检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
据业务场景使用CFW提供的一系列常用实践。 表1 常用实践 实践 描述 拦截海外地区的访问流量 介绍如何批量配置IP地址组和服务组（端口、协议），适用于业务部署在企业或有多个IP地址或端口协议需要配置的场景。 VPC间边界防火墙配置 介绍VPC边界防火墙的配置流程，适用于对VPC间流量防护有需求的场景。
流量先经过CFW再经过WAF，正常配置即可，不同的防护场景，查看日志方式不同： 在CFW上对公网ELB绑定的EIP开启防护： 此时受到来自客户端的攻击，CFW会将攻击事件打印在“攻击事件日志”的“互联网边界防火墙”页签中。 事件的“目的IP”为公网ELB绑定的EIP地址，“源IP”为客户端的IP地址。 开启V
一天一次。 通知群组 单击下拉列表选择已创建的主题，用于配置接收告警通知的终端。 单击“查看主题”创建新主题的操作步骤如下： 参见创建主题创建一个主题。 配置接收告警通知的手机号码、邮件地址、函数、平台应用的终端、DMS或HTTP(S)终端，即为创建的主题添加一个或多个订阅，具体操作请参见添加订阅。
设置目的地址。 可以是虚拟私有云网段、子网网段。 说明： 若您的ECS绑定公网EIP，配置路由时需指定网段，不能使用0.0.0.0/0。 192.168.2.0/24 连接类型 选择连接类型“虚拟私有云（VPC）”。 虚拟私有云（VPC） 下一跳 在下一跳下拉列表中，选择防火墙的VPC连接。
TOP访问源IP 入方向流量的源IP地址。 TOP访问来源地区 入方向流量的源IP所属的地理位置， TOP访问目的IP 入方向流量的目的IP地址。 TOP开放端口 入方向流量的目的端口。 应用分布 入方向流量的应用信息。 IP分析：查看指定时间段内 TOP 50 的流量信息。 公开IP分析：目的IP的流量信息。
TOP访问目的IP 出方向流量的目的IP地址。 TOP访问目的地区 出方向流量的目的IP所属的地理位置。 TOP访问源IP 出方向流量的源IP地址。 TOP开放端口 出方向流量的目的端口。 应用分布 出方向流量的应用信息。 IP分析：查看指定时间段内 TOP 50 的流量信息。 外联IP：目的IP的流量信息。
配置防护规则放行指定EIP的入方向流量 配置合适的防护规则能有效的帮助您对云上资产与互联网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 本文指导您通过标准版防火墙配置防护规则实现放行指定弹性公网IP（EIP）的入方向流量，帮助您快速管控云上资产的入方向流量。 操作流程
修改入侵防御规则的防护动作 基础防御规则库和虚拟补丁规则库中的规则，支持手动修改防护动作，修改后，该规则不受IPS“防护模式”的影响。 如果规则库中的防御规则不能满足您的需求，您可自定义IPS特征规则，请参见自定义IPS特征。 规格限制 基础版不支持攻击防御功能。 约束条件 修改IPS规则存在以下限制：
查看和修改规则库请参见修改入侵防御规则的防护动作 虚拟补丁 在网络层级为IPS提供热补丁，实时拦截高危漏洞的远程攻击行为，同时避免修复漏洞时造成业务中断。 更新的规则优先进入虚拟补丁库中，您可以根据业务情况判断是否增加至基础防御库中。 增加方式：打开开关，虚拟补丁中的规则将生效，实时防护并支持手动修改防护动作。
调整防护规则的优先级 流量命中某一条规则时，执行该规则的动作，并结束防护规则的匹配。建议设置放行的规则优先级高于阻断的规则，具体化的规则优先级高于宽泛的规则。 本文指导您调整防护规则的优先级顺序。 优先级排序 数字越大，优先级越低，1是最高优先级。 调整防护规则的优先级 登录管理控制台。
批量迁移安全策略到CFWCFWforHCS 与WAF等云服务同时使用 CFW与WAF、DDoS高防、CDN同时使用的配置建议 配置访问控制策略 仅放行互联网对指定端口的访问流量 拦截海外地区的访问流量 仅放行云内资源对指定域名的访问流量 通过配置CFW防护规则实现两个VPC间流量防护 通过配置CFW防护规则实现SNAT流量防护
日志导出 支持导出近7天的攻击事件日志、访问控制日志、流量日志。 商用 - 2 虚拟补丁 在网络层级提供热补丁，实时拦截高危、应急漏洞的远程攻击行为，避免修复漏洞时造成业务中断。 商用 - 3 访问策略中命中次数统计 统计拦截流量的“命中次数”，以便更好的调整访问策略。 商用 -
云防火墙能否防护DEC（专属云）上部署的资源？ 如果专属云（Dedicated Cloud，DEC）所在的Region上已支持云防火墙，则可以使用云防火墙防护DEC的资源。 云防火墙支持的区域请参见功能总览。 购买云防火墙服务时，需要先切换到DEC项目下，再进行购买。 父主题： 产品咨询
边界防护和VPC边界防护的标志id，可通过调用查询防火墙实例接口获得，通过返回值中的data.records.protect_objects.object_id（.表示各对象之间层级的区分）获得，注意type为0的为互联网边界防护对象id，type为1的为VPC边界防护对象id。
云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张需求，极简应用让用户快速灵活应
云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和VPC边界的防护，包括实时入侵检测与防御、全局统一访问控制、全流量分析可视化、日志审计与溯源分析等，同时支持按需弹性扩容、AI提升智能防御能力、灵活扩展满足云上业务的变化和扩张需求，极简应用让用户快速灵活应
应能够对内部用户非授权连到外部网络的行为进行限制或检查。 高 云防火墙实现南北向和东西向访问的网络流量分析、全网流量可视化、对主动外联行为的分析和阻断、开通或变更白名单策略。 功能特性 应能够对非授权设备私自联到内部网络的行为进行限制或检查。 中 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
边界防护和VPC边界防护的标志id，可通过调用查询防火墙实例接口获得，通过返回值中的data.records.protect_objects.object_id（.表示各对象之间层级的区分）获得，注意type为0的为互联网边界防护对象id，type为1的为VPC边界防护对象id。
如果有记录，单击“规则”列跳转至匹配到的阻断策略。 阻断的是黑名单： 删除该条黑名单策略。 增加一条该IP/域名的白名单策略（白名单优先黑名单匹配，增加后黑名单策略失效，该流量将直接放行）。 阻断的是防护规则： 在访问控制规则列表中搜索相关IP/域名的阻断策略，将阻断该IP/域名策略停用。 修改对应的阻断策略的匹配条件，移除该IP/域名信息。
在连接下拉列表中，选择需防护的VPC连接。 vpc-1 表4 创建VPC2关联参数说明 参数名称 参数说明 取值样例 连接类型 选择连接类型“虚拟私有云（VPC）”。 虚拟私有云（VPC） 连接 在连接下拉列表中，选择需防护的VPC连接。 vpc-2 创建同一路由表(er-RT1)的路由功能。单
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
