WAF支持15类防护规则：Web基础防护、CC攻击防护、智能限速防护、精准访问防护、黑白名单、地理位置访问控制、威胁情报访问控制、扫描防护、BOT管理、网站反爬虫、网页防篡改、防敏感信息泄露、隐私屏蔽、全局白名单、大模型检测。不同接入模式和版本支持的规则类型不同。

在"接入管理"页面选择独享模式，配置防护对象（域名/IP）、防护端口、源站配置（对外协议、源站协议、VPC、源站地址、源站端口）、证书和防护策略。完成后需绑定WAF独享引擎实例与ELB负载均衡器，并放行独享引擎回源IP。

①优先凌晨低峰期切换DNS；②先灰度接入非生产环境验证；③源站配置只放行WAF回源IP；④HTTPS同步部署SSL证书并配置TLS加密套件；⑤接入初期使用观察模式排除误报；⑥开启告警通知和监控规则；⑦保存DNS、证书、回源配置以便快速回滚。

可以。WAF内置规则库已覆盖该漏洞的攻击特征，开启Web基础防护规则即可拦截利用该漏洞的攻击请求。

WAF在转发请求时会在本地开放端口接收流量，漏洞扫描工具可能将WAF开放的端口误报为源站端口。这是WAF正常工作行为，不影响源站安全。

WAF与源站之间默认使用RC4等加密算法进行内部通信，漏洞扫描工具可能检测到WAF与源站间的加密算法。WAF与客户端的通信不受影响，可在源站禁用RC4算法。

不能直接切换。添加防护域名/IP时需选择部署模式：云模式-CNAME接入、云模式-ELB接入或独享模式。防护域名添加到WAF后，部署模式不能切换，需删除后重新添加。

不可以。同一域名/IP在同一region下只能添加到一个WAF账号进行防护。如需切换账号防护，需先在原账号删除该域名/IP，再在新账号添加。

不支持。WAF是区域级服务，在某个region购买的WAF只能防护该region下的业务。如需多region防护，需在每个region分别购买WAF。

不支持。WAF在某个企业项目下购买后，只能在该企业项目下使用。不同企业项目需分别购买WAF实例。

不可以。WAF实例绑定购买时选择的企业项目，其他企业项目无法使用该WAF实例。如需多企业项目使用，需在各企业项目下分别购买。

WAF支持华为云多个区域，包括华北-北京一/二/四、华东-上海一/二、华南-广州、西南-贵阳一、中国-香港等。具体支持区域以WAF控制台购买页面显示为准，部分区域独享模式已停售。

当前VPC对等连接暂不收取您的任何费用。前提条件：已在同一个账号下创建两个VPC，仅可以连通同区域的VPC，不同区域的VPC之间不能创建对等连接。

区域（Region）指华为云数据中心所在的地理位置，如华北-北京四；可用区（AZ）是同一区域内电力和网络互相隔离的物理分区。WAF是区域级服务，不支持跨区域使用。

支持。云模式-ELB接入和独享模式支持防护公网IP和私网IP。云模式-CNAME接入仅支持域名防护。防护IP时需确保IP在华为云上。

WAF支持防护域名、公网IP和私网IP。云模式-CNAME接入仅支持域名；云模式-ELB接入支持域名和公网IP；独享模式支持域名、公网IP和私网IP。

WAF侧重对Web应用层攻击进行实时拦截防护（如SQL注入、XSS、CC攻击）；漏洞管理服务（VSS）侧重对Web应用进行漏洞扫描和检测，发现漏洞后提供修复建议，不进行实时拦截。

支持。通过精准访问防护规则可对POST请求体内容进行检测和拦截，支持配置字段（Params、Body、Cookie等）、逻辑关系和匹配内容，实现自定义POST请求拦截。

支持。WAF支持IPv4和IPv6双栈防护，接入WAF后可同时防护IPv4和IPv6访问请求。

WAF网页防篡改通过缓存静态页面，在请求时返回未篡改页面，侧重访问时实时防护；HSS网页防篡改通过监控服务器文件完整性，发现篡改后告警并恢复，侧重服务器端文件级防护。两者可配合使用。

WAF支持主流Web框架和协议，包括HTTP/HTTPS（TLS 1.0-1.2）、HTTP/2.0。不区分后端框架（Tomcat、Nginx、Apache等均可防护），只要流量经过WAF转发即可检测。

支持。WAF支持防护配置了HSTS（HTTP Strict Transport Security）策略的网站，WAF在转发请求时会保持HSTS响应头不变。

WAF转发在转发前对HTTP/HTTPS请求进行深度安全检测（SQL注入、XSS等），拦截恶意请求后再转发到源站；Nginx转发仅做负载均衡和反向代理，不进行安全检测。WAF可视为带安全检测能力的反向代理。

WAF是七层（应用层）防护，针对HTTP/HTTPS请求进行深度检测，防护SQL注入、XSS、CC等应用层攻击；云防火墙（CFW）是三/四层（网络层/传输层）防护，主要控制IP/端口访问和VPC边界流量。两者防护层级不同，可配合使用。

支持。WAF支持配置会话Cookie属性，包括HttpOnly、Secure、SameSite等安全属性，增强Cookie安全性，防止CSRF攻击和XSS信息窃取。

WAF通过模式匹配、语义分析和签名规则库对请求参数、Header、Body等进行深度检测。SQL注入检测匹配SQL关键字和注入特征；XSS检测匹配脚本标签和事件处理器；PHP注入检测匹配PHP函数和代码执行特征。

WAF不支持跨Project使用。在某个Project下购买的WAF只能在同一Project下添加防护域名和配置防护策略。如需在多个Project下使用WAF，需在每个Project下分别购买。

APIG（API网关）主要做API管理和流量控制，不具备WAF的深度安全检测能力（SQL注入、XSS等）。如需Web安全防护，建议在APIG后端部署WAF，WAF与APIG配合使用效果更佳。

本地文件包含（LFI）是指攻击者通过漏洞包含服务器本地的文件，可能导致敏感信息泄露；远程文件包含（RFI）是指攻击者通过漏洞包含远程服务器上的文件，可能导致任意代码执行。WAF的Web基础防护规则可检测并拦截这两种攻击。

QPS（Queries Per Second）是每秒请求数，衡量瞬时并发处理能力；请求次数是统计周期内总请求数。WAF版本按QPS规格限速（如标准版1000QPS），超出QPS限制的请求可能被限流。

如果域名解析到中国大陆region的WAF，域名必须完成ICP备案。如果域名解析到中国大陆以外region（如中国-香港），不需要ICP备案。

支持。WAF支持通过IAM配置自定义授权策略，可精细控制子用户对WAF资源的操作权限，包括查看、编辑防护策略、管理防护域名等。

HWWAFSESID和HWWAFSESTIME是WAF插入的会话标识Cookie，用于WAF识别同一用户的会话和进行CC攻击防护计数。HWWAFSESID标识会话ID，HWWAFSESTIME记录会话时间。这是WAF正常工作行为。

WAF是软防火墙。购买WAF后，只需将域名接入WAF即可使用防护功能，无需安装硬件设备。

不需要中断现有业务，不影响源站服务器运行状态。云模式CNAME接入需修改DNS解析使流量经过WAF转发，建议在业务量少时修改。

可以。独享模式WAF的独享引擎实例部署在VPC内。云模式WAF部署在华为云公共网络，不在用户VPC内。

取决于客户网络配置。WAF独享引擎归属在客户创建的VPC中，回源IP地址配置不做VPC限制；如需跨VPC转发，客户需自行打通网络并关注网段重叠风险，避免出现冲突或环路导致业务受损。

支持。WAF云模式可跨云使用，支持防护非华为云和云下服务器，但该服务器必须已连接互联网。云模式基于域名防护，只要有域名就能防护，不区分云上云下。

WAF部署在云端，与操作系统无关，支持任意操作系统。任意操作系统上的域名服务器都可以接入WAF做防护。

WAF提供七层（应用层）防护，即对HTTP/HTTPS请求进行深度检测，覆盖物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。

WAF暂不支持健康检查功能。如需健康检查，建议将ELB和WAF搭配使用，通过ELB实现后端服务器健康检查。

WAF仅缓存配置了网页防篡改的静态网页，用于返回未篡改页面给访问者。WAF不会缓存所有网站数据。如需全站缓存，建议部署CDN，WAF部署在CDN和源站之间。

不能。WAF不能防止垃圾注册等业务层面攻击行为。建议在网站配置注册验证机制（如验证码）防止垃圾注册。WAF主要防护SQL注入、XSS、CC攻击等网络层攻击。

没有。WAF没有传统防火墙的IPS模块，不支持IPS入侵防御，仅支持对HTTP/HTTPS协议的入侵检测。

有影响。WAF可处理客户端的HTTP 2.0请求，但WAF与源站间仅支持HTTP 1.0/1.1协议转发回源请求，即WAF与源站间暂不支持HTTP 2.0。

目前WAF最高支持HTTP/2协议，不支持HTTP/3协议。

WAF暂不支持弹性伸缩功能。云模式为多租共享，独享模式需手动管理引擎实例。

在WAF控制台获取回源IP段（通常2-4个C段地址），在源站ECS安全组入方向规则或ELB访问控制白名单中添加该IP段。若不放行，可能触发502/504错误。

支持。入门版不支持泛域名。标准版及以上支持泛域名（如*.example.com）。若各子域名对应相同服务器IP，可添加泛域名；若IP不同，需按单域名逐条添加。泛域名只能使用泛域名证书。

其他用户在WAF配置了同样的域名，导致域名所有权被另外一个用户占有了。此时，您需要前往您的DNS服务商处，添加一条“子域名”，并为该子域名配置一条“TXT记录”。

①非标准端口时，对外协议、源站协议和源站端口必须都相同；②标准端口时，对外协议、源站协议和源站端口可不相同；③WAF采用轮询方式回源，多个服务器间负载均衡，减少单服务器压力。

是的，同一企业项目内，同一类型的告警通知仅支持配置一个。

WAF支持防御的CVE漏洞：CVE-2017-7525、CVE-2019-17571、CVE-2018-1270、CVE-2016-1000027、CVE-2022-22965、CVE-2022-22968、CVE-2018-20318。

多个ELB可以共用一个WAF独享引擎实例，将独享WAF实例添加到对应的ELB后端服务器组即可。

WAF不支持配置跨域禁止访问功能。

HSS是提升主机整体安全性的服务，通过主机管理、风险预防、入侵检测、高级防御、安全运营、网页防篡改功能，全面识别并管理主机中的信息资产，实时监测主机风险并阻止非法入侵行为，帮助企业构建服务器安全体系。

容器安全是HSS提供的容器全生命周期防护能力，包括镜像漏洞扫描、容器运行时安全（逃逸检测、进程黑白名单、文件访问控制）、容器资产识别等。需购买容器版HSS并安装容器安全Agent。

网页防篡改是HSS的主动防御功能，通过实时监控防护目录中的文件变化，检测到篡改时自动恢复原始文件。支持静态网页防篡改、动态网页防篡改和网盘文件防篡改，适用于政府、教育、国企等网站防护场景。

镜像是容器运行的模板，包含应用运行所需的文件和配置；容器是镜像的运行实例；应用运行在容器内。HSS容器安全以镜像为防护对象，防护镜像所关联的容器网站应用。

①购买防护配额→②安装Agent（安装后才能开启防护）→③设置告警通知→④开启主机防护（为主机分配配额）→⑤查看检测结果并处理风险。关闭防护或删除主机后，配额可分配给其他主机。

支持。HSS支持防护本地IDC服务器，但该服务器必须能访问公网（与HSS云端防护中心通信）。需在服务器上手动安装Agent，并确保网络连通性。

可能存在冲突。HSS的Agent与部分安全软件（如DenyHosts）存在功能冲突，DenyHosts会导致IP封禁失效。建议安装HSS前卸载其他安全软件，或停止冲突服务。HSS的恶意程序隔离查杀功能可能与第三方杀毒软件冲突。

HSS侧重主机层安全防护（入侵检测、漏洞管理、基线检查、网页防篡改），防护已发生的入侵行为；CodeArts Inspector侧重代码和Web应用漏洞扫描检测；WAF侧重Web应用层攻击实时拦截（SQL注入、XSS等）。三者配合使用形成立体防护。

不支持。HSS配额在购买账号下使用，不支持跨账号共享。如需多账号使用，需在各账号下分别购买HSS配额。

Agent是HSS提供的一款软件，安装在主机和容器节点上，用于与HSS云端防护中心进行数据交互，实现安全检测与防护。分Linux版和Windows版，安装后才能使用HSS的所有功能。Agent状态分为在线、离线、未安装三种。

支持。HSS支持多云环境统一管理，可防护华为云ECS、BMS、非华为云服务器和本地IDC服务器。只要主机能访问公网并安装Agent，即可接入HSS防护。但不同云上的主机需确保网络连通性。

企业版、旗舰版、容器版和网页防篡改版均满足等保二级要求。基础版不满足等保二级要求。等保三级需旗舰版或容器版。建议根据合规要求选择对应版本。

支持。基础版可升级到企业版/旗舰版，企业版可升级到旗舰版，旗舰版可升级到网页防篡改版。升级时需确保目标版本配额状态为空闲。网页防篡改版需单独购买，不支持从其他版本直接升级。

支持。企业版及以上版本支持恶意程序检测与隔离查杀，通过恶意程序库+图像指纹算法+病毒云查杀三重算法检测。旗舰版支持勒索病毒防护。但HSS不能完全替代传统杀毒软件，建议配合使用增强防护效果。

购买ECS时勾选主机安全防护可自动安装Agent（包年/包月支持基础版至网页防篡改版，按需仅支持企业版）。单独购买HSS配额需手动在主机上安装Agent，通过控制台复制安装命令执行。

支持两种方式：①在HSS控制台一键卸载；②在主机本地执行命令卸载—Linux执行rpm -e hostguard或dpkg -P hostguard，Windows在"控制面板 > 程序和功能"中卸载HostGuard。卸载前需关闭Agent自保护功能。

排查步骤：①确认操作系统在HSS支持列表内；②检查网络连通性（安全组出方向放通100.125.0.0/16:10180）；③确认DNS配置正确（华为云内网DNS）；④检查磁盘空间是否充足；⑤检查是否有i属性锁定目录（chattr -i解除后重试）；⑥查看安装日志定位具体错误。

Agent状态分为在线、离线、未安装。安装后需等待5-10分钟控制台刷新。若超过10分钟仍离线：①检查操作系统是否支持；②检查网络是否正常（安全组放通100.125.0.0/16:10180）；③重启Agent进程（Linux: service hostguard restart，Windows: 任务管理器重启HostGuard服务）；④若仍异常，卸载后重新安装。

Linux系统默认安装路径为/usr/local/hostguard/；Windows系统默认安装路径为C:\Program Files\HostGuard\。Agent日志路径：Linux为/var/log/hostguard/，Windows为C:\Program Files\HostGuard\log\。

Agent设计轻量化，对主机业务性能影响极小。CPU占用≤1vCPU的20%（病毒查杀时≤30%）；内存占用≤500MB（病毒查杀时≤800MB）；一般情况下，上行带宽或下行带宽都不会超过1MB/s；磁盘占用情况区分系统，Linux：安装目录位于/usr/local/hostguard，最多占用600MB。日志目录位于/var/log/hostguard/，最多占用250MB。Windows：安装目录和日志目录均位于C:\Program Files\HostGuard，最多占用700MB。

可以。同一主机只需安装一次Agent，不同版本的HSS共用同一Agent。版本升级时无需重新安装Agent，Agent会自动适配新版本功能。切换版本只需在控制台操作配额即可。

在HSS控制台"资产管理 > 主机管理"页面，Agent状态筛选选择"未安装"，即可查看所有未安装Agent的主机列表。支持按操作系统、区域等条件过滤，可批量导出主机信息。

通常由DNS无法解析、10180端口被限制访问、可用内存不足（<300M）或无法正常获取metadata等原因导致。

Agent需访问HSS云端防护中心（100.125.0.0/16网段的10180端口）进行数据交互。非华为云主机需通过公网访问HSS服务端。Agent不会访问其他外部资源，所有通信均加密传输。

制作包含Agent安装脚本的镜像，通过镜像创建ECS实现批量安装。注意：镜像需在同一Region使用，跨Region需手动重装；账号密码批量安装需同一VPC、相同密码且安全组放通网络。CCE集群安装Agent支持随集群扩缩容自动安装/卸载。

在终端节点列表中，查看是否存在终端节点服务名称为 com.myhuaweicloud.xxx.hss-agent 的终端节点。存在：表示网络已打通，可返回控制台执行后续安装Agent操作。不存在：表示网络未打通，可选择自动打通（返回控制台重新执行安装操作）或手动打通网络。终端节点说明：其中"xxx"表示Region ID，例如华东二的Region ID为 cn-east-4。

基础版：漏洞扫描、弱口令检测，适合测试环境；专业版：病毒木马查杀、漏洞一键修复；企业版：等保二级必备，基线配置识别、全盘扫描；旗舰版：等保三级必备，APT攻击检测、勒索防护；容器版：容器逃逸检测、镜像安全；网页防篡改版：静态+动态网页防篡改。

HSS支持华为云多个区域，包括华北-北京一/二/四、华东-上海一/二、华南-广州、西南-贵阳一、中国-香港等。具体支持区域以HSS控制台购买页面显示为准。配额仅限所选区域使用，不支持跨区域。

可以。HSS支持防护非华为云服务器和本地IDC服务器，只要主机能访问公网即可安装Agent接入HSS防护。但需注意：非华为云主机无法通过购买ECS时自动安装Agent，需手动安装；且需确保网络连通性。

Linux：CentOS 6/7/8、Ubuntu 16.04/18.04/20.04/22.04、Debian 8/9/10/11、EulerOS 2.2-2.11、OpenSUSE 15、Fedora 33等；Windows：Windows Server 2008/2012/2016/2019/2022。具体支持列表请参考产品文档，建议使用主流稳定版本。

①开启HSS账户破解防护功能（基础版及以上支持）；②配置双因子认证（密码+短信/邮件验证码）；③设置安全的口令（8位以上，含大小写字母、数字、特殊字符）；④配置常用登录IP白名单和SSH登录IP白名单；⑤通过安全组限制公网SSH登录。

可以。在HSS控制台"安全运营 > 策略管理"中，选择对应策略，关闭"异地登录检测"开关。关闭后不再对异地登录行为告警。建议谨慎关闭，异地登录检测是发现账号泄露的重要手段。

①安装PAM模块：yum install pam_pwquality（CentOS）或apt install libpam-pwquality（Ubuntu）；②编辑/etc/security/pwquality.conf配置口令复杂度（minlen=8, minclass=3等）；③编辑/etc/pam.d/system-auth添加pam_pwquality.so模块；④HSS基线检查可自动检测口令复杂度合规性。

①打开"运行"输入secpol.msc打开本地安全策略；②导航到"账户策略 > 密码策略"；③启用"密码必须符合复杂性要求"，设置最小密码长度8位、密码最长期限90天等；④HSS基线检查可自动检测Windows口令复杂度合规性。

①购买HSS旗舰版，开启勒索病毒防护功能；②配置防护目录，HSS实时监控文件加密行为并自动阻断；③开启恶意程序隔离查杀，检测已知勒索病毒；④定期备份重要数据到OBS；⑤关闭不必要的端口和服务，及时修复漏洞。

①长度至少8位，建议12位以上；②包含大小写字母、数字、特殊字符四类中至少三类；③不使用字典单词、用户名、生日等易猜信息；④定期更换（建议90天）；⑤不同系统使用不同口令；⑥通过HSS基线检查检测弱口令并修复。

“Windows系统漏洞”和“Linux系统Kernel类的漏洞”修复完成后需要手动重启，否则HSS仍可能为您推送漏洞消息。

可能原因：①漏洞修复后未重启主机，补丁未生效；②漏洞扫描缓存未更新，需手动触发重新扫描；③修复的组件版本仍低于安全版本（如只升级了子包）；④存在多个受影响组件，只修复了部分。建议修复后重启主机并手动触发漏洞验证。

可能原因：①主机已删除或退订，但漏洞记录仍保留；②主机Agent已离线，无法获取最新状态；③主机已迁移到其他Region。建议在"资产管理"中确认主机状态，如主机已删除可忽略该漏洞记录。

取决于漏洞类型：①内核漏洞修复后必须重启主机才能生效；②glibc等基础库漏洞修复后建议重启；③应用漏洞修复后通常需重启对应应用服务；④部分漏洞修复后无需重启。HSS漏洞详情页面会提示是否需要重启。

支持五类漏洞：①Linux漏洞（系统软件漏洞）；②Windows漏洞（系统补丁）；③Web-CMS漏洞（WordPress、Drupal等CMS漏洞）；④应用漏洞（Tomcat、Nginx等中间件漏洞）；⑤应急漏洞（0day等紧急漏洞）。不同版本支持的漏洞类型不同，基础版仅显示不支持修复。

在控制台"检测与响应 > 安全告警事件"页面查看告警。告警类型包括：恶意软件、反弹Shell、异常登录、文件提权/进程提权、高危命令执行、暴力破解、端口扫描等。处理建议：恶意软件立即隔离主机；反弹Shell分析攻击源IP；异常登录确认是否合法；暴力破解配置安全组限制。

在HSS控制台"安全运营 > 告警通知"中配置。可选通知方式：短信、邮件、消息中心。设置告警级别（高危、中危、低危）和告警类型过滤。开启后，HSS检测到安全风险时自动发送通知，无需登录控制台即可及时了解风险。

HSS提供安全报告功能，支持日报、周报、月报或自定义周期。默认预置周报和月报模板，资产开启防护后自动生成。在"安全运营 > 安全报告"页面可编辑报告内容、配置接收方式（消息中心/消息主题/邮箱）、开启或关闭订阅。默认模板不可删除。

1个配额绑定1台在线主机，配额仅限所选区域使用。在"防护配额"页面查看配额状态（空闲/使用中/已过期）。关闭主机防护或删除主机后，配额释放可分配给其他主机。

在HSS控制台"主动防御 > 恶意程序隔离查杀"中开启。开启后HSS自动检测并隔离恶意程序（病毒、木马、Webshell等）。支持设置查杀范围（全盘/指定目录）和处置方式（隔离/仅告警）。注意：隔离后文件移至隔离区，可在控制台查看和恢复。

在HSS控制台"安全配置"中配置。①常用登录IP：添加合法登录IP，非白名单IP登录触发告警；②SSH登录IP白名单：限制SSH登录仅允许白名单IP。配置后HSS对非白名单IP的登录行为进行告警，有效减少误报和发现异常登录。

基线检查检测主机安全配置合规性，包括：①口令复杂度策略检测；②经典弱口令检测；③风险账号检测；④配置检测（审计关键配置项）。检测结果按合规/不合规分类展示，提供修复建议。企业版及以上支持，满足等保合规要求。

在HSS控制台"容器安装与配置"页面选择"CCE集群安装"，勾选目标集群并配置Agent参数。安装后随集群扩容自动为新节点安装Agent，缩容时自动卸载。前提：需将CCEOperatePolicy权限授予HSS。支持Docker和Containerd运行时，CCE标准版和Turbo版。

前提：容器节点已开启容器版防护并购买容器网页防篡改增值服务。在"主动防御 > 网页防篡改 > 容器网页防篡改"中添加防护资产，选择防护镜像，配置防护目录、本地备份路径和防护模式（告警/拦截）。拦截模式下检测到篡改自动恢复原始文件。k8s集群拦截模式会自动重启Deployment并设为只读。

①仅支持防护部署在华为云的业务，不支持跨云使用；②支持EIP流量防护，不支持全域弹性公网IP G-EIP、APIG绑定的EIP的流量防护；③购买的云防火墙只能在当前选择的区域使用；④VPC边界流量防护依赖企业路由器ER引流；⑤不支持防护中文域名；⑥标准版旁路引擎已于2023年1月停售。

单实例最多添加20,000条防护规则，每条规则最多关联2条IP地址组；黑/白名单各最多2,000条；IP地址组每个最多640个IP成员，单实例最多3898个IP地址组、30,000个IP地址；服务组每个最多64个服务成员，单实例最多512个服务组。

域名组不支持中文域名。URL过滤（七层）：每个域名组最多1500个域名成员，单实例最多500个域名组、2500个域名成员。地址解析（四层）：每个域名组最多15个域名成员，每个域名最多解析1000条IP地址，单实例最多500个域名组、1000个域名成员。域名被防护规则引用最多40000次，泛域名最多2000次。

"防护模式"发生变化时，手动修改的规则"当前动作"保持不变。当前动作修改条数限制：最多可修改3000条规则为"观察"，最多可修改3000条规则为"拦截"，最多可修改128条规则为"禁用"。

日志存储时长最多支持7天。单个日志最多支持导出100,000条记录。基础版无攻击事件日志功能。接入LTS后日志存储时长可延长至1-365天。配置DNS解析最多支持自定义2个DNS服务器。

①CFW ALG标签功能受限；②CFW默认不开启网络层流量类型DDoS攻击与IP欺骗防御功能；③域名防护依赖用户配置的域名服务器，默认DNS可能解析IP不全，建议使用自定义DNS；④长连接业务场景需同时开启双向放通的安全策略，仅开启单向策略时部分场景需客户端重新发起连接。

在控制台"资产管理 > 弹性公网IP管理"页面，单个或批量勾选EIP单击"开启防护"。一个EIP只能在一个防火墙上开启防护。开启后系统默认放行所有流量，即访问控制策略默认动作为"放行"。防护状态显示"防护中"表示开启成功。

在"防护策略 > 攻击防御 > 入侵防御"中保持"基础防御"开关开启，选择防护模式：观察模式（仅记录不拦截）、拦截模式-宽松/中等/严格（防护粒度递增）。建议优先开启观察模式，运行一段时间后逐步切换至拦截模式。不同模式对应不同规则组的拦截状态。

①基础版无攻击防御功能；②无法解密TLS/SSL流量；③启用自定义IPS规则或虚拟补丁等功能时，不可关闭基础防御；④自定义IPS特征仅专业版支持；⑤拦截模式可能误拦正常流量，建议先观察后拦截。

观察模式：所有规则组均为"观察"。拦截模式-严格：严格/中等/宽松规则组均拦截，观察规则组禁用。拦截模式-中等：中等/宽松规则组拦截，严格/观察规则组禁用。拦截模式-宽松：仅宽松规则组拦截，其余禁用。

需先开启VPC边界防火墙防护，在"防护策略 > 访问控制 > VPC边界防护规则"中单击"添加"。配置规则名称、源/目的（IP/IP地址组/域名/域名组/Any）、服务（协议TCP/UDP/ICMP+端口）、防护动作（放行/阻断）、启用状态、策略优先级等参数。

①仅专业版支持VPC边界流量防护；②VPC边界流量防护功能依赖企业路由器ER引流；③涉及地址转换或代理场景时，拦截IP需谨慎评估影响；④不支持防护VPC内的流量；⑤默认放行所有流量，需主动配置阻断规则。

基础版：EIP精细化访问控制+日志查询，适合中小型客户；标准版：等保需求+IPS入侵防御+虚拟补丁，适合中小型客户；专业版：等保/重保+VPC边界防护+自定义IPS+病毒防御AV，适合中大型客户。按需计费仅提供专业版。

南北向流量防护：标准版与专业版都支持；东西向流量防护（VPC间）：标准版不支持、专业版支持；自定义IPS特征库：标准版不支持、专业版支持；病毒防御AV：标准版不支持、专业版支持；多账号管理：标准版20个、专业版50个；虚拟补丁：标准版与专业版都支持。

①需IAM用户具备BSS Administrator和CFW FullAccess权限；②基础版仅"西南-贵阳一"区域支持购买；③基础版不可升级到其他版本；④不支持包年/包月与按需计费模式互转；⑤购买的云防火墙只能在当前选择的区域使用。

①仅部分区域的专业版支持按需计费；②最大防护带宽1Gbps（含互联网+VPC边界流量）；③不支持包年/包月转按需；④按实际防护流量每小时出账，支持秒级计费与随时开通/删除；⑤仅限当前区域使用。

包含四种：防护规则（支持五元组、IP地址组、地理位置、域名/域名组、应用）、黑名单（五元组、IP地址组，直接拦截）、白名单（五元组、IP地址组，放行且跳过其他检测）、流量过滤（IP地址，直接拦截）。开启防护后默认放行所有流量。

防护优先级由高到低为：流量封堵 → 白名单 → 黑名单 → 防护策略（ACL）→ 基础防御（IPS）= 病毒防御（AV）。流量命中某一条策略时执行该策略动作，不再匹配下一条策

在"防护策略 > 访问控制 > 互联网边界防护规则"中选择"黑名单"页签，单击"添加"。配置地址方向（源/目的）、协议类型（TCP/UDP/ICMP/ICMPv6/Any）、端口、IP地址列表。如黑名单源地址包含WAF回源IP，需输入"CONFIRM"二次确认。

①最多各添加2000条黑/白名单；②"WAF回源IP地址组"添加至黑/白名单后，如回源IP改变需手动修改；③白名单放行流量后不再经过IPS等其他功能检测；④黑名单直接拦截流量；⑤超2000条限制时可通过流量封堵或IP地址组替代。

支持两种域名组：应用型域名组（匹配会话HOST字段，支持HTTP/HTTPS/TLS/SMTPS/POPS协议，支持泛域名）；网络型域名组（通过DNS解析IP过滤，每15s获取一次DNS解析结果，支持所有协议类型，匹配四元组+解析IP）。

不支持。云防火墙是云上region级服务，仅支持对部署在华为云的业务提供防护。对于部署在非华为云或线下IDC的业务，无法提供防护。

不支持跨账号使用。用户仅能使用并管理当前账号下的云防火墙资源。但通过"多账号管理"功能（标准版20个、专业版50个），组织管理员账号可统一防护组织内其他账号的EIP资源。

CFW是云原生防火墙，防护互联网边界和VPC边界的南北向/东西向流量，支持IPS/AV/五元组/域名/地理位置过滤，防护对象为EIP和VPC；WAF是Web应用层防火墙，通过反向代理检测HTTP(S)流量，防护SQL注入/XSS/CC等Web攻击，防护对象为域名或IP。

CFW防护互联网边界/VPC边界/SNAT场景，支持五元组+地理位置+域名+黑白名单+IPS+AV；安全组防护ECS实例，仅支持三元组（协议/端口/对端地址）；网络ACL防护子网，支持五元组。CFW功能最全面，安全组和网络ACL功能较基础。

支持五元组（源IP、目的IP、协议、源端口、目的端口）、IP地址组、地理位置（地域）、域名和域名组（四层和七层流量）、应用层协议、黑/白名单等多种维度的访问控制。

支持。流量走势：独享/ELB模式WAF：互联网→DDoS高防→CFW→WAF→源站；云模式WAF：互联网→DDoS高防→WAF→CFW→源站。若购买了DDoS高防或云模式WAF，请谨慎配置阻断规则，建议配置放行规则或白名单。

当CFW前存在反向代理服务（CDN/DDoS高防/云模式WAF）时，CFW接收到的源IP为回源IP，需配置放行回源IP策略避免误拦截。建议创建优先级置顶的放行规则或将回源IP添加至白名单。避免将回源IP加入黑名单。通过X-Forwarded-For字段可获取真实攻击IP。

①互联网边界：防护EIP入/出方向流量；②VPC边界：防护VPC间、云上VPC与本地IDC间流量（不支持VPC内流量）；③NAT网关：防护NAT网关绑定EIP的流量审计，以及SNAT/DNAT流量防护（依赖VPC边界防火墙，支持溯源到私网IP）。

CFW作为SaaS化服务，不受传统硬件防火墙在新建连接数、并发连接数及QPS方面的限制，衡量性能的唯一标准是实际防护带宽大小。防护带宽=所有经过CFW防护的业务带宽总和（互联网边界按EIP流量入/出最大值取值，VPC边界按VPC流量总和最大值取值）。

互联网边界：不支持跨区域使用。VPC边界：除通过云连接（CC）实现跨Region网络互通的场景外，不支持跨区域使用。如所在区域无法购买CFW，可通过VPC网络ACL+安全组进行防护。

不支持跨云使用。目前仅支持对部署在华为云的业务提供防护，对于部署在非华为云的业务无法提供防护。

支持。如果专属云（DEC）所在Region已支持云防火墙，则可使用CFW防护DEC资源。购买时需先切换到DEC项目下再进行购买。

不支持。如需防护IEC的EIP，需要在IEC购买云防火墙，使用IEC的云防火墙进行防护。

支持。CFW支持防护当前区域、当前账号下所有云资源（EIP、VPC、NAT网关）。购买CFW时选择企业项目仅影响账单归属，不影响资源防护。

默认可查询最近7天的日志数据。接入LTS（云日志服务）后，日志存储时长可延长至1-365天。支持3类日志：攻击事件日志、访问控制日志、流量日志。基础版无攻击事件日志功能。

在"日志管理"中配置LTS日志组和日志流。需创建带"-cfw"后缀的日志组和带"-attack"/"-access"/"-flow"后缀的日志流。接入后支持日志搜索、可视化分析和告警配置。约束：基础版无法查看日志，配置存在10分钟延迟，权限不足需授予LTS FullAccess。

排查步骤：①确认已开启EIP/VPC防护；②确认日志记录功能已开启；③检查日志查询时间范围是否正确；④基础版无攻击事件日志功能，需升级到标准版及以上；⑤新设备接入存在1天延迟；⑥接入LTS可获取更完整日志。

CFW开启EIP防护后默认放行所有流量。如希望仅放行指定EIP，需配置阻断全部流量的防护规则（设为最低优先级），再配置放行指定EIP的规则。检查规则启用状态、优先级顺序、时间计划是否生效。

访问控制日志展示ACL策略（防护规则或黑白名单）匹配到的流量。未开启防火墙防护或未配置ACL策略都会导致无数据。解决方法参考：①开启EIP/VPC边界防护；②添加防护规则或黑白名单；③查看流量日志和攻击事件日志获取更多信息。

排查步骤：①检查防护规则是否误拦截正常流量（查看访问控制日志）；②检查IPS是否误拦截（查看攻击事件日志，调整IPS规则动作为观察）；③检查黑白名单是否误配；④若CFW前有WAF/DDoS/CDN，检查是否未放行回源IP；⑤临时关闭防护验证是否为CFW导致。

①将IPS防护模式从"拦截"切换为"观察"模式，确认是否为IPS误拦截；②在攻击事件日志中找到误拦截事件，定位具体IPS规则ID；③将该IPS规则的"当前动作"修改为"禁用"或"观察"；④如需批量处理，可将该规则所属规则组整体调整。

NAT64转换后的IPv6地址可能被CFW的防护规则或IPS误判为异常IP而阻断。建议在防护规则中放行NAT64转换后的地址段，或将相关IP添加至白名单。

CFW的系统策略（如CFW FullAccess）在企业项目维度下可能不包含所有资源的操作权限。需通过IAM自定义策略，显式授予企业项目级别的资源操作权限，确保子用户在指定企业项目下可正常管理CFW。

需确保当前用户具备LTS FullAccess权限。在IAM控制台为用户添加"LTS FullAccess"策略或自定义包含LTS日志写入权限的策略。若使用委托方式，需确保委托账号已授予LTS相关权限。

①A账号（组织管理员）购买CFW并创建组织；②邀请B/C账号加入组织；③在组织服务中将CFW设为可信服务；④在CFW"系统管理 > 多账号管理"中添加B/C账号；⑤在EIP管理页面搜索并开启B/C账号EIP防护。标准版支持20个账号，专业版支持50个账号。

①添加的账号需为同一个组织内的账号；②该账号未被其它防火墙防护；③不支持跨区域防护；④单实例账号数限制：标准版20个、专业版50个；⑤需先开通企业中心和组织云服务。

单引擎在2U8G配置下：支持100万并发连接数、50万新建连接速率。随着资源配置提升性能相应增强。采用多活集群部署确保高可用性和负载均衡，支持集群动态扩容满足大规模高并发场景。

老基础版（免费）已于2023年停止购买，不支持云监控CES、查看IPS库或修改IPS动作、日志存储至LTS、病毒防御、防护泛域名等功能。新基础版（计费）于2024年新发售，仅"西南-贵阳一"区域支持购买，功能有所增强。

①为企业不同业务/环境创建企业项目（如A_生产、A_测试）；②为安全部门创建"安全"项目，购买CFW绑定到该项目；③生产环境购买专业版（防护EIP+VPC），测试环境购买标准版（仅防护EIP）；④通过IAM授权安全管理员全量权限，测试管理员仅限测试环境权限，实现资源隔离与账单分离。

安全云脑（SecMaster）是云原生的新一代安全运营中心，基于云原生安全，提供云上资产管理、安全态势管理、安全信息和事件管理、安全编排与自动响应等能力。可以鸟瞰整个云上安全，精简云安全配置与维护，提前预防风险，让威胁检测和响应更智能、更快速，实现一体化、自动化安全运营管理。

关联：SecMaster作为安全管理服务，依赖其他安全服务（WAF、HSS、Anti-DDoS、DBSS、AAD）提供威胁检测数据，进行安全威胁风险分析，呈现全局安全威胁态势，并提供防护建议。各安全服务的威胁检测数据统一汇聚在SecMaster中。 区别：SecMaster仅为可视化威胁检测和分析的平台，不实施具体安全防护动作，需与其他安全服务搭配使用。

SecMaster是安全管理平台，侧重全局安全态势感知、威胁关联分析和安全编排自动化响应，不直接实施防护动作。HSS是主机安全防护服务，侧重主机层面的入侵检测、漏洞管理、基线检查和恶意程序查杀，直接实施防护动作。HSS检测到的告警数据会同步给SecMaster进行统一分析和展示。

安全云脑SecMaster是态势感知服务的升级版本。态势感知服务提供基础的安全态势感知能力，SecMaster在此基础上新增了安全编排与自动化响应（SOAR）、威胁管理、全量日志审计、跨账号跨Region统一安全运营等高级能力。SecMaster作为新一代安全运营中心，功能更全面，建议新用户直接使用SecMaster。

SecMaster的数据来源包括：①华为云安全服务告警和日志：WAF、HSS、CFW、Anti-DDoS、DBSS等云服务安全日志预置接入，开箱即用；②云服务配置数据：通过Config服务获取云资源配置信息进行基线检查；③云外日志：支持TCP、UDP、KAFKA、OBS、Pipe、File等多种数据源接入方式；④威胁情报：结合每日数亿威胁情报定位威胁。

基础版：免费，安全总览、资产管理、防护策略、基线检查、漏洞管理、各安全服务原始告警汇聚。标准版：包周期，基础版全部功能 + 态势感知信息、告警汇聚及智能分析、日志审计（数据保留180天满足等保要求）。专业版：按需/包周期 ，标准版全部功能 + 专业运营报告、预置安全模型及剧本、威胁检测模型告警、安全编排、全量日志审计、跨账号跨Region统一管理。

六步快速上手：1、购买安全云脑 2、配置服务授权 3、新增工作空间 4、接入数据 5、配置/启用功能 6、报告管理

支持，但仅专业版支持。通过"空间托管"功能实现跨账号跨Region统一安全运营：一个托管视图可以跨Region管理不同账号下的最多150个工作空间，单账号最多创建10个账号委托。支持云上云下统一管理。

1、配额数：可设置最大主机配额需等于或大于当前账号下主机总数量，且不支持减少。配额数最大限制为10000台。2、增值包：基础版不支持购买增值包；增值包不支持单独使用；退订按需专业版时系统自动退订增值包；退订包周期标准版/专业版需手动退订增值包。3、标签：最多支持为安全云脑添加10个标签。

1、付费版：单账号单Region最多创建5个工作空间；免费版：单账号单Region最多创建1个；暂不支持同一浏览器多窗口进入不同工作空间操作。2、纳管环境不支持纳管边缘环境（IEC、DEC、IES等）；仅支持纳管Default项目，不支持子项目；不支持按EPS粒度纳管资源。3、单账号单Region最多创建1个空间托管视图；一个托管视图跨Region管理最多150个工作空间；单账号最多创建10个账号委托。

单账号单workspace内，最多可创建10个安全报告（包含日报、周报和月报）。

单账号单Region单workspace最多创建100个告警模型 ，一个告警模型的运行时间间隔须 ≥ 5分钟， 查询数据的时间范围 ≤ 14天， 触发条件最多可添加5个。

1、单次查询最多返回500条结果；单管道最多50个快速查询；单次查询结果>50000条时准确率可能下降；聚合查询group by第二个字段默认分桶数10，超出有数据丢失；指标卡片单账号单Workspace最多保存100个。2、单账号单Region单Workspace最多创建5个数据空间。3、单账号单Region单数据空间最多创建20个数据管道。

每天最多新增100个漏洞，每天最多新增100个告警；每天最多告警转事件100个；每天最多新增100个事件；每天最多新增100个情报。

1、单账号单workspace内，单剧本调度频率时间 ≥ 5分钟。2、手动重试流程实例最大重试次数100次；API接口重试最大100次；重试后需等剧本执行完毕才允许再次重试。3、模板 ≤ 50个；映射关系规格1:100；最多新增分类&映射100个。

应急策略目前仅支持CFW/WAF/VPC安全组/IAM的黑名单策略，单用户单工作空间内最多新增300条支持阻断老化的应急策略 ，全量最多新增2500条应急策略， 单次下发策略阻断对象数量有限制。

在行管账号汇聚其他账号资源时，剧本、流程、模型、基线、漏洞、策略的相关执行操作仅在行管账号中生效，无法下发至纳管的账号中。例如，在行管账号中执行了IP阻断，该IP仅在行管账号中进行了阻断，行管账号下纳管的账号不会执行该IP的阻断操作。

1、首次使用需单击"服务委托授权-当前租户"完成授权。 2、新建工作空间需初始化，约等待10分钟。初始化包含页面布局、运营对象、剧本编排、云服务接入、模型初始化5大模块。

页面布局：10类展示模板预置 。运营对象：12类数据类/4类类型自动创建。 剧本编排：预置剧本/流程/插件自动加载。 云服务接入：默认集成6类云日志。 模型初始化：基于5类模板自动创建告警模型。

暂不支持在同一个浏览器的多个窗口进入不同的工作空间进行操作，不支持纳管边缘环境：IEC、DEC、IES等边缘站点。 仅支持纳管Default项目，不支持纳管子项目。不支持按EPS（企业项目）粒度纳管资源。

1、接入资产：进入"资产管理 > 订阅资产设置"页面，在需要订阅资产所在的Region列开启订阅。2、接入日志数据： 在待接入云产品的"审计相关日志"列，单击开启按钮，开启接入的云服务日志。3、在待设置云产品的"自动转告警"列，单击开启按钮，开启接入的云服务日志满足告警条件时自动转为告警。 接入完成后，将创建默认数据空间和管道。

云内置采集系统，支持以下云服务安全日志预置接入，开箱即用： WAF（Web应用防火墙）、攻击日志 DDoS/AAD（DDoS防护）、攻击日志 CFW（云防火墙）、访问控制和攻击日志 HSS（企业主机安全）、告警日志 DBSS（数据库安全服务）、审计日志 NDR（网络检测与响应）、日志 MTD（移动威胁检测）日志。

支持多种安全日志数据源接入方式： 接入方式：TCP、UDP、KAFKA、OBS、Pipe、File等 日志格式解析：json、prune、KeyValue、csv、UUID、mutate、grok、date、drop等，支持正则表达式匹配和解析 自定义数据快速接入：管理、配置、监控工具化和可视化。

提供三种查询方式：自定义语句查询、字段筛选查询和快速查询保存。关键特性：text字段默认使用MATCH_QUERY分词查询；@timestamp字段为日志到达采集器时间；查询结果支持原始日志展示（可导出）、日志分布直方图、多类型图表统计及告警配置。

建议通过以下方法减少查询结果数量： 缩短查询的时间范围，添加查询限制条件（增加过滤字段）， 使用聚合查询（如group by语句）进行统计分析。注意：使用聚合查询聚合多个字段时，第二个字段默认分桶数量为10，如果超出会有数据丢失导致查询结果不准确。

以安全云脑为核心平台，采集并整合分析HSS、CFW、WAF等各类告警与日志，对告警进行集中分析。同时整合各类产品的处置与封禁能力，提供集中处置、一键处置、自动处置。

在告警管理页面，选择需要处置的告警，单击"转事件"操作。转事件后可在事件管理页面进行进一步调查和处置。约束：单账号单Workspace内，每天最多可以告警转事件100个。

SecMaster默认每隔3天自动检查一次，每次在00:00~06:00对您账号下当前Region所有资产按照"安全上云合规检查1.0"遵从包进行检查。同时支持自定义自动检测周期及时间。部分检查项为手动检查项，需线下执行后反馈结果，反馈结果有效期为7天，7天后需重新手动检查。 注意：仅专业版支持使用基线检查功能。在行管账号汇聚其他账号资源时，基线相关执行操作仅在行管账号中生效。

单账号单workspace内，单剧本调度频率时间 ≥ 5分钟。剧本和流程实例的重试次数限制：手动重试和API接口重试均为流程实例最大重试次数100次，重试后需等剧本执行完毕才允许再次重试。

支持。如果不需要对某检查项进行检查，或者不需要对某检查项下的部分服务资源实例进行检查，可以执行加白名单操作。在检查项管理页面，选择目标检查项，单击"加白名单"，选择需要排除的资源实例即可。

在"安全态势 > 安全报告"页面配置。支持日报、周报和月报，可设置报告自动发送。约束：单账号单workspace内最多创建10个安全报告。专业版提供专业的安全日报、周报、月报，基础版和标准版仅提供体检报告。 报告支持以PDF、Excel、Word等格式导出，通过报表生成调度器定时自动生成并支持以邮件等方式自动投递。

1、资产识别：针对非常规路径下访问的应用/业务进行深度识别，保证基础资产库全面性和准确性。2、资产管理：资产用户变更和确认、资产模板、资产拓扑管理、详细信息展示、资产用户和组织管理。 3、资产威胁分析报告：统计报表、明细报表、综合审计报告，支持定时自动生成日报/周报/月报/季报/年报。

1、一站式酷炫大屏：攻防态势尽收眼底，帮助快速定位风险，提供准确决策参考。2、安全运营指标体系化：脉络清晰，大屏、报告形式多样，可即时、订阅查看。3、低代码开发平台：自定义安全分析报告、告警管理、事件管理、漏洞管理、基线管理等页面布局。4、内置华为最佳实践模板：开箱即用，也可自定义管控类和View类布局。

排查步骤： 1、确认已开启云服务的"审计相关日志"接入开关 2、确认已开启"自动转告警"功能 3、确认告警模型已创建并启用（"建模分析 > 智能建模 > 可用模型"中状态为"启用"） 4、检查模型查询规则和时间窗口是否匹配实际数据 5、确认数据管道中有数据（"日志审计 > 安全数据"中查询验证） 6、基础版仅汇聚原始告警，不产生威胁检测模型告警，需升级到专业版

排查步骤： 1、确认工作空间初始化是否完成（新建空间需等待约10分钟初始化） 2、检查是否已完成"服务委托授权-当前租户"授权操作 3、确认购买的版本是否支持该功能（如安全编排仅专业版支持） 4、检查工作空间状态是否正常（"空间管理"页面查看） 5、确认当前账号在有效期内（未过期或未退订）

运营账号不支持处置其所纳管的业务账号的告警（由智能建模的告警模型生成的告警），运营账号仅支持处置本账号下的由告警模型生成的告警。因此，多账号管理场景下，运营账号不支持通过剧本（如HSS文件隔离查杀、挖矿主机隔离、Web登录爆破拦截等）自动处置纳管业务账号下的告警。 解决方案：需要在各纳管业务账号中分别登录并执行相应策略操作，或在业务账号侧配置独立的告警处置流程。

云堡垒机实例仅支持版本规格升级，不支持版本规格的回退或降级。

选择区域时建议遵循就近原则，例如您或客户在北京，可选择华北服务区，以减少网络时延、提高访问速度。云堡垒机支持直接管理同一区域、同一VPC下的资源。由于不同区域或同一区域不同VPC间内网不互通，建议将云堡垒机实例与ECS等资源配置在同一区域、同一VPC中。此外，为降低时延，配置可用区时建议选择与所选VPC相同的区域和可用区。

同一区域不同VPC情况下，可通过对等连接打通两个VPC之间网络；跨区域情况下，可通过云连接（Cloud Connect）构建跨区域网络。

云堡垒机实例的安全组默认端口有443和2222，默认支持Web浏览器和SSH客户端访问。若需其他访问方式，需用户手动添加目标端口。 只允许通过IP地址和端口访问CBH系统。

1、堡垒机跨版本升级会自动开放80、8080、443、2222共四个端口，升级完成后若不需要使用请第一时间关闭。 2、堡垒机主备实例跨版本升级还会自动开放22、31036、31679、31873共四个端口，升级完成后保持31679开放即可，其余端口若不需要使用请第一时间关闭。

云堡垒机提供包年/包月的计费模式。 包年/包月：一种预付费模式，即先付费再使用，按照订单的购买周期进行结算。购买周期越长，享受的折扣越大。一般适用于设备需求量长期稳定的成熟业务。

不可以。云堡垒机不支持免费使用，需购买实例后才能使用。

可以退订。 退订须知： 1、退订堡垒机资源后，次日凌晨3点才会自动清理残留资源，如需删除安全组需等残留资源清理后才可进行安全组的删除操作。 2、弹性公网IP只解绑不释放，释放需要到弹性公网IP管理页面手动释放。

请您单击管理控制台左上角的区域选择器，选择其他区域或未售罄可用区购买，如果其他区域不满足您的需求，您可以提供需求描述以及截图通过工单反馈。

一个云堡垒机实例代表了一个独立运行的云堡垒机系统。云堡垒机系统是云堡垒机实际运维功能核心，后台采用华为云欧拉操作系统，包含用户管理、资源管理、策略、审计和工单等功能模块，支持对Windows或Linux等操作系统的主机提供安全管控保护。

1、资产数是云堡垒机管理的云服务器上运行的资源数，同一个云服务器上对应有多个需要运维的协议、应用等资源。 说明：云堡垒机能纳管资源的最大数量不能超过实例规格的总资产数。 2、并发数是云堡垒机同一时刻连接运维协议的连接数。 说明：云堡垒机能同时登录运维资源的最大数量不能超过实例规格的总并发数。

实例的安全组默认开放443和2222端口，支持Web和SSH访问。其他访问方式需手动添加端口。仅允许通过IP和端口访问CBH系统。主要端口包括： Web登录（80、443）、SSH登录（2222）、FTP登录（2121、20000-21000）、远程Linux（22）、远程Windows（3389）、数据库端口、License注册（9443）、短信服务（10743、443）等。

在主机运维模块中，可以管理MySQL、SQL Server、Oracle、DB2、PostgreSQL、GaussDB、DM、Redis、MongoDB等数据库。

支持。您购买的非华为云或者云下服务器，只要与华为云云堡垒机网络互通并且协议互相支持，就可以通过云堡垒机纳管相应服务器。 支持的主机类型：支持SSH、RDP、VNC、TELNET、FTP、SFTP、SCP、Rlogin协议类型的Windows或Linux主机。 支持的数据库类别：关系型数据库（RDS）和弹性云服务器（ECS）的自建数据库。注意：目前仅x86版本云堡垒机支持应用运维，Arm版本云堡垒机不支持应用运维。

资产运维限制：纳管到堡垒机中的资产，需同时满足如下条件才能通过堡垒机正常运维：1、资产与堡垒机网络互通。2、资产名称不能重复。3、IP、端口号、协议类型不能同时重复。其他约束：1、云堡垒机能纳管资源的最大数量不能超过实例规格的总资产数。2、云堡垒机能同时登录运维资源的最大数量不能超过实例规格的总并发数。3、仅x86版本支持应用运维，Arm版本不支持。

不收费。 云堡垒机软件版本升级免费，但规格升级（即变更规格）需要收取"变更规格配置费用"。

支持SSH、RDP、VNC、TELNET、FTP、SFTP、SCP、Rlogin协议类型的Windows或Linux主机。

云堡垒机数据库运维使用单点登录（Single Sign On，SSO）工具，登录主机运维方式的数据库资源。 云堡垒机默认使用SsoDBSettings单点登录工具，用户登录数据库资源前，需在本地安装好SSO单点登录工具和数据库客户端工具，并配置正确数据库客户端的路径到SSO单点登录工具上。

云堡垒机系统支持以下登录方式：静态密码登录、邮箱认证登录、手机短信认证、手机令牌认证、USBKey认证、动态令牌认证、Azure AD认证、吉大正元认证。注意：首次登录堡垒机不能使用邮箱认证方式登录，需配置后才可使用。堡垒机版本须在3.3.62.0及以上版本才支持邮箱认证。

可以。 云堡垒机支持直接管理同一VPC内资源，即可直接访问同一VPC内资源。跨账号情况下，可通过对等连接，打通不同账户下两个VPC之间网络。 但受限于跨VPC场景下网络的复杂性和网段冲突的可能性，不建议跨账号使用云堡垒机纳管资源。

支持。

可以。云堡垒机支持管理同一VPC下多个子网的资源，只要网络互通即可。对于不同VPC下的资源，需要通过对等连接或云连接打通网络后才能纳管。

系统管理员账号admin拥有系统最高操作权限，该账号是不允许删除的。

堡垒机变更规格和升级软件版本，正常情况下，都不会造成审计数据丢失。 但是变更规格和升级有失败的风险，因此，在变更规格前必须备份数据，以防因变更规格/升级失败而影响数据的使用。

手机令牌可用来生成动态口令的手机客户端软件。堡垒机系统支持通过绑定手机令牌对用户登录进行多因子身份认证，用户配置"手机令牌"多因子认证后，需同时输入用户密码和6位手机令牌验证码，才能登录堡垒机系统。注意：绑定前务必将堡垒机时间和手机时间保持一致。

通过Web运维支持"文件传输"功能，在Web浏览器会话窗口上传/下载文件。不仅可实现本地与主机之间文件的传输，同时可实现不同主机资源之间文件的相互传输。CBH系统详细记录传输文件的全过程，可实现对文件上传/下载的审计。 "主机网盘"是为CBH用户定义的系统个人网盘，可作为不同主机资源间文件的"中转站"，暂存用户上传/下载的文件，且个人网盘中文件内容对其他用户不可见。

当添加资源时提示"资源超出许可限制"，表示当前纳管的资源数量已达到实例规格的资产数上限。1、清理不再需要纳管的资源，释放资产数配额。2、变更云堡垒机实例规格，升级到更高规格以增加资产数上限。

1、检查云堡垒机资源账户密码是否正确。2、检查是否开启了企业主机安全双因子认证。3、检查sshd服务：由于sshd服务配置文件"/etc/ssh/sshd_config"中，"PermitRootLogin"参数值为"no"时，Linux主机不允许root账户登录。4、特殊场景：Windows服务器没有远程桌面授权服务器可以提供许可证。

1、Web登录超时时间配置过短：管理员用户修改Web登录超时时间，详细配置说明请参见Web登录配置。2、网络不稳定：检查CBH系统与主机资源间网络是否稳定。3、RDP闲置时间超时：本地登录Windows主机资源，输入命令gpedit.msc，修改"为断开的会话设置时间"选项。

1、检查访问控制策略中是否开启了剪切板权限（上行剪切板、下行剪切板）。 2、检查浏览器兼容性，推荐使用Chrome浏览器。 3、检查浏览器缓存空间是否不足，清理浏览器缓存后重试。

1、当前实例规格的带宽无法满足业务需求：变更云堡垒机实例规格，升级到更高规格以增加带宽配置。2、并发运维会话数过多导致带宽不足：合理安排运维时间，避免高峰期集中运维。3、文件传输占用大量带宽：将大文件切割成小文件分批次传输，或错峰传输。

排查思路： 1、确认升级前后的版本跨度是否过大，建议逐版本升级而非跨大版本升级。2、检查License状态是否正常，升级后可能需要重新注册License。

1、检查应用发布服务器安全组的出方向访问策略，需要放通访问堡垒机IP 443端口。 2、检查本地浏览器运行状态，推荐使用Chrome浏览器。 3、检查主机资源IP地址或端口等配置是否正确。 4、检查主机资源是否开启guacd服务，以及guacd服务是否接受CBH系统IP的连接。

支持。 目前不仅支持通过FTP/SFTP备份到同一个VPC网络内的服务器中，还支持将数据备份到同一个VPC网络内的OBS桶中。

通过云堡垒机的历史会话审计功能，可对运维操作进行全程记录、回放和指令解析，排查出是哪个步骤出现了问题，为您的事件追溯提供了便利性。您也可以使用会话回放功能，通过播放运维视频，来查看具体的操作情况。注意：云堡垒机还为您提供实时会话监控功能，让您可以实时查看高危操作的运维界面，如果出现危险指令可立即切断运维人员的操作，确保业务的安全。

1、包年/包月（预付费）：适用于长期、稳定的业务需求（如企业官网、在线商城），购买周期越长单价越低。 2、按需计费（后付费）：适用于防护需求波动大的场景（如电商大促、临时测试），即开即停，按实际使用时长精确到秒计费。

购买的WAF云模式到期后，如果没有按时续费，公有云平台会提供一定的保留期（时长由客户等级而定）。1、冻结期内：WAF只转发流量，但用户配置的各种防护策略将不再生效。2、冻结期满→资源清理期：域名的所有配置将会被全部删除。清除资源时默认会把域名指回源站，但由于协议和端口可能不一致，不能保证域名业务正常运行。 提示： 为了防止造成不必要的损失，请您及时续费。

WAF欠费后，包年/包月模式可正常使用但无法进行升级、续费等操作，按需模式会依次进入宽限期和保留期，最终配置将被删除；处理欠费需及时充值并删除不再使用的资源。

WAF包年/包月资源到期未续费后，会先进入宽限期（期间可正常使用），宽限期结束后进入保留期（资源冻结，防护策略失效），保留期到期后配置将被全部删除。说明：保留期时长根据客户等级而定。

DDoS原生基础防护（Anti-DDoS流量清洗）服务为免费服务，不涉及计费。

对于按需计费模式的资源（专业版、旗舰版、容器版、网页防篡改版），若不再使用且需停止计费，请关闭相应版本的主机、容器防护。注意： 按需计费资源关闭后，可能还存在账单信息，因为系统通常会在使用后1个小时内对上一个结算周期的费用进行扣款。例如8:30关闭防护，8:00~9:00期间产生的费用通常在10:00左右才扣费。

私有CA按需计费仅支持API创建，无法在控制台操作。证书部署功能可将华为云或第三方证书部署至华为云产品。付费证书及2023年11月15日前签发的测试证书仍免费部署；此后签发的测试证书及上传证书将收费。部署成功扣费，失败不收费。说明： 按需计费适用于不能中断的短期、突增或不可预测的应用或服务。如需长期使用私有CA，建议选择包年/包月模式。

WAF云模式入门版原价99元/月，支持免费试用一个月。

DDoS高防每个实例免费赠送100Mbps业务带宽，超出部分按月/年付费。

中国大陆免费赠送3000QPS，中国大陆外免费赠送1000QPS，超出部分按月/年付费。

企业主机安全提供了免费试用活动：用户在购买ECS时同步勾选“免费试用一个月主机安全基础防护”，即可使用主机安全基础版30天。到期自动停止防护，不会产生费用。如果手动关闭防护功能，则会直接释放HSS实例并且无法再开启防护功能。

不会。按需计费模式下，如果扫描任务失败，则本次扫描不扣费；扫描成功后一次性扣费99元/次。

云堡垒机关机后计费，CBH仅支持包年/包月模式，关机对包年/包月计费无影响，需退订实例才能停止计费。

密钥管理实行按需计费，没有最低费用。用户创建密钥后，密钥会按小时计费。用户需要为自己创建的所有用户主密钥，以及超出免费次数的API请求支付费用。

每个账号可免费申请20张SSL测试证书，测试证书免费签发。

每月有100万次的免费API调用额度，不累计，月末清零，超出后按需计费。

DDoS高防最低10G保底带宽，3个月起购，费用预估¥88,800起（3个月），支持1个月~1年购买周期。

HSS按需计费企业版单价约为0.18元/个/小时（按秒计费，每小时整点结算），包年/包月比按需每月优惠约30%。

CFCA企业型(OV)单域名SSL证书1年期从4000元调至4900元，通配符SSL证书1年期从15000元调至16000元（2025年6月30日起生效）。

云堡垒机最小规格（10资产/10并发）¥700/月起，最大规格（500资产/500并发）¥7780/月，均仅支持包年/包月。