互聯(lián)網(wǎng)邊界防火墻策略配置示例

云防火墻的入方向和出方向流量是指面向互聯(lián)網(wǎng)的流量，也就是南北向流量。您可以通過云防火墻訪問控制功能對南北向的訪問控制策略進(jìn)行自定義配置，從而實(shí)現(xiàn)對訪問流量的精準(zhǔn)控制、保護(hù)您的網(wǎng)絡(luò)安全。關(guān)于互聯(lián)網(wǎng)邊界防火墻策略的配置項(xiàng)介紹，請參見互聯(lián)網(wǎng)邊界（出入雙向流量）。

只允許公網(wǎng)流量訪問指定端口的策略（入方向）

示例：ECS（主機(jī)）IP地址是10.1.XX.XX，綁定的EIP是200.2.XX.XX/32，需要設(shè)置所有公網(wǎng)（0.0.0.0/0）流量只允許訪問主機(jī)的TCP 80端口。

1. 登錄云防火墻控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇訪問控制 > 互聯(lián)網(wǎng)邊界。

3. 在入向頁簽，單擊創(chuàng)建策略。在創(chuàng)建入向策略面板的自定義創(chuàng)建頁簽，配置如下策略。

   1. 配置一條允許所有公網(wǎng)流量訪問主機(jī)的策略，單擊確定。

      關(guān)鍵配置項(xiàng)如下：

      配置項(xiàng)	說明	示例值
      源類型	網(wǎng)絡(luò)流量的發(fā)起方。您需要選擇訪問源類型，并根據(jù)訪問源類型輸入發(fā)送流量的訪問源地址。	IP
      訪問源		0.0.0.0/0 說明 0.0.0.0/0表示所有公網(wǎng)IP。
      目的類型	網(wǎng)絡(luò)流量的接收方。您需要選擇目的類型，并根據(jù)目的類型輸入接收流量的目的地址。	IP
      目的		200.2.XX.XX/32
      協(xié)議類型	傳輸層協(xié)議類型，支持設(shè)置為：TCP、UDP、ICMP、ANY。不確定具體協(xié)議時(shí)可選擇ANY。	TCP
      端口類型	設(shè)置目的端口類型和目的端口。	端口
      端口		80/80
      應(yīng)用	設(shè)置訪問流量的應(yīng)用類型。	ANY
      動作	設(shè)置匹配成功的流量在該條策略的放行情況。	放行
      優(yōu)先級	選擇該策略的優(yōu)先級，默認(rèn)為最后，表示優(yōu)先級最低。	最前
      啟用狀態(tài)	設(shè)置是否啟用策略。如果您創(chuàng)建策略時(shí)未啟用策略，可以在策略列表中開啟策略。	啟用

   2. 配置一條拒絕所有公網(wǎng)流量訪問所有主機(jī)的策略，單擊確定。

      參考上述放行策略，配置拒絕策略，關(guān)鍵配置項(xiàng)如下：

      • 目的：0.0.0.0/0

        說明

        0.0.0.0/0表示所有主機(jī)的IP地址。

      • 協(xié)議類型：ANY

      • 端口：0/0

        說明

        0/0表示主機(jī)的所有端口。

      • 應(yīng)用：ANY

      • 動作：拒絕

      • 優(yōu)先級：最后

   配置完成后，您需要確認(rèn)允許外到內(nèi)流量訪問主機(jī)的TCP 80端口的策略優(yōu)先級高于拒絕所有外到內(nèi)流量訪問主機(jī)的策略。

VPC邊界防火墻策略配置示例

VPC邊界防火墻可用于檢測和控制兩個(gè)VPC間的通信流量，也就是東西向流量。在對兩個(gè)VPC之間的流量管控時(shí)，您需要拒絕可疑流量或惡意流量，或者先放行可信流量，再拒絕其他地址的訪問。關(guān)于VPC邊界防火墻策略的配置項(xiàng)介紹，請參見VPC邊界。

不同VPC內(nèi)ECS之間禁止訪問

示例：VPC1和VPC2同屬于一個(gè)云企業(yè)網(wǎng)，VPC1下部署了ECS1實(shí)例（10.33.XX.XX/32），VPC2下部署了ECS2實(shí)例（10.66.XX.XX/32），需要禁止ECS1訪問ECS2。

1. 登錄云防火墻控制臺

2. 在左側(cè)導(dǎo)航欄，選擇訪問控制 > VPC邊界。

3. 在VPC邊界頁面，單擊創(chuàng)建策略。

4. 在創(chuàng)建策略-VPC邊界面板，配置如下策略，然后單擊確認(rèn)。

   關(guān)鍵配置項(xiàng)如下：

   配置項(xiàng)	說明	示例值
   源類型	訪問源地址的類型。	IP
   訪問源	發(fā)送流量的源地址。	10.33.XX.XX/32
   目的類型	目的地址類型。	IP
   目的	設(shè)置接收流量的目的地址。	10.66.XX.XX/32
   協(xié)議類型	設(shè)置傳輸?shù)膮f(xié)議類型。	TCP
   端口類型	設(shè)置端口類型。	端口
   端口	設(shè)置需要放開或限制的端口。可根據(jù)端口類型的配置項(xiàng)，手動輸入單個(gè)端口，或者單擊選擇，從地址簿中選擇預(yù)先配置的端口地址簿。	0/0
   應(yīng)用	設(shè)置訪問流量的應(yīng)用類型。	ANY
   動作	允許或拒絕該流量通過VPC邊界防火墻。	攔截

主機(jī)邊界防火墻（ECS實(shí)例間）策略配置示例

主機(jī)邊界防火墻可以對ECS實(shí)例間的入流量和出流量進(jìn)行訪問控制，限制ECS實(shí)例間的未授權(quán)訪問。主機(jī)邊界防火墻的訪問控制策略發(fā)布后，會自動同步到ECS安全組并生效。關(guān)于主機(jī)邊界防火墻策略的配置項(xiàng)介紹，請參見主機(jī)邊界（ECS實(shí)例出入流量）。

同一策略組中ECS實(shí)例之間實(shí)現(xiàn)互訪

示例：當(dāng)前策略組sg-test下的存在ECS1和ECS2，ECS1的IP地址是10.33.XX.XX，ECS2的IP地址是10.66.XX.XX。需要實(shí)現(xiàn)ECS1和ECS2之間互訪。

1. 登錄云防火墻控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇訪問控制 > 主機(jī)邊界。

3. 在主機(jī)邊界頁面，定位到目標(biāo)策略組，單擊操作列的配置策略。

4. 在入方向頁簽，單擊創(chuàng)建策略。

   配置入方向的放行策略，關(guān)鍵配置項(xiàng)如下：

   配置項(xiàng)	說明	示例值
   策略類型：	選擇策略類型。	允許
   協(xié)議類型	從協(xié)議類型列表選擇訪問流量的協(xié)議類型。	TCP
   端口范圍	輸入訪問流量使用的端口地址范圍。	0/0
   源類型、源對象	選擇訪問流量的來源 。策略方向選擇入方向時(shí)需要設(shè)置。您可以選擇訪問源地址的類型，并根據(jù)源類型設(shè)置源對象。	源類型：策略組 源對象：sg-test
   目的選擇	選擇訪問流量的目的地址。策略方向選擇入方向時(shí)需要設(shè)置。	地址段訪問，IP地址段設(shè)置為10.66.XX.XX 說明 如果需要該策略組內(nèi)的所有ECS實(shí)例實(shí)現(xiàn)互訪，目的選擇設(shè)置為全部ECS。 如果需要該策略組內(nèi)的部分ECS實(shí)例實(shí)現(xiàn)互訪，目的選擇設(shè)置為地址段訪問，并填寫對端ECS的IP地址段。

5. 如果您是企業(yè)安全組，那么也需要配置出方向的放行策略。

   普通安全組出方向默認(rèn)是放行策略，無需您另外配置。

   您可以參考入方向的策略進(jìn)行配置，關(guān)鍵配置項(xiàng)如下：

   • 源類型：IP

   • 源對象：10.66.XX.XX

   • IP地址段：10.33.XX.XX

不同策略組中ECS實(shí)例之間互訪

示例：ECS1和ECS2屬于不同的主機(jī)邊界防火墻策略組，ECS1的IP地址是10.33.XX.XX，ECS2的IP地址是10.66.XX.XX。需要實(shí)現(xiàn)ECS1和ECS2互訪。

1. 登錄云防火墻控制臺。

2. 在左側(cè)導(dǎo)航欄，選擇訪問控制 > 主機(jī)邊界。

3. 在主機(jī)邊界頁面，定位到ECS1所在的策略組，單擊操作列的配置策略。

4. 在入方向頁簽，單擊創(chuàng)建策略。

   配置入方向的放行策略，關(guān)鍵配置項(xiàng)如下：

   配置項(xiàng)	說明	示例值
   策略類型	選擇策略類型。	允許
   協(xié)議類型	從協(xié)議類型列表中選擇訪問流量的協(xié)議類型。	TCP
   端口范圍	輸入訪問流量使用的端口地址范圍。	0/0
   源類型、源對象	選擇訪問流量的來源 。策略方向選擇入方向時(shí)需要設(shè)置。您可以選擇訪問源地址的類型，并根據(jù)源類型設(shè)置源對象。	源類型：IP 源對象：10.66.XX.XX
   目的選擇	選擇訪問流量的目的地址。策略方向選擇入方向時(shí)需要設(shè)置。	地址段訪問，IP地址段設(shè)置為10.33.XX.XX 說明 如果需要sg-test2策略組內(nèi)的ECS實(shí)例訪問sg-test1策略組所有ECS，目的選擇設(shè)置為全部ECS。 如果需要sg-test2策略組內(nèi)的ECS實(shí)例訪問sg-test1策略組部分ECS，目的選擇設(shè)置為地址段訪問，并填寫sg-test1策略組內(nèi)ECS的IP地址段。

5. 如果您是企業(yè)安全組，那么也需要配置出方向的放行策略。

   普通安全組出方向默認(rèn)是放行策略，無需您另外配置。

   您可以參考入方向的策略進(jìn)行配置，關(guān)鍵配置項(xiàng)如下：

   • 源類型：IP

   • 源對象：10.33.XX.XX

   • IP地址段：10.66.XX.XX

6. 根據(jù)上述ECS1的策略配置，配置ECS2入方向和出方向的放行策略。