检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
通过配置防护规则拦截/放行流量 通过添加防护规则拦截/放行流量 示例一：放行入方向中指定IP的访问流量 示例二：拦截某一地区的访问流量 示例三：放行业务访问某平台的流量 示例四：配置SNAT的防护规则 父主题： 配置访问控制策略管控流量
permit：放行 deny：阻断 block：阻断IP drop：丢弃 packet string 攻击日志的原始数据包。 说明： 编码方式为Base64格式。 attack_rule string 检测到攻击的防御规则。 attack_rule_id string 检测到攻击的防御规则ID号。
请求流量和响应流量为同一个路径。 配置建议 建议为NAT网关创建独立VPC不用于云服务器等实例网络配置，避免影响后续的访问控制。 在前期网络规划复杂甚至不合理的情况下（例如存在VPC网段重叠、NAT网关已有复杂配置、已通过VPC-Peering配置东西向通信等场景下），请充分评估网络互连、环路、路由冲突等风险。
配置VPC1路由表 操作步骤 在左侧导航栏中，选择“网络 > 虚拟私有云 > 路由表”，进入“路由表”页面。 在“名称”列，单击VPC1的路由表名称，进入路由表“基本信息”页面。 单击“添加路由”，参数详情见表 添加路由参数说明。 表1 添加路由参数说明 参数 说明 目的地址类型
本文提供放行入方向中指定IP访问流量的配置示例，更多参数配置请参见通过添加防护规则拦截/放行流量。 单独放行入方向中指定IP的访问流量 配置两条防护规则，一条拦截所有流量，如图 拦截所有流量所示，优先级置于最低，一条单独放行指定IP的流量访问，如图 放行指定IP所示，优先级设置最高，其余参数可根据您的部署进行填写。
示例二：拦截某一地区的访问流量 本文提供拦截某一地区的访问流量的配置示例，更多参数配置请参见通过添加防护规则拦截/放行流量。 拦截某一地区的访问流量 假如您需要拦截所有来源“北京”地区的访问流量，可以参照以下参数设置防护规则。 图1 拦截北京地区的访问流量 父主题： 通过配置防护规则拦截/放行流量
DNS（Domain Name System，域名系统），是用于将域名转换成用于计算机连接的IP地址的一套查询和转换系统。当用户在浏览器中输入网站的域名时，浏览器会向域名解析服务器（DNS服务器）发送域名解析请求，DNS服务器返回域名对应的IP地址，最终，用户通过IP地址获取到相应的网站资源。
否 String 域名组id，type为4（域名组）或7（域名组-应用型）时不能为空。可通过查询域名组列表接口查询获得，通过返回值中的data.records.set_id（.表示各对象之间层级的区分）获得。 domain_set_name 否 String 域名组名称，type为
企业路由器（Enterprise Router） ER，连接VPC到云防火墙的流量。 1 具体的计费方式及标准请参考ER计费说明。 云防火墙（Cloud Firewall） CFW，仅专业版提供SNAT防护。 1 具体的计费方式及标准请参考CFW计费说明。 父主题： 通过配置CFW防护规则实现SNAT流量防护
入门实践 当您配置入侵防御和访问控制策略后，可以根据业务场景使用CFW提供的一系列常用实践。 表1 常用实践 实践 描述 仅放行云内资源对指定域名的访问流量 介绍如何快速放行云内资源对某个域名的访问流量，适用于业务仅需要访问指定域名时的场景。 使用CFW防御网络攻击 介绍如何使用
查看出云流量 出云流量页面展示当前防火墙实例防护的云上EIP访问互联网的流量数据，数据基于会话统计，在连接期间，数据不会上报，连接结束后才会上报。 前提条件 需开启弹性公网IP防护，操作步骤请参见开启互联网边界流量防护。 规格限制 基础版不支持流量分析功能。 “私网外联资产”信息
4；描述：ECS3 域名组信息表： 域名组名称：域名组1 域名组类型：URL过滤 域名组描述：业务A对外访问域名 域名组成员 域名成员：www.example.test.api；域名描述：api 域名成员：www.test.example.com；域名描述：一个域名 域名成员：www.example
否 String 域名组id，type为4（域名组）或7（域名组-应用型）时不能为空。可通过查询域名组列表接口查询获得，通过返回值中的data.records.set_id（.表示各对象之间层级的区分）获得。 domain_set_name 否 String 域名组名称，type为
配置防护规则放行指定EIP的入方向流量 配置合适的防护规则能有效地帮助您对云上资产与互联网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 本文指导您通过标准版防火墙配置防护规则实现放行指定弹性公网IP（EIP）的入方向流量，帮助您快速精细化管控云上资产的流量。 操作流程
每个服务组中最多添加64个服务成员。 域名组 基础版仅支持应用型域名组。 域名组中所有域名被“防护规则”引用最多40000次，泛域名被“防护规则”引用最多2000次。 应用域名组（七层协议解析） 每个防火墙实例下最多添加500个域名组。 每个防火墙实例下最多添加2500个域名成员。 每个应用域名组中最多添加1500个域名成员。
播，选择连接vpc-3。 创建传播后，会自动将连接的路由信息学习到ER路由表中，生成“传播路由”。同一个路由表中，不同传播路由的目的地址可能相同，连接配置不支持修改和删除。 您也可以手动在路由表中配置连接的静态路由，同一个路由表中，静态路由的目的地址不允许重复，连接配置支持修改和删除。
通过配置CFW防护规则实现SNAT流量防护 SNAT防护概述 资源和成本规划 将VPC1和VPC-NAT接入企业路由器中 配置NAT网关 配置VPC1路由表 配置NAT防护规则
通过策略助手查看防护信息 配置防护策略后，您可通过策略助手快速查看防护规则的命中情况，及时调整防护规则。 约束条件 基础版不支持策略助手功能。 通过策略助手查看防护信息 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。
CFW与WAF、DDoS高防、CDN同时使用的配置建议 本文介绍入云流量防护时云防火墙在网络架构中的位置，以及与其他华为云服务一起使用时，云防火墙上的策略配置和注意事项。 概述 Web应用防火墙（WAF）、DDoS高防（Advanced Anti-DDoS）、内容分发网络（CDN）会对用户的流量进行反向代理，部署后，C
为异常外联的IP地址/域名添加防护策略： 单击“异常外联IP数”或“异常外联域名数”的数字。 在弹框中选择需要防护的IP地址/域名。 生成地址组/域名组： 创建为地址组/域名组：生成新的地址组/域名组。 添加到地址组/域名组：添加到已有的地址组/域名组。 将地址组/域名组添加到防护规则或黑/白名单，请参见访问控制策略概述。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
