检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
防火墙设置 Windows云服务器怎样开启或关闭防火墙、添加例外端口？ Linux云服务器怎样开启或关闭防火墙、添加例外端口？ Linux云服务器防火墙开放80端口后无法访问公网
云服务器怎样开启或关闭防火墙、添加例外端口？ 用户可以开启或关闭云服务器的防火墙，以及添加例外端口。 Windows操作系统云服务器具体操作步骤可参见Windows云服务器怎样开启或关闭防火墙、添加例外端口。
Linux云服务器怎样开启或关闭防火墙、添加例外端口？ 操作场景 本节操作指导用户开启或关闭Linux操作系统云服务器的防火墙，以及防火墙添加例外端口的操作。 防火墙开启和设置安全组是对云服务器的双重保护，如果选择关闭防火墙或添加例外端口，建议安全组谨慎开放端口。
防火墙侧操作步骤 操作步骤 登录防火墙设备的命令行配置界面。 不同防火墙型号及版本命令可能存在差异，配置时请以对应版本的产品文档为准。 配置基本信息。 配置防火墙接口的IP地址。 interface GigabitEthernet1/0/1 //配置防火墙的公网IP地址。 ip address
示例：深信服防火墙配置 操作场景 用户数据中心的出口防火墙选用深信服设备，同时在DMZ区域旁路接入了一台IPsec VPN设备，需要通过VPN接入华为云网络。 拓扑连接 拓扑连接方式： 使用防火墙设备直接和云端建立VPN连接。 使用DMZ区域的专用VPN设备结合NAT穿越与云端建立VPN连接。
示例：Web配置华为USG防火墙 组网拓扑 云下华为USG为用户的出口防火墙，通过该设备配置VPN与华为云VPC连通，两端的子网信息和连接方式如图 拓扑连接所示。 图1 拓扑连接 用户侧信息： 网关：1.1.1.1。 子网：192.168.1.0/24。 华为云侧信息： 网关：1
防火墙开启和设置安全组是对云服务器的双重保护，如果选择关闭防火墙或添加例外端口，建议安全组谨慎开放端口。 开启或关闭防火墙 方法一：系统界面操作 登录Windows云服务器。 单击桌面左下角的Windows图标，选择“控制面板 > Windows防火墙”。
对接华为USG防火墙 静态路由模式 父主题： 站点入云VPN企业版
示例：Fortinet飞塔防火墙VPN配置 操作场景 用户数据中心的出口防火墙选用飞塔设备，用户数据中心存在多个互联网出口，用户在华为云购买VPN网关，需要创建VPN连接连通本地网络到VPC子网。 拓扑连接 如图 多出口客户网络通过VPN接入VPC连接拓扑所示，用户数据中心存在多个互联网出口，当前指定11
云防火墙支持线下服务器吗？ 不支持，云防火墙支持云上region级服务。 父主题： 产品咨询
配置防火墙 背景信息 云服务组件包随大包发布，请加载对应版本的组件包。 云服务组件包获取方法：访问华为安全智能中心（域名为isecurity.huawei.com），选择“特征库升级 > 特征库升级”。筛选到对应的产品和版本。
防火墙 背景信息 防火墙设备只需上传基础数据到华为乾坤云平台，方便界面化展示设备和网络健康状态。 缺省情况下，防火墙设备基础数据上报开关默认已开，如有变动请自行设置。 操作步骤 缺省情况下，基础数据上报开关默认已开启。
山石-G防火墙(V5.5)对接华为云配置指引 华为云配置信息说明 VPN网关IP：11.11.11.11 VPC子网：192.168.10.0/24，192.168.20.0/24 客户侧网关IP：22.22.22.22 客户侧子网：172.16.10.0/24，172.16.20
容器防火墙 容器防火墙概述 设置网络防御策略（容器隧道网络模型集群） 设置网络防御策略（VPC网络模型集群） 设置网络防御策略（云原生网络2.0模型集群） 父主题： 容器防御
H3C-SecPath防火墙(V7)对接华为云配置指引 华为云配置信息说明 VPN网关IP：11.11.11.11 VPC子网：192.168.10.0/24，192.168.20.0/24 客户侧网关IP：22.22.22.22 客户侧子网：172.16.10.0/24，172
本地防火墙无法收到VPN子网的回复包怎么解决？ 如果二阶段协商中需要检查云下的路由、安全策略、NAT和感兴趣流、协商策略信息。 路由设置：将访问云上子网的数据送入隧道。 安全策略：放行云下子网访问云上子网的流量。 NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE
HW-USG防火墙(V5)对接华为云配置指引 华为云配置信息说明 VPN网关IP：11.11.11.11 VPC子网：192.168.10.0/24，192.168.20.0/24 客户侧网关IP：22.22.22.22 客户侧子网：172.16.10.0/24，172.16.20
静态路由模式 场景介绍 数据规划 华为云控制台操作步骤 防火墙侧操作步骤 结果验证 父主题： 对接华为USG防火墙
本地防火墙无法收到VPN子网的回复包怎么解决？ 如果二阶段协商中需要检查云下的路由、安全策略、NAT和感兴趣流、协商策略信息。 路由设置：将访问云上子网的数据送入隧道。 安全策略：放行云下子网访问云上子网的流量。 NAT策略：云下子网访问云上子网不做源nat。 感兴趣流：两端感兴趣流配置互为镜像，使用IKE
本地防火墙无法收到VPN网关的IKE第一阶段的回复包怎么解决？ 检查两端公网IP是否可以互访，推荐使用ping命令，VPN网关EIP缺省可以ping通。 云下网关与VPN网关可以互访UDP 500、4500报文。 云下公网IP访问VPN网关IP时，没有发生源端口NAT转换，如果存
云侧或用户侧协商策略、防火墙、路由表、域间策略、NAT配置、安全组等信息配置）而导致连接故障或无法PING通。 通常可使用以下方式排除故障： 检查VPN两侧协商信息 检查客户防火墙ACL和云端安全组配置 检查防火墙路由表 检查客户防火墙域间策略 检查防火墙NAT配置 检查VPN两侧协商信息
络与华为云VPC子网的互联互通。 详细配置示例可参见： 示例：HUAWEI USG6600配置 示例：Fortinet飞塔防火墙VPN配置 示例：深信服防火墙配置 示例：使用TheGreenBow IPsec VPN Client配置云上云下互通 示例：使用Openswan配置云上云下互通
VPN标准和协议的设备，大部分都可以对接VPN。例如：Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表 对端支持列表 说明
VPN标准和协议的设备，大部分都可以对接VPN。例如：Cisco ASA防火墙、华为USG6系列防火墙、USG9系列防火墙、山石网科防火墙、Cisco ISR路由器等。对于华为USG6系列防火墙、USG9系列防火墙具体设备列表如表1所示。 表1 华为VPN设备列表 对端支持列表 说明
对端接口地址在对端网关上已配置。 勾选“使能NQA” 预共享密钥、确认密钥 和对端网关连接的预共享密钥需要保持一致。 请根据实际设置 策略配置 和防火墙的策略配置需要保持一致。 IKE策略 认证算法：SHA2-256 加密算法：AES-128 DH算法：Group 15 版本：v2
场景介绍 华为云VPN网关通过静态路由模式对接华为防火墙的典型组网如图1所示。 图1 典型组网 本场景下以防火墙单IP地址方案为例，华为云VPN网关的主EIP、主EIP2分别和该IP地址创建一条VPN连接。 父主题： 静态路由模式
数据规划 表1 数据规划 部件 参数项 华为USG防火墙规划示例 华为云规划示例 VPC 子网 172.16.0.0/24 192.168.0.0/24 VPN网关 网关IP 1.1.1.1 主EIP：1.1.1.2 主EIP2：2.2.2.2 互联子网 - 192.168.2.0/24
大约5分钟后，查看VPN连接状态。 华为云 选择“虚拟专用网络 > 企业版-VPN连接”，两条VPN连接状态显示为正常。 用户数据中心内服务器和华为云VPC子网内服务器可以相互Ping通。 父主题： 静态路由模式
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
