情如表4所示。本示例中共3个对等连接，网络连通需求如下： peer-AX：连通vpc-A和vpc-X的网络。 peer-BX：连通vpc-B和vpc-X的网络。 peer-CX：连通vpc-C和vpc-X的网络。由于VPC对等连接具有传递性，通过路由配置，vpc-A、vpc-B以及vpc-C之间可以通过vpc-X进行网络通信。表2 VPC资源规划详情 VPC名称 VPC网段子网名称子网网段关联路由表子网作用 vpc-A 10.1.0.0/16 subnet-A01 10.1.0.0/24 默认路由表部署业务的子网 vpc-B 10.2.0.0/16 subnet-B01 10.2.0.0/24 默认路由表部署业务的子网 vpc-C 10.3.0.0/16 subnet-C01 10.3.0.0/24 默认路由表部署业务的子网 vpc-X 192.168.0.0/16 subnet-X01 192.168.0.0/24 自定义路由表部署防火墙的子网表3 ECS资源规划详情 ECS名称 VPC名称子网名称私有IP地址镜像安全组 ECS作用 ecs-A01 vpc-A subnet-A01 10.1.0.139 公共镜像： CentOS 8.2 64bit sg-demo：通用Web服务器部署业务的云服务器 ecs-B01 vpc-B subnet-B01 10.2.0.93 部署业务的云服务器 ecs-C01 vpc-C subnet-C01 10.3.0.220 部署业务的云服务器 ecs-X01 vpc-X subnet-X01 192.168.0.5 部署防火墙的云服务器表4 VPC对等连接资源规划详情 VPC对等连接名称本端VPC 对端VPC peer-AX vpc-A vpc-X peer-BX vpc-B vpc-X peer-CX vpc-C vpc-X

虚拟私有云 VPC VPC网络安全

虚拟私有云 VPC-通过对等连接和第三方防火墙实现多VPC互访流量清洗:方案架构

方案架构本示例中vpc-A、vpc-B、vpc-C为业务所在的VPC，vpc-X为防火墙所在的VPC，这些VPC通过对等连接实现网络互通。vpc-A、vpc-B、vpc-C之间互通的流量均需要经过vpc-X上的防火墙。根据默认路由表配置，所有vpc-X的入方向流量均引入防火墙，通过防火墙清洗后的流量根据自定义路由表的目的地址送往指定业务VPC。在图1中，以ecs-A01访问ecs-C01为例，您可以清晰的看到流量的请求路径和响应路径。图1 云上VPC互访使用第三方防火墙组网规划

虚拟私有云 VPC VPC网络安全

虚拟私有云 VPC-为什么配置的安全组规则不生效？:排查思路

排查思路以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题的原因。如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。图2 排查思路表1 排查思路可能原因处理措施安全组规则配置错误解决方法请参考安全组规则配置错误。网络ACL规则与安全组规则冲突解决方法请参考网络ACL规则与安全组规则冲突。实例防火墙限制端口访问解决方法请参考实例防火墙限制端口访问。实例属于不同VPC，网络不通解决方法请参考实例属于不同VPC，网络不通。

虚拟私有云 VPC 安全类

虚拟私有云 VPC-为什么配置的安全组规则不生效？:安全组规则配置错误

安全组规则配置错误当安全组规则配置有误时，无法按照规划的安全组规则对实例进行保护。您可以按照以下几点原因对安全组配置进行检查：安全组规则方向设置错误，例如将需要在入方向添加的规则添加到出方向规则下。安全组中包括入方向规则和出方向规则，用来控制安全组内实例的入方向和出方向的网络流量。入方向规则控制外部请求访问安全组内的实例，控制的是流入实例的流量。出方向规则控制安全组内实例访问外部的请求，控制的是从实例流出的流量。安全组规则协议类型未选择正确。网络协议即匹配流量的协议类型，支持TCP、UDP、ICMP和GRE协议，请正确选择安全组规则协议类型。添加的端口是高危端口，对于运营商判断的高危端口，这些端口默认被屏蔽，在受限区域无法访问，此时建议您将端口修改为其他非高危端口。常用端口说明及高危端口请参考弹性云服务器常用端口。实际未开通业务所需的端口。在安全组规则中放开某个端口后，您还需要确保实例（如ECS）内对应的端口也已经放通，安全组规则才会对实例生效。请参考添加安全组规则中的“检查安全组规则是否生效”小节，检查ECS内端口开放情况，并验证配置是否生效。当找到问题原因后，您可以参考添加安全组规则或修改安全组规则选择正确的方向或协议类型、放通需要开放的端口。

虚拟私有云 VPC 安全类

虚拟私有云 VPC-为什么配置的安全组规则不生效？:背景知识

背景知识虚拟私有云VPC是您在云上的私有网络，通过配置安全组和网络ACL策略，可以保障VPC内部署的实例安全运行，比如弹性云服务器、数据库、云容器等。安全组对实例进行防护，将实例加入安全组内后，该实例将会受到安全组的保护。网络ACL对整个子网进行防护，将子网关联至网络ACL，则子网内的所有实例都会受到网络ACL保护。除了VPC提供的安全策略，通常情况下您还可以配置实例的防火墙，进一步提升是的安全。不同安全策略配合使用的工作原理图如图1所示。图1 VPC安全策略基于以上情况，如果您的安全组规则配置完未生效，除了安全组本身参数的配置可能有误，还有可能是不同的安全策略之间存在冲突，具体请您参考本视频处理。

虚拟私有云 VPC 安全类

需求管理 CODEARTS REQ-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

需求管理 CODEARTS REQ 安全

智能边缘小站 CLOUDPOND-用户在保证自身业务数据安全性上需要采取哪些措施？

用户在保证自身业务数据安全性上需要采取哪些措施？建议用户在如下一些方面采取足够的措施以保障业务数据安全性：对CloudPond所部署的地理位置及其相关基础设施的安全负责，并确保CloudPond与中心云之间的网络安全性和可用性。建议用户对数据进行识别和分类；对敏感的数据默认加密；使用安全组、网络ACL（Access Control Lists）对资源实施网络访问控制。此外建议您使用云审计服务（Cloud Trace Service， CTS ），对用户访问数据的行为进行审计。当用户停止使用CloudPond前，请先对CloudPond上需要保留的数据进行转储。 CloudPond用户需要对 IAM 的账号授权进行严格管理，遵从最小授权的原则，为其他用户开通完成工作所需的最小权限，并定期对其权限范围进行审核。更多细节请参见IAM安全使用最佳实践。父主题：安全性

智能边缘小站 CLOUDPOND 安全性

云手机服务器 CPH-审计与日志

审计与日志云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。用户开通云审计服务后，CTS可记录CPH的操作事件用于审计。 CTS的详细介绍和开通配置方法，请参见CTS快速入门。 CPH支持审计的操作事件，请参见支持审计的关键操作。查看审计日志，请参见查看CPH审计事件。父主题：安全

云手机服务器 CPH 安全

弹性云服务器 ECS-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

弹性云服务器 ECS 安全

虚拟私有云 VPC-批量创建安全组规则:请求示例

请求示例在安全组15457509-18f9-4387-bae6-d4ed1898b301中创建入方向规则，忽略重复规则，两条规则相同。 POST https://{Endpoint}/v3/{project_id}/vpc/security-groups/15457509-18f9-4387-bae6-d4ed1898b301/security-group-rules/batch-create { "ignore_duplicate" : true, "security_group_rules" : [ { "direction" : "ingress", "description" : "", "protocol" : "tcp", "action" : "allow", "priority" : 1, "ethertype" : "IPv4", "multiport" : "22", "remote_ip_prefix" : "117.78.12.122/32" }, { "direction" : "ingress", "description" : "", "protocol" : "tcp", "action" : "allow", "priority" : 1, "ethertype" : "IPv4", "multiport" : "22", "remote_ip_prefix" : "117.78.12.122/32" } ] }

虚拟私有云 VPC 安全组规则

虚拟私有云 VPC-批量创建安全组规则:响应示例

响应示例状态码： 201 Created { "security_group_rules" : [ { "id" : "abef369b-d646-4b8a-9f44-fcd248a6c421", "project_id" : "5f6387106c2048b589b369d96c2f23a2", "security_group_id" : "15457509-18f9-4387-bae6-d4ed1898b301", "direction" : "ingress", "protocol" : "tcp", "description" : "", "created_at" : "2023-04-28T04:08:52.000+00:00", "updated_at" : "2023-04-28T04:08:52.000+00:00", "ethertype" : "IPv4", "remote_ip_prefix" : "117.78.12.122/32", "multiport" : 22, "action" : "allow", "priority" : 1 } ], "request_id" : "f1ae2c6f9e94babf077cd3b3e1570c81" }

虚拟私有云 VPC 安全组规则

虚拟私有云 VPC-删除安全组资源标签:响应参数

响应参数状态码： 400 表2 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999 状态码： 401 表3 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999 状态码： 403 表4 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999 状态码： 404 表5 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999 状态码： 409 表6 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999 状态码： 500 表7 响应Body参数参数参数类型描述 code String 请求返回的错误码 message String 请求返回的错误信息最小长度：1 最大长度：999

虚拟私有云 VPC 安全组资源标签管理

专属主机 DEH-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的IaaS、PaaS和SaaS类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的IaaS、PaaS和SaaS类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

专属主机 DEH 安全

云服务器内容精选

安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线