利用 Transit Gateway 和 Gateway Load Balancer 实现东西及南北流量的集中检测
内容提要
本文介绍了使用亚马逊云科技的网络服务构建安全的VPC，实现集中式网络安全流量检测中心。通过Gateway Load Balancer、Transit Gateway和FortiGate等产品，实现南北流量和东西流量的深度检测。文章提供了架构设计和配置过程，并给出了参考链接。
延伸解读
对称路由与Appliance Mode：集中检测的关键配置
文章在东西向流量场景中特别指出，必须在Transit Gateway的VPC attachment上启用Appliance Mode，否则响应流量可能因AZ亲和性被转发到错误的TGW ENI，导致非对称路由，进而使有状态防火墙丢包。这一配置是保障流量经过同一防火墙实例、维持会话状态的前提，部署时需优先检查。
AZ级高可用：GWLB跨区域负载均衡的作用
为规避单个可用区所有虚拟安全设备故障导致的工作异常，文章建议在GWLB中启用Cross-zone load balancing。该功能允许流量跨AZ分发到健康的防火墙实例，提升整体检测架构的容错能力。对于生产环境，这是实现AZ级别保护的重要措施。
源IP保留与TCP MSS调优：容易被忽略的细节
架构中ALB会替换报文源IP，防火墙和应用端看到的是ALB地址。若需应用识别客户端真实IP，需参考文章提供的链接进行额外设置。此外，在北京和宁夏区域，FortiGate策略中需调整tcp-mss-sender和tcp-mss-receiver参数（建议700-1300），以优化ALB流量的滑动窗口，避免性能问题。
安全VPC子网规划与未来扩展
安全VPC在每个AZ划分了TGW、NGFW、ALB、NAT四类子网，分别对应不同路由表，实现流量精细调度。文章提醒，若未来需在安全VPC中部署堡垒机、入侵检测等其他安全产品，应提前规划充足的CIDR地址空间，避免后续扩展时地址不足。
Q&A
如何利用亚马逊云科技的网络服务实现东西向和南北向流量的集中检测？
使用Gateway Load Balancer（GWLB）和Transit Gateway（TGW）构建安全VPC，结合FortiGate等防火墙，实现南北向和东西向流量的深度检测。GWLB将流量引导至防火墙进行检查，TGW作为中央交换中心连接多个VPC，确保流量经过安全VPC进行检测。
Gateway Load Balancer在流量检测架构中起什么作用？
GWLB工作在OSI第四层，与GWLB终端节点（GWLBe）配合，将进出应用的流量指向防火墙。它使用GENEVE封装（UDP 6081）转发流量到防火墙实例，并确保会话粘连，使同一流量的报文始终由同一防火墙处理。
Transit Gateway如何配置路由表以实现流量集中检测？
TGW配置两个路由表：Egress Route Table与所有应用VPC Attachment关联，默认路由指向安全VPC；Transit Route Table与安全VPC Attachment关联，路由指向各应用VPC。这样应用VPC的出站流量先到安全VPC检测，检测后再转发到目标。
在集中检测架构中，如何避免非对称路由导致防火墙丢包？
需要在Transit Gateway的VPC Attachment上启用Appliance Mode。这样TGW会根据流量的源AZ将返回流量转发到同一AZ的TGW ENI，确保流量往返路径对称，避免防火墙因非对称路由而丢包。
安全VPC的子网如何划分？各子网有什么用途？
安全VPC在每个AZ中划分四个子网：TGW子网（私有，用于TGW Attachment）、NGFW子网（私有，部署GWLB、GWLBe和防火墙实例）、ALB子网（公有，部署面向互联网的ALB）、NAT子网（公有，部署NAT Gateway用于出站访问）。
如何配置FortiGate防火墙以配合GWLB实现流量检测？
FortiGate需支持VDOM划分，将南北向和东西向流量隔离到不同VDOM（如NS-Traffic和EW-Traffic）。配置GENEVE隧道指向GWLB终端节点，设置策略路由将检测后流量回注GWLB，并配置安全策略启用UTM检测（如IPS、AV）。
如何验证南北向和东西向流量检测是否生效？
南北向：从互联网访问应用，流量应被放行并命中NS-Traffic-Policy；有害请求被拒绝，服务器出访恶意网站被阻断并记录日志。东西向：VPC间互访流量放行并命中EW-Traffic-Policy，防火墙记录互访信息。
