正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云防火墙与Web应用防火墙有什么区别? 云防火墙和Web应用防火墙是华为云推出的两款不同的产品,为您的互联网边界和VPC边界、Web服务提供防护。 WAF和CFW的主要区别说明如表1所示。 表1 CFW和WAF的主要区别说明 类别 云防火墙 Web应用防火墙 定义 云防火墙(Cloud
企业项目 当前防火墙所属的企业项目。 规格 已使用/可防护EIP数 当前防火墙实例已开启防护的弹性公网IP数量/可防护的弹性公网IP总数。 已使用/可防护VPC数 当前防火墙实例已开启防护的VPC数量/可防护的VPC总数。 互联网边界防护带宽 所有经过云防火墙防护的EIP的流量总和最大值
什么是云防火墙 云防火墙(Cloud Firewall,CFW)是新一代的云原生防火墙,提供云上互联网边界和VPC边界的防护,包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等,同时支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张
云防火墙提供的防护带宽是多少? 云防火墙为您提供互联网边界和VPC之间的防护,您可根据需要扩展防护带宽。根据您购买的服务版本的不同,云防火墙提供不同规格的防护带宽: 互联网方向:基础版默认10 Mbps(不可扩容),标准版默认10 Mbps,专业版默认50 Mbps。 互联网方向
单击“确认”,需等待3-5分钟,完成防火墙创建。 创建过程中您只能浏览“概览”页,防火墙的“状态”会变为“升级中”。 相关操作 关闭防火墙:防火墙创建后不支持删除和退订,您可以关闭防火墙的防护请参见关闭VPC边界防护,如果业务后续不再需要VPC边界流量防护,在关闭后,需要手动恢复企业路由器(ER)的配置。 父主题:
0/0:VPC的所有流量都会经过云防火墙防护 网段:该网段的流量会经过云防火墙防护 黑洞路由 建议您保持关闭状态;开启后如果路由匹配上黑洞路由的目的地址,则该路由的报文会被丢弃。 连接类型 选择连接类型“云防火墙(CFW)”。 下一跳 在下拉列表中,选择自动生成的防火墙连接(cfw-er-auto-attach)。
业务场景配置适用的防护策略。 开启防护 开启CFW防护 配置防护策略 添加防护规则 配置入侵防御策略 05 实践 使用CFW进行日常的云上边界防护,助您轻松发现并处理安全风险。 防护配置最佳实践 开启弹性公网IP防护 VPC间防火墙配置 如何使用CFW防护SNAT场景 安全策略迁移
ER,连接VPC和互联网到云防火墙的流量。 1 具体的计费方式及标准请参考ER计费说明。 云防火墙(Cloud Firewall) CFW,仅专业版提供SNAT防护。 1 具体的计费方式及标准请参考CFW计费说明。 父主题: 通过配置CFW防护规则实现SNAT流量防护
开启互联网边界流量防护 云防火墙通过对弹性公网IP(EIP)的防护实现互联网边界流量的防护,开启EIP防护后,您的业务流量将经过云防火墙,默认情况下,所有流量都会被放行。 您需配置访问控制策略或IPS防护模式,云防火墙才会实施拦截操作,配置访问控制策略请参见添加防护规则,IPS相关请参见配置入侵防御策略。
参数说明 连接类型 选择连接类型“虚拟私有云(VPC)”。 连接 在连接下拉列表中,选择需防护的VPC连接。 关联至少需要添加两条,每增加一个防护的VPC,都需增加一条关联。 例如:选择VPC1的连接vpc-1以及VPC2的连接vpc-2,需防护VPC3时,增加一条关联,选择连接vpc-3。
SNAT防护概述 背景信息 云防火墙标准版实现公网IP之间的防护,例如通过NAT网关实现多个VPC/子网使用公网IP对外发起访问的场景,云防火墙专业版提供更细粒度的访问控制,例如使用私网IP对公网发起访问的场景。 本文介绍如何配置云防火墙专业版实现SNAT场景下私网IP对公网发起访问的防护。
攻击事件日志出现异常拦截:可能是IPS当前的防护模式拦截了您的业务。 如果是单个流量被拦截,可将被拦截的IP加入白名单。 如果是多个流量被拦截,在日志中查看是被单个规则还是多个规则阻断。 单个规则阻断:修改该规则的防护动作,请参见修改基础防御规则动作。 多个规则阻断:修改当前的防护模式,请参见调整IPS防护模式拦截网络攻击。
String 防护对象id,是创建云防火墙后用于区分互联网边界防护和VPC边界防护的标志id,可通过调用查询防火墙实例接口获得,通过返回值中的data.records.protect_objects.object_id(.表示各对象之间层级的区分)获得,注意type为0的为互联网边界
管理防护规则 本节介绍防护规则页面的参数信息和防护规则的编辑、复制、删除操作。 其中复制操作生成的新防护规则“优先级”默认为“1”(优先级最高)。 查看防护规则 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。
云防火墙的防护顺序是什么? 云防火墙匹配防护规则的优先级由高到低为:白名单 -> 黑名单 -> 防护策略(ACL)-> 基础防御(IPS)= 病毒防御(AV)。 图1 防护顺序 设置黑/白名单请参见管理黑/白名单。 添加防护规则请参见添加防护规则。 设置IPS防护模式请参见配置入
流量防护结束的时间。 源IP 该条流量的源IP地址。 源国家/地区 访问源IP所属的地理位置。 源端口 该条流量的源端口。 目的IP 访问的目的IP。 目的国家/地区 访问目的IP所属的地理位置。 目的端口 该条流量的目的端口。 协议 该条流量的协议类型。 流字节数 防护流量的字节总数。
String 防护对象id,是创建云防火墙后用于区分互联网边界防护和VPC边界防护的标志id,可通过调用查询防火墙实例接口获得,通过返回值中的data.records.protect_objects.object_id(.表示各对象之间层级的区分)获得,注意type为0的为互联网边界
配置NAT防护规则 验证流量流通后,需配置防护规则,云防火墙才会实施放行/拦截操作。 操作步骤 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。
多账号防护 云防火墙服务具备安全可靠的跨账号数据汇聚和资源访问能力,如果您的账号由组织管理,您可以对组织内所有成员账号的EIP进行统一的资产防护。 配置示例 通过CFW对组织成员账号进行资产防护需要执行以下操作(以A账号管理B账号下的资产为例): 如果A账号是组织管理员,则跳过此
查询规则列表总条数 object_id String 防护对象id,是创建云防火墙后用于区分互联网边界防护和VPC边界防护的标志id,可通过调用查询防火墙实例接口,注意type为0的为互联网边界防护对象id,type为1的为VPC边界防护对象id。 records Array of records