Tous les produits
Search

Ce produit

    Cloud Firewall:Pare-feu Internet

    Centre de documentation

    Cloud Firewall:Pare-feu Internet

    Dernière mise à jour :Sep 29, 2026

    Nous vous recommandons d'activer le pare-feu Internet pour l'ensemble de vos ressources publiques afin d'atténuer les menaces liées aux attaques réseau, de réduire votre exposition sur Internet et de minimiser les risques de sécurité pour le trafic de votre activité. Vous pouvez activer cette fonctionnalité en un seul clic ; la protection prend effet en quelques secondes sans modifier vos routes métier. L'activation de la protection est une condition préalable à l'utilisation de Cloud Firewall. Les configurations des modules tels que le système de prévention des intrusions (IPS), les politiques de contrôle d'accès, l'analyse du trafic et l'audit des journaux ne prennent effet qu'une fois la ressource protégée.

    Périmètre

    Le pare-feu Internet protège le trafic sortant et entrant des ressources IPv4 et IPv6 publiques associées à votre compte. Pour protéger les ressources d'autres comptes, vous devez réaliser la certification entreprise et configurer la gestion unifiée multi-comptes.

    Types de ressources pris en charge

    • Ressources IPv4 : adresse IP publique AI Gateway, EIP ALB, adresse IP publique API Gateway, adresse IP sortante Bastionhost, adresse IP Bastionhost, adresse IP entrante Bastionhost, EIP, adresse IP publique Wuying Workspace (Enterprise Edition), EIP ECS, adresse IP publique ECS, EIP ENI, EIP GA, HAVIP, EIP NAT, adresse IP publique NAT Gateway, EIP NLB, EIP Server Load Balancer (SLB), adresse IP publique SLB, adresse IP publique Simple Application Server et adresse IP publique VPN Gateway.

    • Ressources IPv6 : adresse IPv6 publique AI Gateway, IPv6 ALB, adresse IPv6 publique API Gateway, IPv6 ECS, EIP IPv6 ENI, EIP IPv6 GA, IPv6 NLB et IPv6 Server Load Balancer (SLB).

    Remarque

    Pour les EIP GA et les EIP IPv6 GA, les conditions suivantes doivent être remplies :

    • L'instance GA à laquelle appartiennent les adresses IP accélérées doit être une standard GA instance.

    • Les adresses IP accélérées doivent être de type EIP.

    • La région d'accélération à laquelle appartiennent les adresses IP accélérées ne peut pas être un point de présence (POP) Alibaba Cloud.

      Pour vérifier si une région d'accélération est un POP Alibaba Cloud, appelez l'opération ListAvailableBusiRegions.

    Impact sur les services

    Vous pouvez activer la protection par pare-feu Internet pour une ressource en quelques secondes, en un seul clic et sans modifier votre topologie réseau.

    • Routage et architecture réseau : aucune modification de route n'est requise.

    • Risque de faux positifs :

      • Système de prévention des intrusions (IPS) : par défaut, le moteur de menace s'exécute en mode Deny - Medium, adapté aux scénarios de sécurité quotidienne avec un faible taux de faux positifs. Si votre activité est très sensible à la continuité du trafic, commencez par définir le mode du moteur de menace sur Monitor et ajustez-le ultérieurement selon vos besoins. Pour plus d'informations sur la configuration, consultez la rubrique Configuration IPS.

      • Politique de contrôle d'accès : par défaut, toutes les actions de règle sont définies sur Allow, ce qui élimine le risque de blocage incorrect mais n'offre aucune protection. Après avoir activé la protection, nous vous recommandons d'ajuster vos politiques selon vos besoins. Pour plus d'informations, consultez la rubrique Présentation des politiques de contrôle d'accès.

    Spécifications de protection

    À partir du 15 octobre 2025, Cloud Firewall introduira la Méthode de facturation 2,0. Les nouveaux utilisateurs utiliseront par défaut la Méthode de facturation 2,0, tandis que les utilisateurs existants continueront d'utiliser la Méthode de facturation 1,0. Les spécifications de protection du pare-feu Internet diffèrent entre ces deux méthodes de facturation.

    Méthode de facturation 2,0

    Avec la Méthode de facturation 2,0, la facturation repose sur le nombre d'instances de pare-feu et le trafic public traité.

    • Nombre d'instances de pare-feu : chaque région protégée correspond à une instance. Au sein d'une même région, une seule instance est consommée, quel que soit le nombre d'adresses IP publiques protégées ou leur type (IPv4 ou IPv6).

    • Capacité de traitement du trafic public : la facturation est basée sur le pic du total du trafic public traité, qui correspond à la somme de votre bande passante entrante et sortante.

    Abonnement : chaque édition fournit un nombre spécifique d'instances de pare-feu et une capacité de traitement du trafic public déterminée. Si votre quota est insuffisant, vous pouvez mettre à niveau votre plan. Si votre trafic réel dépasse la capacité de traitement achetée, le trafic excédentaire est facturé selon le modèle de paiement à l'utilisation.

    Paiement à l'utilisation : vous êtes facturé en fonction du nombre réel d'instances de pare-feu et du pic du total du trafic traité. La bande passante de pointe maximale prise en charge est de 10 Gbps. Pour demander une limite supérieure, contactez votre gestionnaire de compte ou votre architecte.

    Méthode de facturation 1,0

    Avec la Méthode de facturation 1,0, la facturation repose sur le nombre d'adresses IP publiques protégées et le trafic public traité.

    • Nombre d'adresses IP publiques protégeables : nombre d'adresses IP publiques que vous pouvez protéger avec le pare-feu Internet.

    • Capacité de traitement du trafic public : la facturation est basée sur le pic du total du trafic public traité, correspondant à la valeur la plus élevée entre votre bande passante entrante et sortante.

    Abonnement : chaque édition fournit un quota spécifique d'adresses IP publiques protégeables et une capacité de traitement du trafic public déterminée. Si votre quota est insuffisant, vous pouvez mettre à niveau votre plan. Si votre trafic réel dépasse la capacité de traitement achetée, le trafic excédentaire est facturé selon le modèle de paiement à l'utilisation.

    Paiement à l'utilisation : vous êtes facturé en fonction du nombre réel d'adresses IP publiques protégées et du pic du total du trafic traité.

    Activer la protection des ressources

    Lors de l'activation de Cloud Firewall, si vous définissez l'option Auto Protection for Internet Assets sur Yes, le système active automatiquement la protection pour toutes les ressources publiques de votre compte et vous pouvez ignorer les étapes manuelles ci-dessous. Si vous la définissez sur No, vous devez activer manuellement la protection en suivant ces étapes :

    1. Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.

    2. Dans l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6 selon le type d'adresse IP de vos ressources.

    3. Si la ressource cible n'apparaît pas dans la liste des ressources publiques, cliquez sur Synchronize Assets dans le coin supérieur droit de la liste. La synchronisation prend environ 1 à 2 minutes.

    4. Activez la protection de l'une des manières suivantes :

      • Pour une seule ressource : dans la ligne de la ressource cible, cliquez sur Enable Protection dans la colonne Actions.

      • Pour plusieurs ressources : cochez les cases des ressources cibles, puis cliquez sur Enable Protection sous la liste.

    Configurer la protection automatique des nouvelles ressources

    Après avoir activé l'option Automatic Protection for New Assets, le système active automatiquement la protection par pare-feu Internet pour toute nouvelle ressource publique ajoutée à votre compte Alibaba Cloud et à ses comptes membres, si la gestion multi-comptes est configurée. Nous vous recommandons d'activer cette fonctionnalité afin de garantir une protection rapide de vos ressources publiques.

    • Lors de l'activation de Cloud Firewall : utilisez l'option Auto Protection for Internet Assets pour gérer ce paramètre.

    • Après l'activation de Cloud Firewall : dans la console Cloud Firewall, accédez à la page Firewall > Internet Firewall et utilisez le commutateur Automatic Protection for New Assets situé dans le coin supérieur droit pour gérer le paramètre.

      • Sélectionner les types de ressources pour la protection automatique : cliquez sur Automatic Protection for New Assets. Dans le panneau de configuration qui s'affiche, sélectionnez les nouveaux types de ressources et leurs régions à protéger automatiquement. Une fois la configuration terminée, cliquez sur Save pour appliquer les modifications.

    Étapes suivantes

    Lorsque vous activez la protection par pare-feu Internet pour une ressource, le système applique des règles de protection par défaut. Afin d'éviter tout blocage incorrect, les politiques par défaut sont permissives et offrent une protection limitée. Nous vous recommandons d'optimiser vos paramètres de protection comme suit :

    • Ajuster le mode du moteur de menace IPS : le moteur s'exécute par défaut en mode Deny - Medium, adapté aux scénarios de sécurité quotidiens et présentant un faible taux de faux positifs. Vous pouvez passer à un mode plus permissif ou plus strict selon les exigences de votre activité. Pour obtenir des détails sur la configuration, consultez la rubrique Configuration IPS.

    • Configurer les politiques de contrôle d'accès : par défaut, toutes les actions de règle sont définies sur Allow, ce qui n'offre aucune protection réelle. Nous vous recommandons d'ajuster ces politiques selon vos besoins. La bonne pratique consiste à adopter un modèle de liste d'autorisation, qui rejette tout le trafic par défaut et n'autorise que le trafic connu et fiable. Pour éviter les blocages incorrects, n'appliquez pas directement des règles strictes. Nous vous recommandons de commencer par l'action Monitor. Après avoir surveillé votre trafic pendant une période afin de garantir sa stabilité, vous pouvez progressivement changer l'action pour Drop. Pour obtenir des détails sur la configuration, consultez la rubrique Configurer une politique de contrôle d'accès pour le pare-feu Internet.

    Une fois les politiques configurées, vous pouvez consulter les journaux de trafic et de protection de différentes manières :

    • Trafic sortant : sur la page Analysis > Outbound Connections, consultez les données de trafic pour les connexions sortantes de vos ressources métier vers Internet. Pour plus d'informations, consultez la rubrique Connexion sortante.

    • Trafic entrant : sur la page Analysis > Internet Exposure, consultez les données relatives au trafic Internet accédant à vos ressources métier. Pour plus d'informations, consultez la rubrique Exposition Internet.

    • Événements de prévention des intrusions : sur la page Firewall > Internet Firewall, localisez la ressource cible et cliquez sur View Attacks dans la colonne Actions. Vous pouvez consulter les données d'attaque pour le trafic entrant ou sortant de la ressource. Pour plus d'informations, consultez la rubrique Prévention des intrusions.

    • Audit détaillé des journaux : accédez à Detection & Response > Log Audit > Flow Logs > Traffic Logs. Dans l'onglet Internet Border, définissez des conditions de filtre pour afficher les journaux d'accès détaillés entre vos ressources publiques et Internet. Pour plus d'informations, consultez la rubrique Audit des journaux.

    Opérations courantes

    Dans l'onglet Firewall > Internet Firewall, vous pouvez effectuer les opérations suivantes :

    • Afficher l'état de protection des ressources : la barre d'informations en haut de la page affiche le nombre d'instances de pare-feu et d'adresses IP publiques protégées. Vous pouvez cliquer sur Enable All pour protéger toutes les ressources en un clic, ou sur View Details pour obtenir des informations spécifiques sur les ressources. Si le nombre de Available Quotas est insuffisant, cliquez sur Upgrade pour augmenter votre capacité.

    • Télécharger les informations sur les ressources publiques : vous pouvez télécharger la liste des ressources publiques au format CSV. Dans le coin supérieur droit de la liste des ressources publiques, cliquez sur l'icône image.png. Ensuite, cliquez sur Download Task Management dans le coin supérieur droit de la page pour vérifier la progression du téléchargement. Une fois la tâche terminée, cliquez sur Download dans la colonne Actions pour télécharger le fichier.

    • Désactiver la protection par pare-feu Internet pour une ressource : après la désactivation de la protection, Cloud Firewall ne gère plus le trafic de la ressource. Cela peut exposer la ressource à des risques tels que des attaques malveillantes et des fuites de données. Procédez avec prudence. Dans l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6. Dans la liste des ressources publiques, recherchez la ressource cible et cliquez sur Disable dans la colonne Actions.

    Appliquer des politiques d'autorisation par défaut aux groupes de sécurité

    Après avoir activé la protection par pare-feu Internet pour une ressource ECS, vous pouvez appliquer une politique par défaut au groupe de sécurité de base ECS associé pour le trafic entrant, en un seul clic. Cette fonctionnalité centralise le contrôle du trafic public sous Cloud Firewall pour un audit et une gestion unifiés, éliminant ainsi la nécessité de configurer les groupes de sécurité dans la console ECS.

    Périmètre

    Cette fonctionnalité prend uniquement en charge les groupes de sécurité de base associés aux adresses IP publiques ECS ou aux EIP. Elle ne prend pas en charge les groupes de sécurité d'entreprise.

    Logique de la politique

    Le système ajoute automatiquement quatre règles avec une priorité de 100 (la plus basse) au groupe de sécurité cible. La logique est la suivante :

    1. Autoriser explicitement le trafic public : une règle Allow 0.0.0.0/0 est ajoutée. Cette règle remplace toute configuration de refus par défaut, ce qui garantit que le trafic public traverse le groupe de sécurité pour être filtré par Cloud Firewall.

    2. Bloquer l'accès direct au réseau privé : des règles Deny sont ajoutées pour bloquer le trafic provenant de 192.168.0.0/16, 172.16.0.0/12 et 10.0.0.0/8. Cela empêche le trafic est-ouest au sein du réseau interne de contourner Cloud Firewall et d'accéder directement à l'instance.

    3. Priorité au refus : selon le mécanisme de correspondance des groupes de sécurité, pour les règles de même priorité, les règles Deny ont la priorité sur les règles Allow. Si une règle Deny avec une priorité de 100 existe déjà dans le groupe de sécurité, la politique Allow nouvellement appliquée ne la remplace pas, préservant ainsi votre ligne de base de sécurité d'origine.

    Détails des règles

    Source

    Protocol Type

    Port Range

    Policy Type

    Description

    192.168.0.0/16

    ALL

    -1/-1

    Deny

    Bloque le trafic des réseaux privés RFC 1918 pour empêcher le trafic interne de contourner la protection.

    172.16.0.0/12

    ALL

    -1/-1

    Deny

    10.0.0.0/8

    ALL

    -1/-1

    Deny

    0.0.0.0/0

    ALL

    -1/-1

    Allow

    Règle globale permettant de router le trafic public vers Cloud Firewall pour sa gestion.
    Important

    • Risque d'exposition publique : avant d'appliquer ces politiques, assurez-vous que toutes les ressources ECS sont protégées par le pare-feu Internet et disposent de politiques de contrôle d'accès efficaces. Sinon, l'application de ces politiques pourrait permettre au trafic public d'atteindre directement vos instances, créant ainsi un risque d'exposition.

    • Limitation pour les ressources non gérées : n'appliquez pas ces politiques aux ressources qui ne sont pas protégées par le pare-feu Internet. Cela bloquerait le trafic du réseau privé et laisserait le trafic public non géré par le groupe de sécurité, car il ne serait pas protégé par Cloud Firewall.

    • Règles résiduelles après la résiliation du service : si vous résiliez le service Cloud Firewall, ces quatre règles ne sont pas automatiquement supprimées. Vous devez les supprimer manuellement pour éviter les conflits avec la planification réseau future et le déploiement des politiques de sécurité.

    Procédure

    1. Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.

    2. Dans l'onglet Internet Firewall, cliquez sur l'onglet IPv4.

    3. Dans la liste des ressources publiques, localisez la ressource ECS cible et cliquez sur Apply dans la colonne Default Allow Policies.

    4. (Facultatif) Résoudre les conflits de politiques.

      • Conflits ajustables automatiquement : si une règle existante dans le groupe de sécurité a la même priorité qu'une règle à appliquer, mais un type de protocole, une plage de ports ou une source différente, vous pouvez cliquer sur Quick Modify dans la boîte de dialogue. Le système augmente automatiquement la priorité de la règle d'origine pour résoudre le conflit.

      • Conflits nécessitant un ajustement manuel : si une règle existante a la même priorité, le même type de protocole, la même plage de ports et la même source qu'une règle à appliquer, vous devez ajuster manuellement les priorités des règles sur la page du groupe de sécurité dans la console ECS. Pour plus d'informations, consultez la rubrique Modifier une règle de groupe de sécurité.

    5. Dans la boîte de dialogue, cliquez sur Quick Apply. Vérifiez les quatre politiques à appliquer, puis cliquez sur OK.

    6. Si une instance ECS est associée à plusieurs groupes de sécurité, vous devez appliquer les politiques à tous les groupes pour que la politique d'autorisation par défaut prenne effet.

    Une fois la configuration terminée, vous pouvez vérifier l'état d'application sur la page Firewall > Internet Firewall.

    État

    Description

    Applied

    Les politiques d'autorisation par défaut sont appliquées à tous les groupes de sécurité associés à la ressource ECS.

    Not Applied

    Les politiques d'autorisation par défaut ne sont pas appliquées à certains ou à tous les groupes de sécurité associés, ou un conflit de configuration existe.

    -

    L'application en un clic des politiques d'autorisation par défaut n'est pas prise en charge pour ce type de ressource.

    FAQ

    Politique de contrôle d'accès inefficace ou journaux manquants

    Si une politique de contrôle d'accès configurée pour une ressource publique, telle qu'un EIP NAT ou une instance ECS, ne prend pas effet, ou si les journaux de trafic ne contiennent pas les enregistrements attendus, la cause est généralement que l'Firewall Status de la ressource dans l'onglet pare-feu Internet est Unprotected. Dans cet état, les politiques ne sont pas appliquées et le trafic n'est ni bloqué ni enregistré.

    Solution :

    1. Connectez-vous à la console Cloud Firewall.

    2. Dans le volet de navigation de gauche, cliquez sur Firewall.

    3. Dans l'onglet Internet Firewall, vérifiez l'état de protection de la ressource publique cible.

    4. Si l'Firewall Status est Unprotected, activez manuellement la protection.

    Une fois la protection activée, le trafic de la ressource est géré par les politiques de contrôle d'accès configurées (par exemple, pour autoriser ou rejeter le trafic) et toutes les actions sont enregistrées dans les journaux de trafic.