

阿里云CEN+云防火墙，轻松实现东西南北流量集中检测

Flyingnets

2025-11-12

导读：为企业上云之路筑牢基石

创新 | 安全 | 共赢

安心运营，用飞络

安全，尤其是网络安全，对所有客户而言都是至关重要的议题。无论是从企业安全管控落地（如阿里云Landing Zone解决方案）的角度，还是从合规遵从（例如满足网络安全等级保护中关于安全通信网络、安全区域边界的要求）的角度来看，构建集中的网络安全流量检测中心、设计并实施有效的网络边界防护策略，以精准过滤内外部网络访问流量，均具有极其重要的意义。

产品介绍

云企业网CEN（Cloud Enterprise Network）是运行在阿里云私有全球网络上的一张高可用网络。云企业网通过转发路由器TR（Transit Router）将不同账号VPC加载到CEN中实现云上网络互联。

阿里云云防火墙是一款云平台SaaS（Software as a Service）化的防火墙，可针对您云上网络资产的互联网边界（南北向）、VPC边界（东西向）及主机边界实现三位一体的统一安全隔离管控，是您业务上云的第一道网络防线。

本文介绍通过阿里云CEN以及云防火墙来构建一个安全VPC，实现集中式的流量检测功能，包括南北流量检测、东西流量检测。

先搞懂两个基础概念：

南北向流量

简单说就是 “内外交互” 的流量，比如用户从互联网访问你的云服务器，或者你的服务器调用外部API，这种跨 “边界” 的通信都算。

东西向流量

指的是云环境内部的 “横向通信”，比如A VPC里的服务器访问B VPC的数据库，属于内部资源之间的交互。

架构设计介绍

本文架构为跨账号多VPC组网架构：

阿里云CEN+TR+Cloud Firewall。

南北向网络设计

Part 01

业务流量入站

对外业务流量入站顺序如下：

例如客户业务账号1对外发布域名为：https://oa.example.com

1.客户端访问https://oa.example.com，域名解析CNAME到WAF上；

2.WAF将清洗对应流量，若无威胁则转发到云防火墙；

3.云防火墙通过互联网入站规则以及自身IPS 检测流量若无威胁则将根据流量转发到对应业务ALB当中；

4.ALB将对应流量转发对应对ECS中。

Part 02

业务流量出站

若ECS服务器需要使用公网调用第三方API，那么业务出站流量顺序如下：

若ECS需要访问

https://map.example.com/api/

1.流量会根据VPC路由表中0.0.0.0/0默认路由将流量转发到CEN的TRL-1中；

2.通过CEN中Egress路由表中0.0.0.0/0默认路由将流量转发到云防火墙当中；

3.在Cloud-Firewall-PRD-VPC中，TR-SWitch交换机使用路由表中的默认路由将流量发送到cloud firewall vfw-ENI（云防火墙实例网卡）；

4.云防火墙根据配置的VPC边界防火墙策略决定是否允许该流量，若允许则根据自身路由表转发报文至TRL-3；

5.由于Cloud-Firewall-PRD-VPC与FW Route Table路由表关联，因此CEN根据FW Route Table，将报文转发到DMZ-VPC；

6.在DMZ-VPC中TR-SWitch交换机使用路由表中的默认路由将流量发送到NAT中；

7.NAT根据SNAT规则将业务映射到对应的EIP；

8.NAT的EIP需要根据互联网边界防火墙出向规则是否放行出站。

东西向网络设计

VPC-1访问VPC-2报文流向

1.根据VPC-1路由表，通过默认路由（0.0.0.0/0）将报文转发到TRL-1。

2.由于VPC-1与Egress Route Table出口路由表关联，CEN使用出口路由表中的10.0.2.0/24路由将报文发送到 Cloud-Firewall-PRD-VPC。

3.在Cloud-Firewall-PRD-VPC中，TR-SWitch交换机使用路由表中的默认路由将流量发送到cloud firewall vfw-ENI（云防火墙实例网卡）。

4.云防火墙根据配置的 VPC 边界防火墙策略决定是否允许该流量，若允许则根据自身路由表转发报文至 TRL-3。

5.由于Cloud-Firewall-PRD-VPC与FW Route Table 路由表关联，因此CEN根据FW Route Table，将目的地址为10.0.2.2的报文转发到 VPC-2。最后，流量到达VPC-2，数据包的目的地在VPC CIDR 范围内，本地路由会将流量转到IP 10.0.2.2的应用程序实例。

VPC-2响应VPC-1报文流向

6.根据VPC-2路由表，通过默认路由（0.0.0.0/0）将报文转发到TRL-2。

7.由于VPC-2与Egress Route Table出口路由表关联，CEN使用出口路由表中的10.0.1.0/24路由将报文发送到Cloud-Firewall-PRD-VPC。

8.在Cloud-Firewall-PRD-VPC 中，TR-SWitch 交换机使用路由表中的默认路由将流量发送到 cloud firewall vfw-ENI（云防火墙实例网卡）。

9.云防火墙根据配置的 VPC 边界防火墙策略决定是否允许该流量，若允许则根据自身路由表转发报文至 TRL-3。

10.由于Cloud-Firewall-PRD-VPC与FW Route Table 路由表关联，因此CEN根据FW Route Table，将目的地址为10.0.1.1的报文转发到 VPC-1。最后，流量到达VPC-1，数据包的目的地在VPC CIDR范围内，本地路由会将流量转到 IP 10.0.1.1的应用程序实例。