在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。 （可选）切换防火墙实例：在页面左上角的下拉框中切换防火墙。 在左侧导航栏中，选择“资产管理 > VPC边界防火墙管理”，进入“VPC边界防火墙管理”页面。 配置企业路由器关联子网和云墙关联子网。单击“创建防火墙”，进入“创建VP

查看更多 →

服务配套的天关和防火墙型号，请参见《华为乾坤安全云服务天关和防火墙上云清单》（该文档获取需要权限，请联系华为产品经理或渠道获取）。 天关/防火墙的相关约束如下： 天关/防火墙接收日志的速率默认为3000条/秒，当企业内所有资产每秒上报的日志数量总和超过3000条后，天关/防火墙就会丢弃超过阈值的日志。

查看更多 →

规划部署方案 使用天关作为本地防御节点时，推荐二层透明直路方式接入网络，部署在出口路由器与内网交换机之间，不影响原网络拓扑。如果用户有NAT（ 网络地址转换 ）设备，天关需要部署在NAT设备下面，以保证能识别到用户内网的真实IP地址。 同时设备需要一个IP地址，用于和云端通信，以获取

查看更多 →

倒序相同。 如何在天关/防火墙上配置用户密码最小长度？ 请登录天关/防火墙Web访问界面，具体操作如下： 选择“系统 > 管理员 > 设置”。 在“密码最小长度”中输入最小长度。 新建管理员的密码长度必须满足“密码最小长度”的要求。 单击“应用”。 如何在天关/防火墙上配置用户登录失败次数？

查看更多 →

在企业路由器中添加CFW连接 操作场景 在企业路由器中添加“云防火墙（CFW）”连接，即创建VPC边界防火墙时选择企业路由器，则会在企业路由器的连接列表中看到对应的“云防火墙（CFW）”连接。 VPC边界防火墙支持VPC之间通信流量的访问控制，可以实现VPC内业务互访活动的可视化与安全防护。

查看更多 →

路由页签的关键参数： 连接类型：云防火墙（CFW） 下一跳：防火墙连接（cfw-er-auto-attach） 添加传播。 选择传播路由表（er-RT2），单击“传播”页签，单击“创建传播”。 如何识别传播路由表：传播路由表用于将流量从云防火墙传输到VPC，即当前配置如下： 关联页签的关键参数：

查看更多 →

路由器 背景信息 路由器设备可以将基础数据和运维数据上传到华为乾坤云平台，前者用于网络监控可视化，方便界面化展示设备和网络运行状态；后者用于网络智能故障诊断、用户体验分析，实现智能运维。 缺省情况下，设备基础数据上报开关默认已开启，如有变动请自行调整。 缺省情况下，设备运维数据不

查看更多 →

扩容，否则云防火墙可能无法正常转发您VPC间的流量。 适用版本 新版VPC边界防火墙，即配置界面如下： 图1 VPC边界防火墙（新版） 配置原理 您需要按以下步骤操作： 创建防火墙（以命名vpc-cfw-er为例）并关联子网，请参见步骤一：创建防火墙。 配置企业路由器。 配置所有

查看更多 →

。 设备型号多为路由器、防火墙等，对接配置请参见管理员指南。 普通家庭宽带路由器、个人的移动终端设备、Windows主机自带的VPN服务（如L2TP）无法与云进行VPN对接。 与VPN服务做过对接测试厂商包括但不限于：华为（路由器、防火墙）、h3c（路由器、防火墙）、cisco（

查看更多 →

署有第三方防火墙软件。出于安全考虑，要求业务A和业务B互相访问的流量必须通过VPC3中防火墙软件的过滤清洗。 图1 同区域VPC流量清洗 您可以使用企业路由器的共享功能，将不同账号下的虚拟私有云添加至同一个企业路由器中构建组网。 操作流程 本文档介绍如何通过企业路由器构建同区域VPC流量清洗组网，流程如图2所示。

查看更多 →

前提条件 已完成天关/防火墙上线，具体操作请参见《天关和防火墙上线指南》。 在天关/防火墙侧获取用于创建VPN的接口 在天关/防火墙侧获取上行接口作为与华为乾坤创建VPN隧道的接口（简称：VPN接口）。 在客户网络，通过浏览器访问https://天关/防火墙管理口IP地址 :8

查看更多 →

将流量引至云防火墙 根据当前业务是否已配置企业路由器，选择配置方式。 通过配置企业路由器将流量引至云防火墙 修改已有企业路由器将流量引至云防火墙 创建VPC边界防火墙，具体操作请参见创建VPC边界防火墙。 在左侧导航栏中，单击左上方的，选择“安全与合规 > 云防火墙”，进入云防火墙的总览页面。

查看更多 →

开启/关闭VPC间边界防火墙 配置完成后，防火墙默认为“未开启”状态，此时流量只经过企业路由器，未转发到防火墙。您可选择手动开启或关闭VPC间防火墙功能。 前提条件 已购买CFW专业版。 已配置企业路由器。 约束条件 仅专业版支持VPC间防火墙防护功能。 操作步骤 登录管理控制台。

查看更多 →

业务上行口，为透明二层接口，连接上行设备（如：出口路由器）。 使用上下相邻的一对接口连接上下行设备，请选取奇数编号接口连接上行设备，此处以GE0/0/11为例。 1 GE0/0/1 单独物理上网口，连接上行设备（如：出口路由器）。为此接口配置IP地址并确保可达互联网，天关通过该IP地址完成云端注册。请

查看更多 →

，支持的设备类型为天关和防火墙，该默认站点支持编辑和删除。 目前系统支持两种站点管理场景，不同场景下支持的设备类型也不同，如表1所示。 表1 站点设备列表 站点场景 设备类型 设备类型说明 安全场景 天关 天关是配套华为乾坤的专用安全设备。 FW 部分防火墙设备支持配套华为乾坤使用。

查看更多 →

配置企业路由器 防火墙创建完成后，您还需关联企业路由器和设置引流。 配置原理 配置企业路由器时需要执行以下流程。 图1 配置企业路由器操作步骤 前提条件 已完成创建防火墙步骤。 约束条件 企业路由器需关闭“默认路由表关联”、“默认路由表传播”和“自动接收共享连接”功能。 仅专业版支持VPC间防火墙防护功能。

查看更多 →

控制主机外联行为。 企业路由器 企业路由器（Enterprise Router, ER）可以连接VPC或本地网络来构建中心辐射型组网，是云上大规格，高带宽，高性能的集中路由器。 云墙关联子网 云墙关联子网是VPC边界防火墙中的参数。用户配置网段后，云防火墙自动分配“云墙关联子网”

查看更多 →

开启VPC边界防火墙并确认流量经过云防火墙 配置完成后，防火墙默认为“未开启”状态，此时流量只经过企业路由器，未转发到防火墙。您可选择手动开启VPC间防火墙功能。 开启VPC边界防火墙 登录管理控制台。 单击管理控制台左上角的，选择区域。 在左侧导航栏中，单击左上方的，选择“安全与合规

查看更多 →

添加审计资产后，您还需要分别在天关/防火墙和资产上进行日志上报配置，配置后资产产生的日志才会通过天关/防火墙上报到云端。 了解配置流程 配置前请先了解日志上报的配置流程，如图1所示。 图1 配置流程 获取天关/防火墙侧的IP地址 请先获取天关/防火墙侧与资产通信的IP地址，在后续配置中会用到。本文中以10

查看更多 →

企业路由器模式（新版） 创建VPC边界防火墙 配置企业路由器并将流量引至云防火墙 开启VPC边界防火墙并确认流量经过云防火墙 父主题： 开启VPC边界流量防护

查看更多 →

永久关闭VPC边界防护后恢复企业路由器配置 如果业务后续不再需要VPC边界流量防护，在关闭VPC边界防护后，需要手动恢复企业路由器（ER）的配置。 本节指导您恢复ER的配置，恢复后，流量将直接从VPC1 --> ER --> VPC2，不再经过云防火墙。 应用场景 当前业务不再需要VPC边界防火墙防护。 恢复企业路由器配置

查看更多 →