如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
如需了解国际站更多云产品，请访问国际站。https://www.huaweicloud.com/intl/
不再显示此消息
仅放行互联网对指定端口的访问流量 应用场景 为了提升安全性，需要仅放行部分端口（例如80端口、443端口）的流量访问云内资源。 本文介绍如何通过CFW对云资源进行精细化管控，允许所有公网地址访问EIP（xx.xx.xx.1）的80端口。 通过CFW放行互联网对指定端口的访问流量
示例一：放行入方向中指定IP的访问流量 本文提供放行入方向中指定IP访问流量的配置示例，更多参数配置请参见通过防护规则拦截/放行互联网边界流量。 单独放行入方向中指定IP的访问流量 配置两条防护规则，一条拦截所有流量，如图 拦截所有流量所示，优先级置于最低，一条单独放行指定IP的流量访问，如图
应用：HTTP、HTTPS 动作：放行 图2 放行域名的访问流量 通过访问控制日志查看命中详情。 在左侧导航栏中，选择“日志审计 > 日志查询”。默认进入“攻击事件日志”页面，选择“访问控制日志”页签。 日志中“目的IP”列是任意example.com的域名时，对应的“响应动作”是“放行”，其他流量对应的“响应动作”是“阻断”。
如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。 如您需设置某个范围的端口，可填写为连续端口组，中间使用“-”隔开。例如设置80-443端口的访问，则配置“端口”为“80-443”。 服务组：支持多个服务（协议、源端口、目的端口）的集合。 添加自定义服务组请参见添加服务组，预定义服务组请参见查看预定义服务组。
服务：设置协议类型、源端口和目的端口。 协议：支持选择TCP、UDP、ICMP。 源/目的端口：“协议”选择“TCP”或“UDP”时，需要设置端口号。 如您需设置该IP地址的全部端口，可配置“端口”为“1-65535”。 如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。
“协议类型”选择“TCP”或“UDP”时，设置需要放行或拦截的端口。 如您需设置该IP地址的全部端口，可配置“端口”为“1-65535”。 如您需设置某个端口，可填写为单个端口。例如放行/拦截该IP地址22端口的访问，则配置“端口”为“22”。 如您需设置某个范围的端口，可填写为连续端口组，中间使用“-”隔开
服务：设置协议类型、源端口和目的端口。 协议：支持选择TCP、UDP、ICMP。 源/目的端口：“协议”选择“TCP”或“UDP”时，需要设置端口号。 如您需设置该IP地址的全部端口，可配置“端口”为“1-65535”。 如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。
步骤四：添加防护规则——放行访问指定EIP的入方向流量 配置一条放行指定EIP（本文以xx.xx.xx.1为例）入方向流量的防护规则，并将它优先级设置在阻断规则之上。 步骤五：通过访问控制日志查看命中详情 查看防护规则是否生效。 操作视频 本视频介绍如何配置防护规则放行指定弹性公网IP（EIP）的入方向流量。
拦截所有流量所示，优先级置于最低。 一条放行EIP对某平台的流量访问，如图 放行IP对某平台的访问流量所示，优先级设置最高。 图1 添加某平台域名组 图2 拦截所有流量 图3 放行EIP对某平台的访问流量 后续操作 查看防护效果： 策略的命中情况，整体防护概况请参见通过策略助手查看防护信息，详细日志请参见访问控制日志。
安全看板”，进入“安全看板”页面。 在页面上方，选择“互联网边界”或“VPC边界”页签。 查看防火墙实例下防护规则的统计信息，您可以在下拉框中选择查询时间。 安全看板：IPS检测到的攻击总数、放行/拦截的总数、被攻击的端口个数。 攻击趋势：IPS阻断或放行的流量次数。 可视化统计：IPS检测/拦截到的攻击参数TOP
Any。 源端口：当前开放或限制的源端口号。支持单个端口，或者连续端口组，中间使用“-”隔开，如：80-443。 目的端口：当前开放或限制的目的端口号。 支持单个端口，或者连续端口组，中间使用“-”隔开，如：80-443。 应用 访问流量中的应用类型。 动作 “放行”：设置相应流量通过防火墙。
策略助手”，进入“策略助手”页面。 查看防火墙实例下防护规则的统计信息。 策略看板：查看指定时间段内防护策略（防护规则和黑白名单）命中/放行/阻断的总数，以及高频命中的放行/阻断策略。 策略命中情况：查看指定时间段内指定规则的命中详情。 可视化统计：查看指定时间段内访问规则拦截的攻击事件中指定参数的
流量的协议类型或端口号 服务和服务组：表示指定一个服务或者多个服务的集合，通过指定协议类型、源端口、目的端口等信息来标识服务。 ICMP协议不支持配置端口。 服务：设置协议类型、源端口和目的端口。 协议：传输层协议，支持选择TCP、UDP、ICMP。 源端口：对访问流量发起的源端口进行访问控制。
访问源IP所属的地理位置。 源端口 访问控制的源端口。包括单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 目的IP 访问的目的IP。 目的网址 访问的域名地址。 目的国家/地区 访问目的IP所属的地理位置。 目的端口 访问控制的目的端口。包括单个端口，或者连续端口组，中间使用“-”隔开，如：80-443
协议类型当前支持：TCP、UDP、ICMP。 TCP 源端口 设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443。 协议选择ICMP时，无需填写端口号。 80 目的端口 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443。
1 默认取值： 不涉及 source_port 否 String 参数解释： 源端口，会话发起方的端口。 约束限制： 不涉及 取值范围： 不涉及 默认取值： 不涉及 dest_port 否 String 参数解释： 目的端口，会话接收方的端口。 约束限制： 不涉及 取值范围： 不涉及
服务 协议/源端口/目的端口 设置需要限制的类型。 协议类型当前支持：TCP、UDP、ICMP、Any。 设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443
一、拉美-圣地亚哥、中东-利雅得 管理病毒防御功能 日志审计 通过日志审计功能，可查看攻击事件日志、访问控制日志、流量日志，包括攻击发生时间、攻击类型、危险等级、源端口、源IP、目的IP、目的端口等信息。 支持区域：华北-北京四、华北-乌兰察布一、华东-上海一、华东-青岛、华东二
permit：放行 deny：阻断 hit_time long 访问发生的时间。 流量日志 字段 类型 描述 src_ip string 源IP地址。 src_port string 源端口号。 dst_ip string 目的IP地址。 dst_port string 目的端口号。 protocol
防护规则没有生效怎么办？ 配置了仅放行几条EIP的规则，为什么所有流量都能通过？ 云防火墙开启EIP防护后，访问控制策略默认状态为放行。如您希望仅放行几条EIP，您需配置阻断全部流量的防护规则，并设为优先级最低，可按如下步骤进行： 登录管理控制台。 单击管理控制台左上角的，选择区域。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
您即将访问非华为云网站，请注意账号财产安全
