亚马逊AWS官方博客
·
Network Firewall 部署小指南（二）路由设计
内容提要
文章介绍了四种网络防火墙部署模型：出站流量检查分布式、集中式，入站流量检查分布式、集中式。选择合适模型后需调整VPC路由表以检查流量。强调NFW的有状态特性和对称路由的重要性，建议根据需求选择部署模式并参考路由设计建议。
关键要点
-
文章介绍了四种网络防火墙部署模型：出站流量检查分布式、出站流量检查集中式、入站流量检查分布式和入站流量检查集中式。
-
选择合适模型后需调整VPC路由表以检查流量。
-
强调NFW的有状态特性和对称路由的重要性。
-
建议根据需求选择部署模式并参考路由设计建议。
-
在进行VPC路由设计时，需要确保流量出入同一个NFW终端节点。
-
路由表中的Target应指向同AZ的NFW端点，避免产生跨AZ传输费用。
-
在NFW上线前，建议对相关流量进行梳理，确保NFW策略配置正确。
-
NFW为透明防火墙，通过修改VPC中的路由表将NFW嵌入到现网架构中。
-
分布式部署模型和集中式部署模型的路由设计和流量转发过程有所不同。
-
出站集中式部署模型将APP-VPC的互联网出口集中到Inspection VPC进行检测。
-
入站集中式部署模型中，NFW被部署在VPC的最外侧，检测从互联网进入VPC的流量。
-
总结建议根据具体业务需求选择最适合的部署模式，并参考路由设计建议。
延伸解读
选择合适的部署模型
在选择网络防火墙（NFW）的部署模型时，需考虑业务需求和流量特性。分布式模型适合流量较大的场景，而集中式模型则更适合需要集中管理和监控的环境。根据不同的需求，合理选择模型可以提高网络安全性和管理效率。
路由设计的重要性
路由设计在NFW的部署中至关重要。确保流量通过同一NFW终端节点的对称路由可以避免连接中断和性能下降。此外，合理配置路由表可以减少跨可用区的传输费用，提升整体网络效率。
有状态防火墙的特性
NFW作为有状态防火墙，能够跟踪连接状态并做出相应的流量决策。这一特性在处理复杂流量时尤为重要，确保了流量的安全性和合规性。在设计时，需充分利用这一特性，以优化流量管理和安全策略。
延伸问答
网络防火墙的四种部署模型是什么？
四种部署模型为：出站流量检查分布式、出站流量检查集中式、入站流量检查分布式和入站流量检查集中式。
如何调整VPC路由表以检查流量？
选择合适的防火墙部署模型后，需要修改VPC中的子网路由表，以确保流量通过NFW进行检查。
NFW的有状态特性和对称路由有什么重要性？
NFW的有状态特性要求流量出入同一个NFW终端节点，而对称路由则确保流量的去向和回向通过同一条路径，避免连接中断。
在进行NFW上线前需要注意什么？
在NFW上线前，建议对相关流量进行梳理，确保NFW策略配置正确，并预留割接窗口以避免现有连接中断。
出站集中式部署模型的流量转发过程是怎样的？
出站集中式部署模型将流量集中到Inspection VPC进行检测，流量经过TGW转发到NFW进行规则匹配，最后发送到互联网。
选择防火墙部署模式时应考虑哪些因素？
选择防火墙部署模式时应考虑具体业务需求、后期维护复杂性以及路由设计建议。
