检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
规范企业在华为云上的操作，满足企业云上IT治理诉求。 用户可以根据组织架构规划企业项目，统一管理分布在不同区域的资源，还可以为每个企业项目设置拥有不同权限的“用户”和“用户组”。 应用场景 大企业按照分公司或部门的维度管理业务时，难以划分账单和分配资源，此时可以使用企业项目管理服务：
云防火墙支持跨账号使用吗？ 云防火墙支持跨账号防护，防护前需进行以下设置： 互联网边界跨账号防护请参见使用CFW跨账号防护EIP资源。 VPC边界跨账号防护需在配置企业路由器时添加VPC连接时，将当前账号A的企业路由器共享至其它账号B，共享成功后在账号B中添加连接，后续配置仍在账
开通Organizations云服务 开通Organizations云服务后，系统会自动创建组织和根组织单元，并将开通服务的账号设置为管理账号。 邀请B账号、C账号加入组织，相关操作请参见邀请账号加入组织。 设置CFW为可信服务，操作详情请参考启用、禁用可信服务。 使用B账号、C账号加入A账号的组织，具体操作请参见接受或拒绝来自组织的邀请。
弹性IP开启关闭 功能介绍 开启关闭EIP，客户购买EIP后首次开启EIP防护前需使用ListEips同步EIP资产，sync字段设置为1。 调用方法 请参见如何调用API。 URI POST /v1/{project_id}/eip/protect 表1 路径参数 参数 是否必选 参数类型
内-外：云上资产（EIP）访问互联网。 源 Any 设置访问流量中发送数据的地址参数。 目的 Any 设置访问流量中的接收数据的地址参数。 服务 Any 设置协议类型、源端口和目的端口。 应用 Any 设置针对应用层协议的防护策略。 动作 阻断 设置流量经过防火墙时的处理动作。 放行：防火墙允许此流量转发。
创建安全报告 您可以通过获取安全报告，及时掌握资产的安全状况数据；CFW将按照设置的时间段以及接收方式将日志报告发送给您。 本节介绍如何创建安全报告。 约束限制 单个防火墙实例中，最多可创建10个安全报告。 安全报告仅保留3个月，建议您定期下载，以满足等保测评以及审计的需要。 自
根据企业的业务组织架构，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户，让员工拥有唯一安全凭证，并使用CFW资源。 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。 将CFW资源委托给更专业、高效的其他华为账号或者云服务，这些账号或者云服务可以根据权限进行代运维。
云防火墙支持哪些维度的访问控制？ 云防火墙当前支持基于五元组、IP地址组、服务组、域名、应用、黑名单、白名单设置ACL访问控制策略；也支持基于IPS（intrusion prevention system，入侵防御系统）设置访问控制。IPS支持观察模式和阻断模式，当您选择阻断模式时，云防火墙根据IPS规则
-> 黑名单 -> 防护策略（ACL）-> 基础防御（IPS）= 病毒防御（AV）。 图1 防护顺序 设置黑/白名单请参见管理黑/白名单。 添加防护规则请参见添加防护规则。 设置IPS防护模式请参见配置入侵防御策略，自定义IPS规则请参见自定义IPS特征。 开启病毒防御请参见开启病毒防御。
如果出现这种情况，您需要及时根据实际业务情况购买扩展包来提供足够的防护带宽。 购买扩展包请参见变更扩展包。 云防火墙支持设置流量超额预警，当业务流量达到已购买带宽规格的一定比例时，将发送告警通知，设置告警通知请参见告警通知。 父主题： 网络流量
用户使用CES并创建监控指标后，用户可以通过CES管理控制台检索云防火墙产生的监控指标和告警信息。 CES的详细介绍和使用方法，请参见CES快速入门。 如何使用CES对CFW进行监控，请参见设置监控告警规则。 父主题： 安全
果一致，则命中对应的防护规则。 网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中（已从DNS服务器解析中获取到IP地址），则命中对应的防护规则。 单个域名最大支持解析1
中 云防火墙提供对业务流量中的攻击行为的检测和记录，并能根据策略设置提供攻击流量阻断功能，记录风险级别、事件名称、源IP、目的IP、方向、判断来源、发生时间和动作。 访问控制 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下受控接口拒绝除允许通信外的所有通信。 高
24:00:00 报告将在生成后的次日自动发送至您设置的报告接收人。 安全周报 统计周期：周一00:00:00 ~ 周日24:00:00 报告将在生成后的指定时间自动发送至您设置的报告接收人。 报告发送时间 当“报告类型”选择为“日报”、“周报”时，需要设置报告发送时间点，默认发送上一个统计周期的日志报告。
地址组描述：业务A 地址组地址类型：IPv4 地址组成员 IP地址：10.1.1.2；描述：ECS1 IP地址：10.1.1.3；描述：ECS2 IP地址：10.1.1.4；描述：ECS3 域名组信息表： 域名组名称：域名组1 域名组类型：URL过滤 域名组描述：业务A对外访问域名
步骤五：调整拦截的IPS规则并将入侵防御模式设置为拦截模式 调整误判规则的防护动作，将入侵防御模式修改至拦截模式（本文以“拦截模式-中等”为例）。 步骤六：通过攻击事件日志查看防护效果 查看攻击事件日志，确认正常流量是否被放行。 操作视频 本视频介绍如何灵活配置入侵防御模式实现EIP的防护。
额预警进行通知设置。开启告警通知后，CFW可将IPS攻击日志和流量超额的预警信息通过您设置的接收通知方式（例如邮件或短信）发送给您。 网络抓包：帮助您定位网络故障和攻击。 多账号管理：一个账号下的云防火墙实例同时防护多个账号的EIP资源。 DNS配置：通过域名服务器解析并下发IP地址。
您可以在创建路由表的时候为路由表绑定标签，标签用于标识云资源，可通过标签实现对云资源的分类和搜索。 关于标签更详细的说明，请参见标签概述。 - 设置关联和路由功能。 在路由表设置页面，选择用于连接需防护VPC的路由表，单击“关联”页签，单击“创建关联”。 如图 创建关联，参数详情见表 创建关联参数说明。
如何调用API 构造请求 认证鉴权 返回结果
接受B账号、C账号的连接申请，具体操作请参见接受连接创建申请。 添加关联。 单击企业路由器名称，并选择“路由表”页签，在路由表设置页面，选择关联路由表(er-RT1)，单击“关联”页签，单击“创建关联”。 如何识别关联路由表：关联路由表用于将流量从VPC传输到云防火墙，即当前配置如下： 关联页签（多条关联的连接）：
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
