云防火墙 CFW-华为云

云防火墙 CFW-防护日志概述:日志管理使用方式

日志管理使用方式功能名称功能描述配置方式配置日志将日志对接LTS，并创建日志组和日志流。配置日志更改存储时长（可选）默认存储日志的时间为7天，存储时间可以在1～360天之间进行设置。更改日志存储时长日志搜索与分析（可选）通过合理的日志收集、高效的搜索方法和专业的分析工具，实现对系统或应用的全面监控和精细化管理。请参见日志搜索与分析日志可视化（可选）将日志数据按照图表类型呈现。请参见日志可视化配置告警规则（可选）监控日志中的关键词，通过在一定时间段内，统计日志中关键字出现的次数，实时监控服务运行状态。请参见日志告警日志字段查看介绍日志的中各个字段代表的含义。日志字段说明

云防火墙 CFW

云防火墙 CFW-防护日志概述:异常拦截排查

异常拦截排查访问控制日志出现异常拦截：可能是防护规则/黑名单/白名单配置有误，需检查策略配置。攻击事件日志出现异常拦截：可能是IPS当前的防护模式拦截了您的业务。如果是单个流量被拦截，可将被拦截的IP加入白名单。如果是多个流量被拦截，在日志中查看是被单个规则还是多个规则阻断。单个规则阻断：修改该规则的防护动作，请参见修改基础防御规则动作。多个规则阻断：修改当前的防护模式，请参见调整IPS防护模式拦截网络攻击。

云防火墙 CFW

云防火墙 CFW-示例三：放行业务访问某平台的流量:放行业务访问某平台的流量

放行业务访问某平台的流量假如您需要放行EIP（xx.xx.xx.48）对“cfw-test.com”和“*.example.com”的80端口和443端口的访问流量，设置参数如下，其余参数可根据您的部署进行填写。将平台域名添加至应用型域名组，如图添加某平台域名组所示。配置两条防护规则：一条拦截所有流量，如图拦截所有流量所示，优先级置于最低。一条放行EIP对某平台的流量访问，如图放行IP对某平台的访问流量所示，优先级设置最高。图1 添加某平台域名组图2 拦截所有流量图3 放行EIP对某平台的80端口和443端口的访问流量

云防火墙 CFW

云防火墙 CFW-访问控制策略概述:配置阻断策略时注意事项

配置阻断策略时注意事项配置阻断IP的防护规则或黑名单时需注意以下几点：建议优先配置精准的IP（如192.168.10.5），减少网段配置，避免误拦截。对于反向代理IP（如内容分发网络（CDN）、DDoS高防、 Web应用防火墙（WAF）的回源IP），请谨慎配置阻断策略，建议配置放行的防护规则或白名单。对于正向代理IP（如公司出口IP），影响范围较大，请谨慎配置阻断策略。配置“地域”防护时，需考虑公网IP可能更换地址的情况。

云防火墙 CFW 配置访问控制策略管控流量

云防火墙 CFW-访问控制策略概述:通配符规则

通配符规则参数名称输入示例说明源/目的 0.0.0.0/0 所有IP。域名 www.example.com 对www.example.com域名生效。域名 *.example.com 所有以example.com为后缀的域名,例如：test.example.com。服务-源端口/目的端口 1-65535 所有端口生效。服务-源端口/目的端口 80-443 对80到443之间的所有端口生效。服务-源端口/目的端口 80 443 对80和443端口生效。

云防火墙 CFW 配置访问控制策略管控流量

云防火墙 CFW-访问控制策略概述:访问控制策略类型

访问控制策略类型访问控制策略分为“防护规则”和“黑/白名单”两类功能，区别如表防护规则和黑/白名单的区别所示，流量命中某一条策略时，执行该策略的动作，各功能的防护顺序请参见云防火墙的防护顺序是什么？。表1 防护规则和黑/白名单的区别类型支持的防护对象网络类型防护后的动作配置方式防护规则五元组 IP地址组地理位置（地域）域名和域名组公网IP 私网IP 设置为“阻断”：流量直接拦截。设置为“放行”：流量被“防护规则”功能放行后，再经过入侵防御（IPS）功能检测。通过添加防护规则拦截/放行流量黑名单五元组 IP地址组直接拦截流量。通过添加黑白名单拦截/放行流量白名单流量被云防火墙放行，不再经过其它功能检测。

云防火墙 CFW 配置访问控制策略管控流量

云防火墙 CFW-购买包年/包月云防火墙:版本信息说明

版本信息说明云防火墙支持包年/包月（预付费）和按需计费两种计费方式。包周期（包年/包月）提供以下服务版本：基础版、标准版、专业版；按需计费提供专业版防火墙。各版本的功能差异请参见服务版本差异。各服务版本推荐使用的说明如下：基础版对EIP有精细化访问控制策略配置以及日志查询需求的中小型客户。标准版有等保需求，或对网络入侵、主机失陷等网络安全比较关注的中小型客户。专业版有等保或重保需求，或对网络入侵、主机失陷、内部网络互访等网络安全比较关注的中大型客户。

云防火墙 CFW 购买及变更云防火墙

云防火墙 CFW-攻击防御功能概述:如何防御网络攻击和病毒文件

如何防御网络攻击和病毒文件提供以下几种方式：入侵防御（IPS）：结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 IPS提供四种防护模式，如需调整防护模式请参见调整IPS防护模式拦截网络攻击。观察模式：仅对攻击事件进行检测并记录到“攻击事件日志”中，不做拦截。拦截模式：在发生明确攻击类型的事件和检测到异常IP访问时，将实施自动拦截操作。拦截模式-宽松：防护粒度较粗。拦截可信度高且威胁程度高的攻击事件。拦截模式-中等：防护粒度中等。满足大多数场景下的防护需求。拦截模式-严格：防护粒度精细，全量拦截攻击请求。 IPS提供多类规则库，详细介绍如表入侵防御规则库介绍所示，不同防护模式会开启不同规则的“拦截”状态，对照表请参见规则组随防护模式变更的默认动作对照表。表1 入侵防御规则库介绍功能名称功能描述检测类型配置方式基础防御内置的规则库，覆盖常见网络攻击，为您的资产提供基础的防护能力。检查威胁及漏洞扫描；检测流量中是否含有网络钓鱼、特洛伊木马、蠕虫、黑客工具、间谍软件、密码攻击、漏洞攻击、SQL注入攻击、XSS跨站脚本攻击、Web攻击；是否存在协议异常、缓冲区溢出、访问控制、可疑DNS活动及其它可疑行为。查看和修改规则库请参见修改入侵防御规则的防护动作虚拟补丁在网络层级为IPS提供热补丁，实时拦截高危漏洞的远程攻击行为，同时避免修复漏洞时造成业务中断。更新的规则优先进入虚拟补丁库中，您可以根据业务情况判断是否增加至基础防御库中。增加方式：打开开关，虚拟补丁中的规则将生效，实时防护并支持手动修改防护动作。自定义IPS特征（仅专业版支持）提供的规则库无法满足需求时，支持自定义特征规则。检测类型和“基础防御”一致。支持添加HTTP、TCP、UDP、POP3、SMTP、FTP协议类型的特征规则。请参见自定义IPS特征敏感目录扫描防御：防御对云主机敏感目录的扫描攻击，配置方式请参见开启敏感目录扫描防御。反弹Shell检测防御：防御网络上通过反弹Shell方式进行的网络攻击，配置方式请参见开启反弹Shell检测防御。病毒防御（AV）：通过病毒特征检测来识别和处理病毒文件，避免由病毒文件引起的数据破坏、权限更改和系统崩溃等情况发生，支持检测HTTP、SMTP、POP3、FTP、IMAP4、SMB的协议类型。病毒防御功能请参见拦截病毒文件。

云防火墙 CFW 拦截恶意攻击

云防火墙 CFW-多账号防护:配置示例

配置示例通过CFW对组织成员账号进行资产防护需要执行以下操作（以A账号管理B账号下的资产为例）：如果A账号是组织管理员，则跳过此步骤。如果A账号不是组织管理员，则由组织管理员将A账号添加为委托管理员，相关操作请参见添加委托管理员。由组织管理员或委托管理员邀请B账号加入组织，相关操作请参见邀请账号加入组织。在CFW中将B账号加入“多账号管理”页面的列表中，请参见步骤 5。有关组织的详细说明请参见《组织用户指南》。为了请求B账号下的EIP的信息，CFW会自动在A账号和B账号中创建服务关联委托：该委托是云服务委托，委托权限为“CFWServiceLinkedAgencyPolicy”，“委托名称”为“ServiceLinkedAgencyForCloudFirewall”，授权范围为“所有资源”。删除B账号时，CFW会自动删除B账号内的服务关联委托。退订云防火墙服务时，CFW会自动删除A账号和所有成员账号内的服务关联委托。

云防火墙 CFW 系统管理

云防火墙 CFW-VPC边界防火墙概述:约束条件

约束条件仅“专业版”支持VPC边界防火墙。依赖企业路由器（Enterprise Router, ER）服务引流。仅支持防护当前账号所属企业项目下的VPC。如果您存在私用公网(即使用10.0.0.0/8、 172.16.0.0/12、192.168.0.0/16 以及运营商级NAT保留网段100.64.0.0/10 以外的公网网段作为私网地址段)的情况，请您提交工单进行私网网段扩容，否则云防火墙可能无法正常转发您VPC间的流量。

云防火墙 CFW 开启VPC边界流量防护

云防火墙 CFW-VPC边界防火墙概述:配置及使用流程

配置及使用流程 VPC边界防火墙企业路由器模式因版本依赖，在不同局点上有着“新版”和“旧版”两个版本。新版VPC边界防火墙：配置流程请参见表企业路由器模式（新版）配置及使用流程，配置文档请参见企业路由器模式（新版）。图1 VPC边界防火墙（新版）旧版VPC边界防火墙：配置流程请参见图企业路由器关联模式配置流程，配置文档请参见企业路由器模式（旧版）。图2 创建VPC边界防火墙（旧版）表1 企业路由器模式（新版）配置及使用流程操作步骤操作说明创建VPC边界防火墙为VPC边界防火墙规划用于引流的网段。说明：引流VPC不会创建在您的账号上，即不占用您的防护VPC个数。配置企业路由器并将流量引至云防火墙通过企业路由器连通VPC和云防火墙之间的流量。为防护VPC添加连接，建立VPC与ER之间的网络互通。在企业路由器中创建两个路由表作为关联路由表和传播路由表，将VPC和防火墙之间的流量互相传输。为VPC添加一条指向企业路由器的路由。开启VPC边界防火墙并确认流量经过云防火墙开启VPC边界流量防护，并验证流量是否经过云防火墙。 VPC边界防护规则通过防护规则放行/拦截流量（放行后的流量会经过入侵防御IPS、病毒防御等功能的检测）。通过添加黑白名单拦截/放行流量通过黑白名单放行/拦截流量（放行/拦截的流量，不再经过其它功能的检测）。访问控制日志查看防护策略是否生效。新增防护VPC 需要新增防护的VPC时，执行本节操作。下图为企业路由器模式（旧版）的配置流程：图3 企业路由器模式配置流程

云防火墙 CFW 开启VPC边界流量防护

云防火墙 CFW-添加域名组:匹配策略

匹配策略应用域名组：CFW会将会话中的HOST字段与应用型域名进行比对，如果一致，则命中对应的防护规则。网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中（已从DNS服务器解析中获取到IP地址），则命中对应的防护规则。单个域名最大支持解析1000条IP地址；每个域名组最大支持解析1500条IP地址。解析结果达到上限，则无法再将新域名添加到域名组中映射地址量大或映射结果变化快的域名建议优先使用应用域名组（如被内容分发网络（CDN）加速的域名）。

云防火墙 CFW 域名组管理

云防火墙 CFW-添加域名组:约束条件

约束条件基础版仅支持应用型域名组。域名组成员不支持添加中文域名格式。域名组中所有域名被“防护规则”引用最多40000次，泛域名被“防护规则”引用最多2000次。应用域名组（七层协议解析）每个防火墙实例下最多添加500个域名组。每个防火墙实例下最多添加2500个域名成员。每个应用域名组中最多添加1500个域名成员。网络域名组（四层协议解析）每个防火墙实例下最多添加1000个域名成员。每个网络域名组中最多添加15个域名成员。每个域名组最多支持解析1500条IP地址。每个域名最多支持解析1000条IP地址。

云防火墙 CFW 域名组管理

云防火墙 CFW-修改入侵防御规则的防护动作:规则组随防护模式变更的默认动作对照表

规则组随防护模式变更的默认动作对照表 - 观察模式拦截模式-严格拦截模式-中等拦截模式-宽松 “观察”规则组观察禁用禁用禁用 “严格”规则组观察拦截禁用禁用 “中等”规则组观察拦截拦截禁用 “宽松”规则组观察拦截拦截拦截观察：防火墙对匹配当前规则的流量，记录至攻击事件日志中，不做拦截。拦截：防火墙对匹配当前规则的流量，记录至攻击事件日志中并进行拦截。禁用：防火墙对匹配当前规则的流量，不记录、不拦截。

云防火墙 CFW IPS规则管理

云防火墙 CFW-支持云审计的CFW操作列表

支持云审计的CFW操作列表云审计服务（Cloud Trace Service， CTS ）记录了云防火墙相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。云审计服务支持的CFW操作列表如表云审计服务支持的CFW操作列表所示。表1 云审计服务支持的CFW操作列表操作名称资源类型事件名称 EIP防护操作 cfw eipOperateProtectService EIP防护开启 cfw eipOperateProtectServiceEnable EIP防护关闭 cfw eipOperateProtectServiceDisable 创建ACL规则 acl addRuleAclService 修改ACL规则 acl updateRuleAclService 删除ACL规则 acl deleteRuleAclService 设置ACL规则优先级 acl setACLRulePriority 创建黑名单 black_white_list addBlackListService 修改黑名单 black_white_list updateBlackListService 删除黑名单 black_white_list deleteBlackListService 创建白名单 black_white_list addWhiteListService 修改白名单 black_white_list updateWhiteListService 删除白名单 black_white_list deleteWhiteListService 新建IP地址组 address_group addAddressSetInfoService 更新IP地址组 address_group updateAddressSetInfoService 删除IP地址组 address_group deleteAddressSetInfoService 添加IP地址组成员 address_group addAddressItemsService 更新IP地址组成员 address_group updateAddressItemService 删除地址组成员 address_group deleteAddressItemService 新建服务组 service_group addServiceSetService 更新服务组 service_group updateServiceSetService 删除服务组 service_group deleteServiceSetService 添加服务组成员 service_group addServiceItemsService 更新服务组成员 service_group updateServiceItemService 删除服务组成员 service_group deleteServiceItemService 创建东西向防火墙 cfw_instance createEWFirewallInstance 创建南北向防火墙 cfw_instance createSNFirewallInstance 更新防火墙 cfw_instance updateFirewallInstance 删除防火墙 cfw_instance deleteFirewallInstance 升级防火墙 cfw_instance upgradeFirewallInstance 新增标签 cfw_instance createTags 删除标签 cfw_instance deleteTags 冻结防火墙 cfw_instance freezeFirewallInstance 更新攻击日志下发配置信息 alarm_config updateAlarmConfig 更新用户的域名服务器配置情况 dns_server updateDnsServer 创建东西向墙 cfw createEastWestFirewall 东西向墙开启防护 cfw enableEwFirewallProtect 东西向墙关闭防护 cfw disableEwFirewallProtect 购买防火墙 cfw addFirewallOrder 删除防火墙任务 cfw deleteFirewall 升级防火墙任务 cfw changeFirewall ips防护模式修改/创建 ips createOrUpdateIpsMode 开启虚拟补丁 ips enableVirtualPatches 关闭虚拟补丁 ips disableVirtualPatches 创建日志管理 log_config createLogConfig 修改日志管理 log_config updateLogConfig 导入ACL import importCFW 父主题：查看审计日志

云防火墙 CFW 查看审计日志

云服务器内容精选

云防火墙 CFW

7*24

备案

专业服务

退订

建议反馈

售前咨询热线