Cloud Firewall es un servicio de firewall nativo de la nube de Alibaba Cloud que ofrece funciones de seguridad como filtrado de tráfico, prevención de intrusiones y detección de amenazas. La versión pay-as-you-go de Cloud Firewall factura según el uso real de recursos, sin compromisos por adelantado. Usted puede habilitar o deshabilitar el servicio en cualquier momento para tener mayor flexibilidad y control. Este tema describe cómo habilitar la versión pay-as-you-go de Cloud Firewall.
Aplicabilidad
Este tema aplica únicamente a los usuarios que no han habilitado Cloud Firewall. Si ya habilitó Cloud Firewall en su cuenta, consulte a continuación los documentos correspondientes según sus necesidades de negocio:
Cambiar el método de facturación: Para cambiar del método de facturación de suscripción al método pay-as-you-go, consulte Switch between subscription and pay-as-you-go.
-
Actualizar el método de facturación: Si utiliza el método de facturación heredado (1.0) y desea actualizarlo al nuevo modelo pay-as-you-go (2.0), consulte Upgrade your billing method from 1.0 to 2.0.
NotaA partir del 15 de octubre de 2025 (UTC+8), Cloud Firewall lanzará el método de facturación pay-as-you-go 2.0. Este método será el predeterminado para todos los usuarios nuevos.
Habilitar la versión pay-as-you-go
Vaya a la página de compra de Cloud Firewall y establezca Product Type en pay-as-you-go 2.0.
-
En la página Cloud Firewall (pay-as-you-go), configure a continuación los parámetros.
Parámetro
Descripción
Billing Method for Sale
Este parámetro se establece en pay-as-you-go 2.0 y no se puede modificar.
Auto-protect assets
Seleccione Yes para proteger automáticamente todos sus activos públicos después de habilitar el servicio. Esto ayuda a reducir el riesgo de exposición de sus activos orientados a Internet. Más adelante, usted puede modificar esta configuración para habilitar o deshabilitar la protección de activos específicos según lo requiera.
NotaLa facturación comienza de inmediato cuando Cloud Firewall protege un activo.
Firewall Log Analysis
De forma predeterminada, Cloud Firewall proporciona una función de auditoría de registros gratuita durante 7 días. Si necesita cumplir con periodos de retención de registros más largos o con estándares de cumplimiento, se recomienda habilitar el servicio Log Analysis.
Si habilita este servicio, también debe configurar Firewall Log Storage Capacity. A mayor ancho de banda del servicio, necesitará más almacenamiento. Si no tiene certeza sobre sus necesidades de ancho de banda, mantenga la capacidad predeterminada y auméntela después.
Guía de dimensionamiento: Por cada 10 Mbps de ancho de banda del servicio, asigne 1 TB de capacidad de almacenamiento de registros si requiere una retención de 6 meses.
Agentic NDR
Agentic NDR es un servicio avanzado y de valor agregado para Cloud Firewall. Su almacenamiento para análisis de registros es independiente del almacenamiento de registros estándar de Cloud Firewall. Para habilitar el servicio de análisis de registros de Agentic NDR, debe configurar tanto NDR Log Analysis como NDR Log Storage Capacity.
Service-linked Role
Cloud Firewall requiere acceso a sus recursos en la nube para proporcionar servicios como control de acceso y monitoreo de rendimiento. Haga clic en Create Service-linked Role para crear automáticamente el rol AliyunServiceRoleForCloudFW. No modifique este rol de forma manual.
Lea el Contrato de Servicio de Cloud Firewall, luego haga clic en Create Now y complete el pago.
Primeros pasos
Después de habilitar Cloud Firewall, siga estos pasos para configurar y utilizar el servicio:
Confirmar el estado de protección de los activos públicos: Vaya a la página y compruebe que el estado de los activos públicos objetivo sea Protected. Para obtener más información, consulte Internet Firewall.
Revisar la configuración de prevención de intrusiones (IPS): La protección IPS se habilita de forma predeterminada. Para ajustar la configuración, vaya a la página . Para obtener más información, consulte IPS configuration.
Configurar políticas de control de acceso (ACL): Vaya a la página para establecer las reglas de tráfico entrante y saliente de cada activo y lograr un control detallado. Para obtener más información, consulte Overview of access control policies.
Auditar los registros de tráfico: Una vez que sus activos estén protegidos y comiencen a generar tráfico, vaya a la página para consultar y analizar los registros. Si habilitó Log Analysis, vaya a la página para consultar los registros completos. Para obtener más información, consulte Log audit y Overview of Log Analysis.
Recomendaciones de optimización de costos
En algunos escenarios de negocio, la versión pay-as-you-go de Cloud Firewall puede resultar más costosa, en parte debido a elementos facturables como la tarifa de instancia.
Evaluación de escenarios
Escenarios recomendados: Pruebas de funciones a corto plazo, validación, aprendizaje personal o escenarios con tráfico de servicio variable.
No recomendado para: Uso a largo plazo, escenarios con ancho de banda total estable o escenarios donde la configuración de funciones cambia con poca frecuencia.
Medidas de optimización de costosPara controlar los costos de pay-as-you-go y evitar cargos elevados inesperados, considere a continuación las medidas:
-
Comprar una instancia de suscripción: Se recomienda una instancia de Cloud Firewall basada en suscripción para cargas de trabajo a largo plazo.
NotaLas instancias de Cloud Firewall basadas en suscripción habilitan el ancho de banda elástico de forma predeterminada. Si su ancho de banda real supera la especificación adquirida, el tráfico excedente se factura bajo el modelo pay-as-you-go.
Comprar un savings plan: Si planea usar la versión pay-as-you-go a largo plazo, se recomienda adquirir un Savings Plan para reducir sus costos mediante un modelo de prepago.
Liberar manualmente las instancias pay-as-you-go de manera oportuna: En escenarios como la evaluación funcional, si ya no necesita el servicio, vaya a la página Overview en la consola. En el área Version Information, haga clic en More > Self-service Release para detener la facturación.
Preguntas frecuentes
¿Cuántas instancias se deben habilitar?
Solo necesita habilitar una instancia de Cloud Firewall por cuenta de Alibaba Cloud. Esta única instancia protege sus activos en la nube en varias regiones, tanto dentro como fuera de China continental. Una vez que sus activos están protegidos, la tarifa de instancia se calcula con base en factores como las regiones y la cantidad de activos en la nube protegidos.
Cálculo de la tarifa de instancia
En el método de facturación pay-as-you-go 2.0, la tarifa de instancia se calcula según a continuación las reglas, las cuales determinan la cantidad de instancias obligatorias:
Reglas de cálculo de la tarifa de instancia
La tarifa de instancia se cobra según la cantidad de instancias de Cloud Firewall creadas, lo cual abarca diversos límites de firewall. El precio unitario es de USD 0.36 por instancia por hora. La cantidad de instancias se determina de la siguiente manera:
Internet firewall: Se requiere una instancia por cada región protegida. Dentro de la misma región, solo se consume una especificación de instancia, sin importar la cantidad de direcciones IP públicas protegidas ni si son IPv4 o IPv6.
NAT firewall: Se requiere una instancia por cada instancia de NAT Gateway.
-
VPC firewall:
En una arquitectura de Cloud Enterprise Network (CEN) Enterprise Edition, se requiere una instancia por cada Transit Router (TR).
En una arquitectura de CEN Basic Edition, se requiere una instancia por cada VPC.
En una arquitectura de conexión de emparejamiento de VPC, se requiere una instancia por cada par de VPC.
Multi-account Management: Si habilita esta función, los activos de cada cuenta miembro consumen una especificación de instancia de Cloud Firewall y generan una tarifa de instancia independiente.
Relación entre la tarifa de instancia y la cantidad de activos
Para Internet Firewall, la tarifa de instancia depende de la cantidad de regiones donde se ubican sus activos protegidos, no de la cantidad total de activos. Todos los activos dentro de una sola región quedan cubiertos por una instancia de firewall. Entre más regiones abarquen sus activos, mayor será la tarifa de instancia.
¿Por qué se me factura por una instancia pay-as-you-go inactiva?
Funciones como Log Analysis, inteligencia de amenazas (IPS) y detección de fugas de datos confidenciales se facturan de manera independiente respecto a los firewalls perimetrales.
Para detener la facturación por completo, inicie sesión en la consola de Cloud Firewall. En la esquina superior derecha de la página Overview, seleccione . Después de liberar la instancia, el sistema genera una factura final al día siguiente (T+1) que incluye los cargos generados antes de la liberación. Posteriormente, no se generan nuevas facturas.
¿Por qué se me factura después de liberar una instancia?
Es posible que reciba una factura después de liberar una instancia pay-as-you-go por a continuación las razones:
Facturación diferida: Las instancias pay-as-you-go se facturan diariamente. Después de liberar una instancia, el sistema genera una factura al día siguiente (T+1). Dicha factura incluye los cargos generados antes de la liberación. Después de esto, no se generan nuevas facturas.
Liberación tardía de la instancia: Si no libera manualmente una instancia después de que expire su prueba gratuita o su savings plan, se le seguirá facturando el servicio a la tarifa estándar.
Finalización incorrecta del servicio: Deshabilitar la protección del firewall perimetral no detiene la facturación. Para detenerla por completo, Inicie sesión en la consola de Cloud Firewall. En la página Overview, en la esquina superior derecha, seleccione .
¿Por qué se me cobra después de la prueba gratuita?
Cuando se registra para la prueba gratuita de Cloud Firewall, el sistema activa la edición pay-as-you-go de Cloud Firewall y proporciona un Pay-as-you-go Savings Plan con un monto específico de crédito. Este crédito se utiliza para compensar los cargos. Una vez que se agota el crédito del savings plan, el sistema cobra automáticamente cualquier uso excedente según las reglas de facturación de pay-as-you-go.
Inicie sesión en Billing & Cost Management. En el panel de navegación izquierdo, elija Account > Savings Plan > Overview para consultar el crédito restante y el uso de su Pay-as-you-go Savings Plan.
Para evitar cargos, debe liberar la instancia antes de que se agote el crédito del plan. Inicie sesión en la consola de Cloud Firewall. En la esquina superior derecha de la página Overview, seleccione .