通过防护规则拦截/放行VPC边界流量

防护规则说明

防护规则的防护对象、防护动作，以及防护场景说明如下：

规格限制

仅“专业版”支持VPC边界流量防护。

约束条件

• CFW不支持应用层网关(Application Level Gateway，ALG)。如果有ALG相关业务(例如SIP，FTP)，建议增加一条放通数据通道所有端口的规则（即“服务”为Any，“防护动作”为放行）。
• CFW长连接业务场景限制，配置策略的时候需要同时开启双向放通的安全策略，如果只开启单向策略，部分场景（开启和关闭防护、扩容引擎）需要客户端重新发起连接。相关问题建议提交工单评估风险。
• 配额限制：
  • 最多添加20,000条防护规则。
  • 单条防护规则最大限制如下：
    • IPv4 IP地址的个数最大支持4,000个（源和目的各4,000个），IPv6 IP地址的个数最大支持2,000个（源和目的各2,000个）。
    • 最多添加20个“IP地址”（源和目的各20个）。
    • 最多关联10个“IP地址组”（源和目的各10个）。
    • 最多添加10个“服务”。
    • 最多关联10个“服务组”。
    • 单条防护规则最多添加10个“应用域名”。
    • 单条防护规则最多关联8个“应用域名组”。
    • 单条防护规则最多添加3个“网络域名”。
    • 单条防护规则最多关联1个“网络域名组”。
• 域名防护限制：
  • 域名防护时不支持添加中文域名格式。
  • 应用型域名引用数量限制如下：
    • 每个防火墙实例中最多引用60,000个域名。
    • 每个防火墙实例最多引用1,000个泛域名。
    • 每条防护规则最多引用20,000个域名。
    • 每条防护规则最多引用128个泛域名。

    计算方式：规则A和规则B中均引用了域名1和域名组A（包含域名2和域名3），则规则A/B引用的域名数量为3个，该防火墙实例中引用的域名数量为6个。

  • 网络型域名组最多解析4,000个IP地址（受IP地址和IP地址组影响），每个域名最多保存1,000个地址解析结果，超出时，可能导致无法正常访问对应的域名；对于解析结果较多或变化频繁的域名，如果防护流量是HTTP、HTTPS协议，建议优先使用应用型域名组添加策略。

    网络型域名组配额计算方式：某条防护规则中配置10个IP地址，引用1个IP地址组A和1个网络型域名组B，IP地址组A中配置了5个IP地址，网络型域名组B中配置了15个域名，此时该网络型域名组B可使用的配额=4000（总配额）-10（IP地址）-5（IP地址组成员）=3985个

  • 域名防护依赖于用户配置的域名服务器。默认域名服务器可能存在域名解析对应的IP地址不全，建议有访问自身业务相关域名场景时配置自定义域名服务器。
• 地域限制：对于源或目的选择为地域（地理位置）的防护规则，仅对防护对象为IPv4的地址生效。
• 开启NAT64防护后，使用IPv6访问时，请注意将198.19.0.0/16的网段放通。因为NAT64会将源IP转换成198.19.0.0/16的网段进行ACL访问控制。

对业务的影响

配置拦截的防护规则时，如果涉及地址转换或者存在代理的场景，需要谨慎评估拦截IP的影响。

VPC边界防护规则

1. 开启VPC边界防火墙防护，请参见开启VPC边界流量防护。
2. （可选）如果您需要同时添加多个IP地址、域名、服务（协议、源端口、目的端口），可先添加对应的组。
   • 添加多个IP地址，具体操作请参见管理IP地址组。
   • 添加多个域名，具体操作请参见管理域名组。
   • 添加多个服务，具体操作请参见管理服务组。

3. 在云防火墙左侧导航栏中，选择“访问控制 > VPC边界防护规则”，进入“VPC边界防护规则”页面。

4. 添加新的防护规则。
   在“防护规则”页签中，单击“添加”，在弹出的添加防护规则页面中，填写新的防护信息，填写规则请参见表1。

   表1 添加防护规则-VPC边界

   参数名称	参数说明
   名称	自定义安全策略规则的名称。
   源	设置会话发起方。 IP地址/IP地址组： IP地址：支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个IP地址的集合，添加IP地址组请参见添加IP地址组。 Any：任意源地址。
   目的	设置会话接收方。 IP地址/IP地址组/域名/域名组： IP地址：支持设置单个IP地址、多个连续IP地址、地址段。 单个IP地址，如：192.168.10.5 多个连续IP地址，中间使用“-”隔开，如：192.168.0.2-192.168.0.10 地址段，使用"/"隔开掩码，如：192.168.2.0/24 IP地址组：支持多个IP地址的集合，添加IP地址组请参见添加IP地址组。 域名/域名组：支持域名或域名组的防护。 应用型：支持域名或泛域名的防护；适用应用层协议，支持HTTP、HTTPS、TLS、SMTPS、POPS的应用协议类型；通过域名匹配。 Any：任意目的地址。
   服务	服务/服务组： 服务：设置协议类型、源端口和目的端口。 协议：支持选择TCP、UDP、ICMP。 源/目的端口：“协议”选择“TCP”或“UDP”时，需要设置端口号。 如您需设置该IP地址的全部端口，可配置“端口”为“1-65535”。 如您需设置某个端口，可填写为单个端口。例如设置22端口的访问，则配置“端口”为“22”。 如您需设置某个范围的端口，可填写为连续端口组，中间使用“-”隔开。例如设置80-443端口的访问，则配置“端口”为“80-443”。 服务组：支持多个服务（协议、源端口、目的端口）的集合。 添加自定义服务组请参见添加服务组，预定义服务组请参见查看预定义服务组。 Any：任意协议类型和端口号。
   应用	（可选，“目的”选择“域名/域名组”时，参数为必选）设置针对应用层协议的防护策略。 “服务”选择“Any”时，支持所有应用类型。 “服务”选择“服务”，“协议”选择“TCP”时，支持TCP的应用类型，如HTTP、HTTPS等。 “服务”选择“服务”，“协议”选择“UDP”时，支持UDP的应用类型，如DNS、RDP等。
   防护动作	设置流量经过防火墙时的处理动作。 放行：防火墙允许此流量转发。 阻断：防火墙禁止此流量转发。
   启用状态	设置该策略是否立即启用。 ：表示立即启用，配置完成后规则立即生效。 ：表示立即关闭，规则不生效。
   策略优先级	设置该策略的优先级： 置顶：表示将该策略的优先级设置为最高。 移动至选中规则后：表示将该策略优先级设置到某一规则后。
   时间计划管理	（可选）单击“时间计划管理”设置规则的生效时间段，选择已设置的时间计划或新增时间计划。
   配置长连接	当前防护规则仅配置一个“服务”且“协议”选择“TCP”或“UDP”时，可配置业务会话老化时间（以秒为单位）。
   长连接时长	“配置长连接”选择“是”时，需要设置长连接时长，输入“时”、“分”、“秒”。
   标签	（可选）用于标识规则，可通过标签实现对安全策略的分类和搜索。
   描述	（可选）标识该规则的使用场景和用途，以便后续运维时快速区分不同规则的作用。

5. 单击“确认”，完成配置防护规则。

查看防护规则的命中情况

您可以等待业务运行一段时间后，在防护规则列表的“命中次数”列查看防护规则的命中情况。

单击命中次数跳转至日志查询的“访问控制日志”页面查看详细日志信息。关于日志查询详细内容请参见日志查询。

图1 查看日志信息

后续操作

相关文档

• 批量添加防护规则请参见导入/导出防护策略。
• 调整防护规则的优先级请参见调整防护规则的优先级。