# 管理IP地址组 #### 操作场景 IP地址组是多个IP地址的集合。通过在访问规则中一键引用IP地址组，即可实现对特定对象群体的统一流量管控。此外，当IP地址组更新时会自动同步至所有关联策略，无需手动调整。这不仅能提升策略调整响应速度，还可以降低重复配置工作量，实现运维效率的全面提升。 - [添加自定义地址组] - [添加、导出或删除自定义地址组中的IP地址] - [导出或删除自定义地址组] - [查看预定义地址组] #### 约束与限制 - 添加自定义IP地址组和IP地址： - 每个防火墙实例下最多添加3,000个IP地址组。 - 每个IP地址组中最多添加640个IP地址成员，且单次最多可添加640个IP地址成员。 - 每个防火墙实例下最多添加30,000个IP地址。 - 预定义地址组仅支持查看，不支持添加、修改、删除操作。 - 被防护规则引用的地址组不支持删除，需优先调整/删除对应规则。 #### 添加自定义地址组 1. [登录云防火墙控制台](https://console.huaweicloud.com/cfw/?locale=zh-cn)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-cfw/zh-cn_image_0000002351970641.png "点击放大")，选择区域。 3. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。 4. 在左侧导航栏中，选择"防护策略 \> 访问控制 \> 对象组管理"，进入对象组管理界面。 5. 在"IP地址组 \> 自定义地址组"页面中，单击"添加IP地址组"，弹出添加IP地址组界面，填写IP地址组信息。 表1添加IP地址组的参数说明 | 参数 | 说明 | |:---|:---| | 地址组类型 | 选择地址组类型，支持"IPv4"和"IPv6"。 说明： 仅专业版支持选择IPv6，标准版默认防护IPv4。 | | IP地址组名称 | 需要添加的IP地址组名称。 命名规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_）。 - 长度不超过255字符。 | | IP地址列表 | 添加需要管理的IP地址，单击"解析"至IP地址列表中。 输入规则如下： - 单个IP地址，如：192.168.10.5。 - 地址段，使用"/"隔开掩码，如：192.168.2.0/24。 - 多个连续地址，中间使用"-"隔开，如：192.168.0.2-192.168.0.10。 - 支持多个IP地址，使用半角逗号（,）、半角分号（;）、换行符、制表符或空格隔开，如192.168.1.0,192.168.1.0/24。 | | 描述 | 标识该IP组的使用场景和用途，以便后续运维时快速区分不同的IP组。 命名规则如下： - 可输入中文字符、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）、空格和特殊字符（-_）。 - 长度不超过255字符。 | 6. 确认无误后，单击"确定"，完成添加IP地址组。 #### 添加、导出或删除自定义地址组中的IP地址 1. [登录云防火墙控制台](https://console.huaweicloud.com/cfw/?locale=zh-cn)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-cfw/zh-cn_image_0000002351970641.png "点击放大")，选择区域。 3. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。 4. 在左侧导航栏中，选择"防护策略 \> 访问控制 \> 对象组管理"，进入对象组管理界面。 5. 在"IP地址组 \> 自定义地址组"页面中，单击目标IP地址组名称，弹出"IP地址组详情"界面。 6. 添加、导出或删除自定义地址组中的IP地址。 表2添加、导出或删除自定义地址组中的IP地址 | 操作项 | 操作步骤 | |:---|:---| | 添加自定义地址组中的IP地址 | 1. 在IP地址组详情页面中，单击"添加IP地址"，并在弹出"添加IP地址"界面中，添加IP地址。 - 批量添加IP地址：在输入框中添加需要管理的IP地址，单击"解析"至IP地址列表中。 输入规则如下： - 单个IP地址，如：192.168.10.5。 - 地址段，使用"/"隔开掩码，如：192.168.2.0/24。 - 多个连续地址，中间使用"-"隔开，如：192.168.0.2-192.168.0.10。 - 支持多个IP地址，使用半角逗号（,）、半角分号（;）、换行符、制表符或空格隔开，如192.168.1.0,192.168.1.0/24。 - 添加单个IP地址：在IP地址列表上方单击"添加"，输入"IP地址"和"描述"信息。 2. 确认信息无误后，单击"确认"，完成添加IP地址。 | | 导出自定义地址组中的IP地址 | 在IP地址组详情页面中，单击列表上方的"导出"，选择需要的数据范围，系统将自动导出数据至本地。 | | 删除自定义地址组中的IP地址 | 1. 在IP地址组详情页面中，单击待删除IP地址所在行"操作"列的"删除"。 如果需要删除多个IP地址，可以批量勾选待删除IP地址，并单击列表上方的"删除"。 2. 弹出的确认框中，确认信息无误后，单击"确定"。 | #### 导出或删除自定义地址组 1. [登录云防火墙控制台](https://console.huaweicloud.com/cfw/?locale=zh-cn)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-cfw/zh-cn_image_0000002351970641.png "点击放大")，选择区域。 3. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。 4. 在左侧导航栏中，选择"防护策略 \> 访问控制 \> 对象组管理"，进入对象组管理界面。 5. 导出/删除自定义地址组。 - 导出自定义地址组： 在"IP地址组 \> 自定义地址组"页面中，单击列表上方的"导出"，选择需要的数据范围，系统将自动导出数据至本地。 - 删除自定义地址组： ![](https://support.huaweicloud.com/usermanual-cfw/public_sys-resources/warning_3.0-zh-cn.png) 删除IP地址组后无法恢复，请谨慎操作。 1. 在"IP地址组 \> 自定义地址组"页面中，单击目标IP地址组所在行"操作"列的"删除"。 如果需要删除多个IP地址组，可以批量勾选IP地址组，并单击列表上方的"删除"。 2. 在弹出的确认框中，确认信息无误后，输入"DELETE"，单击"确定"。 #### 查看预定义地址组 云防火墙为您提供预定义地址组，包括NAT64转换地址组、WAF回源IP地址组和管理区公网IP地址组，三个地址组均建议您配置放行的策略。 - NAT64转换地址组：提供转换后的IP地址；开启EIP服务的IPv6转换功能后，云防火墙接收到对应IPv6流量的源IP地址会被转换为当前地址组中的IP。IPv6转换功能请参见[IPv6转换](https://support.huaweicloud.com/usermanual-eip/eip_0006_02.html)。 ![](https://support.huaweicloud.com/usermanual-cfw/public_sys-resources/note_3.0-zh-cn.png) 如果您开启了EIP服务的IPv6转换功能，建议放行NAT64转换地址组。 - WAF回源IP地址组：提供Web应用防火墙（WAF）服务云模式的回源IP地址，回源IP的相关信息请参见[什么是回源IP？](https://support.huaweicloud.com/waf_faq/waf_01_0095.html#section0)。 ![](https://support.huaweicloud.com/usermanual-cfw/public_sys-resources/caution_3.0-zh-cn.png) - 引用至防护规则，如果回源IP改变，无需手动修改，防火墙每天自动更新地址组中的IP地址。 - 添加至黑/白名单，如果回源IP改变，您需手动修改对应黑/白名单中的IP地址。 - 管理区公网IP地址组：提供华为云管理面公网IP地址段，用于放行业务访问管理区时的流量（例如访问对象存储服务 OBS域名、访问API网关 APIG等场景）。 该地址组仅部分地区支持配置：亚太-曼谷、亚太-新加坡、华东-上海一、土耳其-伊斯坦布尔、非洲-约翰内斯堡、拉美-圣保罗一。 1. [登录云防火墙控制台](https://console.huaweicloud.com/cfw/?locale=zh-cn)。 2. 单击管理控制台左上角的![](https://support.huaweicloud.com/usermanual-cfw/zh-cn_image_0000002351970641.png "点击放大")，选择区域。 3. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。 4. 在左侧导航栏中，选择"防护策略 \> 访问控制 \> 对象组管理"，进入对象组管理界面。 5. 在"IP地址组"页签中，选择"预定义地址组"页签，单击目标地址组的名称，进入详细信息页面。 6. 查看预定义地址组的名称、类型、已添加的IP地址等信息。 如果需要导出预定义地址组中的IP地址信息，可以单击列表上方的"导出"，选择需要的数据范围，系统将自动导出数据至本地。