• 功能特性相關(guān)

  • 為什么使用云防火墻需要授予服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForCloudFW）？

  • 云防火墻最多支持幾個(gè)跨賬號(hào)部署？

  • 金融云基礎(chǔ)版云防火墻與其他版本有哪些差異？

  • 云防火墻是否有抗APT攻擊的能力？

  • 云防火墻支持公網(wǎng)SLB主要覆蓋哪些防護(hù)場(chǎng)景？

  • 云防火墻互聯(lián)網(wǎng)邊界核心防御功能有哪些？

  • 相比客戶自建防火墻，阿里云云防火墻有哪些優(yōu)勢(shì)？

• 按量付費(fèi)版相關(guān)

  • 云防火墻按量付費(fèi)版怎么收費(fèi)？

  • 如何查看云防火墻按量付費(fèi)流量使用明細(xì)？

  • 什么是云防火墻按量節(jié)省套餐，如何使用？

  • 云防火墻按量版和包年包月版有什么區(qū)別？

  • 如何將云防火墻包年包月版轉(zhuǎn)按量付費(fèi)版，有什么影響？

  • 如何將云防火墻按量付費(fèi)版轉(zhuǎn)包年包月版，有什么影響？

  • 如何關(guān)閉云防火墻按量版？

  • 為什么關(guān)閉云防火墻按量付費(fèi)版后還在扣費(fèi)？

• 防護(hù)范圍相關(guān)

  • 云防火墻是否支持防護(hù)L2 EIP？

  • 云防火墻是否支持防護(hù)經(jīng)典網(wǎng)絡(luò)？

  • 云防火墻是否支持對(duì)公網(wǎng)SLB的訪問？

  • 云防火墻是否支持對(duì)高速通道（專線VBR）和云企業(yè)網(wǎng)的訪問控制？

  • 互聯(lián)網(wǎng)邊界防火墻是否支持防護(hù)訪問公網(wǎng)VPN的流量？

  • VPC邊界防火墻是否支持防護(hù)通過IPsec-VPN訪問VPC的流量？

  • 哪些流量會(huì)占用云防火墻的防護(hù)帶寬？

• 與其他云產(chǎn)品的關(guān)系

  • 云防火墻在阿里云網(wǎng)絡(luò)中的位置是什么？

  • 同時(shí)使用DDoS、WAF、云防火墻，業(yè)務(wù)流量如何走向？

  • 如何通過Web應(yīng)用防火墻和云防火墻，有效管理互聯(lián)網(wǎng)暴露面？

  • 為什么使用CEN-TR的客戶，有著相對(duì)更強(qiáng)的云防火墻需求？

為什么使用云防火墻需要授予服務(wù)關(guān)聯(lián)角色（AliyunServiceRoleForCloudFW）？

您授權(quán)云防火墻訪問當(dāng)前阿里云賬號(hào)下的云資產(chǎn)，例如云服務(wù)器ECS（Elastic Compute Service）實(shí)例列表、專有網(wǎng)絡(luò)VPC（Virtual Private Cloud）實(shí)例列表、負(fù)載均衡SLB（Server Load Balancer）實(shí)例列表等，才能在云防火墻控制臺(tái)看到云資產(chǎn)的流量請(qǐng)求和響應(yīng)情況，以及云資產(chǎn)之間的私網(wǎng)業(yè)務(wù)訪問情況，并根據(jù)這些數(shù)據(jù)的分析結(jié)果配置訪問控制策略。

您只有使用阿里云賬號(hào)或擁有管理訪問控制權(quán)限（AliyunRAMFullAccess）的RAM用戶身份，才能授權(quán)云防火墻訪問云資源。關(guān)于授權(quán)的具體操作，請(qǐng)參見授權(quán)云防火墻訪問云資源。

云防火墻是否支持防護(hù)L2 EIP？

支持。云防火墻支持防護(hù)的資產(chǎn)范圍，請(qǐng)參見什么是云防火墻。

云防火墻是否支持防護(hù)經(jīng)典網(wǎng)絡(luò)？

僅支持經(jīng)典網(wǎng)絡(luò)中存在公網(wǎng)IP的ECS實(shí)例和部分SLB。主機(jī)邊界防火墻支持防護(hù)VPC間的流量，不支持防護(hù)經(jīng)典網(wǎng)絡(luò)。

云防火墻是否支持對(duì)公網(wǎng)SLB的訪問？

阿里云提供公網(wǎng)和私網(wǎng)兩種類型的負(fù)載均衡（SLB）服務(wù)。由于歷史網(wǎng)絡(luò)架構(gòu)的原因，部分公網(wǎng)SLB不支持云防火墻引流，推薦您采用私網(wǎng)SLB加EIP的方案，將流量牽引到云防火墻上進(jìn)行防護(hù)。

采用云防火墻后，數(shù)據(jù)從云防火墻流入DNAT（EIP），再流入私網(wǎng)SLB。

云防火墻是否支持對(duì)高速通道（專線VBR）和云企業(yè)網(wǎng)的訪問控制？

云防火墻是否有抗APT攻擊的能力？

有。云防火墻內(nèi)置的威脅情報(bào)功能具備防范APT攻擊的能力。

互聯(lián)網(wǎng)邊界防火墻是否支持防護(hù)訪問公網(wǎng)VPN的流量？

不支持。如果您從互聯(lián)網(wǎng)訪問公網(wǎng)VPN，該流量會(huì)被VPN加密，互聯(lián)網(wǎng)邊界防火墻無法對(duì)加密流量進(jìn)行檢測(cè)防護(hù)。

VPC邊界防火墻是否支持防護(hù)通過IPsec-VPN訪問VPC的流量？

首先需要明確您的網(wǎng)絡(luò)部署情況，VPC邊界防火墻是否支持防護(hù)分以下三種情況：

第一種：如果您的網(wǎng)絡(luò)中IPsec-VPN通過綁定云企業(yè)網(wǎng)轉(zhuǎn)發(fā)路由器的方式部署，將IPsec-VPN與業(yè)務(wù)VPC的網(wǎng)絡(luò)打通。這種情況下VPC邊界防火墻支持防護(hù)。

例如網(wǎng)絡(luò)部署如下，VPC邊界防火墻支持防護(hù)企業(yè)辦公網(wǎng)與業(yè)務(wù)VPC之間的流量。

第二種：如果您的網(wǎng)絡(luò)中IPsec-VPN通過綁定VPN網(wǎng)關(guān)的方式部署在業(yè)務(wù)VPC內(nèi)，且業(yè)務(wù)中存在跨VPC訪問的流量（CEN、VPC對(duì)等連接）。這種情況下，云防火墻支持防護(hù)跨業(yè)務(wù)VPC訪問的流量。

例如網(wǎng)絡(luò)部署如下，VPC邊界防火墻不支持防護(hù)企業(yè)辦公網(wǎng)到IPsec-VPN所在VPC之間的流量，但是支持企業(yè)辦公網(wǎng)與其他業(yè)務(wù)VPC（與IPsec-VPN所在VPC網(wǎng)絡(luò)打通的其他VPC）之間的流量。

如果您的業(yè)務(wù)必須防護(hù)通過IPsec-VPN訪問其他業(yè)務(wù)VPC的流量，可以對(duì)網(wǎng)絡(luò)進(jìn)行改造，將IPsec-VPN部署到一個(gè)單獨(dú)的VPC上，這樣云防火墻就可以防護(hù)IPsec-VPN所在VPC到其他業(yè)務(wù)VPC的流量。

第三種：如果您的網(wǎng)絡(luò)中IPsec-VPN通過綁定VPN網(wǎng)關(guān)的方式部署在業(yè)務(wù)VPC內(nèi)，業(yè)務(wù)中不存在跨VPC訪問的流量。這種情況下VPC邊界防火墻不支持防護(hù)。

例如網(wǎng)絡(luò)部署如下，VPC邊界防火墻不支持防護(hù)企業(yè)辦公網(wǎng)與業(yè)務(wù)VPC之間的流量。

哪些流量會(huì)占用云防火墻的防護(hù)帶寬？

云防火墻的防護(hù)帶寬包含公網(wǎng)流量處理能力、VPC流量處理能力、NAT私網(wǎng)流量處理能力。具體信息，請(qǐng)參見云防火墻購買頁。

云防火墻在阿里云網(wǎng)絡(luò)中的位置是什么？

下圖展示了部分阿里云產(chǎn)品（包括云防火墻）的邏輯關(guān)系。

同時(shí)使用DDoS、WAF、云防火墻，業(yè)務(wù)流量如何走向？

• 同時(shí)使用了DDoS、WAF（CNAME接入）、云防火墻，則業(yè)務(wù)的流量走向?yàn)椋?/p>

  DDoS->WAF->云防火墻->后臺(tái)服務(wù)

• 同時(shí)使用了DDoS、WAF（云產(chǎn)品接入）、云防火墻，則業(yè)務(wù)的流量走向?yàn)椋?/p>

  DDoS->云防火墻->WAF->后臺(tái)服務(wù)

金融云基礎(chǔ)版云防火墻與其他版本有哪些差異？

當(dāng)您有如下需求時(shí)，可以將金融云基礎(chǔ)版云防火墻升級(jí)到云防火墻的公有云高級(jí)版、企業(yè)版、旗艦版：

• 期望了解云上業(yè)務(wù)對(duì)外開放了哪些公網(wǎng)IP和端口，應(yīng)用開放的IP和端口有什么風(fēng)險(xiǎn)。

• 有等保需求，需要保持6個(gè)月以上的日志。

• 有基于域名的訪問控制需求，期望對(duì)失陷主機(jī)的主動(dòng)外聯(lián)進(jìn)行控制，控制只允許對(duì)外訪問某些域名和IP。

• 有FTP、MQTT動(dòng)態(tài)端口協(xié)議的應(yīng)用，需要基于應(yīng)用進(jìn)行訪問控制。

• 除了杭州金融云，還有其他地域的資源需要通過云防火墻防護(hù)。

關(guān)于云防火墻版本升級(jí)的方法，請(qǐng)參見升級(jí)和降配。

不同的版本支持的功能不同，您可以單擊某個(gè)版本，在版本描述下查看當(dāng)前版本的功能說明。更多信息，請(qǐng)參見功能特性。

云防火墻最多支持幾個(gè)跨賬號(hào)部署？

云防火墻高級(jí)版、企業(yè)版、旗艦版支持統(tǒng)一賬號(hào)管理功能（即跨賬號(hào)部署）。關(guān)于各版本支持的管控?cái)?shù)，請(qǐng)參見計(jì)費(fèi)說明。如果您需要添加更多的成員賬號(hào)，需要升級(jí)云防火墻規(guī)格，擴(kuò)充多賬號(hào)管控?cái)?shù)。具體操作，請(qǐng)參見升級(jí)和降配。

云防火墻支持公網(wǎng)SLB主要覆蓋哪些防護(hù)場(chǎng)景？

云防火墻現(xiàn)已全面支持新一代公網(wǎng)SLB架構(gòu)，提供全面的云端公網(wǎng)SLB防護(hù)。如果您已購買阿里云防火墻產(chǎn)品，可登錄云防火墻控制臺(tái)開啟防護(hù)開關(guān)，提升整體網(wǎng)絡(luò)安全能力。此外，云防火墻為公網(wǎng)SLB架構(gòu)的互聯(lián)網(wǎng)訪問提供入侵防御和訪問控制：

• 入侵防御（IPS）：提供快速部署的虛擬補(bǔ)丁，防護(hù)0-day和其他突發(fā)高風(fēng)險(xiǎn)漏洞，無需重啟或安裝補(bǔ)丁即可阻止漏洞遭到黑客攻擊。

• 訪問控制：實(shí)施細(xì)致的互聯(lián)網(wǎng)訪問管控，支持HTTP和HTTPS等應(yīng)用，同時(shí)提供特定IP、端口和協(xié)議的限制，特別是TCP業(yè)務(wù)的訪問控制，并能限定訪問源區(qū)域，如只允許來自特定地區(qū)的訪問，確保業(yè)務(wù)運(yùn)行更加可靠和安全。

相比客戶自建防火墻，阿里云云防火墻有哪些優(yōu)勢(shì)？

阿里云云防火墻提供了一個(gè)易于操作且即開即用的解決方案，它能統(tǒng)一管理南北向和東西向的網(wǎng)絡(luò)流量，全方位確保云上網(wǎng)絡(luò)的安全。相比于自建防火墻，阿里云云防火墻有以下優(yōu)勢(shì)：

• 托管服務(wù)：自建防火墻設(shè)備授權(quán)根據(jù)VPC數(shù)量增加，通過路由方式進(jìn)行配置和設(shè)備同步，增加更多網(wǎng)絡(luò)側(cè)故障點(diǎn)的同時(shí)，帶來了更復(fù)雜的安全控制與管理開銷。云防火墻由阿里云托管提供，無需部署任何設(shè)備。通過在控制臺(tái)簡(jiǎn)單的設(shè)置，秒級(jí)接入，有效降低網(wǎng)絡(luò)安全管控運(yùn)維成本。

• 高可用和彈性擴(kuò)展：自建防火墻高可用與性能強(qiáng)依賴于虛擬設(shè)備，云防火墻采用了集群部署的模式，支持性能的平滑擴(kuò)展，無需關(guān)注高可用、擴(kuò)容或接入等問題。通過雙可用區(qū)部署，任意一臺(tái)服務(wù)器或者任意一個(gè)AZ故障時(shí)都不會(huì)導(dǎo)致云防火墻故障。

• 云服務(wù)深度集成：云防火墻原生整合阿里云各類網(wǎng)絡(luò)服務(wù)（如VPC、CEN、EIP、SLB等），通過在網(wǎng)絡(luò)層面控制對(duì)云資產(chǎn)的訪問，聯(lián)動(dòng)終端安全能力，解決對(duì)云資產(chǎn)的異常訪問問題。

• 入侵防御和威脅情報(bào)：云防火墻內(nèi)置威脅檢測(cè)引擎，可同步更新全網(wǎng)威脅情報(bào)，對(duì)超過500萬的活躍惡意IP與域名條目進(jìn)行監(jiān)控，實(shí)現(xiàn)對(duì)來自互聯(lián)網(wǎng)的威脅進(jìn)行實(shí)時(shí)檢測(cè)和阻斷。

云防火墻互聯(lián)網(wǎng)邊界核心防御功能有哪些？

互聯(lián)網(wǎng)邊界防火墻檢測(cè)互聯(lián)網(wǎng)和云上公網(wǎng)IP資產(chǎn)間的通信流量。開通云防火墻服務(wù)后，可以為您提供以下防御功能：

• 盤點(diǎn)資產(chǎn)：云防火墻互聯(lián)網(wǎng)分析資產(chǎn)入向和出向正常流量和異常流量，包括開放應(yīng)用、開放端口、開放公網(wǎng)IP地址和流量訪問的云產(chǎn)品信息。

• 防護(hù)入侵：云防火墻內(nèi)置了威脅檢測(cè)引擎，可對(duì)互聯(lián)網(wǎng)上的惡意流量入侵活動(dòng)和常規(guī)攻擊行為進(jìn)行實(shí)時(shí)檢測(cè)和攔截，結(jié)合威脅情報(bào)，智能阻斷入侵風(fēng)險(xiǎn)。

• 封禁域名：網(wǎng)絡(luò)資產(chǎn)開啟云防火墻開關(guān)后，主動(dòng)外聯(lián)實(shí)時(shí)分析主機(jī)的主動(dòng)外聯(lián)數(shù)據(jù)，及時(shí)發(fā)現(xiàn)可疑主機(jī)。通過基于域名或IP的訪問控制，實(shí)現(xiàn)對(duì)公網(wǎng)訪問的封禁。

• 抵擋漏洞：對(duì)于可被遠(yuǎn)程利用的高危漏洞，云防火墻提供了虛擬補(bǔ)丁的能力，幫助客戶在無法安裝補(bǔ)丁或重啟系統(tǒng)的情況下，實(shí)現(xiàn)對(duì)漏洞的自動(dòng)化防御。

如何通過Web應(yīng)用防火墻和云防火墻，有效管理互聯(lián)網(wǎng)暴露面？

狹義的互聯(lián)網(wǎng)暴露面是暴露在互聯(lián)網(wǎng)的已知或未知資產(chǎn)，包括但不限于IP、端口、域名、應(yīng)用、API接口等，企業(yè)接入網(wǎng)絡(luò)的資產(chǎn)數(shù)量快速增長(zhǎng)，互聯(lián)網(wǎng)暴露面的風(fēng)險(xiǎn)增加，而互聯(lián)網(wǎng)暴露面越多越大，企業(yè)面臨的威脅就越大，有效管理互聯(lián)網(wǎng)暴露面是安全運(yùn)營(yíng)和管理工作的基本要求。

• 業(yè)務(wù)應(yīng)用資產(chǎn)的管理：各類業(yè)務(wù)系統(tǒng)平臺(tái)逐年增多，可能存在員工自建站點(diǎn)，測(cè)試環(huán)境或API未及時(shí)回收等情況。這些資產(chǎn)可能使用了低版本的開源系統(tǒng)、組件、Web框架，開放了超過業(yè)務(wù)需求的訪問權(quán)限，攻擊者可以利用這些資產(chǎn)作為“跳板”繞過企業(yè)的網(wǎng)絡(luò)邊界防護(hù)。Web應(yīng)用防火墻資產(chǎn)識(shí)別通過獲取阿里云證書、云解析、Web應(yīng)用防火墻、萬網(wǎng)等產(chǎn)品的配置信息，結(jié)合大數(shù)據(jù)關(guān)聯(lián)分析能力，提供全局資產(chǎn)視角，避免在安全防護(hù)中出現(xiàn)資產(chǎn)疏漏，提高整體安全防護(hù)水位線。

• 網(wǎng)絡(luò)資產(chǎn)的管理：企業(yè)業(yè)務(wù)的高速發(fā)展，云上IP數(shù)量逐年增多。由于疏于管理，這些IP可能開放了超過業(yè)務(wù)需求的端口和服務(wù)。云防火墻幫助檢測(cè)互聯(lián)網(wǎng)和云上公網(wǎng)IP資產(chǎn)間的通信流量，關(guān)閉不必要的IP、端口暴露，通過配置訪問控制策略，對(duì)互聯(lián)網(wǎng)訪問進(jìn)行精細(xì)化的訪問控制。

為什么使用CEN-TR的客戶，有著相對(duì)更強(qiáng)的云防火墻需求？

隨著越來越多的業(yè)務(wù)上云，企業(yè)云上網(wǎng)絡(luò)可能規(guī)劃多個(gè)跨地域的VPC，通過云企業(yè)網(wǎng) CEN（Cloud Enterprise Network）幫助用戶構(gòu)建一張高性能、低延遲的跨地域多個(gè)VPC以及云上VPC與線下IDC互聯(lián)的高可用網(wǎng)絡(luò)，實(shí)現(xiàn)多樣化的組網(wǎng)和管理需求。

所以企業(yè)版轉(zhuǎn)發(fā)路由器（CEN-TR）的客戶大會(huì)存在如下需求：

• 多業(yè)務(wù)跨VPC、混合云的網(wǎng)絡(luò)管控需求：由于不同VPC的業(yè)務(wù)等級(jí)和安全等級(jí)不同，但是業(yè)務(wù)互訪需要將多VPC有條件的聯(lián)通，從網(wǎng)絡(luò)殺傷鏈攻擊者橫向滲透的角度，企業(yè)需要合理規(guī)劃和設(shè)計(jì)云上跨VPC以及云上VPC和云下IDC的網(wǎng)絡(luò)訪問控制和防護(hù)策略。跨VPC網(wǎng)絡(luò)安全管理、云上VPC到云下IDC邊界管控的復(fù)雜度與企業(yè)VPC數(shù)量、上云業(yè)務(wù)規(guī)模等有著很大的關(guān)聯(lián)。CEN-TR擴(kuò)大了支持的VPC數(shù)量，云上東西向網(wǎng)絡(luò)管理復(fù)雜度提升，客戶對(duì)云上高效的東西向精細(xì)化管控需求更強(qiáng)。

• 合規(guī)需求：大型企業(yè)級(jí)客戶上云，大多面臨等保、ISO27001等合規(guī)需求，對(duì)網(wǎng)絡(luò)安全訪問控制策略提出了要求，例如，等保云計(jì)算安全擴(kuò)展提到應(yīng)在不同等級(jí)的網(wǎng)絡(luò)區(qū)域邊界部署訪問控制機(jī)制，實(shí)現(xiàn)基于會(huì)話和應(yīng)用的訪問控制，這些要求需要云防火墻企業(yè)版的東西向網(wǎng)絡(luò)管控/防護(hù)能力。