Todos os produtos
Search

Este produto

    Cloud Firewall:Internet firewall

    Central de documentação

    Cloud Firewall:Internet firewall

    Última atualização: Sep 29, 2026

    Recomendamos ativar o internet firewall para todos os seus ativos públicos, a fim de mitigar ameaças de ataques de rede, reduzir a exposição à internet e minimizar os riscos de segurança do tráfego de negócios. Ative esse recurso com um único clique — a proteção entra em vigor em segundos, sem alterar as rotas de negócios. A habilitação da proteção é um pré-requisito para usar o Cloud Firewall. Configurações de módulos como o sistema de prevenção de intrusões (IPS), políticas de controle de acesso, análise de tráfego e auditoria de log só entram em vigor depois que um ativo está protegido.

    Escopo

    O internet firewall protege o tráfego de saída e de entrada de ativos IPv4 e IPv6 públicos na sua conta. Para proteger ativos em outras contas, é necessário concluir a certificação empresarial e configure o gerenciamento unificado de múltiplas contas.

    Tipos de ativos suportados

    • Ativos IPv4: endereço IP público do AI Gateway, EIP do ALB, endereço IP público do API Gateway, endereço IP de saída do Bastionhost, endereço IP do Bastionhost, endereço IP de entrada do Bastionhost, EIP, endereço IP público do Wuying Workspace (Enterprise Edition), EIP do ECS, endereço IP público do ECS, EIP do ENI, EIP do GA, HAVIP, EIP do NAT, endereço IP público do NAT Gateway, EIP do NLB, EIP do Server Load Balancer (SLB), endereço IP público do SLB, endereço IP público do Simple Application Server e endereço IP público do VPN Gateway.

    • Ativos IPv6: endereço IPv6 público do AI Gateway, ALB IPv6, endereço IPv6 público do API Gateway, ECS IPv6, ENI EIP IPv6, GA EIP IPv6, NLB IPv6 e Server Load Balancer (SLB) IPv6.

    Nota

    Para GA EIPs e GA EIP IPv6s, as seguintes condições devem ser atendidas:

    • A instância GA à qual pertencem os endereços IP acelerados deve ser uma standard GA instance.

    • Os endereços IP acelerados devem ser do tipo EIP.

    • A região de aceleração à qual pertencem os endereços IP acelerados não pode ser um ponto de presença (POP) da Alibaba Cloud.

      Para verificar se uma região de aceleração é um POP da Alibaba Cloud, chame a operação ListAvailableBusiRegions.

    Impacto nos serviços

    A proteção do internet firewall pode ser ativada para um ativo em segundos, com um único clique e sem alterar a topologia de rede.

    • Roteamento e arquitetura de rede: Nenhuma modificação de rotas é necessária.

    • Risco de falsos positivos:

      • Sistema de prevenção de intrusões (IPS): Por padrão, o mecanismo de ameaças opera no modo Deny - Medium, adequado para cenários de proteção de segurança diária com baixa taxa de falsos positivos. Se o seu negócio for altamente sensível à continuidade do tráfego, defina o modo do mecanismo de ameaças como Monitor inicialmente e ajuste conforme necessário. Para mais informações sobre a configuração, consulte IPS configuration.

      • Política de controle de acesso: Por padrão, todas as ações de regra estão definidas como Allow, o que elimina o risco de bloqueio incorreto, mas não oferece proteção. Após ativar a proteção, ajuste suas políticas conforme necessário. Para mais informações, consulte Access control policy overview.

    Especificações de proteção

    A partir de 15 de outubro de 2025, o cloud introduzirá Billing method 2.0. Novos usuários terão o Billing method 2.0 como padrão, enquanto os usuários existentes continuarão usando Billing method 1.0. As especificações de proteção do internet firewall diferem entre os dois métodos de faturamento.

    Billing method 2.0

    Com o Billing method 2,0, o faturamento é baseado no número de instâncias de firewall e no tráfego público processado.

    • Número de instâncias de firewall: Cada região protegida corresponde a uma instância. Dentro da mesma região, apenas uma instância é consumida, independentemente do número de endereços IP públicos protegidos ou de serem IPv4 ou IPv6.

    • Capacidade de processamento de tráfego público: O faturamento é baseado no pico do tráfego público total processado, que é a soma das larguras de banda de entrada e saída.

    assinatura: Cada edição fornece um número específico de instâncias de firewall e uma capacidade específica de processamento de tráfego público. Se a sua cota for insuficiente, faça upgrade do plano. Se o tráfego real exceder a capacidade de processamento adquirida, o excesso é faturado no modelo de pagamento conforme o uso.

    pagamento conforme o uso: O faturamento é baseado no número real de instâncias de firewall e no pico do tráfego total processado. A largura de banda máxima suportada é de 10 Gbps. Para solicitar um limite maior, entre em contato com seu gerente de conta ou arquiteto.

    Billing method 1.0

    Com o Billing method 1,0, o faturamento é baseado no número de endereços IP públicos protegidos e no tráfego público processado.

    • Número de endereços IP públicos protegíveis: A quantidade de endereços IP públicos que podem ser protegidos pelo internet firewall.

    • Capacidade de processamento de tráfego público: O faturamento é baseado no pico do tráfego público total processado, que corresponde ao maior valor entre a largura de banda de entrada ou de saída.

    assinatura: Cada edição fornece uma cota específica de endereços IP públicos protegíveis e uma capacidade específica de processamento de tráfego público. Se a cota for insuficiente, faça upgrade do plano. Se o tráfego real exceder a capacidade de processamento adquirida, o excesso é faturado no modelo de pagamento conforme o uso.

    pagamento conforme o uso: O faturamento é baseado no número real de endereços IP públicos protegidos e no pico do tráfego total processado.

    Ativar proteção para ativos

    Ao ativar o Cloud Firewall, se você defina a opção Auto Protection for Internet Assets como Yes, o sistema ativará automaticamente a proteção para todos os ativos públicos da sua conta e as etapas manuais abaixo poderão ser ignoradas. Se defina como No, ative a proteção manualmente seguindo estas etapas:

    1. Faça login no console do Cloud Firewall. No painel de navegação à esquerda, clique em Firewall.

    2. Na aba Internet Firewall, clique em IPv4 ou IPv6 de acordo com o tipo de endereço IP dos seus ativos.

    3. Se o ativo desejado não aparecer na lista de ativos públicos, clique em Synchronize Assets no canto superior direito da lista. A sincronização leva aproximadamente 1 a 2 minutos.

    4. Ative a proteção de uma das seguintes formas:

      • Para um único ativo: Na linha do ativo desejado, clique em Enable Protection na coluna Actions.

      • Para múltiplos ativos: Marque as caixas de seleção dos ativos desejados e clique em Enable Protection abaixo da lista.

    Configurar proteção automática para novos ativos

    Após ativar o Automatic Protection for New Assets, o sistema ativa automaticamente a proteção do internet firewall para qualquer novo ativo público adicionado à sua conta da Alibaba Cloud e às suas contas-membro, caso o gerenciamento de múltiplas contas esteja configurado. Recomendamos habilitar esse recurso para garantir proteção oportuna dos seus ativos públicos.

    • Durante a ativação do Cloud Firewall: Use a opção Auto Protection for Internet Assets para gerencie essa configuração.

    • Após a ativação do Cloud Firewall: No console do Cloud Firewall, acesse a página Firewall > Internet Firewall e use o botão de alternância Automatic Protection for New Assets no canto superior direito para gerencie a configuração.

      • Selecionar tipos de ativos para proteção automática: Clique em Automatic Protection for New Assets. No painel de configuração exibido, selecione os tipos de novos ativos e suas regiões a serem protegidos automaticamente. Após concluir a configuração, clique em Save para aplicar as alterações.

    Próximas etapas

    Ao ativar a proteção do internet firewall para um ativo, o sistema aplica regras de proteção padrão. Para evitar bloqueios incorretos, as políticas padrão são permissivas e oferecem proteção limitada. Recomendamos otimizar as configurações de proteção da seguinte forma:

    • Ajustar o modo do mecanismo de ameaças do IPS: Por padrão, o mecanismo opera no modo Deny - Medium, adequado para cenários de segurança diários com baixa taxa de falsos positivos. Alterne para um modo mais permissivo ou mais restritivo conforme os requisitos do negócio. Para detalhes de configuração, consulte IPS configuration.

    • Configurar políticas de controle de acesso: Por padrão, todas as ações de regra estão definidas como Allow, o que não oferece proteção real. Recomendamos ajustar essas políticas conforme necessário. A melhor prática é adotar um modelo de lista de permissões, que bloqueia todo o tráfego por padrão e permite apenas o tráfego conhecido e confiável. Para evitar bloqueios incorretos, não aplique regras restritivas diretamente. Comece com a ação Monitor. Após monitorar o tráfego por um período para garantir estabilidade, altere gradualmente a ação para Drop. Para detalhes de configuração, consulte Configure an access control policy for the internet firewall.

    Após configurar as políticas, visualize logs de tráfego e proteção das seguintes formas:

    • Tráfego de saída: Na página Analysis > Outbound Connections, visualize dados de tráfego das conexões de saída dos seus ativos de negócios para a internet. Para mais informações, consulte Outbound Connection.

    • Tráfego de entrada: Na página Analysis > Internet Exposure, visualize dados sobre o tráfego de internet que acessa seus ativos de negócios. Para mais informações, consulte Internet Exposure.

    • Eventos de prevenção de intrusões: Na página Firewall > Internet Firewall, localize o ativo desejado e clique em View Attacks na coluna Actions. Visualize dados de ataque para o tráfego de entrada ou saída do ativo. Para mais informações, consulte Intrusion prevention.

    • Auditoria detalhada de log: Acesse Detection & Response > Log Audit > Flow Logs > Traffic Logs. Na aba Internet Border, defina condições de filtro para visualize logs de acesso detalhados entre seus ativos públicos e a internet. Para mais informações, consulte Log Auditing.

    Operações de rotina

    Na aba Firewall > Internet Firewall, as seguintes operações estão disponíveis:

    • Visualizar o status de proteção dos ativos: A barra de informações no topo da página exibe o número de instâncias de firewall e os endereços IP públicos protegidos. Clique em Enable All para proteger todos os ativos com um clique, ou clique em View Details para informações específicas sobre os ativos. Se o número de Available Quotas for insuficiente, clique em Upgrade para aumentar a capacidade.

    • Baixar informações de ativos públicos: Baixe a lista de ativos públicos como arquivo CSV. No canto superior direito da lista de ativos públicos, clique no ícone image.png. Em seguida, clique em Download Task Management no canto superior direito da página para verificar o andamento do download. Após a conclusão da tarefa, clique em Download na coluna Actions para baixar o arquivo.

    • Desativar a proteção do internet firewall para um ativo: Após desativar a proteção, o Cloud Firewall deixa de gerencie o tráfego do ativo. Isso pode expô-lo a riscos como ataques maliciosos e vazamentos de dados. Prossiga com cautela. Na aba Internet Firewall, clique em IPv4 ou IPv6. Na lista de ativos públicos, localize o ativo desejado e clique em Disable na coluna Actions.

    Aplicar políticas de permissão padrão a grupos de segurança

    Após ativar a proteção do internet firewall para um ativo ECS, aplique uma política padrão ao grupo de segurança básico do ECS associado para o tráfego de entrada com um único clique. Esse recurso centraliza o controle do tráfego público no Cloud Firewall para auditoria e gerenciamento unificados, eliminando a necessidade de configure grupos de segurança no console do ECS.

    Escopo

    Este recurso suporta apenas grupos de segurança básicos associados a endereços IP públicos do ECS ou EIPs. Grupos de segurança empresariais não são suportados.

    Lógica das políticas

    O sistema adiciona automaticamente quatro regras com prioridade 100 (a mais baixa) ao grupo de segurança de destino. A lógica é a seguinte:

    1. Permitir explicitamente o tráfego público: Uma regra Allow para 0.0.0.0/0 0.0.0.0/0 é adicionada. Essa regra substitui quaisquer configurações de negação padrão, garantindo que o tráfego público passe pelo grupo de segurança para ser filtrado pelo Cloud Firewall.

    2. Bloquear acesso direto à rede privada: Regras Deny são adicionadas para bloquear o tráfego de 192.168.0.0/16, 172.16.0.0/12 e 10.0.0.0/8. Isso impede que o tráfego leste-oeste da rede interna contorne o Cloud Firewall e acesse a instância diretamente.

    3. Precedência do Deny: De acordo com o mecanismo de correspondência do grupo de segurança, para regras com a mesma prioridade, as regras Deny têm precedência sobre as regras Allow. Se já existir uma regra Deny com prioridade 100 no grupo de segurança, a política Allow recém-aplicada não a substituirá, preservando assim a linha de base de segurança original.

    Detalhes das regras

    Source

    Protocol Type

    Port Range

    Policy Type

    Description

    192.168.0.0/16

    ALL

    -1/-1

    Deny

    Bloqueia o tráfego de rede privada RFC 1918 para impedir que o tráfego interno contorne a proteção.

    172.16.0.0/12

    ALL

    -1/-1

    Deny

    10.0.0.0/8

    ALL

    -1/-1

    Deny

    0.0.0.0/0

    ALL

    -1/-1

    Allow

    Regra geral para encaminhar o tráfego público ao Cloud Firewall para gerenciamento.
    Importante

    • Risco de exposição pública: Antes de aplicar essas políticas, verifique se todos os ativos ECS estão protegidos pelo internet firewall e possuem políticas de controle de acesso efetivas configuradas. Caso contrário, a aplicação dessas políticas pode permitir que o tráfego público chegue diretamente às instâncias, criando um risco de exposição.

    • Limitação para recursos não gerenciados: Não aplique essas políticas a recursos que não estejam protegidos pelo internet firewall. Isso bloqueará o tráfego de rede privada e deixará o tráfego público sem gerenciamento pelo grupo de segurança, pois não estaria protegido pelo Cloud Firewall.

    • Regras residuais após o encerramento do service: Se você encerrar o service do Cloud Firewall, essas quatro regras não serão removidas automaticamente. Exclua-as manualmente para evitar conflitos com planejamentos futuros de rede e implantações de políticas de segurança.

    Procedimento

    1. Faça login no console do Cloud Firewall. No painel de navegação à esquerda, clique em Firewall.

    2. Na aba Internet Firewall, clique na aba IPv4.

    3. Na lista de ativos públicos, localize o ativo ECS desejado e clique em Apply na coluna Default Allow Policies.

    4. (Opcional) Resolva conflitos de políticas.

      • Conflitos ajustáveis automaticamente: Se uma regra existente no grupo de segurança tiver a mesma prioridade que uma regra a ser aplicada, mas com tipo de protocolo, intervalo de portas ou source diferentes, clique em Quick Modify na caixa de diálogo. O sistema aumentará automaticamente a prioridade da regra original para resolver o conflito.

      • Conflitos que exigem ajuste manual: Se uma regra existente tiver a mesma prioridade, tipo de protocolo, intervalo de portas e source que uma regra a ser aplicada, ajuste manualmente as prioridades das regras na página do grupo de segurança no console do ECS. Para mais informações, consulte Modify a security group rule.

    5. Na caixa de diálogo, clique em Quick Apply. Revise as quatro políticas a serem aplicadas e clique em OK.

    6. Se uma instância ECS estiver associada a vários grupos de segurança, aplique as políticas a todos eles para que a política de permissão padrão entre em vigor.

    Após concluir a configuração, verifique o status de aplicação na página Firewall > Internet Firewall.

    Status

    Descrição

    Applied

    As políticas de permissão padrão estão aplicadas a todos os grupos de segurança associados ao ativo ECS.

    Not Applied

    As políticas de permissão padrão não estão aplicadas a alguns ou a todos os grupos de segurança associados, ou existe um conflito de configuração.

    -

    A aplicação com um clique das políticas de permissão padrão não é suportada para este tipo de ativo.

    FAQ

    Política de controle de acesso sem efeito ou logs ausentes

    Se uma política de controle de acesso configurada para um ativo público, como um NAT EIP ou uma instância ECS, não entrar em vigor, ou se os logs de tráfego não contiverem os registros esperados, a causa típica é que o Firewall Status do ativo na aba internet firewall está como Unprotected. Nesse estado, as políticas não são aplicadas e o tráfego não é bloqueado nem registrado.

    Solução:

    1. Faça login no console do Cloud Firewall.

    2. No painel de navegação à esquerda, clique em Firewall.

    3. Na aba Internet Firewall, verifique o status de proteção do ativo público desejado.

    4. Se o Firewall Status estiver como Unprotected, ative a proteção manualmente.

    Após ativar a proteção, o tráfego do ativo passa a ser gerenciado pelas políticas de controle de acesso configuradas (por exemplo, para permitir ou bloquear o tráfego), e todas as ações são registradas nos logs de tráfego.