检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
仅放行互联网对指定端口的访问流量 应用场景 为了提升安全性，需要仅放行部分端口（例如80端口、443端口）的流量访问云内资源。 本文介绍如何通过CFW对云资源进行精细化管控，允许所有公网地址访问EIP（xx.xx.xx.1）的80端口。 通过CFW放行互联网对指定端口的访问流量
选择可用区。 可用区1 子网名称 (企业路由器关联子网） 自定义子网名称。 cfw-er-1 子网名称 (云墙关联子网-1） cfw-er-2 子网名称 (云墙关联子网-2） cfw-er-3 子网IPV4网段 (企业路由器关联子网） 分配子网IPV4网段。 说明： 需跟现有子网不冲突。 三个子网网段之间不冲突。
VPC边界防火墙支持VPC之间通信流量的访问控制，实现内部业务互访活动的可视化与安全防护。 支持的防护对象 虚拟私有云（VPC） 虚拟网关（VGW） VPN网关（VPN） 企业连接网（ECN） 全球接入网关（DGW） 约束条件 仅“专业版”支持VPC边界防火墙。 依赖企业路由器（Enterprise
需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。 网段配置后默认创建InspectionVPC将流量转发至云防火墙，并自动分配云墙关联子网，将云防火墙流量转发到企业路由器，选择时需注意以下限制： 创建防火墙后不支持修改网段。 该网段需满足以下条件： 仅支持私网地址段（即在10
有关安全组的详细介绍，请参见安全组和安全组规则。 网络ACL是一个子网级别的可选安全层，通过与子网关联的出方向/入方向规则控制出入子网的网络流量。 有关网络ACL的详细介绍，请参见网络ACL。 防护场景 互联网边界 VPC边界 SNAT场景 弹性云服务器 子网 功能特性 支持五元组（即源IP地址、目的IP地址、协议、源端口、目的端口）过滤。
不指定cidr时，默认值为空 约束：必须是cidr格式，例如:192.168.0.0/16 name String 子网名称 id String 子网id gateway_ip String 子网的网关，取值范围为子网网段cidr中的ip地址 vpc_id String 创建vpc产生的uuid ipv6_enable
至少需要添加三条VPC连接（CFW及两个防护的VPC）；每增加一个防护的VPC，都需要增加一条连接。 例如：对防火墙连接命名为cfw-er-auto（创建防火墙后自动生成）;对VPC1连接命名为vpc-1；对VPC2连接命名为vpc-2，需防护VPC3时，增加连接命名为vpc-3。 如需防护其他账
添加SNAT规则所示。 表1 添加SNAT规则 参数名称 参数说明 使用场景 SNAT规则使用的场景，选择“虚拟私有云”。 网段 选择“自定义”子网，使云服务器通过SNAT方式访问公网 自定义：自定义一个网段或者填写某个VPC的地址。 说明： 支持配置0.0.0.0/0的地址段，在多段地址配置时更方便。
仅放行云内资源对指定域名的访问流量 应用场景 为了防止敏感数据泄露或受到外部恶意攻击，需要限制云内资源仅能访问特定公网域名。 本文介绍如何通过CFW对云资源进行精细化管控，实现放行所有EIP对指定域名（本文以泛域名*.example.com为例）的访问流量。 通过CFW放行云内资源对指定域名的访问流量
目的地址 流量到达的网段。 例如两个VPC间防护时，VPC1中添加的路由“目的地址”填写VPC2的网段。 说明： 不能与已有路由和VPC下子网网段冲突。 下一跳类型 在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 （可选）路由的描述信息。
参数 参数类型 描述 vpc_id String 引流VPC的ID subnet_ids Array of strings 创建的引流VPC的子网ID列表 请求示例 项目09bb24e6f280d23d0f9fc0104b901480下防火墙55b26ab5-e4b0-40e8-94
开启NAT网关流量防护 云防火墙通过防护NAT网关所在的VPC，实现对NAT网关流量的防护，并支持对私网IP进行细粒度访问控制，防止内网主机非法外联。 支持防护SNAT和DNAT两种场景。 组网图 SNAT和DNAT的组网图如下： SNAT组网图 DNAT组网图 约束条件 仅“专业版”支持NAT网关流量防护。
ER）可以连接VPC或本地网络来构建中心辐射型组网，是云上大规格，高带宽，高性能的集中路由器。 云墙关联子网 云墙关联子网是VPC边界防火墙中的参数。用户配置网段后，云防火墙自动分配“云墙关联子网”，用于将防火墙方向的流量转发到企业路由器。 CVE编号 CVE编号是识别漏洞的唯一标识符。 CVE
PC和ER之间）。操作步骤请参见企业路由器中添加VPC连接。 连接至少需要添加三条，例如：对防火墙连接命名为cfw-er-auto（创建防火墙后自动生成）;对VPC1连接命名为vpc-1；对VPC2连接命名为vpc-2。 如需防护其他账号（如账号B）下的VPC，请将当前账号A的企
SNAT防护概述 背景信息 云防火墙标准版实现公网IP之间的防护，例如通过NAT网关实现多个VPC/子网使用公网IP对外发起访问的场景，云防火墙专业版提供更细粒度的访问控制，例如使用私网IP对公网发起访问的场景。 本文介绍如何配置云防火墙专业版实现SNAT场景下私网IP对公网发起访问的防护。
tach，连接类型：云防火墙（CFW）），防护VPC的连接需手动添加；每增加一个防护的VPC，都需要增加一条连接。 例如：对VPC1连接命名为vpc-1；对VPC2连接命名为vpc-2，需防护VPC3时，增加连接命名为vpc-3。 如需防护其它账号（如账号B）下的VPC，请将当前
"https://www.example.com" 方式二：使用浏览器访问域名。 请勿使用telnet命令进行域名测试。 使用telnet命令对域名和端口进行测试时（例如telnet www.example.com 80），只会生成TCP握手流量，并不会模拟完整的HTTP或HTTPS
关联VPC不存在 请检查VPC是否存在 400 CFW.00700003 关联子网网段冲突 关联子网网段冲突 请确保创建子网与现有VPC下子网网段不重合 400 CFW.00700004 子网创建失败 子网创建失败 请联系技术支持 400 CFW.00700007 ER创建VPC连接失败
应用场景 外部入侵防御 通过云防火墙，对已开放公网访问的服务资产进行安全盘点，可一键开启入侵检测与防御。 主动外联管控 云防火墙支持基于域名的访问控制，可对主动外联行为进行管控。 VPC间互访控制（专业版支持） 云防火墙支持VPC间流量的访问控制，实现内部业务互访活动的可视化与安全防护。
拉美-圣地亚哥 中东-利雅得 创建VPC边界防火墙 新增防护VPC NAT网关防护 云防火墙通过防护NAT网关所在的VPC，实现对NAT网关流量的防护，并支持对私网IP进行细粒度访问控制，防止内网主机非法外联。 支持区域： 华北-北京四 华东-上海一 华东-青岛 华东二 华南-广州 西南-贵阳一
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
