检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
区域。 资源的价格 不同区域的资源价格可能有差异，请参见华为云服务价格详情。 如何选择可用区？ 是否将资源放在同一可用区内，主要取决于您对容灾能力和网络时延的要求。 如果您的应用需要较高的容灾能力，建议您将资源部署在同一区域的不同可用区内。 如果您的应用要求实例之间的网络延时较低，则建议您将资源创建在同一可用区内。
蠕虫病毒的攻击目标。 自我复制：蠕虫病毒能够复制自身的全部或部分代码，并将这些复制体传播到网络中的其他服务器上。这种自我复制的能力是蠕虫病毒能够迅速扩散的基础。 独立传播：与需要用户交互（如打开附件）的传统病毒不同，蠕虫病毒能够自主地在网络中搜索并感染其他易受攻击的服务器，而无需
创建VPC边界防火墙 VPC边界防火墙能够检测和统计VPC间的通信流量数据，帮助您发现异常流量。开启VPC边界防火墙之前，您需要先创建VPC边界防火墙并关联企业路由器。 前提条件 当前账号下需存在可用的企业路由器（企业路由器限制）。 关于企业路由器的收费，请参见企业路由器计费说明。 创建企业路由器请参见创建企业路由器。
资源和成本规划 本节介绍SNAT防护中的资源和成本规划。 表1 资源说明 资源 资源说明 数量 成本说明 NAT网关（NAT Gateway） 被防护的资源。 1 具体的计费方式及标准请参考NAT网关计费说明。 弹性公网IP（Elastic IP） EIP，NAT网关绑定的EIP。
如您需设置某个范围的端口，可填写为连续端口组，中间使用“-”隔开。例如设置80-443端口的访问，则配置“端口”为“80-443”。 服务组：支持多个服务（协议、源端口、目的端口）的集合，添加自定义服务组请参见添加服务组，预定义服务组请参见查看预定义服务组。 Any：任意协议类型和端口号。
析等，同时支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张需求，极简应用让用户快速灵活应对威胁。云防火墙服务是为用户业务上云提供网络安全防护的基础服务。 提供基础版、标准版和专业版三个版本，其中基础版仅“西南-贵阳一”支持，其余版本支持的区域见下方“支持区域”。
关闭防护的方式如下： EIP流量故障：关闭CFW对业务中断的EIP的防护，请参见关闭EIP防护。 SNAT或VPC间访问不通：关闭VPC边界防火墙的防护，请参见关闭VPC边界防火墙。 如果业务仍未恢复，可参考常见的故障原因： 网络故障：路由配置错误，网元故障。 策略拦截：其它安全服务、
作用。 公网IP类型 选择“弹性公网IP”，此处用来提供互联网访问的公网IP。 这里只能选择没有被绑定的弹性公网IP，或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上的弹性公网IP，或者被绑定到当前公网NAT网关中SNAT规则上的弹性公网IP。 可选择多条EIP添
查看经过防火墙的流量统计信息，支持5分钟~7天的数据。 流量看板：互联网访问内部服务器时最大流量的相关信息。 图1 入云流量-流量看板 入云流量：入方向请求流量和响应流量数据，最多支持同时查询30个EIP的流量数据。 数据信息是流量日志中在该时间结束会话的流字节数的平均值。 图2 入云流量 表1 取值说明 时间段
在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 对需要防护的EIP（xx.xx.xx.1）开启防护。 在左侧导航栏中，选择“资产管理 > 弹性公网IP管理”，进入“弹性公网IP管理”页面，弹性公网IP信息将自动更新至列表中。
单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航树中，选择“日志审计 > 日志查询”。进入“攻击事件日志”页面，在对应事件的“操作”列，单击“查看”。
源，可通过标签实现对云资源的分类和搜索。 关于标签更详细的说明，请参见标签概述。 设置关联路由表。 设置关联功能，添加VPC1和VPC-NAT的连接：在路由表设置页面，选择关联路由表，单击“关联”页签，单击“创建关联”，参数详情见表 创建关联参数说明。 表2 创建关联参数说明 参数名称
网络流量 VPC个数和VPC边界防护流量峰值如何计算？ 云防火墙数据流量怎么统计？ 云防火墙提供的防护带宽是多少？ 业务流量超过防护带宽怎么办？ 流量趋势模块和流量分析页面展示的流量有什么区别？ 如何验证HTTP/HTTPS的出方向域名防护规则的有效性？ 如何获取攻击者的真实IP地址？
云防火墙如何收费和计费？ 云防火墙支持包年/包月（预付费）和按需计费（后付费）两种计费方式，详细信息请参见产品价格详情。 其中基础版不支持扩容，标准版支持扩容防护公网IP数和互联网边界流量峰值。 专业版支持扩容防护公网IP数、互联网边界流量峰值和防护VPC数。 有关CFW详细的计费说明，请参见计费说明。
日志中“目的IP”列是任意example.com的域名时，对应的“响应动作”是“放行”，其他流量对应的“响应动作”是“阻断”。 相关文档 域名组的配置示例请参见放行业务访问某平台的流量。 需要增加其他防护规则时，请参见防护规则的详细参数说明添加防护规则。 放行云内资源通过NAT网关对指定域名的访问流量请参见通过
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 对需要防护的EIP开启防护。 在左侧导航栏中，选择“资产管理 > 弹性公网IP管理”，进入“弹性公网IP管理”页面，弹性公网IP信息将自动更新至列表中。 在EIP所在行的“操作”列中，单击“开启防护”。
云防火墙支持哪些维度的访问控制？ 云防火墙当前支持基于五元组、IP地址组、服务组、域名、应用、黑名单、白名单设置ACL访问控制策略；也支持基于IPS（intrusion prevention system，入侵防御系统）设置访问控制。IPS支持观察模式和阻断模式，当您选择阻断模式
击“开启防护”。 开启多个弹性公网IP：勾选需要开启防护的弹性公网IP，单击表格上方的“开启防护”。 弹性公网IP防护目前不支持IPv6防护。 一个EIP只能在一个防火墙上开启防护。 仅支持当前账号所属企业项目下的弹性公网IP。 在弹出的界面确认信息无误后，单击“绑定并开启防护”
使用telnet命令对域名和端口进行测试时（例如telnet www.example.com 80），只会生成TCP握手流量，并不会模拟完整的HTTP或HTTPS请求，此时应用类型识别为Unknown，不会被HTTP或HTTPS应用策略命中。 进入云防火墙管理控制台，查看防护规则的命中次数和日志记录
支持云审计的CFW操作列表 云审计服务（Cloud Trace Service，CTS）记录了云防火墙相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。 云审计服务支持的CFW操作列表如表 云审计服务支持的CFW操作列表所示。 表1 云审计服务支持的CFW操作列表
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
