检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CFW权限及授权项 如果您需要对您所拥有的CFW进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，IAM），如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章节，不影响您使用CFW服务的其它功能。
删除服务组 功能介绍 删除服务组 调用方法 请参见如何调用API。 URI DELETE /v1/{project_id}/service-sets/{set_id} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID, 可以从调API
使用CFW跨账号防护VPC资源 应用场景 多个账号的资源防护，例如，企业中不同部门使用不同的账号，但多部门之间需要共用云防火墙的防护策略。 本文介绍使用CFW防护A账号的VPC后，如何将其它账号的VPC资源加入防护。 方案介绍 A账号已配置VPC边界防护并运行一段时间，此时需要将B
多账号防护 云防火墙服务具备安全可靠的跨账号数据汇聚和资源访问能力，如果您的账号由组织管理，您可以对组织内任意成员账号的EIP进行统一的资产防护。 约束限制 不支持跨区域防护EIP资源，如需在其它区域使用，请切换到对应区域购买防火墙，具体操作请参见购买及变更云防火墙。 单个防火墙实例支持防护的账号个数如下
创建用户组并授权使用CFW 如果您需要对您所拥有的CFW进行精细的权限管理，您可以使用统一身份认证服务（Identity and Access Management，简称IAM），通过IAM，您可以： 根据企业的业务组织架构，在您的华为账号中，给企业中不同职能部门的员工创建IAM用户
删除地址组成员 功能介绍 删除地址组成员 调用方法 请参见如何调用API。 URI DELETE /v1/{project_id}/address-items/{item_id} 表1 路径参数 参数 是否必选 参数类型 描述 item_id 是 String 地址组成员id，可通过查询地址组成员接口查询获得
黑白名单管理 创建黑白名单规则 更新黑白名单列表 删除黑白名单规则 查询黑白名单列表 父主题： API
告警通知 设置告警通知后，CFW可将触发的告警信息通过您设置的接收通知方式（例如邮件或短信）发送给您，您可以及时监测防火墙状态，迅速获得异常情况。 CFW支持设置以下告警： 攻击告警：IPS检测到攻击时触发告警。 流量超额预警：当流量达到所采购流量处理能力规格的一定比例时触发告警。
开启互联网边界流量防护 云防火墙通过对弹性公网IP（EIP）的防护实现互联网边界流量的防护，开启EIP防护后，您的业务流量将经过云防火墙，默认情况下，所有流量都会被放行。 您需配置访问控制策略或IPS防护模式，云防火墙才会实施拦截操作，配置访问控制策略请参见添加防护规则，IPS相关请参见配置入侵防御策略
新建抓包任务检查网络状态 当您需要定位网络故障和攻击时，参考本文创建网络抓包任务。 规格限制 仅专业版防火墙支持网络抓包功能。 约束条件 仅支持同时运行1个抓包任务。 每日限制创建20个抓包任务。 抓包数最大支持一百万个。 新建抓包任务检查网络状态 登录管理控制台。 单击管理控制台左上角的
VPC边界防火墙概述 VPC边界防火墙支持VPC之间通信流量的访问控制，实现内部业务互访活动的可视化与安全防护。 支持的防护对象 虚拟私有云（VPC） 虚拟网关（VGW） VPN网关（VPN） 企业连接网（ECN） 全球接入网关（DGW） 约束条件 仅“专业版”支持VPC边界防火墙
自定义IPS特征 CFW支持自定义网络入侵特征规则，添加后，CFW将基于签名特征检测数据流量是否存在威胁。 自定义IPS特征支持添加HTTP、TCP、UDP、POP3、SMTP、FTP的协议类型。 自定义的特征建议具体化，避免太宽泛，否则可能会导致大部分流量匹配到该特征规则，影响流量转发性能
通过添加防护规则拦截/放行流量 开启防护后，云防火墙默认放行所有流量，您可以配置防护规则，实现流量的拦截/放行。 防护规则支持防护以下几种场景： 防护互联网边界中公网资产的流量，请参见互联网边界防护规则。 防护互联网边界中私网资产的场景，请参见NAT流量防护规则。 防护VPC与VPC
添加域名组 域名组是多个域名或泛域名的集合。您可以通过添加域名组批量对域名或泛域名进行防护。 提供以下两种类型： 应用域名组：支持域名或泛域名的防护；适用应用层协议，支持HTTP、HTTPS的应用协议类型；通过域名匹配。 网络域名组：支持单个域名或多个域名的防护；适用网络层协议，支持所有协议类型
配置防护规则放行指定EIP的入方向流量 配置合适的防护规则能有效地帮助您对云上资产与互联网之间的流量进行精细化管控，防止内部威胁扩散，增加安全战略纵深。 本文指导您通过标准版防火墙配置防护规则实现放行指定弹性公网IP（EIP）的入方向流量，帮助您快速精细化管控云上资产的流量。 操作流程
CFW最佳实践汇总 本文汇总了云防火墙（CFW）服务的常见应用场景，并提供详细的方案描述和操作指导，帮助您轻松防护云上业务。 CFW最佳实践 Solution as Code一键式部署类最佳实践 表1 CFW最佳实践一览表 分类 相关文档 使用API购买CFW 使用API购买并查询
通过策略助手查看防护信息 配置防护策略后，您可通过策略助手快速查看防护规则的命中情况，及时调整防护规则。 约束条件 基础版不支持策略助手功能。 通过策略助手查看防护信息 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙
攻击防御功能概述 云防火墙的攻击防御功能支持防护网络攻击和病毒文件，建议您及时将IPS的“防护模式”切换至“拦截模式”。 规格限制 基础版不支持攻击防御功能。 前提条件 已开启至少一项流量防护。 开启EIP流量防护请参见开启互联网边界流量防护。 开启VPC流量防护请参见开启VPC边界流量防护
查看VPC间访问流量 VPC间访问展示当前防火墙实例防护的VPC间流量数据。 前提条件 配置并开启VPC边界流量防护，且已有流量经过VPC，开启VPC防护的操作步骤请参见开启VPC边界流量防护。 规格限制 基础版不支持流量分析功能。 查看VPC间访问流量 登录管理控制台。 单击管理控制台左上角的
使用CTS审计CFW操作事件 支持云审计的CFW操作列表 查看审计日志
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
