正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
仅放行互联网对指定端口的访问流量 应用场景 为了提升安全性,需要仅放行部分端口(例如80端口、443端口)的流量访问云内资源。 本文介绍如何通过CFW对云资源进行精细化管控,允许所有公网地址访问EIP(xx.xx.xx.1)的80端口。 操作步骤 购买云防火墙标准版或专业版,请参见购买云防火墙。
本文提供放行业务访问某平台的流量的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 放行业务访问某平台的流量 假如您需要放行EIP(xx.xx.xx.48)对“cfw-test.com”和“*.example.com”的80端口和443端口的访问流量,设置参数如下,其余参数可根据您的部署进行填写。
一条放行EIP对*.example.com的80端口和443端口访问流量,如图 放行域名的访问流量所示,优先级设置最高。 方向:内-外 源:Any 目的:选择“域名/域名组”、“应用型”、“域名”,填写*.example.com。 服务:TCP/1-65535/80、TCP/1-65535/443
com" 方式二:使用浏览器访问域名。 请勿使用telnet命令进行域名测试。 使用telnet命令对域名和端口进行测试时(例如telnet www.example.com 80),只会生成TCP握手流量,并不会模拟完整的HTTP或HTTPS请求,此时应用类型识别为Unknown,不会被HTTP或HTTPS应用策略命中。
协议类型当前支持:TCP、UDP、ICMP、Any。 源端口:当前开放或限制的源端口号。支持单个端口,或者连续端口组,中间使用“-”隔开,如:80-443。 目的端口:当前开放或限制的目的端口号。 支持单个端口,或者连续端口组,中间使用“-”隔开,如:80-443。 应用 访问流量中的应用类型。
例如:test.example.com。 服务-源端口/目的端口 1-65535 所有端口生效。 服务-源端口/目的端口 80-443 对80到443之间的所有端口生效。 服务-源端口/目的端口 80 443 对80和443端口生效。 相关文档 添加单个规则实现流量防护,请参见通
协议类型当前支持:TCP、UDP、ICMP、Any。 端口 “协议类型”选择“TCP”或“UDP”时,设置需要放行或拦截的端口。 说明: 如您需设置该IP地址的全部端口,可配置“端口”为“1-65535”。 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”为“22”。 如
如您需设置某个端口,可填写为单个端口。例如设置22端口的访问,则配置“端口”为“22”。 如您需设置某个范围的端口,可填写为连续端口组,中间使用“-”隔开。例如设置80-443端口的访问,则配置“端口”为“80-443”。 服务组:支持多个服务(协议、源端口、目的端口)的集合,添加自定义服务组请参见添加
TCP 源端口 设置需要开放或限制的源端口。支持设置单个端口,或者连续端口组,中间使用“-”隔开,如:80-443 说明: 协议选择ICMP时,无需填写端口号。 80 目的端口 设置需要开放或限制的目的端口。支持设置单个端口,或者连续端口组,中间使用“-”隔开,如:80-443 说明:
协议类型当前支持:TCP、UDP、ICMP、Any。 端口 “协议类型”选择“TCP”或“UDP”时,设置需要放行或拦截的端口。 说明: 如您需设置该IP地址的全部端口,可配置“端口”为“1-65535”。 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”为“22”。 如
址。 说明: 支持配置0.0.0.0/0的地址段,在多段地址配置时更方便。 可以配置32位主机地址,NAT网关只针对此地址起作用。 弹性公网IP 用来提供互联网访问的公网IP。 这里只能选择没有被绑定的弹性公网IP,或者被绑定在当前公网NAT网关中非“所有端口”类型DNAT规则上
土耳其-伊斯坦布尔 拉美-墨西哥城二 拉美-圣保罗一 拉美-圣地亚哥 中东-利雅得 欧洲-巴黎 管理IP地址组 服务组 服务组是多个服务(协议、源端口、目的端口)的集合。通过使用服务组,可帮助您有效应对需要重复多次编辑访问规则的场景,并且方便管理这些访问规则。 支持区域: 华北-北京四 华东-上海一
服务 协议/源端口/目的端口 设置需要限制的类型。 协议类型当前支持:TCP、UDP、ICMP、Any。 设置需要开放或限制的源端口。支持设置单个端口,或者连续端口组,中间使用“-”隔开,如:80-443 设置需要开放或限制的目的端口。支持设置单个端口,或者连续端口组,中间使用“-”隔开,如:80-443
本节介绍如何添加、复制、删除时间计划。 应用场景 配置测试策略:为测试策略设置生效时间段,在测试期间,策略自动生效,确保测试的顺利进行;在测试结束时,策略会自动失效,无需手动操作。 控制公网暴露:当业务需要对外部开放端口时(例如仅办公时间开放),设置生效时间段可以有效减少公网暴露,降低潜在的安全风险。
创建日志配置 功能介绍 创建日志配置 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/cfw/logs/configuration 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID, 可以从调A
获取日志配置 功能介绍 获取日志配置 调用方法 请参见如何调用API。 URI GET /v1/{project_id}/cfw/logs/configuration 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID, 可以从调AP
删除自定义服务组 服务组是多个端口的集合。通过使用服务组,可帮助您便捷防御高危端口,有效应对需要重复编辑访问规则的场景,并且方便管理这些访问规则。 本文指导您删除自定义服务组。 约束条件 被防护规则引用的服务组不支持删除,需优先调整/删除对应规则。 删除自定义服务组 登录管理控制台。
流量日志加入-attack、-access、-flow为后缀。 选择已创建的日志组和日志流。单击“确定”,完成日志配置。 攻击、访问、流量日志的格式均不一样,需配置不同的日志流分别记录。 攻击日志:记录攻击告警信息,包括攻击事件类型、防护规则、防护动作、五元组、攻击payload等信息。
源类型 选择源端口类型。 ANY:任意端口类型,等同于包含所有类型。 包含 排除 说明: 建议您优先选择“ANY”。 源端口 “源类型”选择“包含”或“排除”时,设置源端口。 支持设置单个或多个端口,多个端口之间用半角逗号(,)隔开,如:80,100。 支持连续端口组,中间使用“-”隔开,如:80-443。
示例四:配置SNAT的防护规则 本文提供SNAT防护的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”, 通过NAT网关访问的外部域名为“www.example.com”,您可以参照以下参数配置NAT防护,其余参数可根据您的部署进行填写: