检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
风险等级参考 云防火墙CFW提供的对应能力说明 相关功能介绍 安全通信网络 网络架构 应避免将重要网络区域部署在边界处，重要网络区域与其它网络区域之间应采取可靠的技术隔离手段。 高 通过云原生VPC能力，将重要网络区域使用VPC隔离，不同重要级别的VPC之间的业务互访，使用云防火墙
建议为NAT网关创建独立VPC不用于云服务器等实例网络配置，避免影响后续的访问控制。 在前期网络规划复杂甚至不合理的情况下（例如存在VPC网段重叠、NAT网关已有复杂配置、已通过VPC-Peering配置东西向通信等场景下），请充分评估网络互连、环路、路由冲突等风险。 因涉及组件多，不
- 2022年06月 序号 功能名称 功能描述 阶段 相关文档 1 云防火墙-专业版 支持互联网边界防护、公网资产ACL访问控制、网络全流量分析、网络入侵防御IPS、VPC间流量防护和VPC间资产保护。 商用 服务版本差异 2 VPC间防护 新增VPC间边界防护功能，用于检测两个VPC间的通信流量。
提供EIP的精细化访问控制策略配置 满足日志查询需求 标准版 包周期 EIP 满足等保需求 提供网络入侵、主机失陷等网络安全防护 专业版 按需 包周期 EIP VPC 满足等保或重保需求 提供网络入侵、主机失陷、内部网络互访等网络安全防护。 表2 版本差异说明 功能 基础版（新）① 标准版 专业版（包周期）
企业项目（Enterprise Project Management Service） EPS，管理企业资源。 至少2个 企业项目管理为免费服务。 云防火墙（Cloud Firewall） CFW，提供云上资源防护。 至少2个 具体的计费方式及标准请参考CFW计费说明。 弹性公网IP（Elastic IP）
仅放行云内资源对指定域名的访问流量 介绍如何快速放行云内资源对某个域名的访问流量，适用于业务仅需要访问指定域名时的场景。 使用CFW防御网络攻击 介绍如何使用CFW防护各类网络攻击，适用为云上业务拦截网络攻击的场景。 VPC间边界防火墙配置 介绍VPC边界防火墙的配置流程，适用于对VPC间流量防护有需求的场景。
入侵防御（IPS）：结合多年攻防积累的经验规则，针对访问流量进行检测与防护，覆盖多种常见的网络攻击，有效保护您的资产。 基础防御规则库：根据内置的IPS规则库，提供威胁检测和漏洞扫描。支持检测流量中是否含有网络钓鱼、特洛伊木马、蠕虫、黑客工具、间谍软件、密码攻击、漏洞攻击、SQL注入攻击、
（可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制 > 对象组管理”，进入“对象组管理”界面。 （可选）如删除网络域名组，则选择“网络域名组”页签。 切换至“域名组”页签，单击待删除的“操作”列的“删除”，在弹出的确认框中，输入“DELETE”，单击“确定”，完成删除。
添加拦截的防护规则：流量将直接拦截。 通过黑白名单放行/拦截流量： 添加白名单：流量将直接放行，不再经过其他功能的检测。 添加黑名单：流量将直接拦截。 如果希望拦截网络攻击，请参见拦截网络攻击。 父主题： 企业路由器模式（新版）
系统管理 告警通知 网络抓包 多账号防护 DNS服务器配置 安全报告管理
拦截恶意攻击 攻击防御功能概述 拦截网络攻击 拦截病毒文件 通过安全看板查看攻击防御信息 IPS规则管理
} ] } 特殊权限策略 CFW部分功能依赖于弹性云服务器（Elastic Cloud Server， ECS）、虚拟私有云（Virtual Private Cloud， VPC）等云服务，因这些云服务中部分功能不支持企业项目，将“CFW FullAccess”
则阻断。 单个规则阻断：修改该规则的防护动作，请参见修改基础防御规则动作。 多个规则阻断：修改当前的防护模式，请参见调整IPS防护模式拦截网络攻击。 日志管理使用方式 功能名称 功能描述 配置方式 配置日志 将日志对接LTS，并创建日志组和日志流。 配置日志 更改存储时长 （可选
单击“确认”，完成开启VPC边界防火墙。 后续操作 实现私网IP的细粒度防护：配置NAT防护规则，配置方式请参见NAT流量防护规则。 实现网络攻击拦截：配置入侵防御功能，请参见拦截网络攻击。
云防火墙支持线下服务器吗？ 云防火墙能否防护DEC（专属云）上部署的资源？ 云防火墙支持跨账号使用吗？ 云防火墙与Web应用防火墙有什么区别？ 云防火墙和安全组、网络ACL的访问控制有什么区别？ 云防火墙支持哪些维度的访问控制？ 云防火墙的防护顺序是什么？ 是否支持同时部署WAF、DDoS高防和CFW？
查看防护总览 您可以在总览页面查看防火墙实例的基本信息、整体防护能力、统计信息、流量拓扑可视化信息，随时了解云资产的安全状况以及流量数据。 约束条件 VPC边界防护详情需配置VPC边界防火墙后才能查看。 查看概览 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规
一条策略时，执行该策略的动作，各功能的防护顺序请参见云防火墙的防护顺序是什么？。 表1 防护规则和黑/白名单的区别 类型 支持的防护对象 网络类型 防护后的动作 配置方式 防护规则 五元组 IP地址组 地理位置（地域） 域名和域名组 公网IP 私网IP 设置为“阻断”：流量直接拦截。
域名：选择“网络型”的任意选项（选择“域名”时，解析出的ip地址上限个数为600个）。 防护其它应用类型（如FTP、MySQL、SMTP）的多个域名：选择“网络型”“网络域名组”。 同一域名同时需要配置HTTP/HTTPS（泛域名/应用型域名组）和其它应用类型（网络型域名组）时，
SNAT或VPC间访问不通：关闭VPC边界防火墙的防护，请参见关闭VPC边界防火墙。 如果业务仍未恢复，可参考常见的故障原因： 网络故障：路由配置错误，网元故障。 策略拦截：其它安全服务、网络ACL或安全组配置错误导致的误拦截。 如果您需要华为云协助排查，可提交工单。 原因二：防护策略阻断流量 可能
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
