检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
私网NAT网关简介 什么是私网NAT网关？ 私网NAT网关（Private NAT Gateway），能够为虚拟私有云内的云主机（弹性云服务器、裸金属服务器）提供私网地址转换服务。您可以在私网NAT网关上配置SNAT、DNAT规则，可将源、目的网段地址转换为中转IP，通过使用中转
私网NAT支持云专线的IP转换吗？ 支持。在创建DNAT规则时，选择自定义模式，可添加通过云专线接入的客户云下IP。 父主题： 私网NAT网关
0/16网段为防火墙保留网段，不可使用。 创建VPC边界防火墙 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“资产管理
P地址来访问Internet。 选择“策略 > NAT策略 > NAT策略”，在“NAT策略”页签中，单击“新建”。 图8 新建NAT策略 按照如下参数配置NAT策略，其中“源地址”请根据实际情况选择。 图9 配置NAT策略 单击“确定”，完成配置。 （可选）配置DHCP。 如果
登录天关1，主要配置以下内容： 配置Bypass接口对，用于转发内外网业务流量。 配置云端管理接口，用于天关与云端对接，包括设备向云端注册、向云端提供日志、接收云端下发配置等。 配置漏扫和日志审计业务接口，已购买漏洞扫描服务或云日志审计服务时需要配置。 配置设备白名单，将区域2NAT后的地址192.168.55
天关检测到威胁事件的源地址都是NAT后地址，进而无法识别失陷主机的真实地址。 为解决上述问题，采用如下图所示方案。 在NAT设备前部署天关2，用于检测区域2的威胁事件，云端通过天关2的威胁日志识别区域2的失陷主机。 在出口网关前部署天关1，用于检测非NAT区域（区域1）的威胁事件。
企业防火墙 参考：WeLink防火墙端口列表 此为内部链接，如无法点击获取请联系相应客户经理获取。
企业内部存在NAT转换场景 组网需求 配置思路 数据规划 配置全局白名单 配置天关（USG6502E-C/USG6503E-C） 配置天关（USG6603F-C） 结果验证 父主题： 典型配置案例
参数 参数类型 描述 data AddressSetId object 删除地址组返回数据 表5 AddressSetId 参数 参数类型 描述 id String 地址组id name String 地址组名称 状态码： 400 表6 响应Body参数 参数 参数类型 描述 error_code
> 服务配置 > 地址安全域管理”。 在“全局地址管理 > 全局白名单”页签中，单击“＋”，按照下图所示配置全局白名单。 图1 创建全局白名单 父主题： 企业内部存在NAT转换场景
天关1：10GE0/0/0、10GE0/0/1 天关2：10GE0/0/0、10GE0/0/1 - 区域2NAT后地址 192.168.55.100 区域2中所有资产使用该NAT后地址访问其他区域（外网或区域1）。 云端管理接口 天关1GE0/0/3：192.168.66.10/24 天关2GE0/0/3：172
单击右上角“保存”按钮，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。 配置天关1 参照步骤1，登录天关1。 参照步骤2，配置接口检测功能。 参照步骤3，根据数据规划配置云端管理接口。 登录华为乾坤控制台，将区域2NAT后的地址192.168.55.100配置为白名单，并下发给天关1。 选择“
使用漏洞扫描服务前，还需要进行VPN接口配置、资产信息录入等操作配置。详细操作步骤，请参见《漏洞扫描 部署指南》。 （可选）验证云日志审计服务是否正常。 使用云日志审计服务前，还需要进行日志上报配置、资产信息录入等操作配置。详细操作步骤，请参见《云日志审计 部署指南》。 父主题： 企业内部存在NAT转换场景
表示各对象之间层级的区分）获得 address_set_type Integer 地址组类型，0表示自定义地址组，1表示WAF回源IP地址组，2表示DDoS回源IP地址组，3表示NAT64转换地址组 name String 地址组名称 状态码： 400 表7 响应Body参数 参数 参数类型 描述
选择“策略 > NAT策略 > NAT策略”，在“NAT策略”页签中，单击“新建”。 图2 NAT策略 按照下图所示配置NAT策略，其中“源地址”是实际的内网地址。 图3 新建NAT策略 父主题： USG12000防火墙上线
选择“系统 > 配置 > 时钟配置”，检查设备系统时间是否与当前时间一致，如果不一致，请调整设备系统时间，以保证云端能够精确掌握威胁事件的发生时间。 图5 时钟配置 单击右上角按钮，在系统显示界面单击“确定”，保存配置以避免设备重启后配置丢失。 图6 保存配置 配置旁路检测所需要的安全策略。
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 在“IP地址组”页签，在需要删除的IP地址组所在行的“操作”列，单击“删除”。 在弹出的“删除IP地址组”界面，确认删除的信息无误后，输入
set_id String 地址组id records Array of records objects 地址组成员记录列表 表6 records 参数 参数类型 描述 item_id String 地址组成员id name String 地址组成员name description
protect_objects.type（.表示各对象之间层级的区分）获得 name 是 String 地址组名称 description 否 String 地址组描述 address_type 否 Integer 地址类型0 ipv4，1 ipv6 响应参数 状态码： 200 表5 响应Body参数
功能总览 功能总览 全部 云防火墙 弹性公网IP防护 VPC间边界防护 NAT网关防护 访问控制策略 黑/白名单 IP地址组 服务组 域名组 入侵防御策略 病毒防御 日志审计 系统管理 云防火墙 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
