检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
添加自定义IP地址组和IP地址 IP地址组是多个IP地址的集合。通过使用IP地址组，可帮助您有效应对需要重复编辑访问规则的场景，方便批量管理这些访问规则。 约束条件 每个防火墙实例下最多添加3800个IP地址组。 每个IP地址组中最多添加640个IP地址成员。 每个防火墙实例下最多添加30000个IP地址。
与统一身份认证服务的关系 统一身份认证服务（Identity and Access Management，简称IAM）为云防火墙服务提供了权限管理的功能。需要拥有Tenant Administrator权限的用户才能拥有CFW服务的操作权限（包括云资源授权，资产管理以及执行资产检测任务等）。如需开通该权限，请联系拥有Security
系列常用实践。 表1 常用实践 实践 描述 仅放行云内资源对指定域名的访问流量 介绍如何快速放行云内资源对某个域名的访问流量，适用于业务仅需要访问指定域名时的场景。 使用CFW防御网络攻击 介绍如何使用CFW防护各类网络攻击，适用为云上业务拦截网络攻击的场景。 VPC间边界防火墙配置
包年/包月云防火墙到期后会影响云防火墙正常运行。如果您想继续使用，需要在指定的时间内为云防火墙续费，否则防护规则、日志数据等资源会自动释放，数据丢失且不可恢复。 续费操作仅适用于包年/包月云防火墙，按需计费云防火墙不需要续费，只需要保证账户余额充足即可。 云防火墙在到期前续费成功，所有资源
CFW权限及授权项 如果您需要对您所拥有的CFW进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，IAM），如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用CFW服务的其它功能。
批量迁移安全策略到CFW 应用场景 当业务需要从其他云迁移到华为云，或者安全策略需要从其他防火墙更换到云防火墙时，支持通过批量导入功能，快速添加安全策略。 注意事项 如果业务迁移时组网发生改变，则需要重新改写原有策略中的网络信息（如IP地址）。 为减小迁移对业务的影响，建议将所有
永久关闭VPC边界防护后恢复企业路由器配置 如果业务后续不再需要VPC边界流量防护，在关闭VPC边界防护后，需要手动恢复企业路由器（ER）的配置。 本节指导您恢复ER的配置，恢复后，流量将直接从VPC1 --> ER --> VPC2，不再经过云防火墙。 应用场景 当前业务不再需要VPC边界防火墙防护。 前提条件
表1 添加服务组的参数说明 参数 说明 服务组名称 需要添加的服务组名称。 描述 标识该服务组的使用场景和用途，以便后续运维时快速区分不同服务组的作用。 服务列表 协议：当前支持的协议为：TCP、UDP、ICMP。 源端口：设置需要开放或限制的源端口。支持设置单个端口，或者连续端口
SDK概述 本文介绍了CFW服务提供的SDK语言版本，列举了最新版本SDK的获取地址。 在线生成SDK代码 API Explorer能根据需要动态生成SDK代码功能，降低您使用SDK的难度，推荐使用。 SDK列表 表1提供了CFW服务支持的SDK列表，您可以在GitHub仓库查看
为什么访问控制日志页面数据为空？ 访问控制日志展示的是ACL防护策略匹配到的流量，您需要配置ACL策略才能查看访问控制日志。 添加防护规则请参见添加防护规则。 通过云防火墙的所有流量记录请查看流量日志。 攻击事件记录请查看攻击事件日志。 父主题： 故障排查
专业版云防火墙默认防护2个VPC，提供200Mbps的VPC边界流量防护，如果您需要防护更大的VPC间流量，可以通过购买VPC数量扩展，每个VPC支持200M的VPC边界流量防护。 例如：业务部署需要防护1Gbps的VPC边界流量，则云防火墙默认防护2个VPC（200M），您还需
专业版云防火墙默认防护2个VPC，提供200Mbps的VPC边界流量防护，如果您需要防护更大的VPC间流量，可以通过购买VPC数量扩展，每个VPC支持200M的VPC边界流量防护。 例如：业务部署需要防护1Gbps的VPC边界流量，则云防火墙默认防护2个VPC（200M），您还需
多个账号的资源防护，例如，企业中不同部门使用不同的账号，但多部门之间需要共用云防火墙的防护策略。 本文介绍使用CFW防护A账号的VPC后，如何将其它账号的VPC资源加入防护。 方案介绍 A账号已配置VPC边界防护并运行一段时间，此时需要将B账号、C账号的VPC资源加入防护的方案为： A账号将
本节指导您如何将VPC1和VPC-NAT接入企业路由器。 将VPC1和VPC-NAT接入企业路由器中 添加VPC连接。 操作步骤请参见企业路由器中添加VPC连接。 连接需要添加两条，“连接资源”分别选择VPC1和VPC-NAT。 创建两个路由表。 在左侧导航栏中，单击左上方的，选择“网络 > 企业路由器”，单击“管理路由表”，进入“路由表”页面。
新增防护VPC 当您配置完成VPC边界防火墙，需要添加防护VPC时，可执行本节操作。 步骤一：添加VPC连接 操作步骤请参见企业路由器中添加VPC连接。 如需防护其它账号（如账号B）下的VPC，请将当前账号A的企业路由器共享至账号B，共享步骤请参见创建共享，共享成功后在账号B中添加连接，后续配置仍在账号A中进行。
在界面右上方，单击“费用 > 续费管理”，进入“续费管理”页面。 手动续费资源。 单个续费：在资源页面找到需要续费的资源，单击操作列的“续费”。 批量续费：在资源页面勾选需要续费的资源，单击列表左上角的“批量续费”。 选择云防火墙的续费时长，判断是否勾选“统一到期日”，将云防火墙
路由器中添加连接，支持添加的连接类型请参见连接概述。 下文以防护两个VPC为例（至少需要添加两条VPC连接，用于连接两个VPC和ER之间）。操作步骤请参见企业路由器中添加VPC连接。 连接至少需要添加三条，例如：对防火墙连接命名为cfw-er-auto（创建防火墙后自动生成）;对
示例二：拦截某一地区的访问流量 本文提供拦截某一地区的访问流量的配置示例，更多参数配置请参见通过添加防护规则拦截/放行流量。 拦截某一地区的访问流量 假如您需要拦截所有来源“北京”地区的访问流量，可以参照以下参数设置防护规则。 图1 拦截北京地区的访问流量 父主题： 通过配置防护规则拦截/放行流量
更改日志存储时长 默认存储日志的时间为7天，存储时间可以在1～365天之间进行设置，超出存储时间的日志数据将会被自动删除，对于需要长期存储的日志数据（日志持久化），LTS提供转储功能，可以将日志转储至对象存储服务（OBS）中长期保存。 前提条件 已通过配置日志将日志转储至LTS。
Cloud，DEC）所在的Region上已支持云防火墙，则可以使用云防火墙防护DEC的资源。 云防火墙支持的区域请参见功能总览。 购买云防火墙服务时，需要先切换到DEC项目下，再进行购买。 父主题： 产品咨询
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
