配置IPS白名单

操作场景

企业中的业务需要特定IP地址访问畅通，同时保持对其他流量的安全防护，IPS功能默认检测所有流量，可能会存在误拦截风险。

云防火墙支持配置IPS白名单，将可信的IP地址加入放行列表，其流量会绕过IPS检测，保障关键业务流畅又不影响整体防护能力。

本章节介绍如何配置入侵防御（IPS）白名单。

对业务的影响

IPS白名单中配置的IP地址将不再经过IPS检测。

约束限制

• 每个防火墙实例下最多配置256条IPS白名单。

  计算方式：“生效范围”全选或同时选择EIP和VPC、EIP和NAT时，每条IPS白名单会占用2条配额，其余场景占用1条配额。

添加IPS白名单

1. 已开启至少一项流量防护：
   • 开启EIP流量防护请参见开启互联网边界流量防护。
   • 开启VPC流量防护请参见开启VPC边界流量防护。
   • 开启私网IP流量防护请参见开启NAT网关流量防护。

2. 登录云防火墙控制台。
3. 单击管理控制台左上角的，选择区域。
4. （可选）切换防火墙实例：如果有多个防火墙实例，可以在页面左上角的下拉框中进行切换。
5. 在左侧导航栏中，选择“防护策略 > 攻击防御 > 入侵防御”，进入入侵防御界面。
6. 选择“IPS白名单”页签，进入IPS白名单页面后，单击“添加IPS白名单”，并配置IPS白名单参数信息。
   

   IPS白名单配置后即时生效。

   表1 IPS白名单

   参数名称	参数说明
   IPS白名单名称	自定义IPS白名单名称。 命名规则如下： 可输入中文字符（占用3个字符）、英文大写字母（A～Z）、英文小写字母（a～z）、数字（0～9）和特殊字符（-_）。 长度不能超过255个字符。
   IP类型	选择IP类型。支持“IPv4”和“IPv6”。
   生效范围	选择流量需放行的具体范围。 仅EIP方向支持IPv6防护。
   源	配置会话发起方。 IP地址：设置单个IP地址，支持设置单个IP地址格式（例如192.168.10.1或2407:c834:125d:ff01:1103:15a7:6462:0536）或子网格式（例如192.168.10.2/24或2407:c834:125d:ff01:1103:15a7:6462:0536/32）。 Any：所有IP地址。
   目的	配置会话接收方。 IP地址：设置单个IP地址，支持设置单个IP地址格式（例如192.168.10.1或2407:c834:125d:ff01:1103:15a7:6462:0536）或子网格式（例如192.168.10.2/24或2407:c834:125d:ff01:1103:15a7:6462:0536/32）。 Any：所有IP地址。
   IPS规则ID	选择需要放行流量的IPS规则对应的ID。 IPS规则ID：设置单条规则放行“源”到“目的”的流量。 全部：所有规则放行“源”到“目的”的流量。
   描述	（可选）设置该白名单的备注信息。

7. 单击“确认”，完成添加。

相关操作

• 修改IPS白名单：在所在行的“操作”列中，单击“编辑”，并在编辑页面中设置IPS白名单参数后，单击“确认”。
• 删除IPS白名单：在所在行的“操作”列中，单击“删除”，确认删除的信息无误后，输入“DELETE”，单击“确定”，完成删除。
• 修改IPS整体防护请参见配置IPS基础防御。
• 自定义特征规则请参见添加自定义IPS特征。