使用 NetworkFirewall 打造更安全的云上网络
内容提要
本文介绍了如何将单一VPC的业务架构改造为包含互联网隔离区的多VPC组网环境，提高数据安全性。通过使用AWS VPC、transit gateway和NetworkFirewall等服务，实现了流量管控的目标。文章详细介绍了解决方案的部署步骤，包括创建中转网关、互联网隔离区VPC、安全审查区VPC和应用网络VPC等，并配置了相应的子网和路由表。通过这些安全加固措施，网络安全得到了提升。
延伸解读
改造核心：从单VPC到多VPC的流量管控
文章将原本简单的单VPC架构（ALB在公有子网、EC2在私有子网）改造为多VPC组网，核心变化是引入互联网隔离区（DMZ）和安全审查区（Inspection）。所有跨VPC流量必须经过东西向防火墙审查，互联网流量则经过南北向防火墙审查。这种设计将安全控制集中化，避免了单VPC中安全边界模糊的问题，适合对数据安全和合规有更高要求的业务场景。
防火墙规则初始化策略：黑名单与白名单的差异
南北向防火墙（DMZ）初始化为黑名单类型，默认放行全部流量，按需阻拦；东西向防火墙（Inspection）初始化为白名单类型，默认拦截全部流量，按需放行。这种差异反映了内外有别的安全思路：对外网流量先放行再拦截，减少对正常业务的影响；对内网流量先拦截再放行，确保只有明确允许的通信才能通过，从而降低横向移动风险。
部署关键点：设备模式与路由表设计
部署时需注意两个关键点：一是中转网关挂载必须开启设备模式支持（ApplianceModeSupport），否则流量经过防火墙会被丢弃；二是路由表设计需确保流量先经过防火墙审查再转发。文章通过两张中转网关路由表（tgw-rtb-spoke和tgw-rtb-after-inspection）实现流量前后分离，并强调路由表名称、子网、可用区、关联关系需一一对应，以避免配置错误导致通信中断。
扩展性与混合云接入
该方案支持按需扩展应用VPC，并可通过Direct Connection Gateway将本地数据中心接入中转网关，使本地业务流量同样经过中心化防火墙审查。这意味着安全策略可以统一覆盖云上和本地环境，适合混合云场景。但需注意，本地数据中心需视为一个应用VPC，并配置对应CIDR路由指向Direct Connection Gateway，才能纳入防护体系。
Q&A
如何将单一VPC改造为多VPC组网环境？
可以通过创建互联网隔离区VPC和安全审查区VPC，结合AWS的transit gateway和NetworkFirewall服务，实现流量管控和数据安全。
使用NetworkFirewall的主要好处是什么？
NetworkFirewall可以对所有跨VPC流量进行状态检查和威胁检测，提升网络的安全性和可靠性。
在改造后的网络架构中，流量是如何被审查的？
所有跨VPC通信流量经过东西向防火墙审查，互联网流量经过南北向防火墙审查，确保流量安全。
部署多VPC环境需要哪些AWS服务？
需要使用AWS VPC、transit gateway和NetworkFirewall等服务来实现多VPC环境的构建和流量管控。
如何配置南北向和东西向防火墙？
南北向防火墙初始化为黑名单类型，东西向防火墙初始化为白名单类型，分别用于控制互联网流量和内部流量。
改造前的网络架构存在哪些安全隐患？
改造前的网络架构简单，缺乏流量隔离和监管，容易受到数据安全威胁。
