Cloud Firewall：互連網邊界防火牆

防護ECS資產（包括ECS公網IP和ECS EIP）時，您可以在Cloud Firewall控制台一鍵下發互連網方向的預設允許存取策略，方便您通過Cloud Firewall統一管理規則，無需前往ECS管理主控台修改安全性群組的配置。

功能原理

Cloud Firewall通過給ECS資產關聯的安全性群組下發4個優先順序最低（優先順序為100）的規則，允許存取ECS資產在互連網方向的訪問。

對於相同優先順序的規則，ECS安全性群組會優先匹配拒絕規則。因此，如果您原來配置了優先順序為100的拒絕規則，Cloud Firewall下發的允許存取策略不會使您之前配置的拒絕規則失效。

注意事項

• 一鍵下發的安全性群組預設放通策略，會對關聯到該安全性群組的所有資源生效，在下發前，建議為安全性群組關聯的所有資源開啟Cloud Firewall保護，並且合理配置互連網邊界的入方向存取控制策略，否則會存在公網暴露的風險。

  對於未開啟Cloud Firewall開關的資源，不建議下發預設放通策略；對於已放通的資源，不建議關閉Cloud Firewall的防護開關。

• Cloud Firewall服務到期後，通過Cloud Firewall自動新增的4個放通策略還會保留在安全性群組中，並處於生效狀態。如果您不再使用Cloud Firewall服務，建議您手動刪除Cloud Firewall下發的4條預設放通策略。具體操作，請參見刪除安全性群組規則。

使用限制

• 下發安全性群組預設放通策略功能只支援ECS公網IP和ECS EIP的入方向規則。

• 企業級安全性群組不支援下發安全性群組預設放通策略。

下發放通策略

1. 登入Cloud Firewall控制台。

2. 在左側導覽列，單擊防火牆開關。

3. 在互聯網邊界防火牆頁簽，單擊IPv4或IPv6頁簽。

4. 在公網資產列表找到需要放通預設策略的ECS資產，在安全性群組預設放通策略列單擊下發。

5. （可選）如果當前安全性群組中的規則與待下發的規則衝突，您需要先完成策略調整。

   • 配置衝突可調整：安全性群組中的規則與待下發規則的優先順序相同，但協議類型、連接埠範圍和授權對象不同。

     您可以在安全性群組預設放通策略對話方塊，單擊一鍵調整，通過將安全性群組原有的規則優先順序調高，解決衝突。

   • 配置衝突不可調整：安全性群組中的規則與待下發規則的優先順序、協議類型、連接埠範圍、授權對象均相同。

     建議您前往ECS管理主控台的安全性群組頁面查看和調整衝突的規則優先順序，具體操作，請參見修改安全性群組規則。或者提交工單，聯絡產品技術專家進行諮詢。

6. 在安全性群組對應的操作列，單擊一鍵下發，查看待下發的4個放通策略，然後單擊確定。

   如果ECS關聯了多個安全性群組，您可以分別為所有關聯的安全性群組下發放通策略，該ECS的預設放通策略才會生效。

   

安全性群組放通配置完成後，您可以在防火牆開關 > 互聯網邊界防火牆頁面查看安全性群組預設放通策略的下髮狀態，確定策略是否已成功下發，及時排查未成功下發的問題。

安全性群組策略下髮狀態包含：

• 已下發：ECS資產關聯的所有安全性群組均已下發了預設放通策略；

• 未下發：ECS資產關聯的全部安全性群組或部分安全性群組還未下發預設放通策略，或者存在配置衝突。

• -：該資產類型不支援一鍵下發預設放通策略。