Internet firewall - Cloud Firewall - Centro de documentación de Alibaba Cloud

Se recomienda habilitar el firewall de internet para todos sus activos públicos. Esto mitiga las amenazas de ataques de red, reduce la exposición a internet y minimiza los riesgos de seguridad del tráfico de su negocio. Esta función se habilita con un solo clic y la protección entra en vigor en segundos sin modificar las rutas de su negocio. Habilitar la protección es un requisito previo para usar Cloud Firewall. Las configuraciones de módulos como el sistema de prevención de intrusiones (IPS), las políticas de control de acceso, el análisis de tráfico y la auditoría de registros solo surten efecto cuando el activo está protegido.

Alcance

El firewall de internet protege el tráfico saliente y entrante de los activos IPv4 e IPv6 públicos dentro de su cuenta. Para proteger activos de otras cuentas, debe completar la certificación empresarial y configurar la gestión unificada de varias cuentas.

Tipos de activos compatibles

Activos IPv4: dirección IP pública de AI Gateway, EIP de ALB, dirección IP pública de API Gateway, dirección IP saliente de Bastionhost, dirección IP de Bastionhost, dirección IP entrante de Bastionhost, EIP, dirección IP pública de Wuying Workspace (Enterprise Edition), EIP de ECS, dirección IP pública de ECS, EIP de ENI, EIP de GA, HAVIP, EIP de NAT, dirección IP pública de NAT Gateway, EIP de NLB, EIP de Server Load Balancer (SLB), dirección IP pública de SLB, dirección IP pública de Simple Application Server y dirección IP pública de VPN Gateway.
Activos IPv6: dirección IPv6 pública de AI Gateway, IPv6 de ALB, dirección IPv6 pública de API Gateway, IPv6 de ECS, EIP IPv6 de ENI, EIP IPv6 de GA, IPv6 de NLB e IPv6 de Server Load Balancer (SLB).

Nota

Para las EIP de GA y las EIP IPv6 de GA, se deben cumplir las siguientes condiciones:

La instancia de GA a la que pertenecen las direcciones IP aceleradas debe ser una standard GA instance.
Las direcciones IP aceleradas deben ser del tipo EIP.
La región de aceleración a la que pertenecen las direcciones IP aceleradas no puede ser un punto de presencia (POP) de Alibaba Cloud.

Para comprobar si una región de aceleración es un POP de Alibaba Cloud, llame a la operación ListAvailableBusiRegions.

Impacto en los servicios

Habilite la protección del firewall de internet para un activo en segundos con un solo clic y sin modificar su topología de red.

Enrutamiento y arquitectura de red: no se requieren modificaciones de ruta.
Riesgo de falsos positivos:
- Sistema de prevención de intrusiones (IPS): de forma predeterminada, el motor de amenazas se ejecuta en modo Deny - Medium, adecuado para escenarios de protección de seguridad diaria con una tasa baja de falsos positivos. Si su negocio es muy sensible a la continuidad del tráfico, primero establezca el modo del motor de amenazas en Monitor y ajústelo después según sea necesario. Para obtener más información sobre la configuración, consulte IPS configuration.
- Política de control de acceso: de forma predeterminada, todas las acciones de las reglas se establecen en Allow. Esto elimina el riesgo de bloqueos incorrectos, pero no ofrece protección. Después de habilitar la protección, se recomienda ajustar sus políticas según sea necesario. Para obtener más información, consulte Access control policy overview.

Especificaciones de protección

A partir del 15 de octubre de 2025, Cloud Firewall introducirá Billing method 2.0. Los usuarios nuevos utilizarán de forma predeterminada el método de facturación 2.0, mientras que los usuarios existentes continuarán usando Billing method 1.0. Las especificaciones de protección del firewall de internet difieren entre ambos métodos de facturación.

Método de facturación 2.0

Con el método de facturación 2.0, la facturación se basa en el número de instancias de firewall y en el tráfico público procesado.

Número de instancias de firewall: cada región protegida corresponde a una instancia. Dentro de la misma región solo se consume una instancia, sin importar cuántas direcciones IP públicas estén protegidas o si son IPv4 o IPv6.
Capacidad de procesamiento de tráfico público: la facturación se basa en el pico del tráfico público total procesado, que es la suma del ancho de banda entrante y saliente.

subscription: cada edición proporciona un número específico de instancias de firewall y una capacidad determinada de procesamiento de tráfico público. Si su cuota es insuficiente, actualice su plan. Si el tráfico real supera la capacidad de procesamiento adquirida, el exceso se factura bajo el modelo pay-as-you-go.

pay-as-you-go: se le factura según el número real de instancias de firewall y el pico del tráfico total procesado. El ancho de banda máximo compatible es de 10 Gbps. Para solicitar un límite mayor, comuníquese con su administrador de cuenta o arquitecto.

Método de facturación 1.0

Con el método de facturación 1.0, la facturación se basa en el número de direcciones IP públicas protegidas y en el tráfico público procesado.

Número de direcciones IP públicas que se pueden proteger: la cantidad de direcciones IP públicas que puede proteger con el firewall de internet.
Capacidad de procesamiento de tráfico público: la facturación se basa en el pico del tráfico público total procesado, que corresponde al valor más alto entre el ancho de banda entrante y el saliente.

subscription: cada edición proporciona una cuota específica de direcciones IP públicas que se pueden proteger y una capacidad determinada de procesamiento de tráfico público. Si su cuota es insuficiente, actualice su plan. Si el tráfico real supera la capacidad de procesamiento adquirida, el exceso se factura bajo el modelo pay-as-you-go.

pay-as-you-go: se le factura según el número real de direcciones IP públicas protegidas y el pico del tráfico total procesado.

Habilitar la protección para los activos

Cuando active Cloud Firewall, si establece la opción Auto Protection for Internet Assets en Yes, el sistema habilitará automáticamente la protección para todos los activos públicos de su cuenta y podrá omitir los siguientes pasos manuales. Si la establece en No, deberá habilitar la protección manualmente con estos pasos:

Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, haga clic en Firewall.
En la pestaña Internet Firewall, haga clic en la pestaña IPv4 o IPv6 según el tipo de dirección IP de sus activos.
Si el activo de destino no aparece en la lista de activos públicos, haga clic en Synchronize Assets en la esquina superior derecha de la lista. La sincronización tarda entre 1 y 2 minutos.
Habilite la protección de una de las siguientes maneras:
- Para un solo activo: en la fila del activo de destino, haga clic en Enable Protection en la columna Actions.
- Para varios activos: seleccione las casillas de verificación de los activos de destino y luego haga clic en Enable Protection debajo de la lista.

Configurar la protección automática para activos nuevos

Después de habilitar Automatic Protection for New Assets, el sistema habilita automáticamente la protección del firewall de internet para cualquier activo público nuevo que se agregue a su cuenta de Alibaba Cloud y a sus cuentas miembro, si configuró la gestión de varias cuentas. Se recomienda habilitar esta función para garantizar la protección oportuna de sus activos públicos.

Al activar Cloud Firewall: use la opción Auto Protection for Internet Assets para gestionar este ajuste.
Después de activar Cloud Firewall: en la consola de Cloud Firewall, vaya a la página Firewall > Internet Firewall y use el interruptor Automatic Protection for New Assets en la esquina superior derecha para gestionar el ajuste.
- Seleccionar tipos de activos para la protección automática: haga clic en Automatic Protection for New Assets. En el panel de configuración que aparece, seleccione los tipos de activos nuevos y sus regiones que desea proteger automáticamente. Una vez completada la configuración, haga clic en Save para aplicar los cambios.

Pasos siguientes

Cuando habilita la protección del firewall de internet para un activo, el sistema aplica reglas de protección predeterminadas. Para evitar bloqueos incorrectos, las políticas predeterminadas son permisivas y ofrecen una protección limitada. Se recomienda optimizar la configuración de protección de la siguiente manera:

Ajustar el modo del motor de amenazas de IPS: el motor se ejecuta de forma predeterminada en modo Deny - Medium, adecuado para escenarios de seguridad diarios y con una tasa baja de falsos positivos. Cambie a un modo más permisivo o más estricto según los requisitos de su negocio. Para conocer los detalles de configuración, consulte IPS configuration.
Configurar políticas de control de acceso: de forma predeterminada, todas las acciones de las reglas se establecen en Allow, lo cual no ofrece protección real. Se recomienda ajustar estas políticas según sea necesario. La práctica recomendada consiste en adoptar un modelo de lista de permisos que descarte todo el tráfico de forma predeterminada y permita solo el tráfico conocido y de confianza. Para evitar bloqueos incorrectos, no aplique reglas estrictas de forma directa. Se recomienda comenzar con la acción Monitor. Después de monitorear el tráfico durante un tiempo para asegurar su estabilidad, cambie gradualmente la acción a Drop. Para conocer los detalles de configuración, consulte Configure an access control policy for the internet firewall.

Una vez configuradas las políticas, consulte los registros de tráfico y de protección de las siguientes maneras:

Tráfico saliente: en la página Analysis > Outbound Connections, consulte los datos de tráfico de las conexiones salientes desde sus activos de negocio hacia internet. Para obtener más información, consulte Outbound Connection.
Tráfico entrante: en la página Analysis > Internet Exposure, consulte los datos sobre el tráfico de internet que accede a sus activos de negocio. Para obtener más información, consulte Internet Exposure.
Eventos de prevención de intrusiones: en la página Firewall > Internet Firewall, ubique el activo de destino y haga clic en View Attacks en la columna Actions. Consulte los datos de ataques del tráfico entrante o saliente del activo. Para obtener más información, consulte Intrusion prevention.
Auditoría detallada de registros: vaya a Detection & Response > Log Audit > Flow Logs > Traffic Logs. En la pestaña Internet Border, establezca las condiciones de filtro para consultar los registros de acceso detallados entre sus activos públicos e internet. Para obtener más información, consulte Log Auditing.

Operaciones habituales

En la pestaña Firewall > Internet Firewall, ejecute las siguientes operaciones:

Consultar el estado de protección de los activos: la barra de información en la parte superior de la página muestra el número de instancias de firewall y de direcciones IP públicas protegidas. Haga clic en Enable All para proteger todos los activos con un solo clic, o bien en View Details para ver información específica de los activos. Si el número de Available Quotas es insuficiente, haga clic en Upgrade para aumentar su capacidad.
Descargar la información de los activos públicos: descargue la lista de activos públicos como archivo CSV. En la esquina superior derecha de la lista de activos públicos, haga clic en el icono . Luego, haga clic en Download Task Management en la esquina superior derecha de la página para comprobar el progreso de la descarga. Cuando finalice la tarea, haga clic en Download en la columna Actions para descargar el archivo.
Deshabilitar la protección del firewall de internet para un activo: tras deshabilitar la protección, Cloud Firewall deja de gestionar el tráfico del activo. Esto podría exponerlo a riesgos como ataques maliciosos y filtraciones de datos. Proceda con precaución. En la pestaña Internet Firewall, haga clic en la pestaña IPv4 o IPv6. En la lista de activos públicos, busque el activo de destino y haga clic en Disable en la columna Actions.

Aplicar políticas de permiso predeterminadas a los security groups

Después de habilitar la protección del firewall de internet para un activo de ECS, aplique con un solo clic una política predeterminada al security group básico de ECS asociado para el tráfico entrante. Esta función centraliza el control del tráfico público en Cloud Firewall para auditarlo y gestionarlo de forma unificada, lo que elimina la necesidad de configurar security groups en la consola de ECS.

Alcance

Esta función solo admite security groups básicos asociados con direcciones IP públicas de ECS o EIP. No es compatible con security groups empresariales.

Lógica de la política

El sistema agrega automáticamente cuatro reglas con prioridad 100 (la más baja) al security group de destino. La lógica es la siguiente:

Permitir explícitamente el tráfico público: se agrega una regla Allow de 0.0.0.0/0. Esta regla anula cualquier configuración de denegación predeterminada, lo que garantiza que el tráfico público atraviese el security group para que Cloud Firewall lo filtre.
Bloquear el acceso directo a la red privada: se agregan reglas Deny para bloquear el tráfico proveniente de 192.168.0.0/16, 172.16.0.0/12 y 10.0.0.0/8. Esto evita que el tráfico este-oeste dentro de la red interna eluda Cloud Firewall y acceda directamente a la instancia.
La denegación tiene prioridad: según el mecanismo de coincidencia de los security groups, cuando las reglas tienen la misma prioridad, las reglas Deny prevalecen sobre las reglas Allow. Si ya existe una regla Deny con prioridad 100 en el security group, la política Allow recién aplicada no la anulará, por lo que se conserva su línea base de seguridad original.

Detalles de las reglas

Source	Protocol Type	Port Range	Policy Type	Descripción
192.168.0.0/16	ALL	-1/-1	Deny	Bloquea el tráfico de red privada RFC 1918 para evitar que el tráfico interno eluda la protección.
172.16.0.0/12	ALL	-1/-1	Deny
10.0.0.0/8	ALL	-1/-1	Deny
0.0.0.0/0	ALL	-1/-1	Allow	Regla general que enruta el tráfico público hacia Cloud Firewall para su gestión.

Importante

Riesgo de exposición pública: antes de aplicar estas políticas, asegúrese de que todos los activos de ECS estén protegidos por el firewall de internet y cuenten con políticas de control de acceso efectivas. De lo contrario, aplicarlas podría permitir que el tráfico público llegue directamente a sus instancias y genere un riesgo de exposición.
Limitación para recursos no gestionados: no aplique estas políticas a recursos que no estén protegidos por el firewall de internet. Si lo hace, se bloqueará el tráfico de red privada y el tráfico público quedará fuera de la gestión del security group, ya que no estará protegido por Cloud Firewall.
Reglas residuales tras liberar el servicio: si libera el servicio Cloud Firewall, estas cuatro reglas no se eliminan automáticamente. Deberá eliminarlas manualmente para evitar conflictos con futuras planificaciones de red e implementaciones de políticas de seguridad.

Procedimiento

Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, haga clic en Firewall.
En la pestaña Internet Firewall, haga clic en la pestaña IPv4.
En la lista de activos públicos, ubique el activo de ECS de destino y haga clic en Apply en la columna Default Allow Policies.
(Opcional) Resuelva los conflictos de políticas.
- Conflictos ajustables automáticamente: si una regla existente en el security group tiene la misma prioridad que una regla por aplicar, pero difiere en el tipo de protocolo, el rango de puertos o el origen, haga clic en Quick Modify en el cuadro de diálogo. El sistema aumentará automáticamente la prioridad de la regla original para resolver el conflicto.
- Conflictos que requieren ajuste manual: si una regla existente comparte la misma prioridad, tipo de protocolo, rango de puertos y origen que una regla por aplicar, ajuste manualmente las prioridades de las reglas en la página del security group de la consola de ECS. Para obtener más información, consulte Modify a security group rule.
En el cuadro de diálogo, haga clic en Quick Apply. Revise las cuatro políticas que se aplicarán y luego haga clic en OK.
Si una instancia de ECS está asociada con varios security groups, aplique las políticas a todos ellos para que la política de permiso predeterminada surta efecto.

Una vez completada la configuración, compruebe el estado de la aplicación en la página Firewall > Internet Firewall.

Estado	Descripción
Applied	Las políticas de permiso predeterminadas se aplicaron a todos los security groups asociados con el activo de ECS.
Not Applied	Las políticas de permiso predeterminadas no se aplicaron a algunos o a todos los security groups asociados, o bien existe un conflicto de configuración.
-	No se admite la aplicación con un solo clic de las políticas de permiso predeterminadas para este tipo de activo.

Preguntas frecuentes

La política de control de acceso no surte efecto o faltan registros

Si una política de control de acceso configurada para un activo público, como una EIP de NAT o una instancia de ECS, no surte efecto, o si los registros de tráfico no contienen los datos esperados, generalmente se debe a que el Firewall Status del activo en la pestaña internet firewall es Unprotected. En este estado, las políticas no se aplican y el tráfico no se bloquea ni se registra.

Solución:

Inicie sesión en la consola de Cloud Firewall.
En el panel de navegación izquierdo, haga clic en Firewall.
En la pestaña Internet Firewall, compruebe el estado de protección del activo público de destino.
Si el Firewall Status es Unprotected, habilite la protección manualmente.

Una vez habilitada la protección, las políticas de control de acceso configuradas gestionarán el tráfico del activo (por ejemplo, para permitirlo o descartarlo) y todas las acciones se registrarán en los registros de tráfico.