操作（Action） 操作（Action）即为SCP策略中支持的授权项。 “访问级别”列描述如何对操作进行分类（list、read和write等）。此分类可帮助您了解在SCP策略中相应操作对应的访问级别。 “资源类型”列指每个操作是否支持资源级权限。 资源类型支持通配符号*表示所有。如果此列没有值（-），则必须在SCP策略语句的Resource元素中指定所有资源类型（“*”）。 如果该列包含资源类型，则必须在具有该操作的语句中指定该资源的URN。 资源类型列中必需资源在表中用星号（*）标识，表示使用此操作必须指定该资源类型。 关于AAD定义的资源类型的详细信息请参见资源类型（Resource）。 “条件键”列包括了可以在SCP策略语句的Condition元素中支持指定的键值。 如果该授权项资源类型列存在值，则表示条件键仅对列举的资源类型生效。 如果该授权项资源类型列没有值（-），则表示条件键对整个授权项生效。 如果此列条件键没有值（-），表示此操作不支持指定条件键。 关于AAD定义的条件键的详细信息请参见条件（Condition）。 您可以在SCP策略语句的Action元素中指定以下AAD的相关操作。 表1 AAD支持的授权项 授权项 描述 访问级别 资源类型（*为必须） 条件键 aad:alarmConfig:create 授予创建告警设置的权限。 write alarmConfig * - aad:alarmConfig:put 授予修改告警设置的权限。 write alarmConfig * - aad:alarmConfig:get 授予查询告警设置的权限。 read alarmConfig * - aad:alarmConfig:delete 授予删除告警设置的权限。 write alarmConfig * - aad:certificate:delete 授予删除证书的权限。 write certificate * - aad:certificate:list 授予查询证书列表的权限。 list certificate * - aad:certificate:set 授予修改 域名 对应证书的权限。 write certificate * - domain * g:EnterpriseProjectId aad:dashboard:delete 授予删除报表日志配置的权限。 write - - aad:dashboard:get 授予获取报表数据和日志配置的权限。 read - - aad:dashboard:set 授予修改报表日志配置的权限。 write - - aad:domain:create 授予添加防护域名的权限。 write domain * g:EnterpriseProjectId aad:domain:delete 授予删除防护域名的权限。 write domain * g:EnterpriseProjectId aad:domain:get 授予查询防护域名详情的权限。 read domain * g:EnterpriseProjectId aad:domain:list 授予查询域名列表的权限。 list domain * g:EnterpriseProjectId aad:domain:put 授予修改域名防护属性的权限。 write domain * g:EnterpriseProjectId aad:forwardingRule:create 授予添加转发规则的权限。 write forwardingRule * g:EnterpriseProjectId aad:forwardingRule:delete 授予删除转发规则的权限。 write forwardingRule * g:EnterpriseProjectId aad:forwardingRule:get 授予查询转发规则的权限。 read forwardingRule * g:EnterpriseProjectId aad:forwardingRule:list 授予导出转发规则的权限。 list forwardingRule * g:EnterpriseProjectId aad:forwardingRule:put 授予修改转发规则中的回源IP的权限。 write forwardingRule * g:EnterpriseProjectId aad:instance:create 授予创建实例的权限。 write instance * g:EnterpriseProjectId aad:instance:get 授予查询实例属性的权限。 read instance * g:EnterpriseProjectId aad:instance:list 授予查询实例列表的权限。 list instance * g:EnterpriseProjectId aad:instance:put 授予修改实例属性的权限。 write instance * g:EnterpriseProjectId aad:policy:create 授予添加防护规则的权限。 write policy * g:EnterpriseProjectId aad:policy:delete 授予删除防护规则的权限。 write policy * g:EnterpriseProjectId aad:policy:get 授予查询防护规则详情的权限。 read policy * g:EnterpriseProjectId aad:policy:list 授予查询防护规则列表的权限。 list policy * g:EnterpriseProjectId aad:policy:put 授予修改防护规则的权限。 write policy * g:EnterpriseProjectId aad:quotas:get 授予查询防护规格的权限。 read - - aad:whiteBlackIpRule:create 授予添加防护黑白名单的权限。 write whiteBlackIpRule * g:EnterpriseProjectId aad:whiteBlackIpRule:delete 授予删除防护黑白名单的权限。 write whiteBlackIpRule * g:EnterpriseProjectId aad:whiteBlackIpRule:list 授予查询防护黑白名单列表的权限。 list whiteBlackIpRule * g:EnterpriseProjectId aad:protectedIp:put 授予修改防护对象标签的权限。 write - - aad:protectedIp:list 授予查询防护对象列表的权限。 list - - aad:package:put 授予修改防护包的权限。 write package * - aad:package:list 授予查询防护包列表的权限。 list package * - aad:block:put 授予解封IP的权限。 write - - aad:block:list 授予查询封堵ip列表的权限。 list - - aad:block:get 授予查询封堵和解封信息的权限。 read - - aad:alarmConfig:create 授予创建告警设置的权限。 write alarmConfig * - aad:alarmConfig:put 授予修改告警设置的权限。 write alarmConfig * - aad:alarmConfig:get 授予查询告警设置的权限。 read alarmConfig * - aad:alarmConfig:delete 授予删除告警设置的权限。 write alarmConfig * - aad:certificate:delete 授予删除证书的权限。 write certificate * - aad:certificate:list 授予查询证书列表的权限。 list certificate * - aad:certificate:set 授予修改域名对应证书的权限。 write certificate * - domain * g:EnterpriseProjectId aad:dashboard:delete 授予删除报表日志配置的权限。 write - - aad:dashboard:get 授予获取报表数据和日志配置的权限。 read - - aad:dashboard:set 授予修改报表日志配置的权限。 write - - aad:domain:create 授予添加防护域名的权限。 write domain * g:EnterpriseProjectId aad:domain:delete 授予删除防护域名的权限。 write domain * g:EnterpriseProjectId aad:domain:get 授予查询防护域名详情的权限。 read domain * g:EnterpriseProjectId aad:domain:list 授予查询域名列表的权限。 list domain * g:EnterpriseProjectId aad:domain:put 授予修改域名防护属性的权限。 write domain * g:EnterpriseProjectId aad:forwardingRule:create 授予添加转发规则的权限。 write forwardingRule * g:EnterpriseProjectId aad:forwardingRule:delete 授予删除转发规则的权限。 write forwardingRule * g:EnterpriseProjectId aad:forwardingRule:get 授予查询转发规则的权限。 read forwardingRule * g:EnterpriseProjectId aad:forwardingRule:list 授予导出转发规则的权限。 list forwardingRule * g:EnterpriseProjectId aad:forwardingRule:put 授予修改转发规则中的回源IP的权限。 write forwardingRule * g:EnterpriseProjectId aad:instance:create 授予创建实例的权限。 write instance * g:EnterpriseProjectId aad:instance:get 授予查询实例属性的权限。 read instance * g:EnterpriseProjectId aad:instance:list 授予查询实例列表的权限。 list instance * g:EnterpriseProjectId aad:instance:put 授予修改实例属性的权限。 write instance * g:EnterpriseProjectId aad:policy:create 授予添加防护规则的权限。 write policy * g:EnterpriseProjectId aad:policy:delete 授予删除防护规则的权限。 write policy * g:EnterpriseProjectId aad:policy:get 授予查询防护规则详情的权限。 read policy * g:EnterpriseProjectId aad:policy:list 授予查询防护规则列表的权限。 list policy * g:EnterpriseProjectId aad:policy:put 授予修改防护规则的权限。 write policy * g:EnterpriseProjectId aad:quotas:get 授予查询防护规格的权限。 read - - aad:whiteBlackIpRule:create 授予添加防护黑白名单的权限。 write whiteBlackIpRule * g:EnterpriseProjectId aad:whiteBlackIpRule:delete 授予删除防护黑白名单的权限。 write whiteBlackIpRule * g:EnterpriseProjectId aad:whiteBlackIpRule:list 授予查询防护黑白名单列表的权限。 list whiteBlackIpRule * g:EnterpriseProjectId aad:protectedIp:put 授予修改防护对象标签的权限。 write - - aad:protectedIp:list 授予查询防护对象列表的权限。 list - - aad:package:put 授予修改防护包的权限。 write package * - aad:package:list 授予查询防护包列表的权限。 list package * - aad:block:put 授予解封IP的权限。 write - - aad:block:list 授予查询封堵ip列表的权限。 list - - aad:block:get 授予查询封堵和解封信息的权限。 read - - AAD的API通常对应着一个或多个授权项。表2展示了API与授权项的关系，以及该API需要依赖的授权项。 表2 API与授权项的关系 API 对应的授权项 依赖的授权项 POST /v1/{project_id}/cad/alart/config aad:alarmConfig:create - POST /v1/cnad/alarm-config aad:alarmConfig:put - DELETE /v1/cnad/alarm-config aad:alarmConfig:delete - GET /v1/{project_id}/cad/alart/list aad:alarmConfig:get - GET /v1/cnad/alarm-config aad:alarmConfig:get - DELETE /v1/aad/certificate/del aad:certificate:delete - GET /v1/{project_id}/cad/domains/certificatelist aad:certificate:list - GET /v1/aad/certificate-details aad:certificate:list - POST /v1/{project_id}/cad/domains/certificate aad:certificate:set - POST /v1/aad/configs/lts/delete aad:dashboard:delete - GET /v1/{project_id}/cad/ddosinfo/events_type aad:dashboard:get - GET /v1/aad/configs/lts_region aad:dashboard:get - GET /v1/aad/configs/lts aad:dashboard:get - GET /v1/{project_id}/waf/event/timeline aad:dashboard:get - GET /v1/{project_id}/waf/event/request/peak aad:dashboard:get - GET /v1/{project_id}/waf/event/attack/type aad:dashboard:get - GET /v1/{project_id}/waf/event/attack/source/num aad:dashboard:get - GET /v1/{project_id}/waf/event/attack/source aad:dashboard:get - GET /v1/{project_id}/cad/instances/flow_pps aad:dashboard:get - GET /v1/{project_id}/cad/instances/flow_bps aad:dashboard:get - GET /v1/{project_id}/cad/instances/events aad:dashboard:get - GET /v1/{project_id}/cad/ddosinfo/peak aad:dashboard:get - POST /v1/aad/configs/lts aad:dashboard:set - POST /v1/{project_id}/aad/domains aad:domain:create - POST /v1/{project_id}/cad/domains/del aad:domain:delete - GET /v1/{project_id}/aad/domains/{domain_id}/service-config aad:domain:get - GET /v1/{project_id}/cad/domains/ports aad:domain:list - GET /v1/{project_id}/cad/domains/name aad:domain:get - GET /v1/{project_id}/cad/domains/line/{enterprise_project_id} aad:domain:list - GET /v1/{project_id}/cad/domains/instances aad:domain:get - GET /v1/{project_id}/cad/domains/brief aad:domain:get - GET /v1/{project_id}/aad/domains/waf-list aad:domain:list - GET /v1/{project_id}/cad/domains aad:domain:list - POST /v1/{project_id}/aad/domains/{domain_id}/service-config aad:domain:put - POST /v1/{project_id}/cad/domains/switch aad:domain:put - POST /v1/{project_id}/cad/domains/cnameDispatchSwitch aad:domain:put - POST /v1/{project_id}/cad/domains/cname/switch aad:domain:put - POST /v1/{project_id}/cad/instances/protocol_rule aad:forwardingRule:create - POST /v1/{project_id}/cad/instances/protocol_rule/import aad:forwardingRule:create - DELETE /v1/{project_id}/cad/instances/protocol_rule/{rule_id} aad:forwardingRule:delete - POST /v1/{project_id}/cad/instances/protocol_rule/batchdel aad:forwardingRule:delete - GET /v1/{project_id}/cad/instances/rules aad:forwardingRule:get - GET /v1/{project_id}/cad/instances/protocol_rule/export aad:forwardingRule:list - PUT /v1/{project_id}/cad/instances/protocol_rule/{rule_id} aad:forwardingRule:put - POST /v1/{project_id}/cad/instances/cad_open aad:instance:create - GET /v1/{project_id}/cad/products aad:instance:create - GET /v1/{project_id}/{resource_type}/{resource_id}/tags aad:instance:get - GET /v1/{project_id}/cad/upgradeproducts/{instance_id} aad:instance:get - GET /v1/{project_id}/cad/instances/detail/{instance_id} aad:instance:get - GET /v1/{project_id}/aad/instances/brief-list aad:instance:list - GET /v1/{project_id}/cad/sourceip aad:instance:list - GET /v1/{project_id}/cad/instances aad:instance:list - POST /v1/{project_id}/{resource_type}/{resource_id}/tags/action aad:instance:put - POST /v1/{project_id}/cad/instances/cad_spec_upgrade aad:instance:put - PUT /v1/{project_id}/cad/instances/{instance_id}/name aad:instance:put - PUT /v1/{project_id}/cad/instances/{instance_id}/elastic/{ip_id} aad:instance:put - POST /v1/{project_id}/aad/policies/waf/cc aad:policy:create - POST /v1/cnad/policies aad:policy:create - DELETE /v1/{project_id}/aad/policies/waf/cc/{rule_id} aad:policy:delete - DELETE /v1/cnad/policies/{policy_id} aad:policy:delete - GET /v1/{project_id}/cad/flowblock aad:policy:get - GET /v1/cnad/policies/{policy_id} aad:policy:get - GET /v1/{project_id}/aad/policies/waf/cc aad:policy:list - GET /v1/cnad/policies aad:policy:list - PUT /v1/{project_id}/aad/policies/waf/cc/{rule_id} aad:policy:put - POST /v1/{project_id}/cad/flowblock/udp aad:policy:put - POST /v1/{project_id}/cad/flowblock/foreign aad:policy:put - POST /v1/cnad/policies/{policy_id}/ip-list/add aad:policy:put - POST /v1/cnad/policies/{policy_id}/bind aad:policy:put - POST /v1/cnad/policies/{policy_id}/ip-list/delete aad:policy:put - POST /v1/cnad/policies/{policy_id}/unbind aad:policy:put - PUT /v1/cnad/policies/{policy_id} aad:policy:put - GET /v1/{project_id}/aad/quotas/domain-port aad:quotas:get - GET /v1/{project_id}/scc/waf/quota aad:quotas:get - GET /v1/{project_id}/cad/quotas aad:quotas:get - GET /v1/{project_id}/cad/ip/quotas aad:quotas:get - GET /v1/{project_id}/cad/bwlist/quota aad:quotas:get - GET /v1/{project_id}/aad/user-configs aad:quotas:get - POST /v1/{project_id}/cad/bwlist aad:whiteBlackIpRule:create - POST /v1/{project_id}/cad/bwlist/delete aad:whiteBlackIpRule:delete - GET /v1/{project_id}/cad/bwlist aad:whiteBlackIpRule:list - PUT /v1/cnad/protected-ips/tags aad:protectedIp:put - GET /v1/cnad/protected-ips aad:protectedIp:list - POST /v1/cnad/packages/{package_id}/protected-ips aad:package:put - PUT /v1/cnad/packages/{package_id}/name aad:package:put - GET /v1/cnad/packages aad:package:list - GET /v1/cnad/packages/{package_id}/unbound-protected-ips aad:package:list - POST /v1/unblockservice/{domain_id}/unblock aad:block:put - GET /v1/unblockservice/{domain_id}/block-list aad:block:list - GET /v1/unblockservice/{domain_id}/unblock-quota-statistics aad:block:get - GET /v1/unblockservice/{domain_id}/block-statistics aad:block:get - GET /v1/unblockservice/{domain_id}/unblock-record aad:block:get - GET /v1/{project_id}/cad/instances/{instance_id}/elastic_count/{ip_id} aad:instance:get - GET /v1/{project_id}/cad/instances/{data_center}/elastic/{line}/{ip_id} aad:instance:get - GET /v1/aad/remain-vip-number aad:quotas:get - GET /v1/aad/instance/connection-num aad:dashboard:get - PUT /v1/{project_id}/cad/instances/{instance_id}/pp-switch aad:instance:put - GET /v1/aad-service/ces/{domain_id}/dims-info aad:instance:list - GET /v1/aad-service/ces/v2/{domain_id}/instances aad:instance:list - GET /v1/{project_id}/cad/instances/security-statistics aad:instance:list - GET /v1/aad/domain/instances/rules aad:domain:list - POST /v1/aad/policy/modify aad:policy:put - POST /v1/aad/geoip aad:policy:put - GET /v1/aad/geoip aad:policy:get - DELETE /v1/aad/geoip/{ruleId} aad:policy:delete - PUT /v1/aad/geoip/{ruleId} aad:policy:put - POST /v1/aad/whiteip aad:policy:put - GET /v1/aad/whiteip aad:policy:get - DELETE /v1/aad/whiteip aad:policy:delete - POST /v1/aad/custom aad:policy:put - GET /v1/aad/custom aad:policy:get - PUT /v1/aad/custom/{ruleId} aad:policy:put - DELETE /v1/aad/custom/{ruleId} aad:policy:delete - GET /v1/aad/policy/details aad:policy:get - POST /v1/aad/cc/intelligent/modify aad:policy:put - GET /v1/aad/geoip/map aad:policy:get - GET /v1/aad/instances/{instance_id}/{ip}/ddos-statistics aad:dashboard:get - GET /v1/aad/protected-domains/{domain_id} aad:domain:get - GET /v1/aad/protected-domains aad:domain:list - PUT /v1/aad/protected-domains/{domain_id} aad:domain:put - POST /v1/aad/instances/{instance_id}/{ip}/rules/batch-create aad:forwardingRule:create - POST /v1/aad/instances/{instance_id}/{ip}/rules/batch-delete aad:forwardingRule:delete - GET /v1/aad/instances/{instance_id}/{ip}/rules aad:forwardingRule:list - PUT /v1/aad/instances/{instance_id}/{ip}/rules/{rule_id} aad:forwardingRule:put - GET /v1/aad/instances aad:instance:list -

如何将非PEM格式的证书转换为PEM格式？ CER/CRT格式证书转换为PEM格式 可通过修改证书文件扩展名的方式进行转换。 例如，将“certificate.cer”证书文件重命名为“certificate.pem”即可。 PFX格式证书转换为PEM格式 可通过openssl工具进行转换。 #提取证书命令 openssl pkcs12 -in certificate.pfx -nokeys -out cert.pem #提取私钥命令 openssl pkcs12 -in certificate.pfx -nocerts -out key.pem -nodes P7B格式证书转换为PEM格式 可通过openssl工具进行转换。 执行转换命令 openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.cer 获取outcertificat.cer文件中证书文件的内容。 将证书内容保存为PEM格式。 DER格式证书转换为PEM格式 可通过openssl工具进行转换。 #提取证书命令 openssl x509 -inform der -in certificate.der -out certificate.pem #提取私钥命令 openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem 父主题： 接入配置

DDoS原生标准版、DDoS原生防护-全力防基础版、DDoS原生防护-全力防高级版功能规格有哪些差异？ DDoS原生高级防护支持DDoS原生标准版、DDoS原生防护-全力防基础版、DDoS原生防护-全力防高级版三种服务版本。各服务版本的功能规格说明，请参见表1。 DDoS原生高级防护只能防护相同区域的云资源，不能跨区域（Region）防护。 表1 DDoS原生高级防护业务规格 规格 DDoS原生标准版 DDoS原生防护-全力防基础版 DDoS原生防护-全力防高级版 原生防护2.0 计费模式 包年包月 包年包月 包年包月 包年包月+按需计费 带宽类型 云原生网络，多线BGP。 云原生网络，全动态BGP（不支持静态BGP）。 云原生网络，多线BGP。 云原生网络，全动态BGP（不支持静态BGP）。 防护能力 20G 共享全力防护，不低于20G。 共享全力防护，最高可达1T。 中国大陆：共享全力防护，不低于20G。 中国大陆外：运营商跨境防护。 防护IP数 1个 范围为50～500，且防护IP数必须设置为5的倍数。 范围为50～500，且防护IP数必须设置为5的倍数。 50-1000个，且防护IP数必须设置为50的倍数。 防护次数 10次（超过10次后将不再防护）。 不限次数 不限次数 不限次数 IP更换次数 5次，防护包中IP每天可以更换一次，每月更换5次。 不支持 不支持 不支持 业务带宽 默认提供100Mbps业务带宽。 最低100M，最大支持上限20,000Mbps。 最大支持10,000Mbps。 最大支持20,000Mbps。 父主题： 功能咨询

各服务支持的DDoS攻击类型 表2 DDoS防护支持的业务类型 DDoS攻击类型 DDoS原生基础防护（Anti-DDoS流量清洗） DDoS原生高级防护 DDoS高防 畸形报文 √ √ √ 传输层DDoS攻击 √ SYN Flood攻击（小包攻击）防御效果一般，推荐使用DDoS原生高级防护或DDoS高防。 √ √ DNS DDoS攻击 × × √ 连接型DDoS攻击 × 仅全力防高级版支持 √ Web应用层DDoS攻击 × × 推荐使用华为云“DDoS原生高级防护+云模式WAF（ELB接入）”联动防护。 √ √：表示支持。 ×：表示不支持。

功能特性 DDoS原生高级防护支持以下防护功能： 透明接入 无需修改域名解析、设置源站保护，可以直接对华为云上公网IP资源进行防护。 全力防护 华为云根据当前区域下DDoS本地清洗中心的网络和资源能力，尽可能帮助您防御DDoS攻击。全力防护的防护能力随着华为云网络能力的不断提升而相应提升。 联动防护 开启联动防护后，可自动联动调度DDoS高防对DDoS原生高级防护对象中的云资源进行防护。 IPv4/IPv6双协议防护 支持同时为IPv6和IPv4两种类型的IP提供防护，满足您对IPv6类型业务防护需求。 流量清洗 DDoS原生高级防护检测到IP的入流量超过设置的阈值时，触发流量清洗。 IP黑白名单 通过配置IP黑名单或IP白名单来封禁或者放行访问DDoS原生高级防护的源IP，从而限制访问您业务资源的用户。 协议封禁 根据协议类型一键封禁访问DDoS原生高级防护的源流量。例如，访问DDoS原生高级防护的源流量如果没有UDP（User Datagram Protocol，用户数据报协议）业务，建议封禁UDP协议。

业务规格 各版本每个实例支持的业务规格说明如表1所示。 表1 DDoS原生高级防护业务规格 规格 DDoS原生标准版 DDoS原生防护-全力防基础版 DDoS原生防护-全力防高级版 原生防护2.0 计费模式 包年包月 包年包月 包年包月 包年包月+按需计费 带宽类型 云原生网络，多线BGP。 云原生网络，全动态BGP（不支持静态BGP）。 云原生网络，多线BGP。 云原生网络，全动态BGP（不支持静态BGP）。 防护能力 20G 共享全力防护，不低于20G。 共享全力防护，最高可达1T。 中国大陆：共享全力防护，不低于20G。 中国大陆外：运营商跨境防护。 防护IP数 1个 范围为50～500，且防护IP数必须设置为5的倍数。 范围为50～500，且防护IP数必须设置为5的倍数。 50-1000个，且防护IP数必须设置为50的倍数。 防护次数 10次（超过10次后将不再防护）。 不限次数 不限次数 不限次数 IP更换次数 5次，防护包中IP每天可以更换一次，每月更换5次。 不支持 不支持 不支持 业务带宽 默认提供100Mbps业务带宽。 最低100M，最大支持上限20,000Mbps。 最大支持10,000Mbps。 最大支持20,000Mbps。

什么是DDoS原生高级防护？ DDoS原生高级防护（Cloud Native Anti-DDoS，CNAD）是华为云推出的针对华为云E CS 、ELB、WAF、EIP等云服务直接提升其DDoS防御能力的安全服务。DDoS原生高级防护对华为云弹性公网IP生效，通过简单的配置，DDoS原生高级防护提供的安全能力就可以直接加载到云服务上，提升云服务的安全防护能力，确保云服务上的业务安全、可靠。 DDoS原生防护-全力防高级版只能防护专属EIP。 您可以提交工单联系DDoS防护团队开通专属EIP购买权限。

防护配额限制 DDoS原生高级防护 标准版：每个实例支持防护1个EIP，防护10次，IP支持更换5次，业务带宽100Mbps。 全力防基础版：每个实例最大支持防护500个全动态BGP EIP，业务带宽最大支持20000Mbps。 全力防高级版：每个实例最大支持防护500个DDoS防护专属EIP，业务带宽最大支持10000Mbps。 原生防护2.0：中国大陆每个实例最大支持防护1000个EIP，业务带宽最大支持20000Mbps（也可按需计费）；中国大陆外每个实例最大支持防护500个EIP。 DDoS高防 DDoS高防 防护区域为中国大陆：域名接入模式下每个实例最大支持防护200个域名，业务带宽最大支持2000Mbps，最大防护带宽1000Gbps；IP接入模式下每个实例最大支持500个转发规则，最大防护带宽1000Gbps，业务带宽最大支持2000Mbps。 防护区域为中国大陆外：域名接入模式下每个实例最大支持防护200个域名，业务带宽最大支持2000Mbps；IP接入模式下每个实例最大支持200个转发规则，业务带宽最大支持2000Mbps。 DDoS高防国际版：每个实例最大支持防护50个域名和50个转发规则，业务带宽最大支持5000Mbps。 DDoS调度中心：每个调度规则支持10个IP调度，每个用户最大支持500个调度规则。 DDoS解封中心：最大支持3Gbps带宽的业务，每月最大支持100次解封配额（每天分配4个），购买配额后不能升级规格，不能重复购买。

黑洞解封限制 黑洞是指服务器（云主机）流量超出基础防御阈值时，华为云将屏蔽服务器（云主机）的外网访问。 对进入封堵状态的防护IP，您可以使用自助解封功能提前解封黑洞，具体解封方法请参考自助解封封堵IP。 对于同一防护IP，当日首次解封时间必须大于封堵时间30分钟以上才能解封。解封时间=2（n-1）*30分钟（n表示解封次数）。 对于同一防护IP，如果上次解封时间和本次封堵时间间隔小于30分钟，则本次解封时间的间隔=2n*30分钟（n表示解封次数）。 如果您在30分钟内解封过其他任一IP，即使满足以上条件，也不能对该IP进行解封。 DDoS防护会根据风控自动调整自助解封次数和间隔时长。 仅支持100次/月解封配额，每天分配4个配额。

防护对象限制 子服务 服务版本 防护对象 防护区域 DDoS原生基础防护（Anti-DDoS） 免费使用 支持防护华为云EIP。 EIP所在区域。 DDoS原生高级防护 标准版 支持防护华为云EIP。 云资源所在区域，不支持多区域（Region）防护。 全力防基础版 支持防护华为云全动态BGP EIP。 云资源所在区域，不支持多区域（Region）防护。 全力防高级版 支持防护华为云DDoS防护专属EIP。 云资源所在区域，不支持多区域（Region）防护。 原生防护2.0 防护区域为中国大陆：支持防护华为云全动态BGP EIP和DDoS防护专属EIP。 防护区域为中国大陆外：支持防护华为云优选BGP EIP和DDoS防护专属EIP。 防护区域为中国大陆：支持多区域（Region）防护。 防护区域为中国大陆外：当前仅支持香港、新加坡。 DDoS高防 DDoS高防 支持防护域名和独享高防IP。 无区域限制。 DDoS高防国际版 支持防护域名。 无区域限制。

服务版本差异 表1 服务版本差异 产品 DDoS原生基础防护 DDoS原生高级防护 DDoS高防 计费类型 免费 包年包月，支持干净流量按需计费。 包年包月，支持“保底+弹性”防护带宽。 防护对象 华为云内EIP 华为云内EIP 中国大陆：互联网可访问域名 中国大陆外：互联网可访问域名或IP端口 接入模式 透明接入，华为云原生网络防护，时延低。 透明接入，华为云原生网络防护，时延低。 DNS牵引接入或IP接入，多线BGP，防护能力强。 防护能力 中国大陆：不高于5Gbps 中国大陆外：不高于500Mbps 20Gbps到1Tbps，不同实例规格防护能力不同。具体请参见表2。 1TBps 不同接入类型实例不可混用，具体请参见表3。 防护攻击类型 畸形报文、SYN Flood攻击等传输层DDoS攻击。 畸形报文、SYN Flood攻击等传输层DDoS攻击、 连接型DDoS攻击（仅全力防高级版支持）。 畸形报文、SYN Flood攻击等传输层DDoS攻击、 连接型DDoS攻击、DNS DDoS攻击、Web应用层DDoS攻击。

实例规格差异 表2 DDoS原生高级防护实例规格 项目 标准版 全力防基础版 全力防高级版 原生防护2.0 计费类型 包年包月 包年包月 包年包月 实例为包年包月计费。 业务带宽支持包年包月和按需计费。 防护对象 华为云EIP 华为云EIP DDoS防护专属EIP 中国大陆：全动态BGP EIP、DDoS防护专属EIP 中国大陆外：优选BGP EIP、DDoS防护专属EIP 防护区域 单区域防护 单区域防护 单区域防护 中国大陆：支持多区域防护。 中国大陆外：当前仅支持香港、新加坡。 支持协议 IPv4、IPv6 IPv4、IPv6 IPv4 IPv4、IPv6 对象数量（每个实例） 1个 50-500个 50-500个 50-1000个 业务带宽 100Mbps 100Mbps-20Gbps 100Mbps-10Gbps 100Mbps-20Gbps 防护能力 20Gbps 共享全力防护，不低于20Gbps，最高可达数百Gbps。 共享全力防护，最高可达1Tbps。 中国大陆：共享全力防护，不低于20Gbps。 中国大陆外：运营商跨境防护。 表3 DDoS高防实例规格 项目 DDoS高防-网站类 DDoS高防-IP接入 DDoS高防-国际版 计费类型 包年包月 包年包月 包年包月 防护对象 互联网可访问的域名 互联网可访问的IP端口 互联网可访问的域名或IP端口 防护区域 中国大陆、中国大陆外 中国大陆、中国大陆外 海外 支持协议 中国大陆：IPv4、IPv6 中国大陆外：IPv4 中国大陆：IPv4、IPv6 中国大陆外：IPv4 IPv4、IPv6 对象数量（每个实例） 最大200个域名 最大500个转发规则 最大50个域名和50个转发规则 业务带宽 最大2000Mbps 最大2000Mbps 最大5000Mbps 弹性业务带宽 支持 支持 不支持 防护能力 1Tbps 1Tbps 50Gbps-无上限全力防护 QPS 最大100000QPS - -

计费示例 假如您在2024/05/22 9:59:30购买了1个中国大陆区域原生防护2.0实例并选择了流量按需计费，除购买时需要支付原生防护2.0基础费用外，次日还会生成按需计费的干净流量账单。 干净流量计费周期为2024/05/22 9:59:30到2024/05/23 01:00:00。 您需要为该计费周期内产生的干净流量付费。 干净流量费用=干净流量×流量单价 具体流量单价请参见价格计算器。 例如，上述计费周期内产生了200TB干净流量，则干净流量费用计算过程如下。 图1 费用计算示例 图中价格仅供参考，实际计算请以实际价格为准。

适用计费项 当前支持按需计费的计费项如表1所示。 表1 计费项 版本 计费项 说明 DDoS原生防护-全力防基础版 弹性业务带宽 按需计费，可选择日95或月95。 DDoS原生防护-全力防高级版 弹性业务带宽 按需计费，可选择日95或月95。 DDoS原生防护-原生防护2.0 弹性业务带宽 按需计费，可选择日95或月95。 干净流量 按照每天实际产生的干净流量计费。 DDoS高防 弹性业务带宽 按需计费，当前支持月95计费。

变更配置后对计费的影响 当前DDoS实例资源的规格不满足您的业务需要时，您可以在DDoS防护控制台发起升级规格操作，变更时系统将按照如下规则为您计算变更费用： 资源升配：新配置价格高于老配置价格，此时您需要支付新老配置的差价。 资源降配：DDoS实例暂不支持降配。 如果您需要从BGP 10G包月版本（假设：8700元/月）升级至BGP Pro 10G包月版本（假设：9800元/月），您当前版本剩余天数还20天。 计算公式如下： 升配费用=（新配置包月价格/30-旧配置包月价格/30）*剩余周期 那么您需要补充的费用是：（9800/30-8700/30）x20=733.34元。 更多信息请参见变更资源规格费用说明。