配置NAT网关 前提条件 已购买NAT网关：如果该网关对应的VPC未关联云资源（如云服务器），则可用于后续配置。 未购买NAT网关：需购买NAT网关，请参见购买公网NAT网关。关于NAT网关的收费，请参见计费说明。 VPC-NAT关联NAT网关后，在默认路由表中默认添加一条路由（目的地址
资源和成本规划 本节介绍SNAT防护中的资源和成本规划。 表1 资源说明 资源 资源说明 数量 成本说明 NAT网关（NAT Gateway） 被防护的资源。 1 具体的计费方式及标准请参考NAT网关计费说明。 弹性公网IP（Elastic IP） EIP，NAT网关绑定的EIP。
管理VPC边界防火墙 新增防护VPC 修改私网网段地址 关闭VPC边界防护 永久关闭VPC边界防护后恢复企业路由器配置 父主题： 开启VPC边界流量防护
配置NAT防护规则 验证流量流通后，需配置防护规则，云防火墙才会实施放行/拦截操作。 配置NAT防护规则 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙
获取导入的IP黑名单列表信息 功能介绍 获取防火墙实例中已经导入的IP黑名单信息，标准版防火墙只会显示一条EIP的记录，专业版防火墙可能显示EIP、NAT或EIP和NAT的记录，根据导入的情况确定。 调用方法 请参见如何调用API。 URI GET /v1/{project_id}
如何验证HTTP/HTTPS的出方向域名防护规则的有效性？ 可按照以下操作步骤验证有效性： 发送HTTP或HTTPS请求。 方式一：使用curl命令，例如： 1 curl -k "https://www.example.com" 方式二：使用浏览器访问域名。 请勿使用telnet
通过黑白名单拦截/放行流量 开启防护后，云防火墙默认放行所有流量，您可以通过配置黑/白名单规则，拦截/放行IP地址的访问请求。 本文指导您添加单个黑白名单，如果需要批量添加黑白名单请参见导入/导出防护策略。 黑白名单策略说明 黑白名单策略的防护对象、防护动作，以及应用场景说明如下：
企业路由器模式（旧版） 创建VPC边界防火墙 配置企业路由器 开启/关闭VPC间边界防火墙 父主题： 开启VPC边界流量防护
配置VPC1路由表 配置VPC1路由表 在左侧导航栏中，选择“网络 > 虚拟私有云 > 路由表”，进入“路由表”页面。 在“名称”列，单击VPC1的路由表名称，进入路由表“基本信息”页面。 单击“添加路由”，参数详情见表 添加路由参数说明。 表1 添加路由参数说明 参数 说明 目的地址类型
VPC边界防火墙概述 云防火墙支持防护虚拟私有云（VPC）的流量，开启防护后，您的业务流量将经过云防火墙，默认情况下，所有流量都会被放行。 开启防护后，您可以根据业务需求，配置访问控制策略或IPS防护模式，云防火墙会根据配置，检测流量实施拦截/放行操作，配置访问控制策略请参见添加防护规则
示例三：放行业务访问某平台的流量 本文提供放行业务访问某平台的流量的配置示例，更多参数配置请参见通过防护规则拦截/放行互联网边界流量。 域名组类型 CFW提供应用域名组（七层协议解析）和网络域名组（四层协议解析）两种类型，两类域名组的差异如表1所示。 表1 域名组类型 - 应用域名组
通过防护规则拦截/放行VPC边界流量 开启防护后，云防火墙默认放行所有流量，您可以配置防护规则，实现流量的拦截/放行。 防护规则说明 防护规则的防护对象、防护动作，以及防护场景说明如下： 名称 说明 支持的防护对象 五元组 IP地址组 地理位置（地域） 域名和域名组（四层和七层流量
示例一：放行入方向中指定IP的访问流量 本文提供放行入方向中指定IP访问流量的配置示例，更多参数配置请参见通过防护规则拦截/放行互联网边界流量。 单独放行入方向中指定IP的访问流量 配置两条防护规则，一条拦截所有流量，如图 拦截所有流量所示，优先级置于最低，一条单独放行指定IP的流量访问
示例二：拦截某一地区的访问流量 本文提供拦截某一地区的访问流量的配置示例，更多参数配置请参见通过防护规则拦截/放行互联网边界流量。 拦截某一地区的访问流量 假如您需要拦截所有来源“新加坡”地区的访问流量，可以参照以下参数设置防护规则。 图1 拦截新加坡地区的访问流量 后续操作 查看防护效果
通过防护规则拦截/放行互联网边界流量 开启防护后，云防火墙默认放行所有流量，您可以配置防护规则，实现流量的拦截/放行。 防护规则说明 防护规则的防护对象、防护动作，以及防护场景说明如下： 名称 说明 支持的防护对象 五元组 IP地址组 地理位置（地域） 域名和域名组（四层和七层流量
通过防护规则拦截/放行NAT网关边界流量 开启防护后，云防火墙默认放行所有流量，您可以配置防护规则，实现流量的拦截/放行。 防护规则说明 防护规则的防护对象、防护动作，以及防护场景说明如下： 名称 说明 支持的防护对象 五元组 IP地址组 地理位置（地域） 域名和域名组（四层和七层流量
新增防护VPC 操作场景 当您完成VPC边界防火墙配置后，需要配置路由等将流量转发给云防火墙。 本章节介绍如何快速配置、修改路由。 前提条件 已配置完成VPC边界防火墙，具体操作请参见企业路由器模式（新版）。 步骤一：添加VPC连接 操作步骤请参见企业路由器中添加VPC连接。 如需防护其它账号
配置企业路由器 防火墙创建完成后，您还需关联企业路由器和设置引流。 配置原理 配置企业路由器时需要执行以下流程。 图1 配置企业路由器操作步骤 前提条件 已完成创建防火墙步骤。 约束条件 企业路由器需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。 仅专业版支持
将VPC1和VPC-NAT接入企业路由器中 本节指导您如何将VPC1和VPC-NAT接入企业路由器。 将VPC1和VPC-NAT接入企业路由器中 添加VPC连接。 需要添加两条连接，“连接资源”分别选择VPC1和VPC-NAT。 操作步骤请参见企业路由器中添加VPC连接。 创建两个路由表
关闭VPC边界防护 如果业务遇到异常拦截，可以暂时关闭VPC边界防火墙，关闭期间，防火墙对流量不做任何检测。 如果您的业务后续不再需要VPC边界流量防护，关闭防护后，还需手动恢复企业路由器（ER）的配置，请参见永久关闭VPC边界防护后恢复企业路由器配置。 对业务的影响 关闭后，VPC
