检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
标签用于标识云资源,可通过标签实现对云资源的分类和搜索。 关于标签更详细的说明,请参见标签概述。 设置关联路由表。 设置关联功能,添加VPC1和VPC-NAT的连接:在路由表设置页面,选择关联路由表,单击“关联”页签,单击“创建关联”,参数详情见表 创建关联参数说明。 表2 创建关联参数说明
最新动态 本文介绍了云防火墙(CFW)各特性版本的功能发布和对应的文档动态,欢迎体验。 2022年08月 序号 功能名称 功能描述 阶段 相关文档 1 VPC边界防护最佳实践 新增VPC边界防护的最佳实践内容,包括新创建企业路由器和已有企业路由器两个场景。 商用 VPC边界防火墙配置
您可以在创建路由表的时候为路由表绑定标签,标签用于标识云资源,可通过标签实现对云资源的分类和搜索。 关于标签更详细的说明,请参见标签概述。 配置关联路由表。 设置关联功能:在路由表设置页面,选择关联路由表,单击“关联”页签,单击“创建关联”,参数详情见表 创建关联参数说明。 图4 创建关联 表2 创建关联参数说明
应用:Any 动作:阻断 图1 拦截所有流量 一条放行EIP(xx.xx.xx.1) 80端口的流量,如图 放行域名的访问流量所示,优先级设置最高。 方向:外-内 源:Any 目的:选择“IP地址”,填写xx.xx.xx.1。 服务:TCP/1-65535/80 应用:Any 动作:放行
步骤二:配置关联路由表的关联和传播路由表的传播 在左侧导航栏中,单击左上方的,选择“网络 > 企业路由器”,单击“管理路由表”,进入“路由表”页面。 设置关联功能:在路由表设置页面,选择关联路由表,单击“关联”页签,单击“创建关联”,参数详情见表 创建关联参数说明。 图1 创建关联 表1 创建关联参数说明
配置两条防护规则,一条拦截所有流量,如图 拦截所有流量所示,优先级置于最低,一条单独放行指定IP的流量访问,如图 放行指定IP所示,优先级设置最高,其余参数可根据您的部署进行填写。 图1 拦截所有流量 图2 放行指定IP 父主题: 通过配置防护规则拦截/放行流量
根据企业的业务组织架构,在您的华为账号中,给企业中不同职能部门的员工创建IAM用户,让员工拥有唯一安全凭证,并使用CFW资源。 根据企业用户的职能,设置不同的访问权限,以达到用户之间的权限隔离。 将CFW资源委托给更专业、高效的其他华为账号或者云服务,这些账号或者云服务可以根据权限进行代运维。
开通Organizations云服务 开通Organizations云服务后,系统会自动创建组织和根组织单元,并将开通服务的账号设置为管理账号。 邀请B账号、C账号加入组织,相关操作请参见邀请账号加入组织。 设置CFW为可信服务,操作详情请参考启用、禁用可信服务。 使用B账号、C账号加入A账号的组织,具体操作请参见接受或拒绝来自组织的邀请。
统计周期:每天00:00:00 ~ 24:00:00 报告将在生成后的次日自动发送至您设置的报告接收人。 安全周报 统计周期:周一00:00:00 ~ 周日24:00:00 报告将在生成后的指定时间自动发送至您设置的报告接收人。 自定义报告:自定义选择时间范围。 统计周期:您可自定义安全报告统计的时间范围
4a5db-504c-471f-8187-5192bc11de0b的防火墙的日志配置,lts日志配置为关闭,流日志、访问控制日志、攻击日志设置为关闭。 https://{Endpoint}/v1/408972e72dcd4c1a9b033e955802a36b/cfw/logs/configuration
“标签键”:test “标签值”:01 描述 您可以根据需要在文本框中输入对该路由表的描述信息。 - 配置关联路由表er-RT1:设置关联和路由功能。 在路由表设置页面,选择用于连接需防护VPC的路由表(er-RT1),单击“关联”页签,单击“创建关联”。 如图 创建关联,参数详情见表 创建关联参数说明。
防止外部入侵、内部渗透攻击和从内到外的非法访问;同时,带宽/EIP/安全策略等关键性能规格可无限扩展(根据客户需求灵活调整底层虚拟机的资源和数量,按需设置CPU和内存等资源规格),集群部署高可靠,满足大规模流量的安全防护。 极简应用 作为云原生防火墙,华为云防火墙支持一键开启,多
放行业务访问某平台的流量 假如您需要放行EIP(xx.xx.xx.48)对“cfw-test.com”和“*.example.com”的访问流量,设置参数如下,其余参数可根据您的部署进行填写。 将平台域名添加至应用型域名组,如图 添加某平台域名组所示。 配置两条防护规则: 一条拦截所有流量,如图
使用A账号配置路由表。 接受B账号、C账号的连接申请,具体操作请参见接受连接创建申请。 添加关联。 单击企业路由器名称,并选择“路由表”页签,在路由表设置页面,选择关联路由表(er-RT1),单击“关联”页签,单击“创建关联”。 如何识别关联路由表:关联路由表用于将流量从VPC传输到云防火墙,即当前配置如下:
T64转换地址组”,设置后198.19.0.0/16网段中的IP均会被放行,如果其中有您需要阻断的IP地址,请使用黑名单或阻断策略。 IPv6转换功能请参见IPv6转换。 NAT64转换地址组请参见NAT64转换地址组。 设置黑名单请参见添加黑/白名单。 设置阻断策略请参见添加防护规则。
收到流量超限预警如何处理? 适用场景 配置告警通知后收到了邮件或短信形式的流量超限预警,说明您的实际业务流量已达到设置的阈值,即将超过可防护流量峰值。 处理方式 如果您的实际业务流量超过已购买的可防护流量峰值,可能会出现丢包现象,建议您: 购买扩展包来提供足够的防护流量,购买扩展包请参见变更扩展包。
如果您持有多套到期日不同的云防火墙,可以将到期日统一设置到一个日期,便于日常管理和续费。 图1展示了用户将两个不同时间到期的资源,同时续费一个月,并设置“统一到期日”后的效果对比。 图1 统一到期日 更多关于统一到期日的规则请参见如何设置统一到期日。 父主题: 续费
则。 将步骤 6中全局阻断规则的“优先级”置为最低,具体操作请参见设置优先级。 启用所有规则。建议先开启“放行”规则,后开启“阻断”规则。 配置了全局阻断,为什么没有放行的IP还是能通过? 云防火墙防护EIP时设置的防护策略是根据“弹性公网IP管理列表”执行的,如果您已开启全局(0
云防火墙支持跨账号使用吗? 云防火墙支持跨账号防护,防护前需进行以下设置: 互联网边界跨账号防护请参见使用CFW跨账号防护EIP资源。 VPC边界跨账号防护需在配置企业路由器时添加VPC连接时,将当前账号A的企业路由器共享至其它账号B,共享成功后在账号B中添加连接,后续配置仍在账
拦截海外地区的访问流量 应用场景 海外IP地址往往是黑客和恶意攻击者的来源,如果您希望限制所有海外地区的IP地址访问云资源,您可以通过配置互联网边界防护规则,设置目的类型为地域的方式实现防护。 本文介绍如何通过CFW对云资源进行精细化管控,实现拦截海外地区的访问流量。 防护原理 CFW通过IP地址的