全部产品
Search
文档中心

云防火墙:只允许私网主机访问指定域名的策略配置教程

更新时间:Nov 30, 2023

如果您需要精细化管控私网主机资产到互联网的流量访问,您可以配置NAT边界访问控制策略,拦截私网资产到互联网的未授权访问,有效地降低核心业务数据泄露等风险。本文以配置仅允许私网主机访问特定网站域名为例,介绍如何设置NAT边界访问控制策略。

场景示例

本文以下图场景为例,您的业务中有一台私网云服务器ECS(主机),通过公网NAT网关实现访问互联网,其中,主机的私网IP为10.10.XX.XX。出于资产安全考虑,您需要配置仅允许主机访问www.aliyun.com网站。

image

配置步骤

  1. 登录云防火墙控制台

  2. 在左侧导航栏,选择访问控制 > NAT边界

  3. NAT边界页面,选择待配置的NAT网关,单击创建策略

    云防火墙会自动同步您当前账号下关联的NAT网关,您可以单击下拉框选择待配置的NAT网关。

    image..png

  4. 创建策略-NAT边界面板,然后配置一条允许主机访问www.aliyun.com的高优先级策略和一条拒绝主机访问所有公网的低优先级策略

    1. 配置一条允许主机访问www.aliyun.com的策略,关键配置项如下:

      配置项

      说明

      示例值

      源类型

      网络流量的发起方。您需要选择访问源类型,并根据访问源类型输入发送流量的访问源地址。

      IP

      访问源

      输入ECS的私网IP地址,本示例为10.10.XX.XX/32

      目的类型

      网络流量的接收方。您需要选择目的类型,并根据目的类型输入接收流量的目的地址。

      域名,并选择域名识别类型为基于FQDN(报文提取Host/SNI)

      目的

      输入允许主机访问的网站域名:www.aliyun.com

      说明

      您也可以对该域名进行DNS解析,获取到解析后的IP地址。

      协议类型

      传输层协议类型,支持设置为:TCPUDPICMPANY。不确定具体协议时可选择ANY

      TCP

      端口类型

      设置目的端口类型和目的端口。

      端口

      端口

      输入0/0,表示所有端口

      应用

      设置该访问流量的应用类型。

      • 域名模式使用DNS动态解析时,您可以选择所有应用。

      • 域名模式使用基于FQDN(报文提取Host/SNI)时,您只能选择HTTP、HTTPS、SMTP、SMTPS或SSL。

      • 域名模式使用同时基于FQDN(报文提取Host/SNI)与DNS动态解析时,您只能选择HTTP、HTTPS、SMTP、SMTPS、SSL或ANY。

      HTTPS

      动作

      设置匹配成功的流量在该条策略的放行情况。

      • 放行:放行该流量。

      • 拒绝:拦截该流量,并且不会提供任何形式的通知信息。

      • 观察:该模式下,默认放行流量。观察一段时间后,您可根据需要调整为放行拒绝

      放行

      优先级

      选择该策略的优先级,默认为最后,表示优先级最低。

      • 最前:指访问控制策略生效的优先级最高,最先生效。

      • 最后:指访问控制策略生效的优先级最低,最后生效。

      最前

      策略有效期

      设置该策略的有效时间段。策略仅在有效时间段内才可用于匹配流量。

      总是

      启用状态

      设置是否启用策略。如果您创建策略时未启用策略,可以在策略列表中开启策略。

      启用

    2. 配置一条拒绝主机访问所有公网IP的策略,关键配置项如下:

      • 访问源:10.10.X.X/32

      • 目的:0.0.0.0/0,表示所有主机的IP地址。

      • 协议类型:ANY

      • 端口:0/0,表示主机的所有端口。

      • 应用:ANY

      • 动作:拒绝

      • 优先级:最后

    配置完成后,请确认允许主机访问www.aliyun.com的策略优先级高于拒绝主机访问所有公网的策略

后续步骤

访问控制策略配置完成后,默认情况下策略立即生效。您可以在访问控制策略列表的命中次数/最近命中时间列,查看访问控制策略的命中情况。

image.png

命中次数/最近命中时间列有显示命中次数及时间,表示已有访问流量命中该策略。您可以单击命中次数,跳转到流量日志页面查看详细数据。具体操作,请参见日志审计

相关文档