# 约束与限制 本文介绍云防火墙服务在使用过程中的约束和限制。 #### CFW使用限制 - 仅支持对部署在华为云的业务提供防护，不支持[智能边缘云IEC](https://support.huaweicloud.com/productdesc-iec/iec_01_0100.html#section1)的业务，也不支持跨云使用。 - 支持弹性公网IP EIP的流量防护，不支持全域弹性公网IP G-EIP、API网关 APIG绑定的EIP的流量防护。 - 购买的云防火墙只能在当前选择的区域使用，如需在其它区域使用，请切换到对应区域进行购买。 - VPC边界流量防护功能依赖企业路由器ER服务引流，使用该功能时，需确保账号下至少有一个企业路由器。 - 云防火墙不支持防护中文域名。 - 标准版旁路引擎已于2023年1月停止销售，相关功能在此之后停止演进，该版本不支持云监控服务CES、查看IPS库或修改IPS动作、日志存储至云日志服务LTS、病毒防御（专业版）、防护泛域名等功能。如需使用以上功能建议切换为直路引擎。 #### 防护策略配额限制 如果需要增加防护策略配额，请[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)进行申请。 - 一个防火墙实例最多添加20,000条防护策略（防护规则和黑白名单），同时黑白名单限制如下： - 互联网边界黑白名单配额限制： - 一个防火墙实例最多添加2,000条黑名单。 - 一个防火墙实例最多添加2,000条白名单。 - VPC边界黑白名单配额限制： - 一个防火墙实例最多添加2,000条黑名单。 - 一个防火墙实例最多添加2,000条白名单。 - 防护规则中的引用限制如下： - IPv4 IP地址的个数最大支持4,000个（源和目的各4,000个），IPv6 IP地址的个数最大支持2,000个（源和目的各2,000个）。 - 最多添加20个"IP地址"（源和目的各20个）。 - 最多关联10个"IP地址组"（源和目的各10个）。 - 最多添加10个"服务"。 - 最多关联10个"服务组"。 - 单条防护规则最多添加10个"应用域名"。 - 单条防护规则最多关联8个"应用域名组"。 - 单条防护规则最多添加3个"网络域名"。 - 单条防护规则最多关联1个"网络域名组"。 - 成员组 - IP地址组 - 每个防火墙实例下最多添加3,000个IP地址组。 - 每个IP地址组中最多添加640个IP地址成员，且单次最多可添加640个IP地址成员。 - 每个防火墙实例下最多添加30,000个IP地址。 - 服务组 - 每个服务组中最多添加64个服务成员。 - 每个防火墙实例下最多添加512个服务组。 - 每个防火墙实例下最多添加900个服务成员。 - 域名组 - 基础版仅支持应用型域名组。 - 域名组中所有域名被"防护规则"引用最多40,000次，泛域名（例如：\*.example.com）被"防护规则"引用最多2000次。 - **应用域名组（七层协议解析）** - 每个防火墙实例下最多添加500个域名组。 - 每个防火墙实例下最多添加2500个域名成员。 - 每个应用域名组中最多添加1500个域名成员，且单次最多可添加500个域名成员。 - **网络域名组（四层协议解析）** - 每个防火墙实例下最多添加1000个域名组。 - 每个防火墙实例下最多添加1000个域名成员。 - 每个网络域名组中最多添加15个域名成员。 - 每个域名组最多支持解析1500个IP地址。 - 每个域名最多支持解析1000个IP地址。 - 每个防火墙实例下最多支持解析20000个IP地址。 #### 基础防御IPS限制 - 修改基础防御规则动作 - 最多可修改3000条规则为"观察"。 - 最多可修改3000条规则为"拦截"。 - 最多可修改128条规则为"禁用"。 - 自定义IPS特征 - 仅"专业版"支持自定义IPS特征。 - 最多支持添加500条特征。 #### 日志数据限制 - 云防火墙支持查看7天以内的日志数据，如果需要记录并查看1-365天的日志数据，您可以将单类或者多类日志记录至云日志服务LTS中。 - 条数限制：单类日志最多支持查1,000条数据，导出100,000条记录。 - 基础版不支持查询攻击事件日志。