检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CFW与WAF、DDoS高防、CDN同时使用的配置建议 本文介绍入云流量防护时云防火墙在网络架构中的位置，以及与其他华为云服务一起使用时，云防火墙上的策略配置和注意事项。 概述 Web应用防火墙（WAF）、DDoS高防（Advanced Anti-DDoS）、内容分发网络（CDN）会对用户的流量进行反
如何验证HTTP/HTTPS的出方向域名防护规则的有效性？ 可按照以下操作步骤验证有效性： 发送HTTP或HTTPS请求。 方式一：使用curl命令，例如： curl -k "https://www.example.com" 方式二：使用浏览器访问域名。 请勿使用telnet命令进行域名测试。
支持对Web攻击的基础防护。 支持外部入侵和主动外联的流量防护。 针对域名或IP，华为云、非华为云或云下的Web业务。 支持对Web攻击的全面防护。 功能特性 资产管理与入侵防御：对已开放公网访问的服务资产进行安全盘点，进行实时入侵检测与防御。 访问控制：支持互联网边界访问流量的访问控制。
配置阻断策略时注意事项 配置阻断IP的防护规则或黑名单时需注意以下几点： 建议优先配置精准的IP（如192.168.10.5），减少网段配置，避免误拦截。 对于反向代理IP（如内容分发网络（CDN）、DDoS高防、Web应用防火墙（WAF）的回源IP），请谨慎配置阻断策略，建议配置放行的防护规则或白名单。
源站 如果购买了DDoS高防或云模式WAF，请谨慎配置阻断的防护规则，建议配置放行的防护规则或白名单。 购买独享模式WAF或ELB模式WAF时，按业务需要配置即可。 具体介绍请参见CFW与WAF、DDoS高防、CDN同时使用时的注意事项。 父主题： 产品咨询
常用远程登录和ping”，适用于防护Web、数据库和服务器。 预定义服务组仅支持查看，不支持添加、修改、删除操作。 查看预定义服务组 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （
云防火墙支持企业管理，您可以将云防火墙上的资源按照企业项目进行管理，并设置每个企业项目的用户权限。 与Web应用防火墙的主要区别 云防火墙和Web应用防火墙是华为云推出的两款不同的产品，为您的互联网边界和VPC边界、Web服务提供防护。 CFW和WAF的主要区别说明如表1所示。 表1 CFW和WAF的主要区别说明
“阈值”：对于单个敏感目录扫描频率达到设定的阈值后，CFW会采取相应“动作”。 开启反弹Shell检测防御 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。
时，云防火墙根据IPS规则检测出符合攻击特征的流量进行阻断。具体配置步骤请参考配置访问控制策略。 父主题： 产品咨询
CFW通过多种数据保护手段和特性，保证通过CFW的数据安全可靠。 表1 CFW的数据保护手段和特性 数据保护手段 简要说明 静态数据保护 CFW通过敏感数据加密保证用户流量中敏感数据的安全性。 传输中的数据保护 微服务间管理数据传输进行加密，防止数据在传输过程中泄露或被篡改。用户的配置数据传输采用安全协议HTTPS，防止数据被窃取。
批量迁移安全策略到CFW 与WAF等云服务同时使用 CFW与WAF、DDoS高防、CDN同时使用的配置建议 配置访问控制策略 仅放行互联网对指定端口的访问流量 拦截海外地区的访问流量 仅放行云内资源对指定域名的访问流量 通过配置CFW防护规则实现两个VPC间流量防护 通过配置CFW防护规则实现SNAT流量防护
观察：修改为“观察”状态，修改后防火墙对当前协议的流量进行检测，匹配到攻击流量时，记录至攻击事件日志中，不做拦截。 拦截：修改为“拦截”状态，修改后防火墙对当前协议的流量进行检测，匹配到攻击流量时，记录至攻击事件日志中并进行拦截。 禁用：修改为“禁用”状态，修改后防火墙对当前协议的流量不进行病毒检测。 后续操作
漏洞往往是攻击者入侵系统的突破口，为攻击者提供了绕过正常安全控制的机会，从而对系统构成威胁。 CFW的IPS规则库配置了针对漏洞攻击的防御规则，能够深入检测网络流量中的恶意行为，并自动阻断潜在的攻击，有效应对各种漏洞攻击。 什么是漏洞攻击 漏洞攻击是指攻击者利用系统、软件或硬件中存在的安全漏洞，
（可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“攻击防御 > 安全看板”，进入“安全看板”页面。 在页面上方，选择“互联网边界”或“VPC边界”页签。 查看防火墙实例下防护规则的统计信息，您可以在下拉框中选择查询时间。 安全看板：IPS检测到的攻击总数、放行/拦截的总数、被攻击的端口个数。
System，域名系统），是用于将域名转换成用于计算机连接的IP地址的一套查询和转换系统。当用户在浏览器中输入网站的域名时，浏览器会向域名解析服务器（DNS服务器）发送域名解析请求，DNS服务器返回域名对应的IP地址，最终，用户通过IP地址获取到相应的网站资源。 可疑DNS活动是指在网络中出现的异常DNS请求或响应行
做任何检测。 如果您的业务后续不再需要VPC边界流量防护，关闭防护后，还需手动恢复企业路由器（ER）的配置，请参见永久关闭VPC边界防护后恢复企业路由器配置。 关闭VPC边界防火墙（新版） 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规
通过解析到的IP过滤。 匹配策略 应用域名组：CFW会将会话中的HOST字段与应用型域名进行比对，如果一致，则命中对应的防护规则。 网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前
应用场景 VPC之间存在着大量的数据交换需求，CFW提供的VPC间流量防护能够检测和统计VPC间的通信流量数据，帮助您发现异常流量。 本文介绍如何配置云防火墙实现VPC1（172.16.0.0/16）和VPC2（172.18.0.0/16）之间的流量防护。 约束条件 仅“专业版”支持VPC边界防火墙。
配置告警规则 （可选）监控日志中的关键词，通过在一定时间段内，统计日志中关键字出现的次数，实时监控服务运行状态。 请参见日志告警 日志字段查看 介绍日志的中各个字段代表的含义。 日志字段说明 相关文档 访问控制策略的整体防护概况请参见通过策略助手查看防护信息。 流量趋势的整体防护概况请参见查看流量数据。
切换入侵防御模式为EIP拦截攻击 CFW提供入侵防御功能，结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 本文指导您通过标准版防火墙将入侵防御模式切换至“拦截模式-中等”实现弹性公网IP（EIP）的防护，帮助您灵活防护云上资产。 操作流程 操作步骤 说明
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
