检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
云防火墙如何收费和计费？ 云防火墙支持包年/包月（预付费）和按需计费（后付费）两种计费方式，详细信息请参见产品价格详情。 其中标准版支持扩容防护公网IP数和互联网边界流量峰值。 专业版支持扩容防护公网IP数、互联网边界流量峰值和防护VPC数。 有关CFW详细的计费说明，请参见计费说明
变更云防火墙扩展包数量 购买了云防火墙后，您可以增加或减少EIP/VPC的防护数量以及互联网边界流量峰值。 约束限制 仅包周期（包年/包月）防火墙支持变更扩展包数量。 互联网边界流量峰值标准版最大支持扩展到5G，专业版最大支持扩展到10G。 变更扩展包 登录管理控制台。 单击管理控制台左上角的
配置入侵防御 云防火墙提供网络攻击防护，帮助您检测常见的网络攻击。 对业务的影响 开启拦截模式后，入侵防御IPS功能会拦截各类威胁和恶意流量；建议您调整防护模式时，优先开启“观察模式”，等待业务运行一段时间排查误拦截后，再逐步更换至“拦截模式”。 入侵防御IPS 入侵防御（IPS）
管理防护规则 本节介绍防护规则页面的参数信息和防护规则的编辑、复制、删除操作。 其中复制操作生成的新防护规则“优先级”默认为“1”（优先级最高）。 查看防护规则 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面
网络抓包 操作场景 网络通信中的数据以数据包的形式在设备之间传输，但这一过程通常是不可见的。当出现网络延迟、连接失败、安全威胁等情况时，难以直接观察数据流动，无法快速定位问题。为此，云防火墙提供网络抓包工具，支持通过源/目的IP、端口、协议等多维度精准过滤流量，捕获流量数据包，便于您快速快速获取原始数据包内容
管理黑白名单 本节介绍黑白名单的编辑、删除操作。 编辑黑/白名单 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 选择“黑名单
应用场景 云上资源统一安全管控 提供资源的多场景防护，动态感知流量变化趋势，全面保障云上资产安全。 互联网边界：互联网边界是云资产与互联网之间的界限，管控入云（互联网访问云资产）和出云（云资产主动访问互联网）的通信流量。 VPC边界：VPC边界是VPC与线下数据中心IDC、VPC与
约束与限制 本文介绍云防火墙CFW服务在使用过程中的约束和限制。 CFW使用限制 仅支持对部署在华为云的业务提供防护，不支持智能边缘云IEC的业务，也不支持跨云使用。 支持弹性公网IP EIP的流量防护，不支持全域弹性公网IP G-EIP、API网关APIG绑定的EIP的流量防护。
云防火墙防护总览 您可以在总览页面查看防火墙实例的基本信息、整体防护能力、统计信息、流量拓扑可视化信息，随时了解云资产的安全状况以及流量数据。 约束条件 VPC边界防护详情需配置VPC边界防火墙后才能查看。 查看总览 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中
入门指引 云防火墙（Cloud Firewall，CFW）可以为云上业务提供互联网边界、VPC边界、NAT网关的流量防护。本文介绍云防火墙的操作指引，帮助您快速上手使用云防火墙服务。 表1 入门指引 场景 操作指引 购买云防火墙 购买包年/包月云防火墙 购买按需计费云防火墙 使用云防火墙
功能总览 功能总览 全部 云防火墙 弹性公网IP防护 VPC间边界防护 访问控制策略 黑/白名单 IP地址组 服务组 入侵防御策略 病毒防御 系统管理 日志审计 扩容弹性公网IP的防护个数 云防火墙 云防火墙（Cloud Firewall，CFW）是新一代的云原生防火墙，提供云上互联网边界和
使用CFW防御蠕虫病毒 本文介绍如何通过CFW防御蠕虫病毒攻击。 应用场景 蠕虫病毒借用网络互联的优势，通过网络漏洞、弱口令等方式攻击服务器并快速传播，对用户资产和业务造成极大的安全威胁。 CFW IPS规则库配置了针对蠕虫病毒的防御规则，可有效拦截“JS.FortNight.E-
数据保护技术 CFW通过多种数据保护手段和特性，保证通过CFW的数据安全可靠。 表1 CFW的数据保护手段和特性 数据保护手段 简要说明 静态数据保护 CFW通过敏感数据加密保证用户流量中敏感数据的安全性。 传输中的数据保护 微服务间管理数据传输进行加密，防止数据在传输过程中泄露或被篡改
使用CFW防御黑客工具 本文介绍如何通过CFW防御黑客工具攻击。 应用场景 攻击者恶意利用黑客工具非法入侵计算机系统或网络，可能会导致计算机系统或网络的损坏、数据泄露、网络瘫痪等严重后果，甚至会导致严重的法律后果和安全风险。 CFW提供了针对黑客工具的入侵防御规则，可以有效地识别和拦截端口扫描
如何退订云防火墙？ 退订后原CFW配置数据将不能保存且无法找回，建议您退订前导出防护策略，重购后导入防护策略，以便CFW更好的为您防护。有关导入导出策略的详细操作，请参见导入/导出防护策略。 包年/包月（包周期）防火墙操作步骤 登录管理控制台。 单击管理控制台左上角的，选择区域。
云防火墙支持哪些维度的访问控制？ 云防火墙当前支持基于五元组、IP地址组、服务组、域名、应用、黑名单、白名单设置ACL访问控制策略；也支持基于IPS（intrusion prevention system，入侵防御系统）设置访问控制。IPS支持观察模式和阻断模式，当您选择阻断模式时
配置日志 您可以将攻击事件日志、访问控制日志、流量日志记录到云日志服务（Log Tank Service，简称LTS）中，通过LTS记录的CFW日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。 LTS对于采集的日志数据，通过海量日志数据的分析与处理，可以为您提供一个实时
自定义IPS特征 操作场景 在复杂多变的网络攻击面前，企业往往需要个性化的入侵检测方案，然而宽泛的特征规则容易引发大量误报，反而降低防护效率。为此，云防火墙支持为HTTP、TCP、UDP、POP3、SMTP、FTP协议添加精细化的自定义IPS特征规则，通过精准的签名特征匹配，有效识别恶意流量
示例四：配置SNAT的防护规则 本文提供SNAT防护的配置示例，更多参数配置请参见通过防护规则拦截/放行互联网边界流量。 SNAT防护配置 假如您的私网IP为“10.1.1.2”，通过NAT网关访问的外部域名为“www.example.com”，您可以参照以下参数配置NAT防护，其余参数可根据您的部署进行填写
使用CFW防御可疑DNS活动 本文介绍如何通过CFW防御可疑DNS活动。 应用场景 DNS是绝大部分互联网请求的组成部分，是互联网应用中非常基础和重要的一环，一旦DNS系统受到攻击将会对网络服务带来严重影响，因此保障DNS安全显得尤为重要。CFW提供了检测可疑DNS活动的入侵防御规则
