正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
通过配置CFW防护规则实现SNAT流量防护 SNAT防护概述 资源和成本规划 将VPC1和VPC-NAT接入企业路由器中 配置NAT网关 配置VPC1路由表 配置NAT防护规则
略。 开启防护 开启CFW防护 配置防护策略 添加防护规则 配置入侵防御策略 05 实践 使用CFW进行日常的云上边界防护,助您轻松发现并处理安全风险。 防护配置最佳实践 开启弹性公网IP防护 VPC间防火墙配置 如何使用CFW防护SNAT场景 安全策略迁移 02 购买 根据业务
传播路由的目的地址可能相同,连接配置不支持修改和删除。 您也可以手动在路由表中配置连接的静态路由,同一个路由表中,静态路由的目的地址不允许重复,连接配置支持修改和删除。 如果路由表中存在多条路由目的地址相同,则优先级:静态路由 > 传播路由。 配置默认路由表er-RT1: 添加静
域名组管理 添加域名组 删除域名组 父主题: 配置访问控制策略管控流量
防护域名时不支持添加中文域名格式。 域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全,建议有访问自身业务相关域名场景时配置自定义域名服务器。 仅入方向规则(“方向”配置为“外-内”)的“源”地址支持配置“预定义地址组”。 开启NAT64防护后,使用IPv6访问时,请注意将198
查看防护规则是否生效。 操作视频 本视频介绍如何配置防护规则放行指定弹性公网IP(EIP)的入方向流量。 准备工作 在购买云防火墙之前,请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。 如果您已开通华为云并进行实名认证,请忽略此步骤。 请保证账户有足
示例四:配置SNAT的防护规则 本文提供SNAT防护的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”, 通过NAT网关访问的外部域名为“www.example.com”,您可以参照以下参数配置NAT防护,其余参数可根据您的部署进行填写:
信息: 规则类型:NAT规则 方向:SNAT 源:选择“IP地址”,配置私网IP。 目的:选择“IP地址”(配置公网IP)或“域名/域名组”。 应用:Any 单击“确认”,完成防护规则配置。 父主题: 通过配置CFW防护规则实现SNAT流量防护
请求流量和响应流量为同一个路径。 配置建议 建议为NAT网关创建独立VPC不用于云服务器等实例网络配置,避免影响后续的访问控制。 在前期网络规划复杂甚至不合理的情况下(例如存在VPC网段重叠、NAT网关已有复杂配置、已通过VPC-Peering配置东西向通信等场景下),请充分评估网络互连、环路、路由冲突等风险。
IP地址组管理 添加自定义IP地址组和IP地址 查看预定义地址组 删除自定义IP地址组 父主题: 配置访问控制策略管控流量
访问控制策略管理 导入/导出防护策略 调整防护规则的优先级 管理防护规则 管理黑白名单 管理时间计划 父主题: 配置访问控制策略管控流量
如果业务仍未恢复,可参考常见的故障原因: 网络故障:路由配置错误,网元故障。 策略拦截:其它安全服务、网络ACL或安全组配置错误导致的误拦截。 如果您需要华为云协助排查,可提交工单。 原因二:防护策略阻断流量 可能是在访问控制策略中配置了阻断规则,或将正常的业务加入了黑名单,此时CFW会阻断相关会话,导致业务受损。
云防火墙和安全组、网络ACL的访问控制有什么区别? 云防火墙、安全组、网络ACL都可以实现通过IP地址/IP地址组设置访问控制策略,为您的互联网边界和VPC边界、弹性云服务器、子网提供防护。 云防火墙和安全组、网络ACL的主要区别如表1所示。 表1 云防火墙和安全组、网络ACL访问控制的主要区别 类别 云防火墙
该路由的报文会被丢弃。 连接类型 选择连接类型“虚拟私有云(VPC)”。 下一跳 在下拉列表中,选择VPC-NAT的连接。 父主题: 通过配置CFW防护规则实现SNAT流量防护
系统管理 告警通知 网络抓包 多账号防护 DNS服务器配置 安全报告管理
果一致,则命中对应的防护规则。 网络域名组:CFW会在后台获取DNS服务器解析出的IP地址(每15s获取一次),当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中(已从DNS服务器解析中获取到IP地址),则命中对应的防护规则。 单个域名最大支持解析1
表。 配置关联路由表er-RT1将流量从VPC传输到云防火墙,请参见配置路由表er-RT1。 配置传播路由表er-RT2将流量从云防火墙传输到VPC,请参见配置路由表er-RT2。 修改VPC的路由表,请参见修改VPC的路由表。 开启VPC防护,并验证流量正常通信。 配置防护规则,并查看防护效果。
由”。参数信息填写“传播路由表”的“路由”配置中防护VPC的“目的地址”和“下一跳”。 关联路由表:将流量从VPC传输到云防火墙的路由表,配置时的操作请参见配置关联路由表。 传播路由表:将流量从云防火墙传输到VPC,配置时的操作请参见配置传播路由表。 在“关联路由表”中添加的路由
选择安全策略的防护类型。 EIP防护: 防护EIP的流量,仅支持配置公网IP。 NAT防护: 防护NAT的流量,可以配置私网IP。 EIP防护 方向 选择防护方向: 外-内:外网访问内部服务器。 内-外:客户服务器访问外网。 内到外 动作 选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。
删除自定义服务组 服务组是多个端口的集合。通过使用服务组,可帮助您便捷防御高危端口,有效应对需要重复编辑访问规则的场景,并且方便管理这些访问规则。 本文指导您删除自定义服务组。 约束条件 被防护规则引用的服务组不支持删除,需优先调整/删除对应规则。 删除自定义服务组 登录管理控制台。