All Products
Search

This Product

    Cloud Firewall:Internet firewall

    Document Center

    Cloud Firewall:Internet firewall

    Last Updated:Sep 30, 2026

    Kami menyarankan Anda mengaktifkan internet firewall untuk semua aset publik guna memitigasi ancaman serangan jaringan, mengurangi eksposur internet, dan meminimalkan risiko keamanan terhadap traffic bisnis Anda. Fitur ini dapat diaktifkan dengan satu klik, dan perlindungan berlaku dalam hitungan detik tanpa mengubah rute bisnis Anda. Aktivasi perlindungan merupakan prasyarat untuk menggunakan Cloud Firewall. Konfigurasi modul seperti intrusion prevention system (IPS), kebijakan kontrol akses, analisis traffic, dan audit log hanya berlaku setelah aset dilindungi.

    Lingkup

    Internet firewall melindungi traffic outbound dan inbound untuk aset IPv4 dan IPv6 publik dalam akun Anda. Untuk melindungi aset di akun lain, Anda harus menyelesaikan sertifikasi enterprise dan mengonfigurasi manajemen multi-akun terpadu.

    Jenis aset yang didukung

    • Aset IPv4: Alamat IP publik AI Gateway, EIP ALB, alamat IP publik API Gateway, alamat IP outbound Bastionhost, alamat IP Bastionhost, alamat IP inbound Bastionhost, EIP, alamat IP publik Wuying Workspace (Enterprise Edition), EIP ECS, alamat IP publik ECS, EIP ENI, EIP GA, HAVIP, EIP NAT, alamat IP publik NAT Gateway, EIP NLB, EIP Server Load Balancer (SLB), alamat IP publik SLB, alamat IP publik Simple Application Server, dan alamat IP publik VPN Gateway.

    • Aset IPv6: Alamat IPv6 publik AI Gateway, IPv6 ALB, alamat IPv6 publik API Gateway, IPv6 ECS, IPv6 EIP ENI, IPv6 EIP GA, IPv6 NLB, dan IPv6 Server Load Balancer (SLB).

    Catatan

    Untuk EIP GA dan IPv6 EIP GA, kondisi berikut harus dipenuhi:

    • Instans GA tempat alamat IP yang dipercepat berasal harus merupakan standard GA instance.

    • Alamat IP yang dipercepat harus bertipe EIP.

    • Wilayah akselerasi tempat alamat IP yang dipercepat berasal tidak boleh merupakan titik kehadiran (POP) Alibaba Cloud.

      Untuk memeriksa apakah suatu wilayah akselerasi merupakan POP Alibaba Cloud, panggil operasi ListAvailableBusiRegions.

    Dampak terhadap layanan

    Anda dapat mengaktifkan perlindungan internet firewall untuk suatu aset dalam hitungan detik dengan satu klik tanpa mengubah topologi jaringan Anda.

    • Rute dan arsitektur jaringan: Tidak diperlukan modifikasi rute.

    • Risiko false positive:

      • intrusion prevention system (IPS): Secara default, mesin ancaman berjalan dalam mode Deny - Medium, yang cocok untuk skenario perlindungan keamanan harian dengan tingkat false-positive rendah. Jika bisnis Anda sangat sensitif terhadap kontinuitas traffic, Anda dapat mengatur mode mesin ancaman ke Monitor terlebih dahulu, lalu menyesuaikannya sesuai kebutuhan. Untuk informasi lebih lanjut tentang konfigurasi, lihat Konfigurasi IPS.

      • kebijakan kontrol akses: Secara default, semua aksi aturan diatur ke Allow, sehingga menghilangkan risiko pemblokiran salah tetapi tidak memberikan perlindungan. Setelah Anda mengaktifkan perlindungan, kami menyarankan Anda menyesuaikan kebijakan sesuai kebutuhan. Untuk informasi lebih lanjut, lihat Ikhtisar kebijakan kontrol akses.

    Spesifikasi perlindungan

    Mulai 15 Oktober 2025, Cloud Firewall akan memperkenalkan Metode Penagihan 2.0. Pengguna baru akan secara default menggunakan Metode Penagihan 2.0, sedangkan pengguna yang sudah ada akan tetap menggunakan Metode Penagihan 1.0. Spesifikasi perlindungan internet firewall berbeda antara kedua metode penagihan tersebut.

    Metode Penagihan 2.0

    Dengan Metode Penagihan 2.0, penagihan didasarkan pada jumlah instans firewall dan traffic publik yang diproses.

    • Jumlah instans firewall: Setiap wilayah yang dilindungi berkorespondensi dengan satu instans. Dalam wilayah yang sama, hanya satu instans yang dikonsumsi, terlepas dari jumlah alamat IP publik yang dilindungi atau apakah alamat IP tersebut IPv4 atau IPv6.

    • Kemampuan pemrosesan traffic publik: Penagihan didasarkan pada puncak total traffic publik yang diproses, yaitu jumlah bandwidth inbound dan outbound Anda.

    langganan: Setiap edisi menyediakan jumlah instans firewall dan kemampuan pemrosesan traffic publik tertentu. Jika kuota Anda tidak mencukupi, Anda dapat melakukan peningkatan paket. Jika traffic aktual melebihi kemampuan pemrosesan yang dibeli, traffic tambahan tersebut ditagih secara pay-as-you-go.

    pay-as-you-go: Anda ditagih berdasarkan jumlah aktual instans firewall dan puncak total traffic yang diproses. Bandwidth puncak maksimum yang didukung adalah 10 Gbps. Untuk meminta batas yang lebih tinggi, hubungi account manager atau arsitek Anda.

    Metode Penagihan 1.0

    Dengan Metode Penagihan 1.0, penagihan didasarkan pada jumlah alamat IP publik yang dilindungi dan traffic publik yang diproses.

    • Jumlah alamat IP publik yang dapat dilindungi: Jumlah alamat IP publik yang dapat Anda lindungi dengan internet firewall.

    • Kemampuan pemrosesan traffic publik: Penagihan didasarkan pada puncak total traffic publik yang diproses, yaitu nilai tertinggi antara bandwidth inbound atau outbound Anda.

    langganan: Setiap edisi menyediakan kuota tertentu untuk alamat IP publik yang dapat dilindungi dan kemampuan pemrosesan traffic publik tertentu. Jika kuota Anda tidak mencukupi, Anda dapat melakukan peningkatan paket. Jika traffic aktual melebihi kemampuan pemrosesan yang dibeli, traffic tambahan tersebut ditagih secara pay-as-you-go.

    pay-as-you-go: Anda ditagih berdasarkan jumlah aktual alamat IP publik yang dilindungi dan puncak total traffic yang diproses.

    Aktifkan perlindungan untuk aset

    Saat Anda mengaktifkan Cloud Firewall, jika Anda mengatur opsi Auto Protection for Internet Assets ke Yes, sistem secara otomatis mengaktifkan perlindungan untuk semua aset publik dalam akun Anda, sehingga Anda dapat melewati langkah manual berikut. Jika Anda mengaturnya ke No, Anda harus mengaktifkan perlindungan secara manual dengan langkah-langkah berikut:

    1. Masuk ke Konsol Cloud Firewall. Di panel navigasi kiri, klik Firewall.

    2. Di tab Internet Firewall, klik tab IPv4 atau IPv6 sesuai jenis alamat IP aset Anda.

    3. Jika aset target tidak ditampilkan dalam daftar aset publik, klik Synchronize Assets di pojok kanan atas daftar. Sinkronisasi memerlukan waktu sekitar 1 hingga 2 menit.

    4. Aktifkan perlindungan dengan salah satu cara berikut:

      • Untuk satu aset: Pada baris aset target, klik Enable Protection di kolom Actions.

      • Untuk beberapa aset: Pilih kotak centang aset target, lalu klik Enable Protection di bawah daftar.

    Konfigurasi perlindungan otomatis untuk aset baru

    Setelah Anda mengaktifkan Automatic Protection for New Assets, sistem secara otomatis mengaktifkan perlindungan internet firewall untuk setiap aset publik baru yang ditambahkan ke Akun Alibaba Cloud Anda dan akun anggotanya, jika manajemen multi-akun telah dikonfigurasi. Kami menyarankan mengaktifkan fitur ini untuk memastikan perlindungan tepat waktu bagi aset publik Anda.

    • Saat Anda mengaktifkan Cloud Firewall: Gunakan opsi Auto Protection for Internet Assets untuk mengelola pengaturan ini.

    • Setelah Anda mengaktifkan Cloud Firewall: Di Konsol Cloud Firewall, buka halaman Firewall > Internet Firewall dan gunakan tombol toggle Automatic Protection for New Assets di pojok kanan atas untuk mengelola pengaturan.

      • Pilih jenis aset untuk perlindungan otomatis: Klik Automatic Protection for New Assets. Di panel konfigurasi yang muncul, pilih jenis aset baru dan wilayahnya yang akan dilindungi secara otomatis. Setelah menyelesaikan konfigurasi, klik Save untuk menerapkan perubahan.

    Langkah selanjutnya

    Saat Anda mengaktifkan perlindungan internet firewall untuk suatu aset, sistem menerapkan aturan perlindungan default. Untuk menghindari pemblokiran salah, kebijakan default bersifat permisif dan memberikan perlindungan terbatas. Kami menyarankan Anda mengoptimalkan pengaturan perlindungan sebagai berikut:

    • Menyesuaikan mode mesin ancaman IPS: Mesin berjalan dalam mode Deny - Medium secara default, yang cocok untuk skenario keamanan harian dan memiliki tingkat false-positive rendah. Anda dapat beralih ke mode yang lebih permisif atau lebih ketat sesuai kebutuhan bisnis Anda. Untuk detail konfigurasi, lihat Konfigurasi IPS.

    • Mengonfigurasi kebijakan kontrol akses: Secara default, semua aksi aturan diatur ke Allow, yang tidak memberikan perlindungan aktual. Kami menyarankan Anda menyesuaikan kebijakan ini sesuai kebutuhan. Praktik terbaik adalah mengadopsi model allowlist, yang secara default menjatuhkan semua traffic dan hanya mengizinkan traffic yang dikenal dan tepercaya. Untuk mencegah pemblokiran salah, hindari penerapan aturan ketat secara langsung. Kami menyarankan memulai dengan aksi Monitor. Setelah memantau traffic Anda selama periode tertentu untuk memastikan stabilitas, Anda dapat secara bertahap mengubah aksi menjadi Drop. Untuk detail konfigurasi, lihat Mengonfigurasi kebijakan kontrol akses untuk internet firewall.

    Setelah Anda mengonfigurasi kebijakan, Anda dapat melihat log traffic dan perlindungan dengan cara berikut:

    • Traffic outbound: Di halaman Analysis > Outbound Connections, lihat data traffic untuk koneksi outbound dari aset bisnis Anda ke internet. Untuk informasi lebih lanjut, lihat Outbound Connection.

    • Traffic inbound: Di halaman Analysis > Internet Exposure, lihat data tentang traffic internet yang mengakses aset bisnis Anda. Untuk informasi lebih lanjut, lihat Internet Exposure.

    • Event pencegahan intrusi: Di halaman Firewall > Internet Firewall, temukan aset target dan klik View Attacks di kolom Actions. Anda dapat melihat data serangan untuk traffic inbound atau outbound aset tersebut. Untuk informasi lebih lanjut, lihat Pencegahan intrusi.

    • Audit log terperinci: Buka Detection & Response > Log Audit > Flow Logs > Traffic Logs. Di tab Internet Border, atur kondisi filter untuk melihat log akses terperinci antara aset publik Anda dan internet. Untuk informasi lebih lanjut, lihat Audit Log.

    Operasi rutin

    Di tab Firewall > Internet Firewall, Anda dapat melakukan operasi berikut:

    • Menampilkan status perlindungan aset: Bilah informasi di bagian atas halaman menampilkan jumlah instans firewall dan alamat IP publik yang dilindungi. Anda dapat mengklik Enable All untuk melindungi semua aset dengan satu klik, atau klik View Details untuk informasi aset spesifik. Jika jumlah Available Quotas tidak mencukupi, klik Upgrade untuk meningkatkan kapasitas Anda.

    • Unduh informasi aset publik: Anda dapat mengunduh daftar aset publik sebagai file CSV. Di sudut kanan atas daftar aset publik, klik ikon image.png. Selanjutnya, klik Download Task Management di sudut kanan atas halaman untuk memeriksa progres unduhan. Setelah tugas selesai, klik Download pada kolom Actions untuk mengunduh file tersebut.

    • Menonaktifkan perlindungan internet firewall untuk suatu aset: Setelah Anda menonaktifkan perlindungan, Cloud Firewall tidak lagi mengelola traffic aset tersebut. Hal ini dapat mengekspos aset terhadap risiko seperti serangan berbahaya dan kebocoran data. Lakukan dengan hati-hati. Di tab Internet Firewall, klik tab IPv4 atau IPv6. Di daftar aset publik, temukan aset target dan klik Disable di kolom Actions.

    Terapkan kebijakan allow default ke security group

    Setelah Anda mengaktifkan perlindungan internet firewall untuk aset ECS, Anda dapat menerapkan kebijakan default ke security group dasar ECS terkait untuk traffic inbound dengan satu klik. Fitur ini memusatkan kontrol traffic publik di bawah Cloud Firewall untuk audit dan manajemen terpadu, sehingga menghilangkan kebutuhan untuk mengonfigurasi security group di Konsol ECS.

    Lingkup

    Fitur ini hanya mendukung security group dasar yang terkait dengan alamat IP publik ECS atau EIP. Fitur ini tidak mendukung security group enterprise.

    Logika kebijakan

    Sistem secara otomatis menambahkan empat aturan dengan prioritas 100 (terendah) ke security group target. Logikanya sebagai berikut:

    1. Izinkan eksplisit traffic publik: Aturan Allow 0.0.0.0/0 ditambahkan. Aturan ini menggantikan konfigurasi deny default apa pun, sehingga memastikan traffic publik melewati security group untuk difilter oleh Cloud Firewall.

    2. Blokir akses langsung jaringan pribadi: Aturan Deny ditambahkan untuk memblokir traffic dari 192.168.0.0/16, 172.16.0.0/12, dan 10.0.0.0/8. Hal ini mencegah lalu lintas timur-barat dalam jaringan internal melewati Cloud Firewall dan mengakses instans secara langsung.

    3. Deny memiliki prioritas lebih tinggi: Menurut mekanisme pencocokan security group, untuk aturan dengan prioritas yang sama, aturan Deny memiliki prioritas lebih tinggi daripada aturan Allow. Jika aturan Deny dengan prioritas 100 sudah ada di security group, kebijakan Allow yang baru diterapkan tidak menggantikannya, sehingga garis dasar keamanan asli Anda tetap terjaga.

    Detail aturan

    Source

    Protocol Type

    Port Range

    Policy Type

    Description

    192.168.0.0/16

    ALL

    -1/-1

    Deny

    Blokir traffic jaringan pribadi RFC 1918 untuk mencegah traffic internal melewati perlindungan.

    172.16.0.0/12

    ALL

    -1/-1

    Deny

    10.0.0.0/8

    ALL

    -1/-1

    Deny

    0.0.0.0/0

    ALL

    -1/-1

    Allow

    Aturan catch-all untuk mengarahkan traffic publik ke Cloud Firewall untuk dikelola.

    Penting

    • Risiko eksposur publik: Sebelum menerapkan kebijakan ini, pastikan semua aset ECS dilindungi oleh internet firewall dan memiliki kebijakan kontrol akses efektif yang dikonfigurasi. Jika tidak, penerapan kebijakan ini dapat mengizinkan traffic publik langsung menuju instans Anda, menciptakan risiko eksposur.

    • Batasan untuk sumber daya yang tidak dikelola: Jangan terapkan kebijakan ini ke sumber daya yang tidak dilindungi oleh internet firewall. Melakukannya akan memblokir traffic jaringan pribadi dan membuat traffic publik tidak dikelola oleh security group karena tidak dilindungi oleh Cloud Firewall.

    • Aturan sisa setelah rilis layanan: Jika Anda merilis layanan Cloud Firewall, keempat aturan ini tidak dihapus secara otomatis. Anda harus menghapusnya secara manual untuk menghindari konflik dengan perencanaan jaringan dan penyebaran kebijakan keamanan di masa depan.

    Prosedur

    1. Masuk ke Konsol Cloud Firewall. Di panel navigasi kiri, klik Firewall.

    2. Di tab Internet Firewall, klik tab IPv4.

    3. Di daftar aset publik, temukan aset ECS target dan klik Apply di kolom Default Allow Policies.

    4. (Opsional) Selesaikan konflik kebijakan.

      • Konflik yang dapat disesuaikan secara otomatis: Jika aturan yang ada di security group memiliki prioritas yang sama dengan aturan yang akan diterapkan, tetapi jenis protokol, range port, atau sumber berbeda, Anda dapat mengklik Quick Modify di kotak dialog. Sistem secara otomatis meningkatkan prioritas aturan asli untuk menyelesaikan konflik.

      • Konflik yang memerlukan penyesuaian manual: Jika aturan yang ada memiliki prioritas, jenis protokol, range port, dan sumber yang sama dengan aturan yang akan diterapkan, Anda harus menyesuaikan prioritas aturan secara manual di halaman security group di Konsol ECS. Untuk informasi lebih lanjut, lihat Memodifikasi aturan security group.

    5. Di kotak dialog, klik Quick Apply. Tinjau keempat kebijakan yang akan diterapkan, lalu klik OK.

    6. Jika suatu instans ECS terkait dengan beberapa security group, Anda harus menerapkan kebijakan ke semuanya agar kebijakan allow default berlaku.

    Setelah konfigurasi selesai, Anda dapat memeriksa status penerapan di halaman Firewall > Internet Firewall.

    Status

    Description

    Applied

    Kebijakan allow default diterapkan ke semua security group yang terkait dengan aset ECS.

    Not Applied

    Kebijakan allow default tidak diterapkan ke beberapa atau semua security group terkait, atau terdapat konflik konfigurasi.

    -

    Penerapan satu klik kebijakan allow default tidak didukung untuk jenis aset ini.

    FAQ

    Kebijakan kontrol akses tidak berlaku atau log tidak ada

    Jika kebijakan kontrol akses yang dikonfigurasi untuk aset publik, seperti NAT EIP atau instans ECS, tidak berlaku, atau log traffic tidak berisi catatan yang diharapkan, penyebabnya biasanya adalah Firewall Status aset tersebut di tab internet firewall berstatus Unprotected. Dalam kondisi ini, kebijakan tidak diberlakukan, dan traffic tidak diblokir maupun dicatat.

    Solusi:

    1. Masuk ke Konsol Cloud Firewall.

    2. Di panel navigasi kiri, klik Firewall.

    3. Di tab Internet Firewall, periksa status perlindungan aset publik target.

    4. Jika Firewall Status berstatus Unprotected, aktifkan perlindungan secara manual.

    Setelah perlindungan diaktifkan, traffic aset tersebut dikelola oleh kebijakan kontrol akses yang dikonfigurasi (misalnya, untuk mengizinkan atau menjatuhkan traffic), dan semua aksi dicatat dalam log traffic.