互連網邊界防火牆 - Cloud Firewall

建議為所有公網資產開啟互連網邊界防火牆保護，以降低網路攻擊威脅、減少互連網暴露面並降低業務流量安全風險。該功能支援秒級一鍵開啟，無需調整業務路由。開啟保護是使用Cloud Firewall的前提，僅當資產處於保護狀態時，入侵防禦、存取控制策略、流量分析及日誌審計等模組配置方可生效。

適用範圍

互連網邊界防火牆支援對本帳號下的公網 IPv4 和 IPv6 資產進行出向和入向流量保護。如需保護其他帳號下的資產，需完成企業認證並配置多帳號統一管理。

支援防護的資產類型

IPv4資產：AI網關公網IP、ALB EIP、API Gateway公網IP、Bastionhost出口IP、Bastionhost IP、Bastionhost入口IP、EIP、無影雲電腦（企業版）公網IP、ECS EIP、ECS 公網IP、ENI EIP、GA EIP、HAVIP、NAT EIP、NAT 公網IP、NLB EIP、CLB EIP、CLB 公網IP、Simple Application Server公網IP、VPN公網IP。
IPv6資產：AI網關公網IPv6、ALB IPv6、API Gateway公網IPv6、ECS IPv6、ENI EIP IPv6、GA EIP IPv6、NLB IPv6、CLB IPv6。

說明

對於Global AccelerationGA EIP與GA EIP IPv6，需滿足以下條件：

該加速IP所屬GA執行個體必須為標準型執行個體。
加速IP類型必須為Elastic IP Address類型。
該加速IP所屬加速地區不能為阿里雲POP點。
查看加速地區是否為阿里雲POP點，請參見ListAvailableBusiRegions。

對業務的影響

為資產開啟互連網邊界防火牆保護時，無需更改當前網路拓撲，支援資源一鍵秒級接入保護。

路由與網路架構影響：無影響，無需修改路由。
規則誤攔截影響：
- 入侵防禦系統（IPS）：預設採用“攔截-中等”威脅引擎運行模式，適用於日常安全防護情境，誤攔截機率低。若業務對流量連續性高度敏感，可先將威脅引擎運行模式設定為“觀察”，後續再按需調整。具體配置請參見IPS配置。
- 存取控制策略：預設所有規則動作均為放行，不存在誤攔截風險，但無防護效果。開啟保護後，建議按需調整策略。具體資訊請參見存取控制策略概述。

防護規格

自2025年10月15日起，Cloud Firewall發布計費方式2.0。新購使用者預設採用計費方式2.0，此前已購買的使用者繼續使用計費方式1.0，不同的計費方式下，互連網邊界防火牆的防護規格不同。

計費方式2.0

在 2.0 計費方式下，費用按防火牆執行個體數與處理的公網流量計費。

防火牆執行個體數：每個防護地區對應 1 個執行個體。同一地區內，無論開啟防護的公網 IP 數量多少，也無論 IP 類型為 IPv4 還是 IPv6，均僅佔用 1 個執行個體規格。
公網流量處理能力：處理的公網總流量峰值，計費標準為互連網出向與入向流量頻寬之和。

訂用帳戶版：各版本提供一定的防火牆執行個體數與公網流量處理能力。若配額不足，可升級規格；若實際流量超過已購公網流量處理能力，超量流量將按彈性後付費方式計費。

隨用隨付版：按實際的防火牆執行個體數和處理的總流量峰值計費。支援處理的峰值頻寬最高為 10 Gbps，如需定製更大規格，請聯絡商務經理或架構師。

計費方式1.0

在1.0計費方式下，費用按開啟保護的公網IP數與處理的公網流量計費。

可保護公網IP數：可開啟互連網邊界防火牆保護的公網IP資產數量。
公網流量處理能力：處理的公網總流量峰值，計費標準為互連網出向或入向流量頻寬取最高值。

訂用帳戶版：各版本提供一定的可防護公網IP數與公網流量處理能力。若配額不足，可升級規格；若實際流量超過已購公網流量處理能力，超量流量將按彈性後付費方式計費。

隨用隨付版：按實際開啟保護的公網IP數和處理的總流量峰值計費。

為資產開啟保護

開通Cloud Firewall時，若將互連網資產自動接入防護選項設定為“是”，系統將自動為當前帳號下的公網資產開啟保護，無需執行此處的手動操作。若該選項設定為“否”，則需按以下步驟手動為資產開啟保護：

登入Cloud Firewall控制台。在左側導覽列單擊开关。
在互聯網邊界防火牆頁簽，根據資產 IP 類型單擊IPv4或IPv6頁簽。
若公網資產列表中未顯示目標資產，請單擊列表右上方的同步資產，資產同步預計需要 1~2 分鐘。
執行以下任一操作開啟保護：
- 單個開啟：在目標資產所在行的操作列單擊開啟保護。
- 批量開啟：選中多個目標資產，單擊列表下方的開啟保護。

設定新增資產自動保護

開啟新增资产自动保护後，若當前阿里雲帳號及成員帳號（依賴多帳號統一管理配置）新增公網資產，系統將自動開啟互連網邊界防火牆保護。為保障公網資產及時獲得防護，基於最佳安全實踐，建議開啟此功能。

開通Cloud Firewall時：通過互連網資產自動接入防護選項控制開啟狀態。
開通Cloud Firewall後：在Cloud Firewall控制台开关 > 互聯網邊界防火牆頁面，通過右上方新增資產自動保護開關按鈕控制開啟狀態。
- 選擇自動保護的新增資產類型：單擊新增資產自動保護，在彈出的配置介面中，按資產類型與所屬地區選擇需自動保護的新增資產，配置完成後單擊保存设置以生效。

後續步驟

為資產開啟互連網邊界防火牆保護後，系統將自動設定預設防護規則。為避免誤攔截，預設策略較為寬鬆，防護效果有限。建議按以下操作進一步最佳化防護配置：

調整IPS威脅引擎運行模式：預設採用“攔截-中等”模式，適用於日常安全防護情境，誤攔截機率低。可根據業務需求調整為更寬鬆或更嚴格的模式。具體配置請參見IPS配置。
配置存取控制策略：預設所有規則動作均為放行，無實際防護效果，建議按需調整。最佳實務為採用“白名單模式”，即預設丟棄所有流量，僅允許存取已知可信流量。為避免誤攔截，不建議直接配置嚴格規則，建議優先使用觀察動作，待業務穩定運行一段時間後，再逐步調整為丢弃動作。具體配置請參見配置互連網邊界存取控制策略。

策略配置完成後，可通過以下方式查詢流量與防護日誌：

出向流量：在網路流量分析 > 主動外聯活動頁面，查看業務資產主動訪問互連網的流量資料。更多資訊請參見主動外聯。
入向流量：在網路流量分析 > 互聯網訪問活動頁面，查看互連網訪問業務資產的情況。更多資訊請參見公網暴露。
入侵防禦事件：在开关 > 互聯網邊界防火牆頁面，定位至目標資產，在操作列單擊查看攻击，可查看公網資產出向或入向的攻擊防護資料。具體資訊請參見入侵防禦。
詳細日誌審計：在检测响应 > 日志审计 > 流日志 > 流量日誌 > 互联网边界頁簽，設定篩選條件，查看公網資產與互連網之間的詳細訪問日誌。更多資訊請參見日誌審計。

日常營運

在开关 > 互聯網邊界防火牆頁簽，可執行以下操作：

查看資產保護狀態：頁面上方資訊列展示防火牆執行個體數與已保護的公網IP數量。可單擊全部開啟一鍵開啟保護，或單擊查看保护详情查看具體資產防護資訊。當可用实例授权数不足時，可以單擊升级進行升配。
下載公網資產資訊：將公網資產列表以CSV格式下載至本地。在公網資產列表右上方單擊表徵圖，隨後在頁面右上方單擊下载任务管理查看下載進度。任務完成後，在操作列單擊下载擷取檔案。
關閉資產的互連網防火牆保護：關閉保護後，Cloud Firewall將不再管控該公網資產的流量，可能導致資產遭受惡意攻擊、資料泄露等風險，請謹慎操作。在互聯網邊界防火牆頁簽，單擊IPv4或IPv6頁簽，在公網資產列表中找到目標資產，在操作列單擊关闭保护。

下發安全性群組預設放通策略

為ECS資產開啟互連網邊界防火牆保護後，可一鍵向關聯的 ECS 普通安全性群組（入方向）下發預設策略。該功能旨在將公網流量管控權移交至Cloud Firewall，實現統一審計與管理。無需前往ECS控制台修改安全性群組配置。

適用範圍

僅支援關聯 ECS 公網 IP 或 EIP 的普通安全性群組，不支援企業級安全性群組。

策略邏輯

系統在目標安全性群組中自動添加 4 條優先順序為 100（最低）的規則，具體邏輯如下：

顯式允許存取公網流量：添加 0.0.0.0/0 允許存取規則。此規則用於覆蓋可能存在的“預設拒絕”配置，確保公網流量能穿透安全性群組到達Cloud Firewall進行統一過濾。
阻斷私網直連：攔截 192.168.0.0/16、172.16.0.0/12、10.0.0.0/8 流量。防止內網東西向流量繞過Cloud Firewall直接存取執行個體。
拒絕優先原則：依據安全性群組匹配機制，同優先順序下拒絕規則優先於允許存取規則生效。若原安全性群組已存在優先順序為 100 的拒絕規則，新下發的允許存取策略不會使其失效，保障原有安全基準不受影響。

規則詳情

源對象	协议类型	端口范围	策略类型	說明
192.168.0.0/16	ALL	-1/-1	攔截	阻斷 RFC1918 私網流量，防止內網繞過防護。
172.16.0.0/12	ALL	-1/-1	攔截
10.0.0.0/8	ALL	-1/-1	攔截
0.0.0.0/0	ALL	-1/-1	允許存取	兜底允許存取公網流量，引導至Cloud Firewall管控。

重要

公網暴露風險：下發前請確保所有ECS資產已開啟互連網邊界防火牆保護並配置有效存取控制策略。否則下發此策略後可能導致公網流量直接穿透至執行個體，存在暴露風險。
未納管資源限制：未開啟互連網邊界防火牆保護的資源請勿下發此策略。否則將導致私網流量被阻斷，且公網流量因缺乏Cloud Firewall防護而失去原有安全性群組的有效管控。
服務釋放殘留：釋放Cloud Firewall服務後，這 4 條規則不會自動刪除。請務必手動清理，以免殘留規則影響後續網路規劃與安全性原則部署。

操作步驟

登入Cloud Firewall控制台。在左側導覽列，單擊开关。
在互聯網邊界防火牆頁簽，單擊 IPv4 頁簽。
在公網資產列表中，定位至目標 ECS 資產，在安全性群組預設放通策略列單擊下發。
（可選）處理策略衝突。
- 可自動調整：若安全性群組中已有規則與待下發規則的優先順序相同，但協議類型、連接埠範圍或授權對象不同，可在對話方塊中單擊一鍵調整。系統將自動調高原有規則的優先順序以解決衝突。
- 需手動調整：若安全性群組中已有規則與待下發規則的優先順序、協議類型、連接埠範圍及授權對象均相同，需前往 ECS 控制台的安全性群組頁面手動調整規則優先順序。具體操作，請參見修改安全性群組規則。
在對話方塊中單擊一鍵下發，確認待下發的 4 條策略後，單擊確定。
若 ECS 關聯了多個安全性群組，需為所有關聯的安全性群組分別下發策略，預設放通策略方可生效。

配置完成後，可在开关 > 互聯網邊界防火牆頁面查看下髮狀態。

狀態	說明
已下發	ECS 資產關聯的所有安全性群組均已成功下發預設放通策略。
未下發	ECS 資產關聯的全部或部分安全性群組尚未下發預設放通策略，或存在配置衝突。
-	該資產類型不支援一鍵下發預設放通策略。

常見問題

為什麼Cloud Firewall存取控制策略不生效或日誌不顯示流量？

若為公網資產（如 NAT EIP、ECS 等）配置的存取控制策略未生效，或流量日誌中無預期的記錄，通常是因為該資產在互連網邊界防火牆中的防火牆狀態為未受保護。在此狀態下，相關策略不會生效，流量亦不會被攔截或記錄。

解決方案：

登入Cloud Firewall控制台。
在左側導覽列，單擊开关。
在互聯網邊界防火牆頁簽，檢查目標公網資產的防護狀態。
若防火牆狀態為未受保護，請手動開啟防護開關。

開啟防護後，該資產的流量將受已配置的存取控制策略管控（執行允許存取或丟棄），並同步記錄至流量日誌中。