云防火墙实践：千里达票务系统 VPC 之间的东西向流量管控
安全防护早期只盯着南北向（外部进来），后来发现一次内部安全巡检：某台测试 ECS 居然能直接连生产 RDS，东西向流量完全裸奔。万一测试机被攻破，攻击者直接横向到生产库。接入阿里云云防火墙后，VPC 之间、VPC 内 ECS 之间的流量也做了管控。
一、要管什么
- 生产 VPC 只允许业务服务器访问 RDS/Redis；
- 测试 VPC 不能访问生产任何资源；
- 运维管理走堡垒机，其他端口一律关；
- 出方向流量也要看（防止被挖矿后外连）。
二、关键策略
2.1 访问控制
生产 VPC:
允许: ECS(10.0.1.0/24) → RDS(3306)
允许: ECS(10.0.1.0/24) → Redis(6379)
拒绝: 测试 VPC(10.1.0.0/16) → 任何生产资源
2.2 入侵防御
云防火墙内置 IPS 规则，对常见漏洞利用、木马回连做拦截，发现可疑行为自动告警。
2.3 主动外连审计
有一次一台 ECS 偷偷连了境外可疑 IP，云防火墙直接告警并阻断，查下来是日志里的一个旧依赖被利用了。
三、踩坑复盘
- 策略太严误伤：上线第一天把内部监控 Agent 的回连端口挡了。解决：先观察模式（只告警不阻断）一周，再切阻断；
- 规则膨胀：半年下来规则上百条，没人敢删。解决：定期整理，按业务域分组；
- 没配合日志：早期只阻断不记录，出问题查不到。解决：流量日志全接 SLS 留存；
- IPv6 没管：IPv4 管得严，IPv6 裸奔。解决：IPv6 策略同步配。
四、效果与总结
WAF 管南北向，云防火墙管东西向，缺一不可。对千里达票务系统这种多 VPC、多环境的架构，东西向流量管控是安全合规的硬要求。
