云防火墙 互联网边界防火墙接入模式切换实践教程

一、串行模式与旁路模式的区别

防火墙提供串行与旁路两种接入模式，以适用于不同安全纵深与业务连续性的平衡需求。

二、模式特性对比

三、高可用设计对比

·串行模式：

·多可用区（AZ）部署：采用跨可用区双活架构，防火墙集群实例分布式部署在多个可用区（AZ）。当任一可用区发生故障时，支持业务流量自动、无缝地切换至其他健康可用区，从而最大程度保障服务连续性与高可用性。

·分布式处理架构：采用分布式集群架构，客户会话将被负载均衡到集群内的多台处理节点上。此设计不仅能有效应对流量洪峰，还能实现故障隔离：当单台机器发生故障时，仅影响其正在处理的少量会话，这些会话在重连后会被自动调度到其他健康节点上恢复。

·旁路模式：

·多可用区（AZ ）部署：采用跨可用区双活架构，防火墙集群实例分布式部署在多个可用区（AZ ）。当任一可用区发生故障时，支持业务流量自动、无缝地切换至其他健康可用区，从而最大程度保障服务连续性与高可用性。

·无侵扰分析：通过镜像流量进行安全分析，并利用抢答发送 RST 包实施拦截，以降低对业务网络性能与架构的影响。

四、选型决策建议

你可以基于当前业务的核心需求、资源现状与发展阶段，选择适配你业务的模式。

五、旁路模式

·稳定性优先：无法接受任何额外的网络延迟或潜在的单点影响。

·资产类型受限：部分资产（如特定型号的 CLB）暂不支持串行模式。

·以审计监控为主：核心需求是流量可视化和事后分析，而非实时阻断。

·寻求快速部署：希望零配置、即时开启防护。

六、串行模式

·面临复杂威胁：需要防御 DDoS、漏洞利用、Web 攻击等多维威胁。

·有严格合规要求：需满足等级保护2.0（三级及以上）、PCI DSS 等标准。

·使用多协议：业务依赖 UDP（如音视频）、ICMP 等非 TCP 协议。

·追求主动防御：需要攻击发生时的毫秒级实时拦截能力。

七、方式一：批量切换

适用于对多个资产进行统一模式切换：

1. 在资产列表中，勾选多个需要切换的目标资产。

2. 单击列表上方的切换模式。

3. 选择接入模式为串行模式，单击确定。

注意：说明：

注意：建议勾选自动选择子网与内网 IP 创建私有连接，以简化网络配置。

八、方式二：单资产切换

适用于对个别核心资产进行模式切换：

1. 在资产列表中，找到需要切换为串行的目标资产。

2. 在接入模式列，单击串行。

注意：说明：

九、（可选）方式三：配置自动化策略

若希望未来新增的资产自动采用串行模式，可进行以下配置：

1. 在 互联网边界 页面，单击右上角的防火墙设置，进入功能配置页面。

2. 在互联网边界开关设置 > 资产防护设置中，开启新资产自动开启，并将默认流量模式设置为串行防火墙优先。

十、确认切换成功

·模式确认：在 互联网边界 页面，返回资产列表，查看目标资产的接入模式列是否已更新为串行。

·流量验证：单击查看监控，状态监控选择互联网边界防火墙。观察是否有串行模式的流量统计产生，以确认流量已成功经过串行防火墙。

十一、配置业务保障权重

为确保在极端流量情况下核心业务优先，请配置超量处置权重。

1. 在 互联网边界 页面，单击右上角的防火墙设置，进入功能配置页面。

2. 在互联网边界开关设置 > 防火墙超量处置配置中，单击编辑权重。

3. 为核心业务资产设置更高的权重，为次要业务设置较低权重。当总流量超过防火墙处理能力时，系统将按权重从低到高暂时对部分资产进行 Bypass，优先保障高权重业务的带宽。

十二、应急保障与模式回退

云防火墙内置了完善的业务连续性保障机制。

十三、自动保障机制

·超量 Bypass：当流量超过规格时，系统根据权重自动执行 Bypass，保障业务不中断。

·故障切换：基于多可用区（AZ）高可用部署。当单个 AZ 发生故障时，流量会自动切换至其他健康 AZ 的防火墙节点。

十四、手动回退至旁路模式

如果你需要将资产从串行模式切换回旁路模式，可按以下步骤进行操作：

1. 登录 云防火墙控制台，在左侧导航栏中，选择防火墙开关 > 互联网边界。

2. 在资产列表中，找到目标资产。

3. 单击旁路，或直接关闭该资产的防火墙开关，流量将立即绕过防火墙。

注意：在防火墙开关开启状态下进行模式回退，同样会有约1分钟的重启过程，对网络无影响。