检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如果业务遇到异常拦截，可以暂时关闭VPC边界防火墙，关闭期间，防火墙对流量不做任何检测。 如果您的业务后续不再需要VPC边界流量防护，关闭防护后，还需手动恢复企业路由器（ER）的配置，请参见永久关闭VPC边界防护后恢复企业路由器配置。 关闭VPC边界防火墙（新版） 登录管理控制台。 单击管理控制台左上角的，选择区域。
查看预定义服务组 云防火墙为您提供预定义服务组，包括“常用Web服务”、“常用数据库”和“常用远程登录和ping”，适用于防护Web、数据库和服务器。 预定义服务组仅支持查看，不支持添加、修改、删除操作。 查看预定义服务组 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规
选择“IP地址”。 目的地址 流量到达的网段。 例如两个VPC间防护时，VPC1中添加的路由“目的地址”填写VPC2的网段。 说明： 不能与已有路由和VPC下子网网段冲突。 下一跳类型 在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述
在下拉列表中，选择类型“企业路由器”。 下一跳 选择下一跳资源。 下拉列表中将展示您创建的企业路由器名称。 描述 路由的描述信息，非必填项。 说明： 描述信息内容不能超过255个字符，且不能包含“<”和“>”。 父主题： 通过配置CFW防护规则实现SNAT流量防护
调整防护规则的优先级 流量命中某一条规则时，执行该规则的动作，并结束防护规则的匹配。建议设置放行的规则优先级高于阻断的规则，具体化的规则优先级高于宽泛的规则。 本文指导您调整防护规则的优先级顺序。 优先级排序 数字越大，优先级越低，1是最高优先级。 调整防护规则的优先级 登录管理控制台。
永久关闭VPC边界防护后恢复企业路由器配置 如果业务后续不再需要VPC边界流量防护，在关闭VPC边界防护后，需要手动恢复企业路由器（ER）的配置。 本节指导您恢复ER的配置，恢复后，流量将直接从VPC1 --> ER --> VPC2，不再经过云防火墙。 应用场景 当前业务不再需要VPC边界防火墙防护。
删除自定义服务组 服务组是多个端口的集合。通过使用服务组，可帮助您便捷防御高危端口，有效应对需要重复编辑访问规则的场景，并且方便管理这些访问规则。 本文指导您删除自定义服务组。 约束条件 被防护规则引用的服务组不支持删除，需优先调整/删除对应规则。 删除自定义服务组 登录管理控制台。
管理黑白名单 本节介绍黑白名单的编辑、删除操作。 编辑黑/白名单 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“访问控制
删除自定义IP地址组 本文指导您删除自定义IP地址组。 约束条件 被防护规则引用的地址组不支持删除，需优先调整/删除对应规则。 删除自定义IP地址组 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。
批量删除服务：在“服务组”界面，批量勾选服务后，单击列表上方的“删除”。 后续操作 服务组在防护规则里设置后才会生效，添加防护规则请参见通过添加防护规则拦截/放行流量。 父主题： 服务组管理
批量勾选IP地址后，单击列表上方的“删除”。 后续操作 IP地址组在防护规则里设置后才会生效，添加防护规则请参见通过添加防护规则拦截/放行流量。 父主题： IP地址组管理
互联网边界防护带宽：所有经过云防火墙防护的EIP的流量总和最大值，按照入云流量（入流量）或出云流量（出流量）的最大值取值。 VPC边界防护带宽：所有经过云防火墙防护的VPC的流量总和最大值。 互联网边界防火墙 互联网边界防火墙用于检测云资产与互联网之间的通信流量（即南北向流量），支持以弹性IP为防护对象
“安全看板”：快速查看攻击防御功能的防护信息，及时调整IPS防护。 流量分析 为您展示以下流量统计情况。 入云流量：互联网访问云主机的流量统计。 出云流量：云主机主动访问互联网的流量统计。 VPC间访问：VPC间的出入流量统计。 日志审计 支持入侵攻击事件日志、访问控制日志、流量日志。其中： 攻击事件日志：入侵攻击事件的详细信息。
规格限制 基础版不支持攻击防御功能。 前提条件 已开启至少一项流量防护。 开启EIP流量防护请参见开启互联网边界流量防护。 开启VPC流量防护请参见开启VPC边界流量防护。 开启私网IP流量防护请参见开启NAT网关流量防护。 如何防御网络攻击和病毒文件 提供以下几种方式： 入侵防
防护带宽：所有经过云防火墙防护的业务带宽。 互联网边界防护带宽：所有经过云防火墙防护的EIP的流量总和最大值，按照入云流量（入流量）或出云流量（出流量）的最大值取值。 VPC边界防护带宽：所有经过云防火墙防护的VPC的流量总和最大值。 父主题： 产品咨询
为什么访问控制日志页面数据为空？ 访问控制日志展示的是ACL防护策略匹配到的流量，您需要配置ACL策略才能查看访问控制日志。 添加防护规则请参见添加防护规则。 通过云防火墙的所有流量记录请查看流量日志。 攻击事件记录请查看攻击事件日志。 父主题： 故障排查
和攻击性网络流量。 什么是可疑DNS活动 DNS（Domain Name System，域名系统），是用于将域名转换成用于计算机连接的IP地址的一套查询和转换系统。当用户在浏览器中输入网站的域名时，浏览器会向域名解析服务器（DNS服务器）发送域名解析请求，DNS服务器返回域名对应
√（仅支持访问控制日志和流量日志） √ √ √ 东西向流量防护，VPC间的资产保护、全流量分析 × × √ √ 东西向流量监控，实时获取VPC间流量数据 × × √ √ 防护策略 入侵防御IPS × √ √ √ 自定义IPS特征库 × × √ √ 虚拟补丁 × √ √ √ 敏感目录、反弹Shell
创建放行的防护规则：添加一条“优先级”“置顶”的“放行”策略，放行所有回源IP；配置后CFW仍会对流量进行检测，进一步保证您的流量安全。 添加回源IP至白名单：回源IP加入“白名单”后，这些流量将被直接放通，CFW不再进行任何防护。 流量经过反向代理后，源IP被转换为回源IP，此时如果受到外部攻击，CFW无
警通知。 通知等级 选择触发通知的流量等级，当流量（出流量或入流量的最大峰值）达到采购流量的该比例时，触发告警通知。 在下拉框中选择触发通知的流量占比等级，可选择“70%”、“80%”、“90%”。 例如：选择“80%”，那么当所用流量/购买流量=80%时，发送告警通知。 通知时间
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
