Network Firewall 部署小指南（一）部署模型
内容提要
本文介绍了互联网南北向流量检查场景中的四种推荐的 Network Firewall（NFW）部署模型，包括出站流量检查分布式、出站流量检查集中式、入站流量检查分布式和入站流量检查集中式。同时，还描述了两种组合模型。建议根据安全需求和运维需求选择适合的模型，并采用分层次深度防御方法。
延伸解读
分布式与集中式：管理开销与成本的权衡
分布式部署将NFW放在每个业务VPC中，适合单个VPC或策略高度定制化的场景，但每个VPC需独立配置和维护，管理开销较高。集中式部署将NFW集中在检查VPC，通过TGW连接南北向流量，适合多业务VPC环境，能集中管理安全策略，但需额外支付TGW数据处理费用。选择时需权衡管理便捷性与成本。
出站检查：NFW位置如何影响源IP可见性
出站分布式模型中，建议将NFW置于NAT网关和私有子网之间，这样NFW能看到真实源IP，便于基于EC2或容器IP做细粒度管控。若放在NAT网关和IGW之间，NFW只能看到NAT网关的私有IP，无法基于真实源IP制定策略。同时，NFW子网需独立，不能包含其他资源，且NAT网关与NFW的费用可一对一减免。
入站检查：客户端IP获取与ELB部署要点
入站分布式模型建议将NFW放在ELB和IGW之间，以查看客户端IP并检查所有入站流量。若放在ELB和私有子网之间，NFW只能看到ELB的私网IP，且仅能检查ELB放行的流量。集中式入站模型中，检查VPC的ELB目标组必须使用IP类型，ALB通过X-Forwarded-For头、NLB通过Proxy Protocol v2传递客户端IP，且需在每个业务VPC中部署ELB以支持自动扩展。
高可用与深度防御：多可用区部署和组合模型
无论选择哪种模型，都建议在多个可用区部署NFW及相关组件（如NAT网关、ELB、TGW），以匹配工作负载可用区，避免单点故障。组合模型需为出站和入站防火墙分别创建子网，并分离NAT网关和ELB的子网。此外，建议采用分层次深度防御，结合Security Groups、NACLs、WAF、Shield Advanced等其他AWS安全服务，并开启TLS检查实现深度数据包检查。
Q&A
什么是网络防火墙（NFW）？
网络防火墙（NFW）是一种高度可用、托管的网络防火墙服务，能够检查和控制整个VPC的3-7层网络流量。
出站流量检查的分布式部署模型有什么特点？
出站流量检查的分布式部署模型适用于单个业务VPC，要求为NFW单独创建子网，并建议将其放置在NAT网关和私有子网之间。
集中式部署模型如何降低成本？
集中式部署模型通过在一个检查VPC中集中管理NFW和NAT网关，避免了为每个业务VPC单独支付NFW和NAT网关的费用，从而降低了成本。
入站流量检查的分布式部署模型应该如何配置？
入站流量检查的分布式部署模型建议将NFW放置在ELB和IGW之间，以便查看客户端IP地址并检查所有入站流量。
如何使用Firewall Manager管理NFW？
Firewall Manager允许集中创建的防护策略自动应用到多个账户，从而简化NFW的部署和管理。
在选择NFW部署模型时需要考虑哪些因素？
选择NFW部署模型时应考虑安全需求、运维需求、成本、可用性和流量检查的具体要求。
