正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
查看预定义服务组 云防火墙为您提供预定义服务组,包括“常用Web服务”、“常用数据库”和“常用远程登录和ping”,适用于防护Web、数据库和服务器。 预定义服务组仅支持查看,不支持添加、修改、删除操作。 查看预定义服务组 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中
删除自定义服务组 服务组是多个端口的集合。通过使用服务组,可帮助您便捷防御高危端口,有效应对需要重复编辑访问规则的场景,并且方便管理这些访问规则。 本文指导您删除自定义服务组。 约束条件 被防护规则引用的服务组不支持删除,需优先调整/删除对应规则。 删除自定义服务组 登录管理控制台
如果IP为Web应用防火墙(WAF)的回源IP,建议使用白名单或配置放行的防护规则,请谨慎配置黑名单规则,否则可能会影响您的业务。 回源IP的相关信息请参见什么是回源IP?。 配置防护规则请参见通过添加防护规则拦截/放行流量。
说明: 如您需设置该IP地址的全部端口,可配置“端口”为“1-65535”。 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”为“22”。 如您需设置某个范围的端口,可填写为连续端口组,中间使用“-”隔开。
调整防护规则的优先级 流量命中某一条规则时,执行该规则的动作,并结束防护规则的匹配。建议设置放行的规则优先级高于阻断的规则,具体化的规则优先级高于宽泛的规则。 本文指导您调整防护规则的优先级顺序。 优先级排序 数字越大,优先级越低,1是最高优先级。 调整防护规则的优先级 登录管理控制台
删除自定义IP地址组 本文指导您删除自定义IP地址组。 约束条件 被防护规则引用的地址组不支持删除,需优先调整/删除对应规则。 删除自定义IP地址组 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面
添加自定义服务组和服务 服务组是多个服务(协议、源端口、目的端口)的集合。通过使用服务组,可帮助您有效应对需要重复编辑访问规则的场景,并且方便管理这些访问规则。 约束条件 每个服务组中最多添加64个服务成员。 每个防火墙实例下最多添加512个服务组。 每个防火墙实例下最多添加900
添加自定义IP地址组和IP地址 IP地址组是多个IP地址的集合。通过使用IP地址组,可帮助您有效应对需要重复编辑访问规则的场景,方便批量管理这些访问规则。 约束条件 每个防火墙实例下最多添加3800个IP地址组。 每个IP地址组中最多添加640个IP地址成员。 每个防火墙实例下最多添加
父主题: 通过配置CFW防护规则实现SNAT流量防护
配置原理和流程 配置企业路由器时的流量走势如图 流量走势图所示,操作流程如图 配置企业路由器操作步骤所示。 图1 流量走势图 图2 操作流程 通过配置企业路由器将流量引至云防火墙 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。
参数信息填写“传播路由表”的“路由”配置中防护VPC的“目的地址”和“下一跳”。 关联路由表:将流量从VPC传输到云防火墙的路由表,配置时的操作请参见配置关联路由表。 传播路由表:将流量从云防火墙传输到VPC,配置时的操作请参见配置传播路由表。
开启/关闭VPC间边界防火墙 配置完成后,防火墙默认为“未开启”状态,此时流量只经过企业路由器,未转发到防火墙。您可选择手动开启或关闭VPC间防火墙功能。 前提条件 已购买CFW专业版。 已配置企业路由器。 约束条件 仅专业版支持VPC间防火墙防护功能。
无日志记录,排查企业路由器配置,请参见配置企业路由器并将流量引至云防火墙。 后续操作 如果您需要添加新的防护VPC,请参见新增防护VPC。
如果您的业务后续不再需要VPC边界流量防护,关闭防护后,还需手动恢复企业路由器(ER)的配置,请参见永久关闭VPC边界防护后恢复企业路由器配置。 关闭VPC边界防火墙(新版) 登录管理控制台。 单击管理控制台左上角的,选择区域。
您需配置访问控制策略或IPS防护模式,云防火墙才会实施拦截操作,配置访问控制策略请参见添加防护规则,IPS相关请参见配置入侵防御策略。 约束条件 一个EIP只能在一个防火墙上开启防护。 仅支持当前账号所属企业项目下的弹性公网IP。
入门实践 当您配置入侵防御和访问控制策略后,可以根据业务场景使用CFW提供的一系列常用实践。 表1 常用实践 实践 描述 拦截海外地区的访问流量 介绍如何批量配置IP地址组和服务组(端口、协议),适用于业务部署在企业或有多个IP地址或端口协议需要配置的场景。
具体配置步骤请参考配置访问控制策略。 父主题: 产品咨询
目前仅支持对部署在华为云的业务提供防护,对于部署在非华为云的业务,无法提供防护。 父主题: 区域与可用区
配置防护规则。 在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”页面。 单击“添加”,在弹出的“添加防护规则”中,填写防护信息,其余参数可根据业务部署填写。 方向:外-内 源:选择“地域”,在下拉框中“全选”,并取消勾选“中国”。
配置全局阻断规则。单击“添加”按钮,在弹出的“添加防护规则”对话框中,填写参数如图 拦截所有流量所示,其余参数可根据您的部署进行填写。 图1 拦截所有流量 建议您添加完所有规则后再开启“启用状态”。 配置放行规则。添加防护规则请参见添加防护规则。