正在生成
详细信息:
检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云防火墙标准版实现公网IP之间的防护,例如通过NAT网关实现多个VPC/子网使用公网IP对外发起访问的场景,云防火墙专业版提供更细粒度的访问控制,例如使用私网IP对公网发起访问的场景。 本文介绍如何配置云防火墙专业版实现SNAT场景下私网IP对公网发起访问的防护。 前提条件 配置中需要使用企业路由器(Enterprise
云防火墙和Web应用防火墙是华为云推出的两款不同的产品,为您的互联网边界和VPC边界、Web服务提供防护。 WAF和CFW的主要区别说明如表1所示。 表1 CFW和WAF的主要区别说明 类别 云防火墙 Web应用防火墙 定义 云防火墙(Cloud Firewall,CFW)是新一代的云原生防火墙,提供云上互联网
供一个针对各种云上资源的立体化监控平台,用户通过云监控服务可以全面了解云上的资源使用情况、业务的运行状况,并及时收到异常告警做出反应,保证业务顺畅运行。 用户使用CES并创建监控指标后,用户可以通过CES管理控制台检索云防火墙产生的监控指标和告警信息。 CES的详细介绍和使用方法,请参见CES快速入门。
操作步骤请参见企业路由器中添加VPC连接。 如需防护其它账号(如账号B)下的VPC,请将当前账号A的企业路由器共享至账号B,共享步骤请参见创建共享,共享成功后在账号B中添加连接,后续配置仍在账号A中进行。 步骤二:配置关联路由表的关联和传播路由表的传播 在左侧导航栏中,单击左上方的,选择“网络 > 企业路由器”,单击“管理路由表”,进入“路由表”页面。
0/0:VPC的所有流量都会经过云防火墙防护 网段:该网段的流量会经过云防火墙防护 黑洞路由 建议您保持关闭状态;开启后如果路由匹配上黑洞路由的目的地址,则该路由的报文会被丢弃。 连接类型 选择连接类型“云防火墙(CFW)”。 下一跳 在下拉列表中,选择自动生成的防火墙连接(cfw-er-auto-attach)。
参数名称 参数说明 连接类型 选择连接类型“虚拟私有云(VPC)”。 连接 在连接下拉列表中,选择需防护的VPC连接。 关联至少需要添加两条,每增加一个防护的VPC,都需增加一条关联。 例如:选择VPC1的连接vpc-1以及VPC2的连接vpc-2,需防护VPC3时,增加一条关联,选择连接vpc-3。
蠕虫病毒的攻击目标。 自我复制:蠕虫病毒能够复制自身的全部或部分代码,并将这些复制体传播到网络中的其他服务器上。这种自我复制的能力是蠕虫病毒能够迅速扩散的基础。 独立传播:与需要用户交互(如打开附件)的传统病毒不同,蠕虫病毒能够自主地在网络中搜索并感染其他易受攻击的服务器,而无需
配置VPC1路由表 操作步骤 在左侧导航栏中,选择“网络 > 虚拟私有云 > 路由表”,进入“路由表”页面。 在“名称”列,单击VPC1的路由表名称,进入路由表“基本信息”页面。 单击“添加路由”,参数详情见表 添加路由参数说明。 表1 添加路由参数说明 参数 说明 目的地址类型
通知群组 单击下拉列表选择已创建的主题,用于配置接收日志报告的终端。 单击“查看主题”创建新主题的操作步骤如下: 参见创建主题创建一个主题。 配置接收告警通知的手机号码、邮件地址、函数、平台应用的终端、DMS或HTTP(S)终端,即为创建的主题添加一个或多个订阅,具体操作请参见添加订阅。
√(仅支持通过Host或SNI字段匹配策略) √ √ √ 南北向流量防护,统一隔离防护云上资产在互联网的暴露风险(例如EIP) √ √ √ √ 南北向流量审计,日志查询 √(仅支持访问控制日志和流量日志) √ √ √ 东西向流量防护,VPC间的资产保护、全流量分析 × × √ √ 东西向流量监控,实时获取VPC间流量数据
一个统计周期的日志报告。 通知群组 单击下拉列表选择已创建的主题,用于配置接收日志报告的终端。 单击“查看主题”创建新主题的操作步骤如下: 参见创建主题创建一个主题。 配置接收告警通知的手机号码、邮件地址、函数、平台应用的终端、DMS或HTTP(S)终端,即为创建的主题添加一个或多个订阅,具体操作请参见添加订阅。
数据库和服务器。 预定义服务组仅支持查看,不支持添加、修改、删除操作。 查看预定义服务组 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。
本节介绍SNAT防护中的资源和成本规划。 表1 资源说明 资源 资源说明 数量 成本说明 NAT网关(NAT Gateway) 被防护的资源。 1 具体的计费方式及标准请参考NAT网关计费说明。 弹性公网IP(Elastic IP) EIP,NAT网关绑定的EIP。 至少1个 具体的计费方式及标准请参考EIP计费说明。
开启防护后,云防火墙默认放行所有流量,配置合适的访问控制策略能有效的帮助您对内部服务器与外网之间的流量进行精细化管控,防止内部威胁扩散,增加安全战略纵深。 访问控制策略类型 访问控制策略分为“防护规则”和“黑/白名单”两类功能,区别如表 防护规则和黑/白名单的区别所示,流量命中某一条策略时,执行该策略的动作,各功能
及描述。 表1 添加服务组的参数说明 参数 说明 服务组名称 需要添加的服务组名称。 描述 标识该服务组的使用场景和用途,以便后续运维时快速区分不同服务组的作用。 服务列表 协议:当前支持的协议为:TCP、UDP、ICMP。 源端口:设置需要开放或限制的源端口。支持设置单个端口,
选择操作系统。 方向 选择该特征匹配流量的方向。 ANY:任意方向,符合其他条件的任意方向的流量都会匹配到当前规则。 服务器到客户端 客户端到服务器 协议类型 选择特征的协议类型。 源类型 选择源端口类型。 ANY:任意端口类型,等同于包含所有类型。 包含 排除 说明: 建议您优先选择“ANY”。
System,域名系统),是用于将域名转换成用于计算机连接的IP地址的一套查询和转换系统。当用户在浏览器中输入网站的域名时,浏览器会向域名解析服务器(DNS服务器)发送域名解析请求,DNS服务器返回域名对应的IP地址,最终,用户通过IP地址获取到相应的网站资源。 可疑DNS活动是指在网络中出现的异常DNS请求或响应行
么类型的操作。 GET:请求服务器返回指定资源。 PUT:请求服务器更新指定资源。 POST:请求服务器新增资源或执行特殊操作。 DELETE:请求服务器删除指定资源,如删除对象等。 HEAD:请求服务器资源头部。 PATCH:请求服务器更新资源的部分内容。当资源不存在的时候,PATCH可能会去创建一个新的资源。
载荷中的字段进行分析,并针对在载荷中会包含端口和IP地址的多通道协议(例如FTP、SIP等)动态调整策略。但CFW的防护策略仅支持对端口设置静态策略。如果需要允许多通道协议通信,建议配置一条放通所有端口的规则。 CFW长连接业务场景限制,配置策略的时候需要同时开启双向放通的安全策
CFW提供基础防御功能,结合多年攻防积累的经验规则,针对访问流量进行检测与防护,覆盖多种常见的网络攻击,有效保护您的资产。 本文指导您通过标准版防火墙将入侵防御模式切换至“拦截模式-中等”实现弹性公网IP(EIP)的防护,帮助您灵活防护云上资产。 操作流程 操作步骤 说明 准备工作