云防火墙 CFW-华为云

云防火墙 CFW-CFW与WAF、DDoS高防、CDN同时使用时的注意事项:配置策略

配置策略建议您创建一条“优先级”“置顶”的“放行”策略，放行所有回源IP；配置后CFW仍会对流量进行检测，进一步保证您的流量安全。如果将回源IP加入“白名单”；配置后，这些流量将被直接放通，CFW不再进行任何防护。请避免将回源IP加入黑名单或阻断的防护策略中，否则将会阻断来自这个IP的所有流量，影响您的业务。添加防护规则请参见添加防护规则。设置白名单请参见管理黑/白名单。 CFW的防护顺序请参见云防火墙的防护顺序是什么？获取Web应用防火墙的回源IP，请参见步骤二：放行WAF回源IP 获取DDoS高防的回源IP，请参见如何查看高防回源IP段？

云防火墙 CFW

云防火墙 CFW-CFW与WAF、DDoS高防、CDN同时使用时的注意事项:应用场景

应用场景当购买了华为云的其他产品后，业务流量会经过多道防护，可能会存在开启反向代理导致IP地址发生转换的场景。在对入云流量进行防护时，如果CFW前存在反向代理服务（即购买了CDN、DDoS高防或云模式WAF），需配置放行回源IP策略，请参见配置策略，购买独享模式WAF或ELB模式WAF时，按业务需要配置即可。购买独享模式WAF时，有以下两种防护场景：在CFW上对公网ELB绑定的EIP开启防护：此时受到来自客户端的攻击，CFW会将攻击事件打印在“攻击事件日志”的“互联网边界防火墙”页签中。事件的“目的IP”为公网ELB绑定的EIP地址，“源IP”为客户端的IP地址。开启VPC边界防火墙，并关联了源站所在VPC，未对ELB的EIP开启防护：此时受到来自客户端的攻击，CFW会将攻击事件打印在“攻击事件日志”的“VPC边界防火墙”页签中。事件的“目的IP”为源站服务器的私网IP，“源IP”为流量入口（如Nginx服务器）的私网IP。流量经过反向代理后，源IP被转换为回源IP，此时如果受到外部攻击，CFW无法获取到攻击者的真实IP地址，您可通过X-Forwarded-For字段获取真实IP地址，请参见查看X-Forwarded-For。

云防火墙 CFW

云防火墙 CFW-配置VPC边界防火墙:配置原理

配置原理您需要按以下步骤操作：创建防火墙（以命名vpc-cfw-er为例）并关联子网，请参见创建防火墙。如您新创建了企业路由器，请参见配置企业路由器（新创建企业路由器），分解操作如下：配置所有VPC（包括防火墙VPC和需要互联的VPC）的路由转向企业路由器，请参见3 将路由转向企业路由器。创建所有VPC（包括防火墙VPC和需要互联的VPC）的连接，请参见5 添加连接。创建两个路由表(以er-RT1和er-RT2为例)，请参见6 创建两个路由表。配置关联路由表er-RT1将流量从VPC传输到云防火墙，请参见7 配置路由表er-RT1。配置传播路由表er-RT2将流量从云防火墙传输到VPC，请参见8 配置路由表er-RT2。开启防护前，需验证流量只通过企业路由器时正常通信，请参见配置验证方法。如您企业路由器已产生流量，请参见配置企业路由器（已有企业路由器），分解操作如下：创建防火墙VPC(vpc-cfw-er)的连接，请参见4. 添加防火墙连接。从默认路由表(er-RT1)中删除自动生成的防火墙VPC(vpc-cfw-er)的关联和传播功能，请参见删除关联和传播。创建一个新的路由表(er-RT2)，并配置关联和传播功能，请参见6. 创建路由表er-RT2和7 配置路由表er-RT2。配置默认路由表(er-RT1)的静态路由及删除表中所有的传播，请参见8. 配置默认路由表er-RT1。（可选）设置传播路由表为er-RT2后，添加新VPC只需添加连接，无需其他配置，设置传播路由表请参见9 更改传播路由表。图3 流量走势图

云防火墙 CFW

云防火墙 CFW-配置VPC边界防火墙:约束条件

约束条件仅“专业版”支持VPC边界防火墙。依赖企业路由器（Enterprise Router, ER）服务引流。仅支持防护当前账号所属企业项目下的VPC。如果您存在私用公网(即使用10.0.0.0/8、 172.16.0.0/12、192.168.0.0/16 以及运营商级NAT保留网段100.64.0.0/10 以外的公网网段作为私网地址段)的情况，请您提交工单进行私网网段扩容，否则云防火墙可能无法正常转发您VPC间的流量。

云防火墙 CFW

云防火墙 CFW-迁移安全策略:导入参数示例——内到外的阻断规则

导入参数示例——内到外的阻断规则原规则 rule id：123 src-zone：trust dst-zone：untrust src-addr：0.0.0.0/0 dst-addr：xx.xx.xx.9 service ：SSH action：deny name：example123 转换后填写规则顺序：1 规则名称：example123 防护规则：EIP防护方向：内到外动作：阻断规则地址类型：IPv4 启用状态：禁用描述：一个样例源地址类型：IP地址源IP地址：0.0.0.0/0 目的地址类型：IP地址目的IP地址：xx.xx.xx.9 服务类型：服务协议/源端口/目的端口：TCP/1-65535/22

云防火墙 CFW

云防火墙 CFW-创建用户组并授权使用CFW:示例流程

示例流程图1 给用户授权服务权限流程创建用户组并授权在IAM控制台创建用户组，并授予CFW只读权限“CFW ReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1中创建的用户组。用户登录并验证权限新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择云防火墙，进入CFW主界面，单击“购买云防火墙”，尝试购买云防火墙，如果无法购买云防火墙（假设当前权限仅包含CFW FullAccess），表示“CFW FullAccess”已生效。在“服务列表”中选择除CFW外（假设当前策略仅包含“CFW FullAccess”）的任一服务，若提示权限不足，表示“CFW FullAccess”已生效。

云防火墙 CFW 权限管理

云防火墙 CFW-创建用户组并授权使用CFW:前提条件

前提条件给用户组授权之前，请您了解用户组可以添加的CFW权限，并结合实际需求进行选择，CFW支持的系统权限如表1所示。若您需要对除CFW之外的其它服务授权，IAM支持服务的所有权限请参见系统权限。表1 CFW系统角色角色名称描述类别依赖关系 CFW FullAccess 云防火墙服务的所有权限。系统策略无 CFW ReadOnlyAccess 云防火墙服务的只读权限。系统策略无

云防火墙 CFW 权限管理

云防火墙 CFW-VPC边界防火墙概述:约束条件

约束条件仅“专业版”支持VPC边界防火墙。依赖企业路由器（Enterprise Router, ER）服务引流。仅支持防护当前账号所属企业项目下的VPC。若您存在私用公网(即使用10.0.0.0/8、 172.16.0.0/12、192.168.0.0/16 以及运营商级NAT保留网段100.64.0.0/10 以外的公网网段作为私网地址段)的情况，请您提交工单进行私网网段扩容，否则云防火墙可能无法正常转发您VPC间的流量。

云防火墙 CFW 管理VPC边界防火墙

云防火墙 CFW-VPC边界防火墙概述:配置及使用流程

配置及使用流程 VPC边界防火墙企业路由器模式因版本依赖，在不同局点上有着“新版”和“旧版”两个版本。若您界面版本为新版，配置流程请参见表企业路由器模式（新版）配置及使用流程，配置文档请参见企业路由器模式（新版）。若您界面版本为旧版，配置流程请参见图企业路由器关联模式配置流程，配置文档请参见企业路由器模式（旧版）。新版和旧版判断方式：通过创建VPC边界防火墙的界面区分，界面如图 VPC边界防火墙（新版）所示为新版VPC边界防火墙，界面如图创建VPC间防火墙（旧版）所示为旧版VPC边界防火墙。图1 VPC边界防火墙（新版）图2 创建VPC边界防火墙（旧版）表1 企业路由器模式（新版）配置及使用流程操作步骤操作说明步骤一：创建VPC边界防火墙为VPC边界防火墙规划用于引流的网段。说明：引流VPC不会创建在您的账号上，即不占用您的防护VPC个数。步骤二：添加VPC连接为防护VPC添加连接，建立VPC与ER之间的网络互通。步骤三：创建并配置路由表在企业路由器中创建两个路由表作为关联路由表和传播路由表，将VPC和防火墙之间的流量互相传输。步骤四：修改VPC的路由表为VPC添加一条指向企业路由器的路由。（可选）连通性验证完成配置后，建议您优先测试网络连通性，再开启防护。步骤五：开启/关闭VPC边界防火墙开启或关闭VPC间流量防护。（可选）添加防护VPC 需要新增防护的VPC时，执行本节操作。下图为企业路由器模式（旧版）的配置流程：图3 企业路由器模式配置流程

云防火墙 CFW 管理VPC边界防火墙

云防火墙 CFW-步骤一：创建VPC边界防火墙:创建说明

创建说明创建防火墙时为了引流需选择企业路由器和配置IPV4网段。企业路由器用于引流，选择时需满足以下限制：没有与其他防火墙实例关联。需归属本账号，非共享企业路由器。需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。网段用于将流量转发至云防火墙，选择时需注意以下限制：该网段不可与需要开启防护的私网网段重合，否则会导致路由冲突。 10.6.0.0/16-10.7.0.0/16网段为防火墙保留网段，不可使用。

云防火墙 CFW 企业路由器模式（新版）

云防火墙 CFW-添加防护规则:约束条件

约束条件最多添加20000条防护规则。单条防护规则最多关联5条服务组。每条防护规则最多关联2条“IP地址组”。单条防护规则最多添加20个源/目的IP地址。防护域名时不支持添加中文域名格式。仅入方向规则（“方向”配置为“外-内”）的“源”地址支持配置“预定义地址组”。开启NAT64防护后，使用IPv6访问时，请注意将198.19.0.0/16的网段放通。因为NAT64会将源IP转换成198.19.0.0/16的网段进行ACL访问控制

云防火墙 CFW

云防火墙 CFW-批量管理防护规则:导入规则模板参数-VPC防护规则表（VPC边界防护规则）

导入规则模板参数-VPC防护规则表（VPC边界防护规则）表2 VPC防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行启用状态选择该策略是否立即启用。启用：表示启用，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 管理访问控制策略

云防火墙 CFW-批量管理防护规则:导入规则模板参数-防护规则表（互联网边界防护规则）

导入规则模板参数-防护规则表（互联网边界防护规则）表1 防护规则表参数说明参数名称参数说明取值样例顺序定义规则序号。 1 规则名称自定义规则名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 test 防护规则选择安全策略的防护类型。 EIP防护：防护EIP的流量，仅支持配置公网IP。 NAT防护：防护NAT的流量，可以配置私网IP。 EIP防护方向选择防护方向：外-内：外网访问内部服务器。内-外：客户服务器访问外网。内到外动作选择“放行”或者“阻断”。设置防火墙对通过流量的处理动作。放行规则地址类型选择“IPv4”或者“IPv6”。设置防护的IP类型。 IPv4 启用状态选择该策略是否立即启用。启用：表示立即开启，规则生效；禁用：表示关闭，规则不生效。启用描述自定义规则描述。 test 源地址类型设置访问流量中发送数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。地域：支持按照地域防护。 IP地址源IP地址 “源地址类型”选择“IP地址”时，需填写“源IP地址”。支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.5 源地址组名称 “源地址类型”选择“IP地址组”时，需填写“源地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 s_test 源大洲地域 “源地址类型”选择“地域”时，需填写“源大洲地域”。根据模板表格中“大洲信息表”页签，填写大洲信息。 AS:亚洲源国家地域 “源地址类型”选择“地域”时，需填写“源国家地域”。根据模板表格中“国家信息表”页签，填写国家信息。 CN:中国大陆目的地址类型选择访问流量中的接收数据的地址类型。 IP地址：支持设置单个IP地址、连续多个IP地址、地址段。 IP地址组：支持多个IP地址的集合。域名：由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。域名组：支持多个域名的集合。地域：支持地域防护。 IP地址组目的IP地址 “目的地址类型”选择“IP地址”时，需填写“目的IP地址”。目的IP地址支持以下输入格式：单个IP地址，如：192.168.10.5 多个连续地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用“/”隔开掩码，如：192.168.2.0/24 192.168.10.6 目的地址组名称 “目的地址类型”选择“IP地址组”时，需填写“目的地址组名称”。支持以下输入格式；可输入中文、字母、数字、下划线、连接符或空格。名称长度不能超过255个字符。 d_test 目的大洲地域 “目的地址类型”选择“地域”时，需填写“目的大洲地域”。根据模板表格中“大洲信息表”页签，填写大洲信息。 AS:亚洲目的国家地域 “目的地址类型”选择“地域”时，需填写“目的国家地域”。根据模板表格中“国家信息表”页签，填写国家信息。 CN:中国大陆域名 “目的地址类型”选择“域名”时，需填写“域名”。由一串用点分隔的英文字母组成（以字符串的形式来表示服务器IP），用户通过域名来访问网站。 www.example.com 目的域名组名称 “目的地址类型”选择“域名组”时，需填写“目的域名组名称”。输入域名组名称。域名组1 服务类型选择服务或服务组。服务：支持设置单个服务。服务组：支持多个服务的集合。服务协议/源端口/目的端口设置需要限制的类型。协议类型当前支持：TCP、UDP、ICMP、Any。设置需要开放或限制的源端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 设置需要开放或限制的目的端口。支持设置单个端口，或者连续端口组，中间使用“-”隔开，如：80-443 TCP/443/443 服务组名称自定义服务组名称。只能由中文、字母、数字、下划线、连接符或空格任意一种或多种字符类型组成，且名称长度不能超过255个字符。 service_test 分组标签用于标识规则，可通过标签实现对安全策略的分类和搜索。 k=a

云防火墙 CFW 管理访问控制策略

云防火墙 CFW-添加域名组:匹配策略

匹配策略应用域名组：CFW会将会话中的HOST字段与应用型域名进行比对，如果一致，则命中对应的防护规则。网络域名组：CFW会在后台获取DNS服务器解析出的IP地址（每15s获取一次），当会话的四元组与网络型域名相关规则匹配、且本次访问解析到的地址在此前保存的结果中（已从DNS服务器解析中获取到IP地址），则命中对应的防护规则。单个域名最大支持解析1000条IP地址；每个域名组最大支持解析1500条IP地址。解析结果达到上限，则无法再将新域名添加到域名组中映射地址量大或映射结果变化快的域名建议优先使用应用域名组（如被内容分发网络（CDN）加速的域名）。

云防火墙 CFW 管理域名组

云防火墙 CFW-添加域名组:约束条件

约束条件基础版仅支持应用型域名组。域名组成员不支持添加中文域名格式。域名组中所有域名被“防护规则”引用最多40000次，泛域名被“防护规则”引用最多2000次。应用域名组（七层协议解析）每个域名组中最多添加1500个域名成员。每个防火墙实例下最多添加500个域名组。每个防火墙实例下最多添加2500个域名成员。网络域名组（四层协议解析）每个域名组中最多添加15个域名成员。每个域名最大支持解析1000条IP地址。每个域名组最大支持解析1500条IP地址。每个防火墙实例下最多添加1000个域名成员。

云防火墙 CFW 管理域名组

云服务器内容精选

云防火墙 CFW

7*24

备案

专业服务

退订

建议反馈

售前咨询热线