检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
同一个筛选条件内，入方向规则的优先级不能重复。 一个筛选条件中可以包含多个规则，此时根据规则的优先级，遵循从小到大的顺序匹配。 筛选条件的匹配规则请参见筛选条件的匹配规则。 1 协议 此处选择网络协议，支持以下协议： TCP：选择TCP协议，可以自定义源端口范围和目的端口范围。 UD
同一个筛选条件内，入方向规则的优先级不能重复。 一个筛选条件中可以包含多个规则，此时根据规则的优先级，遵循从小到大的顺序匹配。 筛选条件的匹配规则请参见筛选条件的匹配规则。 1 协议 此处选择网络协议，支持以下协议： TCP：选择TCP协议，可以自定义源端口范围和目的端口范围。 UD
务器的指定端口。 安全组规则匹配流量时，首先按照优先级进行排序，其次按照策略排序，拒绝策略高于允许策略，更多信息请参见流量匹配安全组规则的顺序。 允许 类型 源地址支持的IP地址类型，如下： IPv4 IPv6 IPv4 协议端口 安全组规则中用来匹配流量的网络协议类型，目前支持TCP、UDP、ICMP和GRE协议。
路由优先级 说明 Local路由最优先匹配 Local路由用于VPC内通信的系统默认路由，优先级最高。 最精确路由优先匹配 除去Local路由，当路由表中同时有多条路由规则可以匹配目的 IP 地址时，此时遵循最长匹配原则，即优先采用掩码最长，最精确匹配的一条路由并确定下一跳。 示例： 流量的目的地址为192
网络ACL配置示例 网络ACL可以控制流入/流出子网的流量，当网络ACL和安全组同时存在时，流量先匹配网络ACL规则，然后匹配安全组规则。您可以灵活调整安全组的规则，并使用网络ACL作为子网的额外防护。以下为您提供了典型的网络ACL应用示例。 拒绝外部访问子网内实例的指定端口 拒绝外部指定IP地址访问子网内实例
如果“策略”设置为允许，表示允许成功匹配规则的流量流入或者流出子网。 如果“策略”设置为拒绝，表示拒绝成功匹配规则的流量流入或者流出子网。 允许 协议 网络ACL规则中用来匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 TCP 源地址 源地址用来匹配流量的来源网址，支持以下格式：
操作场景 您可以参考以下指导创建筛选条件，筛选条件包含入方向规则和出方向规则，规则由优先级、流量采集策略以及匹配条件组成。 入方向规则：用来匹配镜像源接收到的流量。 出方向规则：用来匹配镜像源发送出去的流量。 筛选条件无法独立使用，需要被关联至镜像会话才可以使用。 筛选条件规则配置示例
52.0/24。 IPv6网段示例为2407:c080:802:469::/64。 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 ::/0表示匹配所有IPv6地址。 安全组：表示源地址为另外一个安全组，您可以在下拉列表中，选择同一个区域内的其他安全组。当安全组A内有
如果“策略”设置为允许，表示允许成功匹配规则的流量流入或者流出子网。 如果“策略”设置为拒绝，表示拒绝成功匹配规则的流量流入或者流出子网。 允许 协议 网络ACL规则中用来匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 TCP 源地址 源地址用来匹配流量的来源网址，支持以下格式：
安全组对实例（如ECS）进行防护，网络ACL对子网进行防护。网络ACL规则与安全组规则冲突时，优先匹配网络ACL规则，可能会导致安全组规则不生效。 例如当您的安全组入方向规则放通80端口，但是同时设置的网络ACL规则拒绝80端口的访问，那么流量优先匹配网络ACL规则，此安全组规则不生效。 您可以参考添加网络ACL规
系统开始对表格中的规则和网络ACL内已有的规则进行匹配，并展示匹配结果。网络ACL规则的匹配项包括：类型、策略、协议、源地址、源端口范围、目的地址、目的端口范围。 匹配成功的规则会显示“校验通过”：当表格中的规则匹配上当前网络ACL内已有规则时，才可以对规则进行操作。 未匹配成功的规则会显示失败原因，通常有以下原因：
新建立的连接，将会匹配新的网络ACL出方向规则。 对于已建立的长连接，流量断开后，不会立即建立新的连接，需要超过连接跟踪的老化时间后，才会新建立连接并匹配新的规则。比如，对于已建立的ICMP协议长连接，当流量中断后，需要超过老化时间30s后，将会新建立连接并匹配新的规则，详细说明如下：
协议端口：包括网络协议类型和端口范围。 网络协议：匹配流量的协议类型，支持TCP、UDP、ICMP和GRE协议。 端口范围：匹配流量的目的端口，取值范围为：1～65535。 源地址或目的地址：在入方向中，匹配流量的源地址。在出方向中，匹配流量的目的地址。 您可以使用IP地址、安全组、IP地址组作为源地址或者目的地址。
CS为例，当安全组检测到SSH请求后，会检查发送请求的设备IP地址、登录所需的22端口是否已在安全组入方向中被放行，只有和安全组入方向规则匹配成功，该请求才会被放行，否则无法建立数据通信。 表1中提供了部分运营商判断的高危端口，这些端口默认被屏蔽。即使您已经添加安全组规则放通了这
修改子网内的域名后，如何立即生效？ 您可以在新创建子网，通过控制台中的“域名”参数，设置DNS域名后缀，访问某个域名时，只需要输入域名前缀，子网内的云服务器会自动匹配设置的域名后缀。子网创建完成后，“域名”参数支持修改，修改完成后的生效策略如表1所示。 表1 不同云服务器生效策略 云服务器情况 生效策略
规则的子网创建一个自定义路由表，并将自定义路由表与子网关联。自定义路由表可以删除。 子网关联自定义路由表仅影响子网的出流量走向，入流量仍然匹配子网所在VPC的默认路由表。 默认情况下，您没有创建自定义路由表的配额，因此创建自定义路由表时，请您根据界面提示“申请扩大配额”，具体请参见申请扩大配额。
用特定路由，则可以参考以下操作将子网关联至自定义路由表。 如果将子网关联至自定义路由表，那么自定义路由表仅影响子网的出流量走向，入流量仍然匹配默认路由表。 路由表和子网关联后，该路由表的路由规则将对该子网生效，子网下的云资源将启用新的路由规则，请确认对业务造成的影响，谨慎操作。 约束与限制
以入方向的流量为例，子网的网络流量将按照以下原则匹配网络ACL规则，入方向和出方向的流量匹配顺序相同。 当流量匹配上自定义规则，则根据规则策略决定流量走向。 当策略为拒绝时，则拒绝该流量流入子网。 当策略为允许时，则允许该流量流入子网。 当流量未匹配上任何自定义规则，则执行默认规则，拒绝流量流入子网。 图2
防火墙CFW。 流量匹配安全组和网络ACL 规则的顺序 当安全组和网络ACL同时存在时，流量优先匹配网络ACL的规则，然后匹配安全组规则。如图2所示，以入方向流量为例，为您详细介绍安全组和网络ACL规则的匹配顺序。 流量优先匹配网络ACL规则： 当流量未匹配上任何自定义网络ACL
能对业务造成的影响。 流量镜像匹配规则 根据流量镜像的匹配规则，当同一个镜像源的同一个报文同时符合多个筛选条件规则时，该报文也仅会被匹配一次，匹配原则详细说明如下： 表3 流量镜像匹配规则 匹配原则 说明 顺序匹配 根据优先级从高到低按顺序进行匹配。优先级的数字越小，优先级越高，比如1的优先级高于2。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
