安纳托利亚控股遗留防火墙规则库迁移至华为云云防火墙解决方案技术架构

1. 用途和受众

1.1 预期用途

• 指导华为云上将传统防火墙规则库（Palo Alto、Fortinet、Cisco ASA、Check Point 或任意 CSV）迁移至 CFW 的设计和实施。
• 为售前、解决方案设计、实施和审查提供可重用的架构模式。
• 作为解决方案手册、交付包或实际部署的架构基础。
• 定义安全性、可靠性、性能、成本、运营和合规性护栏。

1.2 目标受众

2. 参考架构概述

3.1 架构描述

本参考架构描述了将企业传统防火墙规则库批量迁移至华为云 CFW（云防火墙）的自动化方案。工具读取规则库，将其归一化为厂商中立模型，报告无法翻译的内容，并输出华为批量导入工作簿和 AddAclRule API 载荷。整个迁移过程分为离线分析、转换和可选的 API 推送三个阶段，支持脱敏导出在本地运行，无需提前暴露真实地址或发起变更请求。

2.2 业务背景

2.3 架构优点

• 消除人工重复录入，更重要的是在导入前缩减规则库规模。
• 遮蔽、重复、零命中和不可翻译的规则被标记供评审，而非整体复制。
• 整个访问链路通过 VPC 内网完成，与公网完全隔离，确保高安全性。
• 离线分析阶段无需凭证和网络访问，任何人可针对脱敏导出运行，无需发起变更请求。
• 规则以 Disable 状态输出，支持分批启用，降低迁移风险。

2.4 设计关注点

2.5 典型架构

典型架构图

架构图展示了从传统防火墙规则库导出到华为云 CFW 的完整迁移流程，包括解析归一化、分析报告、转换输出和导入推送各阶段。

2.6 流程描述

1. Export：从传统防火墙只读导出规则库（.conf 备份或策略 .csv）。
2. Parse/Normalize：使用转换脚本将导出文件解析为归一化的结构化数据（厂商中立模型）。
3. Analyze：分析器脚本识别重复规则、阻塞项、零命中规则和不受支持的功能特性。
4. Transform：转换模块将安全域信息映射为 CFW 防护对象，在限制范围内生成导入产物。
5. Report/Review：导出的 .xlsx 和 .json 文件需由规则所有者评审后再批量导入。
6. Import：手动在控制台导入 .xlsx 文件，或使用脚本通过 API 推送 .json 文件至 CFW/SG/NACL。

2.7 云服务产品清单

3. 参考链接

• 产品文档：华为云 CFW 产品文档
• 实施指南：fw2cfw 工具 inspect → analyze → convert → push 流程
• 源代码或 IaC：fw2cfw 工具源码
• 操作手册：mapping.yaml 安全域映射配置指南
• 安全性和合规性映射：CFW 规则上限与区域差异说明

4. 使用限制

• CFW 默认放行所有流量，没有隐式的终端拒绝。本工具输出的任何内容都不会添加它，需自行编写并最后启用。
• 导入的规则以较低优先级落地，低于已配置的规则。导入后应在控制台检查结果顺序。
• 规则以 Disable 状态输出，以便分批启用。
• 将生成的工作簿与从控制台下载的模板进行比对后再导入生产环境。华为会修订模板。
• 引用规则的地址和域名组必须先存在——push 会先创建它们，工作簿路径中 Address-Table 和 Domain-Table 与规则一起导入。
• VPC 边界防护和 NAT（私网 IP）防护需要 CFW 专业版。标准版仅覆盖 EIP 流量。
• 安全域对匹配不到任何项的规则将报告为 UNMAPPED_ZONE 并不予转换——工具拒绝猜测。

附录 A. 术语和缩略语