说明
手动引流模式不会自动调整现有业务路由。完成防火墙专属资源创建后，您需要在云间高速侧配置业务路由表和防火墙路由表，才能将指定 VPC 间流量引流至云防火墙。
操作场景
本文以同一云企业路由器下的 VPC-业务1 与 VPC-业务2 互访为例，介绍如何通过防火墙专属 VPC（vpc-cfw）实现双向流量过墙。
说明
下文中的实例名称、ID、区域和网段仅为示例，请以实际控制台页面和您的网络规划为准。
前提条件
已开通云防火墙企业版，具有相关资源的操作权限，并有至少 1 个可用的 VPC 边界防火墙配额。
已创建云间高速实例和目标云企业路由器；需要防护的业务 VPC 已加载到该云企业路由器，且状态正常。
目标 VPC/业务子网的 CIDR 不重叠，并已确认现有自定义路由、路由策略和更具体路由不会绕过云防火墙。
已记录或导出现网路由配置，并已规划变更窗口和回退方案。路由调整可能造成短时业务中断。
配置原理
业务路由表将对端业务网段的下一跳指向 vpc-cfw；云防火墙完成检测与转发后，route-cfw 根据学习到的业务 VPC 路由将流量送达目标 VPC。反向流量需按同样逻辑配置，保证路径对称。
| 术语 | 说明 |
|---|---|
| 业务路由表 | 当前与目标业务 VPC 关联的云企业路由器路由表。它可能是默认路由表，也可能是自定义路由表。 |
| vpc-cfw | 云防火墙创建并加载到云企业路由器的防火墙专属 VPC（示例名称）。 |
| route-cfw | 系统为防火墙侧创建的云企业路由器路由表，用于学习并转发到各业务 VPC 的路由。 |
注意
业务路由表中的直达学习路由必须按防护范围处理，否则流量可能继续直达对端 VPC；但不要删除与本次防护无关的路由学习关系。
操作步骤
步骤1 完成自动检查
登录云防火墙（原生版）控制台，选择“防火墙开关 > VPC 边界防火墙开关 > 云间高速”，找到目标资产并单击“开启防护”。
单击“立即扫描”，等待系统完成网络资产、配额和路由相关检查。
根据页面提示处理检查结果。阻断项必须处理完成后再继续；非阻断提示请确认影响后再进入下一步。
步骤2 选择手动引流模式
在“选择引流模式”页面选择“手动引流模式”，然后单击“下一步”。
说明
模式区别：
自动引流模式适用于系统支持的标准组网，由系统完成路由编排；
手动引流模式适用于特殊组网或已有复杂路由策略的场景，系统不修改现有业务路由。
步骤3 创建防火墙专属 VPC 和终端节点
在“创建终端节点”页面按提示创建防火墙专属 VPC 及引流子网。系统会将该 VPC 加载到所选云企业路由器，并创建防火墙侧路由表 route-cfw。
防火墙专属 VPC 不能复用业务 VPC，不应部署业务主机。
自定义网段时，按页面要求填写，并确保与现有 VPC、专线、VPN 等网络网段不重叠。
资源创建完成后再进行路由配置；若未看到 vpc-cfw 或 route-cfw，请先检查本步骤的创建状态。
步骤4 在云间高速配置路由
4.1 定位目标云企业路由器
登录控制中心，进入云间高速控制台，选择目标云间高速实例。
在“云企业路由器管理”页签中，选择需要防护的云企业路由器并进入配置页面。
4.2 核对网络实例和路由同步
在“网络实例管理 > 虚拟私有云（VPC）”中确认：
vpc-cfw、VPC-业务1 和 VPC-业务2 均已加载到当前云企业路由器，且状态正常。
目标业务 VPC 的“同步云企业路由器路由”已开启。若关闭，云企业路由器中的自定义路由不会自动同步到 VPC 路由表，需要在 VPC 侧配置等价路由。vpc-cfw 的路由同步及关联状态应保持系统创建后的配置，不要随意修改。
4.3 配置业务路由表
进入“路由管理”，选择当前与目标业务 VPC 关联的路由表。该路由表可能是默认路由表，也可能是自定义路由表，请以“关联转发”关系为准。
处理直达学习路由。在“路由学习”页签中，删除本次防护涉及的业务 VPC 路由学习关系，避免生成直达对端 VPC 的学习路由。
添加指向 vpc-cfw 的自定义路由。切换到“路由条目”页签，单击“添加路由条目”，并按以下要求配置：
IP 类型：按业务网络选择 IPv4 或 IPv6。本文示例为 IPv4。
目的地址 CIDR：填写需要经云防火墙转发的对端 VPC/业务子网 CIDR。建议使用与实际防护范围一致的网段，不要无必要地扩大聚合范围。
是否黑洞路由：选择“否”。
下一跳类型：选择“虚拟私有云（VPC）”。
下一跳连接：选择系统创建的防火墙专属 VPC（vpc-cfw）。
注意
配置范围：若多个业务 VPC 共用同一业务路由表，请在该路由表中添加全部受保护对端网段；若各 VPC 使用不同路由表，请分别在每张路由表中添加指向对端网段的路由。双向流量都必须配置，保证路径对称。
4.4 配置防火墙侧路由表 route-cfw
在“路由管理”中选择系统创建的 route-cfw。可通过名称以及它与 vpc-cfw 的关联关系进行确认；不要误选默认路由表。
在“关联转发”页签中确认 vpc-cfw 已关联到 route-cfw。若关联缺失，请先检查防火墙专属资源的创建状态。
切换到“路由学习”页签，单击“添加路由学习”。网络实例类型选择“虚拟私有云（VPC）”，依次添加所有需要防护的业务 VPC。
完成后，在 route-cfw 的“路由条目”页签中确认已学习到各业务 VPC/已加载业务子网的路由。
步骤5 确认手动引流配置完成
返回云防火墙开启防护向导，完成页面校验后单击“配置完成”，等待防护状态变为“已开启”。
结果验证
云防火墙：流量日志中可查看对应东西向会话；访问控制和入侵防御策略符合业务预期。
说明
建议先使用低风险测试流量验证路径，再逐步放量。若业务不通，优先检查路由同步、CIDR 范围、路由优先级、未删除的直达学习路由以及 route-cfw 的学习关系。
关闭防护或回退
关闭云间高速防护前，必须先恢复原有路由路径，确保业务流量不再指向 vpc-cfw。建议在维护窗口内完成以下操作：
按变更前记录恢复业务 VPC 的路由学习关系或原有直连路由。
删除业务路由表中指向 vpc-cfw 的自定义路由，并确认业务直连路径已恢复。
验证双向业务连通和路由状态后，再返回云防火墙控制台关闭防护。
防护关闭前不要删除 vpc-cfw、route-cfw 或相关终端节点，以免造成流量中断。
