正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
示例四:配置SNAT的防护规则 本文提供SNAT防护的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”, 通过NAT网关访问的外部域名为“www.example.com”,您可以参照以下参数配置NAT防护,其余参数可根据您的部署进行填写:
费,具体如图1所示。 图1 云防火墙生命周期 云防火墙从购买至到期前,处于正常运行阶段,实例状态为“运行中”。 到期未续费时,云防火墙首先会进入宽限期,宽限期内云防火墙正常使用。超过宽限期仍未续费,将进入保留期,保留期间配置无法更改,此时资源状态变为“冻结”。 保留期到期后,若C
选择“自定义”子网,使云服务器通过SNAT方式访问公网 自定义:自定义一个网段或者填写某个VPC的地址。 说明: 支持配置0.0.0.0/0的地址段,在多段地址配置时更方便。 可以配置32位主机地址,NAT网关只针对此地址起作用。 弹性公网IP 用来提供互联网访问的公网IP。 这里只能选择没
信息: 规则类型:NAT规则 方向:SNAT 源:选择“IP地址”,配置私网IP。 目的:选择“IP地址”(配置公网IP)或“域名/域名组”。 应用:Any 单击“确认”,完成防护规则配置。 父主题: 通过配置CFW防护规则实现SNAT流量防护
流量日志加入-attack、-access、-flow为后缀。 选择已创建的日志组和日志流。单击“确定”,完成日志配置。 攻击、访问、流量日志的格式均不一样,需配置不同的日志流分别记录。 攻击日志:记录攻击告警信息,包括攻击事件类型、防护规则、防护动作、五元组、攻击payload等信息。
通过配置防护规则拦截/放行流量 通过添加防护规则拦截/放行流量 示例一:放行入方向中指定IP的访问流量 示例二:拦截某一地区的访问流量 示例三:放行业务访问某平台的流量 示例四:配置SNAT的防护规则 父主题: 配置访问控制策略管控流量
应用场景 蠕虫病毒借用网络互联的优势,通过网络漏洞、弱口令等方式攻击服务器并快速传播,对用户资产和业务造成极大的安全威胁。 CFW IPS规则库配置了针对蠕虫病毒的防御规则,可有效拦截“JS.FortNight.E-2”、“Lovgate病毒netservices.exe”等蠕虫病毒的攻击。
传输中的数据保护 微服务间管理数据传输进行加密,防止数据在传输过程中泄露或被篡改。用户的配置数据传输采用安全协议HTTPS,防止数据被窃取。 数据完整性校验 CFW进程启动时,配置数据从配置中心获取而非直接读取本地文件。 数据隔离机制 租户区与管理面隔离,租户的所有操作权限隔离,不同租户间的策略、日志等数据隔离。
配置VPC1路由表 操作步骤 在左侧导航栏中,选择“网络 > 虚拟私有云 > 路由表”,进入“路由表”页面。 在“名称”列,单击VPC1的路由表名称,进入路由表“基本信息”页面。 单击“添加路由”,参数详情见表 添加路由参数说明。 表1 添加路由参数说明 参数 说明 目的地址类型
防护域名时不支持添加中文域名格式。 域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全,建议有访问自身业务相关域名场景时配置自定义域名服务器。 仅入方向规则(“方向”配置为“外-内”)的“源”地址支持配置“预定义地址组”。 开启NAT64防护后,使用IPv6访问时,请注意将198
相对位置:匹配特征时,指定开始的位置。 头部:从报文“偏移”值的位置开始匹配特征,例如偏移:10,则该条内容从第11位开始。 说明: 当“内容选项”选择“URL”时,头部的匹配位置从域名结束(包含端口)开始计算。 例如:www.example.com/test,偏移为0,则该条内容从com后的/开始。 或www
本文提供放行业务访问某平台的流量的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 放行业务访问某平台的流量 假如您需要放行EIP(xx.xx.xx.48)对“cfw-test.com”和“*.example.com”的80端口和443端口的访问流量,设置参数如下,其余参数可根据您的部署进行填写。
本文提供放行入方向中指定IP访问流量的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 单独放行入方向中指定IP的访问流量 配置两条防护规则,一条拦截所有流量,如图 拦截所有流量所示,优先级置于最低,一条单独放行指定IP的流量访问,如图 放行指定IP所示,优先级设置最高,其余参数可根据您的部署进行填写。
示例二:拦截某一地区的访问流量 本文提供拦截某一地区的访问流量的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 拦截某一地区的访问流量 假如您需要拦截所有来源“北京”地区的访问流量,可以参照以下参数设置防护规则。 图1 拦截北京地区的访问流量 父主题: 通过配置防护规则拦截/放行流量
配置访问控制策略管控流量 访问控制策略概述 通过配置防护规则拦截/放行流量 通过添加黑白名单拦截/放行流量 通过策略助手查看防护信息 访问控制策略管理 IP地址组管理 域名组管理 服务组管理
传播路由的目的地址可能相同,连接配置不支持修改和删除。 您也可以手动在路由表中配置连接的静态路由,同一个路由表中,静态路由的目的地址不允许重复,连接配置支持修改和删除。 如果路由表中存在多条路由目的地址相同,则优先级:静态路由 > 传播路由。 配置默认路由表er-RT1: 添加静
DNS服务器配置 选择默认DNS服务器或者添加DNS服务器地址,域名防护策略将会按照您配置的域名服务器进行IP解析并下发。 当前账号拥有多个防火墙时,DNS解析操作仅应用于设置的防火墙。 约束条件 最多支持自定义2个DNS服务器。 DNS服务器配置 登录管理控制台。 单击管理控制台左上角的,选择区域。
防护、跨VPC及跨ECS的流量,防止外部入侵、内部渗透攻击和从内到外的非法访问;同时,带宽/EIP/安全策略等关键性能规格可无限扩展(根据客户需求灵活调整底层虚拟机的资源和数量,按需设置CPU和内存等资源规格),集群部署高可靠,满足大规模流量的安全防护。 极简应用 作为云原生防火
获取企业项目ID 本章节介绍如何通过控制台获取企业项目ID。 从控制台获取企业项目ID 登录管理控制台。 单击页面右上方的“企业 > 项目管理”。 在“名称/ID”列复制企业项目ID。 父主题: 附录
通过配置CFW防护规则实现SNAT流量防护 SNAT防护概述 资源和成本规划 将VPC1和VPC-NAT接入企业路由器中 配置NAT网关 配置VPC1路由表 配置NAT防护规则