检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
0M），您还需购买4个VPC（4*200M），VPC边界防护流量=默认值（200M）+ 4*VPC（200M）= 1Gbps。 父主题： 网络流量
云防火墙和安全组、网络ACL的访问控制有什么区别？ 云防火墙、安全组、网络ACL都可以实现通过IP地址/IP地址组设置访问控制策略，为您的互联网边界和VPC边界、弹性云服务器、子网提供防护。 云防火墙和安全组、网络ACL的主要区别如表1所示。 表1 云防火墙和安全组、网络ACL访问控制的主要区别
间，数据不会上报，连接结束后才会上报。 入云流量：入云方向的会话。 出云流量：出云方向的会话。 VPC间访问：VPC间的会话。 父主题： 网络流量
访问策略管理”的“防护规则”页签中，查看规则的“命中次数”。 在“日志审计 > 日志查询”的“访问控制日志”页签中，查看该规则的防护记录。 父主题： 网络流量
防护。 入侵防御系统 入侵防御系统（Intrusion Prevention System，IPS）位于防火墙和网络设备之间。如果检测到攻击，IPS会在攻击扩散到网络的其它地方之前阻止该恶意通信，IPS的相关介绍请参见攻击防御功能概述。 病毒防御 病毒防御（Anti-Virus，
VPC间互访控制（专业版支持） 云防火墙支持VPC间流量的访问控制，实现内部业务互访活动的可视化与安全防护。 等保合规 云防火墙可满足《网络安全等级保护2.0》中对区域边界防护、网络入侵防范、网络访问控制、安全日志审计等检查要求。
为您提供基础防御功能，结合多年攻防实战积累的经验规则，针对访问流量进行检测与防护，可覆盖常见的网络攻击并有效保护您的资产。 基础防御主要进行检查威胁及漏洞扫描，检测流量中是否含有网络钓鱼、特洛伊木马、蠕虫、黑客工具、间谍软件、密码攻击、漏洞攻击、SQL注入攻击、XSS跨站脚本攻
风险等级参考 云防火墙CFW提供的对应能力说明 相关功能介绍 安全通信网络 网络架构 应避免将重要网络区域部署在边界处，重要网络区域与其它网络区域之间应采取可靠的技术隔离手段。 高 通过云原生VPC能力，将重要网络区域使用VPC隔离，不同重要级别的VPC之间的业务互访，使用云防火墙
S的应用协议类型；通过域名匹配。 网络域名组：支持单个域名或多个域名的防护；适用网络层协议，支持所有协议类型；通过解析到的IP过滤。 匹配策略 应用域名组：CFW会将会话中的HOST字段与应用型域名进行比对，如果一致，则命中对应的防护规则。 网络域名组：CFW会在后台获取DNS服
通常使用用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region
CFW与WAF、DDoS高防、CDN同时使用的配置建议 本文介绍入云流量防护时云防火墙在网络架构中的位置，以及与其他华为云服务一起使用时，云防火墙上的策略配置和注意事项。 概述 Web应用防火墙（WAF）、DDoS高防（Advanced Anti-DDoS）、内容分发网络（CDN）会对用户的流量进行反向代理，部署后，C
单击“确认”，完成开启VPC边界防火墙。 后续操作 实现私网IP的细粒度防护：配置NAT防护规则，配置方式请参见NAT流量防护规则。 实现网络攻击拦截：配置入侵防御功能，请参见拦截网络攻击。
访问控制策略概述 开启防护后，云防火墙默认放行所有流量，配置合适的访问控制策略能有效地帮助您对内部服务器与外网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 访问控制策略类型 访问控制策略分为“防护规则”和“黑/白名单”两类功能，区别如表 防护规则和黑/白名单的区
配置企业路由器并将流量引至云防火墙 本文指导您通过企业路由器将流量引至云防火墙，并验证网络的连通性。 前提条件 流量互通，确定流量未经过防火墙时正常通信。流量验证请参见验证网络互通情况。 配置原理和流程 配置企业路由器时的流量走势如图 流量走势图所示，操作流程如图 配置企业路由器操作步骤所示。
单击管理控制台左上角的，选择区域。 配置VPC（VPC1、VPC2、vpc-cfw-er）的路由表转向企业路由器。 在左侧导航栏中，选择“网络 > 虚拟私有云 > 路由表”，进入“路由表”页面，在“名称”列，单击对应VPC的路由表名称。 单击“添加路由”，参数详情见表 添加路由参数说明。
添加拦截的防护规则：流量将直接拦截。 通过黑白名单放行/拦截流量： 添加白名单：流量将直接放行，不再经过其他功能的检测。 添加黑名单：流量将直接拦截。 如果希望拦截网络攻击，请参见拦截网络攻击。 父主题： 企业路由器模式（新版）
提供EIP的精细化访问控制策略配置 满足日志查询需求 标准版 包周期 EIP 满足等保需求 提供网络入侵、主机失陷等网络安全防护 专业版 按需 包周期 EIP VPC 满足等保或重保需求 提供网络入侵、主机失陷、内部网络互访等网络安全防护。 表2 版本差异说明 功能 基础版（新）① 标准版 专业版（包周期）
切换入侵防御模式为EIP拦截攻击 CFW提供入侵防御功能，结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 本文指导您通过标准版防火墙将入侵防御模式切换至“拦截模式-中等”实现弹性公网IP（EIP）的防护，帮助您灵活防护云上资产。
入侵防御（IPS）：结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 基础防御规则库：根据内置的IPS规则库，提供威胁检测和漏洞扫描。支持检测流量中是否含有网络钓鱼、特洛伊木马、蠕虫、黑客工具、间谍软件、密码攻击、漏洞攻击、SQL注入攻击、
仅放行云内资源对指定域名的访问流量 应用场景 为了防止敏感数据泄露或受到外部恶意攻击，需要限制云内资源仅能访问特定公网域名。 本文介绍如何通过CFW对云资源进行精细化管控，实现放行所有EIP对指定域名（本文以泛域名*.example.com为例）的80端口和443端口的访问流量。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
