正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
通过策略助手查看防护信息 配置防护策略后,您可通过策略助手快速查看防护规则的命中情况,及时调整防护规则。 约束条件 基础版不支持策略助手功能。 通过策略助手查看防护信息 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。
目的IP地址 在防火墙控制台上使用抓包功能 使用目的以及安全保护措施 向用户展示防火墙识别出的流量明细。 数据通过http上传到告警管理服务器。 明文存储,仅管理员可以访问。 用户在防火墙上进行流量抓包后存储到管理账号的OBS桶中,仅管理员可以访问。 存留期限与存留策略 满7天会自动删除
开启/关闭VPC间边界防火墙 配置完成后,防火墙默认为“未开启”状态,此时流量只经过企业路由器,未转发到防火墙。您可选择手动开启或关闭VPC间防火墙功能。 前提条件 已购买CFW专业版。 已配置企业路由器。 约束条件 仅专业版支持VPC间防火墙防护功能。 操作步骤 登录管理控制台。
有日志记录:云防火墙已成功防护VPC间流量。 无日志记录,排查企业路由器配置,请参见配置企业路由器并将流量引至云防火墙。 后续操作 如果您需要添加新的防护VPC,请参见新增防护VPC。 开启防护后,流量默认放行,云防火墙将根据您设置的策略实施拦截: 如果希望实现流量管控,需配置防护策略,请参见互联网边界防护规则或通过添加黑白名单拦截/放行流量。
墙对流量不做任何检测。 如果您的业务后续不再需要VPC边界流量防护,关闭防护后,还需手动恢复企业路由器(ER)的配置,请参见永久关闭VPC边界防护后恢复企业路由器配置。 关闭VPC边界防火墙(新版) 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规
管理时间计划 您可以通过设置防护规则的生效时间段,确保规则仅在指定的时间段内生效。 本节介绍如何添加、复制、删除时间计划。 应用场景 配置测试策略:为测试策略设置生效时间段,在测试期间,策略自动生效,确保测试的顺利进行;在测试结束时,策略会自动失效,无需手动操作。 控制公网暴露:
删除域名组 约束条件 被防护规则引用的域名组不支持删除,需优先调整/删除对应规则。 删除域名组 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。
地址组描述:业务A 地址组地址类型:IPv4 地址组成员 IP地址:10.1.1.2;描述:ECS1 IP地址:10.1.1.3;描述:ECS2 IP地址:10.1.1.4;描述:ECS3 域名组信息表: 域名组名称:域名组1 域名组类型:URL过滤 域名组描述:业务A对外访问域名
查看攻击事件日志,确认正常流量是否被放行。 操作视频 本视频介绍如何灵活配置入侵防御模式实现EIP的防护。 准备工作 在购买云防火墙之前,请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。 如果您已开通华为云并进行实名认证,请忽略此步骤。 请保证账户有足够的资金,防
请求什么类型的操作。 GET:请求服务器返回指定资源。 PUT:请求服务器更新指定资源。 POST:请求服务器新增资源或执行特殊操作。 DELETE:请求服务器删除指定资源,如删除对象等。 HEAD:请求服务器资源头部。 PATCH:请求服务器更新资源的部分内容。当资源不存在的时
管理防护规则 本节介绍防护规则页面的参数信息和防护规则的编辑、复制、删除操作。 其中复制操作生成的新防护规则“优先级”默认为“1”(优先级最高)。 查看防护规则 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。
如您需设置该IP地址的全部端口,可配置“端口”为“1-65535”。 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”为“22”。 如您需设置某个范围的端口,可填写为连续端口组,中间使用“-”隔开。例如放行/拦截该IP地址80-443端口的访问,则配置“端口”为“80-443”。
查看预定义地址组 云防火墙为您提供预定义地址组,包括“NAT64转换地址组”和“WAF回源IP地址组”,两个地址组均建议您放行。 NAT64转换地址组:开启弹性公网IP(EIP)服务的IPv6转换功能后,云防火墙接收到对应IPv6流量的源IP地址会被转换为当前地址组中的IP。IPv6转换功能请参见IPv6转换。
入门实践 当您配置入侵防御和访问控制策略后,可以根据业务场景使用CFW提供的一系列常用实践。 表1 常用实践 实践 描述 拦截海外地区的访问流量 介绍如何批量配置IP地址组和服务组(端口、协议),适用于业务部署在企业或有多个IP地址或端口协议需要配置的场景。 VPC间边界防火墙配置 介绍
调整防护规则的优先级 流量命中某一条规则时,执行该规则的动作,并结束防护规则的匹配。建议设置放行的规则优先级高于阻断的规则,具体化的规则优先级高于宽泛的规则。 本文指导您调整防护规则的优先级顺序。 优先级排序 数字越大,优先级越低,1是最高优先级。 调整防护规则的优先级 登录管理控制台。
源。 DNS配置:通过域名服务器解析并下发IP地址。 安全报告:生成日志报告,及时掌握资产的安全状况数据。 表2 引擎特性 名称 主要功能描述 支持协议 支持场景 防火墙引擎 用户流量先经过负载均衡组件分发给租户防火墙引擎,进行安全检测与防护后,再将流量送至目标ECS。检测功能丰富,阻断策略灵活。
路由表中,生成“传播路由”。同一个路由表中,不同传播路由的目的地址可能相同,连接配置不支持修改和删除。 您也可以手动在路由表中配置连接的静态路由,同一个路由表中,静态路由的目的地址不允许重复,连接配置支持修改和删除。 如果路由表中存在多条路由目的地址相同,则优先级:静态路由 > 传播路由。
删除自定义IP地址组 本文指导您删除自定义IP地址组。 约束条件 被防护规则引用的地址组不支持删除,需优先调整/删除对应规则。 删除自定义IP地址组 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。
用防火墙。 防护对象 弹性公网IP和VPC边界。 支持对Web攻击的基础防护。 支持外部入侵和主动外联的流量防护。 针对域名或IP,华为云、非华为云或云下的Web业务。 支持对Web攻击的全面防护。 功能特性 资产管理与入侵防御:对已开放公网访问的服务资产进行安全盘点,进行实时入侵检测与防御。
互联网边界跨账号防护请参见多账号管理概述。 VPC边界跨账号防护需在“步骤三:配置企业路由器”添加VPC连接时,将当前账号A的企业路由器共享至其它账号B,共享成功后在账号B中添加连接,后续配置仍在账号A中进行,VPC边界防火墙介绍请参见VPC边界防火墙概述。 父主题: 产品咨询