云防火墙支持哪些维度的访问控制? 云防火墙当前支持基于五元组、IP地址组、服务组、域名、应用、黑名单、白名单设置ACL访问控制策略;也支持基于IPS(intrusion prevention system,入侵防御系统)设置访问控制。IPS支持观察模式和阻断模式,当您选择阻断模式
进行填写。 将平台域名添加至应用型域名组,如图 添加某平台域名组所示。 配置两条防护规则: 一条拦截所有流量,如图 拦截所有流量所示,优先级置于最低。 一条放行EIP对某平台的流量访问,如图 放行IP对某平台的访问流量所示,优先级设置最高。 图1 添加某平台域名组 图2 拦截所有流量
CN:中国大陆 域名 “目的地址类型”选择“域名”时,需填写“域名”。 由一串用点分隔的英文字母组成(以字符串的形式来表示服务器IP),用户通过域名来访问网站。 www.example.com 目的域名组名称 “目的地址类型”选择“域名组”时,需填写“目的域名组名称”。 输入域名组名称。
云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”界面。切换防护对象页签后,选择“黑名单”或“白名单”页签。 单击“添加”,设置地址方向、IP地址、协议类型、端口,填写规则请参见表1。
在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”页面。 在需要删除的防护规则所在行的“操作”列,单击“更多 > 删除”。 在弹出的“删除规则”界面,输入“DELETE”,单击“确定”,完成删除。 删除规则后无法恢复,请谨慎操作。 父主题: 访问控制策略管理
最多关联5条服务组。 域名防护限制: 域名防护时不支持添加中文域名格式。 网络型域名组最多只能保存1,000个地址解析结果,超出时,可能导致无法正常访问对应的域名;对于解析结果较多或变化频繁的域名,如果防护流量是HTTP、HTTPS协议,建议优先使用应用型域名组添加策略。 域名防护依赖于用
应用场景 外部入侵防御 通过云防火墙,对已开放公网访问的服务资产进行安全盘点,可一键开启入侵检测与防御。 主动外联管控 云防火墙支持基于域名的访问控制,可对主动外联行为进行管控。 VPC间互访控制(专业版支持) 云防火墙支持VPC间流量的访问控制,实现内部业务互访活动的可视化与安全防护。
身份认证与访问控制 CFW对接了统一身份认证服务(Identity and Access Management,IAM)服务。 IAM权限是作用于云资源的,IAM权限定义了允许和拒绝的访问操作,以此实现云资源权限访问控制。通过IAM,可以将用户加入到一个用户组中,并用策略来控制他们对华为云资源的访问范围。
DNS服务器配置 选择默认DNS服务器或者添加DNS服务器地址,域名防护策略将会按照您配置的域名服务器进行IP解析并下发。 当前账号拥有多个防火墙时,DNS解析操作仅应用于设置的防火墙。 约束条件 最多支持自定义2个DNS服务器。 DNS服务器配置 登录管理控制台。 单击管理控制台左上角的,选择区域。
升级云防火墙版本 购买了云防火墙后,如果当前版本功能无法满足您的需求,您可以升级CFW的版本。 约束限制 仅包周期(包年/包月)防火墙支持升级服务版本,“按需计费”购买的防火墙仅支持专业版且按照实际防护流量计费,无需变更防火墙规格。 基础版不支持升级版本。 从标准版升级到专业版 登录管理控制台。
访问控制策略概述 开启防护后,云防火墙默认放行所有流量,配置合适的访问控制策略能有效地帮助您对内部服务器与外网之间的流量进行精细化管控,防止内部威胁扩散,增加安全战略纵深。 访问控制策略类型 访问控制策略分为“防护规则”和“黑/白名单”两类功能,区别如表1所示,流量命中某一条策略
云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”界面。切换防护对象页签后,选择“黑名单”或“白名单”页签。 在需要编辑的规则所在行的“操作”列中,单击“编辑”。
本文提供SNAT防护的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”, 通过NAT网关访问的外部域名为“www.example.com”,您可以参照以下参数配置NAT防护,其余参数可根据您的部署进行填写: 图1 添加NAT防护规则 父主题:
配置NAT防护规则 登录管理控制台。 单击管理控制台左上角的,选择区域。 在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”页面。
在左侧导航栏中,单击左上方的,选择“安全与合规 > 云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 在左侧导航栏中,选择“访问控制 > 对象组管理”,进入“对象组管理”页面。 切换至“时间计划”页签,单击“添加时间计划”,弹出“添加时间计划”界面,填写参数信息。 表1
配置访问控制策略管控流量 访问控制策略概述 通过配置防护规则拦截/放行流量 通过添加黑白名单拦截/放行流量 通过策略助手查看防护信息 访问控制策略管理 IP地址组管理 域名组管理 服务组管理
设置监控告警规则 通过设置CFW告警规则,用户可自定义监控目标与通知策略,设置告警规则名称、监控对象、监控指标、告警阈值、监控周期和是否发送通知等参数,帮助您及时了解CFW防护状况,从而起到预警作用。 设置监控告警规则 登录管理控制台。 单击管理控制台左上角的,选择区域。 单击页面左上方的,选择“管理与监管
云防火墙”,进入云防火墙的总览页面。 (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。 在左侧导航栏中,选择“访问控制 > 访问策略管理”,进入“访问策略管理”页面。 在需要调整优先级的防护规则所在行的“操作”列,单击“设置优先级”。 选择“置顶”,或“移动至选中规则后”。
访问控制策略管理 导入/导出防护策略 调整防护规则的优先级 管理防护规则 管理黑白名单 管理时间计划 父主题: 配置访问控制策略管控流量
示例二:拦截某一地区的访问流量 本文提供拦截某一地区的访问流量的配置示例,更多参数配置请参见通过添加防护规则拦截/放行流量。 拦截某一地区的访问流量 假如您需要拦截所有来源“北京”地区的访问流量,可以参照以下参数设置防护规则。 图1 拦截北京地区的访问流量 父主题: 通过配置防护规则拦截/放行流量
您即将访问非华为云网站,请注意账号财产安全