正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
功能特性 支持五元组(即源IP地址、目的IP地址、协议、源端口、目的端口)过滤。 支持通过地理位置、域名、域名组、黑/白名单过滤。 支持入侵防御系统(IPS)、病毒防御(AV)功能。 支持三元组(即协议、端口和对端地址)过滤。 支持五元组(即源IP地址、目的IP地址、协议、源端口、目的端口)过滤。
API 防火墙管理 EIP管理 ACL规则管理 黑白名单管理 地址组管理 服务组管理 域名解析及域名组管理 IPS管理 日志管理 抓包管理
Description: &descriptionDomainNames, }, { DomainName: "www.vbc.com", Description: &descriptionDomainNames1
开启VPC边界流量防护,并验证流量是否经过云防火墙。 VPC边界防护规则 通过防护规则放行/拦截流量(放行后的流量会经过入侵防御IPS、病毒防御等功能的检测)。 通过添加黑白名单拦截/放行流量 通过黑白名单放行/拦截流量(放行/拦截的流量,不再经过其它功能的检测)。 访问控制日志 查看防护策略是否生效。 新增防护VPC
(可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 对需要防护的EIP开启防护。 在左侧导航栏中,选择“资产管理 > 弹性公网IP管理”,进入“弹性公网IP管理”页面,弹性公网IP信息将自动更新至列表中。 在EIP所在行的“操作”列中,单击“开启防护”。 配置防护规则。 在左侧导航栏中,选择“访问控制
将平台域名添加至应用型域名组,如图 添加某平台域名组所示。 配置两条防护规则: 一条拦截所有流量,如图 拦截所有流量所示,优先级置于最低。 一条放行EIP对某平台的流量访问,如图 放行IP对某平台的访问流量所示,优先级设置最高。 图1 添加某平台域名组 图2 拦截所有流量 图3 放行EIP对某平台的80端口和443端口的访问流量
域名解析及域名组管理 添加域名组 删除域名组 更新域名组 更新dns服务器列表 查询域名组列表 查询dns服务器列表 查询域名解析ip地址 获取域名组下域名列表 添加域名列表 删除域名列表 父主题: API
访问策略管理”,进入“访问策略管理”页面。 在“互联网边界”页签中,单击“添加”按钮,在弹出的“添加防护规则”中,填写防护信息: 规则类型:NAT规则 方向:SNAT 源:选择“IP地址”,配置私网IP。 目的:选择“IP地址”(配置公网IP)或“域名/域名组”。 应用:Any 单击“确认”,完成防护规则配置。
本文提供SNAT防护的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”, 通过NAT网关访问的外部域名为“www.example.com”,您可以参照以下参数配置NAT防护,其余参数可根据您的部署进行填写: 图1 添加NAT防护规则 父主题:
基于五元组的访问控制。即源IP地址、目的IP地址、协议号、源端口、目的端口。 基于域名的访问控制。 基于IPS(intrusion prevention system,入侵防御系统)设置访问控制。IPS支持观察模式和阻断模式,当您选择阻断模式时,云防火墙根据IPS规则检测出符合攻击特征的流量进行阻断。
(可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 对需要防护的EIP开启防护。 在左侧导航栏中,选择“资产管理 > 弹性公网IP管理”,进入“弹性公网IP管理”页面,弹性公网IP信息将自动更新至列表中。 在EIP所在行的“操作”列中,单击“开启防护”。 配置防护规则。 在左侧导航栏中,选择“访问控制
(可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 对需要防护的EIP(xx.xx.xx.1)开启防护。 在左侧导航栏中,选择“资产管理 > 弹性公网IP管理”,进入“弹性公网IP管理”页面,弹性公网IP信息将自动更新至列表中。 在EIP(xx.xx.xx.1)所在行的“操作”列中,单击“开启防护”。
云防火墙的攻击防御功能支持防护网络攻击和病毒文件,建议您及时将IPS的“防护模式”切换至“拦截模式”。 规格限制 基础版不支持攻击防御功能。 前提条件 已开启至少一项流量防护。 开启EIP流量防护请参见开启互联网边界流量防护。 开启VPC流量防护请参见开启VPC边界流量防护。 开启私网IP流量防护请参见开启NAT网关流量防护。
访问控制策略管理 导入/导出防护策略 调整防护规则的优先级 管理防护规则 管理黑白名单 管理时间计划 父主题: 配置访问控制策略管控流量
顺序:1 规则名称:example123 防护规则:EIP防护 方向:内到外 动作:阻断 规则地址类型:IPv4 启用状态:禁用 描述:一个样例 源地址类型:IP地址 源IP地址:0.0.0.0/0 目的地址类型:IP地址 目的IP地址:xx.xx.xx.9 服务类型:服务 协议/源
地址类型0手工输入,1关联IP地址组,2域名,3地理位置,4域名组,5多对象,6域名组-网络型,7域名组-应用型。 address_type 否 Integer 地址类型0 ipv4,1 ipv6,当type为0手动输入类型时不能为空 address 否 String IP地址信息,当type为0手动输入类型时不能为空
攻击的类型。 TOP内部攻击来源IP 云内资产攻击外部IP时,云内资产的IP。 TOP外部攻击来源IP 外部IP攻击云内资产时,外部的IP。 TOP外部攻击来源地区 外部IP攻击云内资产时,外部IP的来源地区。 TOP攻击目的IP 攻击事件中的目的IP。 TOP被攻击端口 攻击事件中受到攻击的端口。
多账号管理”,进入“多账号管理”页面。 单击“添加账号”,弹出页面通过树状展开勾选目标账号,自动添加至右侧“已选账号”。 添加的账号为同一个组织内的账号,有关组织账号的详细说明请参见《组织账号概述》。 单击“确认”,在账号列表可查看添加的账号。 查看组织成员账号 登录管理控制台。 单击管理控制台左上角的,选择区域。
-> WAF(云模式)-> CFW -> 源站 如果购买了DDoS高防或云模式WAF,请谨慎配置阻断的防护规则,建议配置放行的防护规则或白名单。 购买独享模式WAF或ELB模式WAF时,按业务需要配置即可。 具体介绍请参见CFW与WAF、DDoS高防、CDN同时使用时的注意事项。
背景信息 云防火墙标准版实现公网IP之间的防护,例如通过NAT网关实现多个VPC/子网使用公网IP对外发起访问的场景,云防火墙专业版提供更细粒度的访问控制,例如使用私网IP对公网发起访问的场景。 本文介绍如何配置云防火墙专业版实现SNAT场景下私网IP对公网发起访问的防护。 前提条件