文档首页/ 云防火墙 CFW/ 用户指南（安卡拉区域）/ 访问控制/ 访问控制策略概述
更新时间：2025-12-01 GMT+08:00
查看PDF
分享

访问控制策略概述

开启云防火墙防护时，系统默认放行所有流量。如果未配置访问控制策略，内部服务器与外网之间的通信将完全开放，无法有效管控未授权访问或内部威胁扩散。为此云防火墙提供访问控制策略功能，可以通过自定义拦截或放行规则，对特定流量进行安全隔离，实现多方位防护。

访问控制策略类型

访问控制策略包括“防护规则”、“黑名单”、“白名单”功能，区别如表1所示，流量命中某一条策略时，执行该策略的动作。

表1 防护规则和黑/白名单的区别

类型

支持的防护对象

网络类型

防护后的动作

配置方式

防护规则
  • 五元组
  • IP地址组
  • 地理位置（地域）
  • 域名和域名组
  • 公网IP
  • 私网IP
  • 设置为“阻断”：流量直接拦截。
  • 设置为“放行”：流量被“防护规则”功能放行后，再经过入侵防御（IPS）功能检测。

通过防护规则拦截/放行流量

黑名单
  • 五元组
  • IP地址组

直接拦截流量。

通过黑白名单拦截/放行流量

白名单

流量被云防火墙放行，不再经过其它功能检测。

规格限制

VPC边界防护和NAT流量防护，需满足专业版防火墙且开启VPC边界防火墙防护。

配置阻断策略时注意事项

配置阻断IP的防护规则或黑名单时需注意以下几点：

  1. 建议优先配置精准的IP（如192.168.10.5），减少网段配置，避免误拦截。
  2. 对于反向代理IP（如Web应用防火墙（WAF）的回源IP），请谨慎配置阻断策略，建议配置放行的防护规则或白名单。
  3. 对于正向代理IP（如公司出口IP），影响范围较大，请谨慎配置阻断策略。
  4. 配置“地域”防护时，需考虑公网IP可能更换地址的情况。

防护规则中的防护元素

防护规则支持识别并匹配不同流量元素，实现对相关流量的放行或阻断。

匹配项

说明

配置类型

不同规则支持的配置类型

源

网络连接发起方
  • IP：对特定的单个IP地址发起的流量进行访问控制。
  • IP地址组：对一系列IP地址发起的流量进行访问控制。
  • 地域：对特定地理区域的IP地址发起的流量进行访问控制。
  • Any：任意源地址。
  • 互联网边界：
    • 外-内（入向策略）：IP地址、IP地址组、地域、ANY
    • 内-外（出向策略）：IP地址、IP地址组、ANY
  • NAT网关：
    • 外-内（入向策略）：IP地址、IP地址组、地域、ANY
    • 内-外（出向策略）：IP地址、IP地址组、ANY
  • VPC边界规则：IP地址、IP地址组、ANY

目的

网络连接接收方
  • IP：对特定的单个IP地址接收到的流量进行访问控制。
  • IP地址组：对一系列IP地址接收到的流量进行访问控制。
  • 地域：对特定地理区域的IP地址接收到的流量进行访问控制。
  • 域名/域名组：对域名地址接收到的流量进行访问控制。

    如果防护规则的目的需要配置为域名或者域名组时，还需要了解如下两种域名识别模式：

    • 应用型：应用类型为HTTP、HTTPS、TLS、SMTPS、POPS时，云防火墙优先通过Host或SNI字段来实现域名的访问控制。
    • 网络型：基于解析到的IP地址过滤；云防火墙对域名进行DNS解析，支持对解析出的IP地址进行访问控制。
  • Any：任意目的地址。
  • 互联网边界：
    • 外-内（入向策略）：IP地址、IP地址组、ANY
    • 内-外（出向策略）：IP地址、IP地址组、地域、域名/域名组、ANY
  • NAT网关：
    • 外-内（入向策略）：IP地址、IP地址组、ANY
    • 内-外（出向策略）：IP地址、IP地址组、地域、域名/域名组、ANY
  • VPC边界规则：IP地址、IP地址组、域名/域名组、ANY

服务

流量的协议类型或端口号

服务和服务组：表示指定一个服务或者多个服务的集合，通过指定协议类型、源端口、目的端口等信息来标识服务。

ICMP协议不支持配置端口。

服务：设置协议类型、源端口和目的端口。

  • 协议：传输层协议，支持选择TCP、UDP、ICMP。
  • 源端口：对访问流量发起的源端口进行访问控制。
  • 目的端口：对访问流量的目的端口进行访问控制。

服务组：多个服务的集合。

ANY：不确定具体协议类型时可选择ANY。

应用

应用层协议

支持HTTP、HTTPS、SMTP、SMTPS、SSL、POP3等多种协议。

不确定具体应用类型时可选择ANY。

取决于选择的协议类型。

配置示例：

参数名称

输入示例

说明

源/目的

0.0.0.0/0

所有IP。

域名

www.example.com

对www.example.com域名生效。

*.example.com

所有以example.com为后缀的域名，例如：test.example.com。

服务-源端口/目的端口

1-65535

所有端口生效。

80-443

对80到443之间的所有端口生效。
  • 80
  • 443

对80和443端口生效。

相关文档

父主题： 访问控制