检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
VPC边界（东西向）流量如何计费？ 专业版云防火墙默认防护2个VPC，提供200Mbps的VPC边界流量防护，如果您需要防护更大的VPC间流量，可以通过购买VPC数量扩展，每个VPC支持200M的VPC边界流量防护。 例如：业务部署需要防护1Gbps的VPC边界流量，则云防火墙默认防
命中且执行拦截的策略。 TOP出云拦截IP 出方向流量中被拦截的IP，切换“源”或“目的”查看源IP或目的IP。 TOP入云拦截IP 入方向流量中被拦截的IP，切换“源”或“目的”查看源IP或目的IP。 TOP拦截目的端口 拦截的目的端口，切换“出云”或“入云”查看出方向或入方向。 TOP拦截IP地区
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 （可选）如果添加网络域名组，则选择“网络域名组”页签。 切换至“域名组”页签，单击“添加域名组”，弹出“添加域名组”，填写参数如表
资源和成本规划 本节介绍SNAT防护中的资源和成本规划。 表1 资源说明 资源 资源说明 数量 成本说明 NAT网关（NAT Gateway） 被防护的资源。 1 具体的计费方式及标准请参考NAT网关计费说明。 弹性公网IP（Elastic IP） EIP，NAT网关绑定的EIP。
流量日志和攻击日志信息不全怎么办？ CFW只记录云防火墙开启阶段的用户流量日志和攻击日志，如果反复开启、关闭云防火墙，会导致关闭期间的日志无法记录。 因此，建议您避免反复执行开启、关闭CFW的操作。 父主题： 故障排查
步骤一：添加VPC连接 操作步骤请参见企业路由器中添加VPC连接。 如需防护其它账号（如账号B）下的VPC，请将当前账号A的企业路由器共享至账号B，共享步骤请参见创建共享，共享成功后在账号B中添加连接，后续配置仍在账号A中进行。 步骤二：配置关联路由表的关联和传播路由表的传播 在左侧导航栏中，单击左上方的，选择“网络
开启VPC边界防火墙并确认流量经过云防火墙 开启VPC边界流量防护，并验证流量是否经过云防火墙。 VPC边界防护规则 通过防护规则放行/拦截流量（放行后的流量会经过入侵防御IPS、病毒防御等功能的检测）。 通过添加黑白名单拦截/放行流量 通过黑白名单放行/拦截流量（放行/拦截的流量，不再经过其它功能的检测）。
/EIP/安全策略等关键性能规格可无限扩展（根据客户需求灵活调整底层虚拟机的资源和数量，按需设置CPU和内存等资源规格），集群部署高可靠，满足大规模流量的安全防护。 极简应用 作为云原生防火墙，华为云防火墙支持一键开启，多引擎安全策略一键导入，资产自动秒级盘点，操作页面可视化呈现，大幅提高管理和防护效率。
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”页面。 切换至“时间计划”页签，单击“添加时间计划”，弹出“添加时间计划”界面，填写参数信息。 表1 时间计划参数说明 参数名称
没有与其它防火墙实例关联。 需归属本账号，非共享企业路由器。 需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。 网段配置后默认创建InspectionVPC将流量转发至云防火墙，并自动分配云墙关联子网，将云防火墙流量转发到企业路由器，选择时需注意以下限制： 创建防火墙后不支持修改网段。
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 （可选）如删除网络域名组，则选择“网络域名组”页签。 切换至“域名组”页签，单击待删除的“操作”列的“删除”，在
在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 路由的描述信息，非必填项。 说明： 描述信息内容不能超过255个字符，且不能包含“<”和“>”。 父主题： 通过配置CFW防护规则实现SNAT流量防护
如何获取攻击者的真实IP地址？ 流量经过反向代理后，源IP被转换为回源IP，此时如果受到外部攻击，CFW无法获取到攻击者的真实IP地址，您可通过X-Forwarded-For字段获取真实IP地址。 查看X-Forwarded-For 登录管理控制台。 单击管理控制台左上角的，选择区域。
配置NAT防护规则 验证流量流通后，需配置防护规则，云防火墙才会实施放行/拦截操作。 操作步骤 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。
防护规则的流量方向。 源 访问流量中发送数据包的地址参数。 目的 访问流量中接收数据包的地址参数。 服务 协议类型当前支持：TCP、UDP、ICMP、Any。 源端口：当前开放或限制的源端口号。支持单个端口，或者连续端口组，中间使用“-”隔开，如：80-443。 目的端口：当前开放或限制的目的端口号。
开启VPC间防火墙防护，请参见开启VPC间防火墙。 （可选）再次使用业务VPC下测试机进行网络连通性测试，查看防火墙流量日志中有响应记录，则证明防火墙引流成功。查询流量日志请参见流量日志。 在防火墙上配置NAT防护规则。 （可选）使用测试机，访问IP或域名，查看访问控制日志是否有命中该条规
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 在“IP地址组”页签，选择“预定义地址组”页签，单击目标地址组的名称，进入详细信息页面，查看地址组信息。 父主题：
在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 路由的描述信息，非必填项。 说明： 描述信息内容不能超过255个字符，且不能包含“<”和“>”。 父主题： 通过配置CFW防护规则实现SNAT流量防护
切换防护对象页签后，选择“黑名单”或“白名单”页签。 在需要编辑的规则所在行的“操作”列中，单击“编辑”。 对参数进行修改，参数详情请参见表 黑/白名单。 表1 黑/白名单 参数名称 参数说明 地址方向 选择“源地址”或“目的地址”。 源地址：设置访问流量中的发送数据包的IP地址或IP地址组。
云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 切换至“服务组”页签，选择“预定义服务组”页签，单击目标服务组的名称，进入详细信息页面，查看服务组信息。 父主题：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
