主机边界防火墙可以对ECS实例间的入流量和出流量进行访问控制，限制ECS实例间的未授权访问。主机边界防火墙的访问控制策略发布后，会自动同步到ECS安全组并生效。

背景信息

相比于为ECS实例创建安全组规则，通过主机边界防火墙定义访问控制策略具有以下优势：
  • 支持策略的批量发布。
  • 策略组在未设置放行策略的情况下，该策略组中的ECS实例之间无法互通。
  • 策略支持观察模式。
  • 同应用组配合，自动创建安全组。
  • 在云防火墙控制台可实现策略的统一管控，并且无需切换ECS实例所在的地域。
默认情况下，您最多可以创建100个策略组和100条策略，即在ECS安全组创建并同步到云防火墙的策略数量和在云防火墙主机边界防火墙创建的策略数量加起来不超过100条。如果当前策略数量上限无法满足您的需求，建议您及时清理无需使用的策略，或者通过配置VPC边界访问控制策略，减少配置不必要的主机防火墙策略。
说明 关于主机边界防火墙和ECS安全组的区别，请参见云防火墙和安全组有什么差异？
配置主机边界防火墙访问控制策略时，您必须先创建策略组（策略组中包含默认策略），然后在该策略组中配置精细的入方向或出方向访问控制策略。完成策略组和策略配置后，必须发布策略组，才能将策略组策略同步到ECS安全组并生效。完整的使用流程如下：
  1. 新建策略组。
  2. 配置策略。
  3. 发布策略。

策略组类型

策略组分为普通策略组和企业策略组。两种策略组的应用场景介绍如下：

  • 普通策略组对应于ECS的普通安全组，是一种虚拟防火墙，具备状态检测和数据包过滤功能，用于在云端划分安全域。您可以通过配置策略组策略，允许或拒绝策略组内的ECS实例的入流量、出流量。
  • 企业策略组对应于ECS的企业安全组，是一种全新的策略组类型，相比原有的普通策略组，大幅提升了组内容纳实例数量，不再限制组内私网IP数量，规则配置方式更加简洁便于维护，适用于对整体规模和运维效率有较高需求的企业级用户。
下表列举了两种策略组的差异。
功能 普通策略组 企业策略组
支持专有网络VPC 是 是
支持设置规则优先级 是 否
支持授权给其他策略组 是 否
支持手动设置允许访问的策略 是 是
支持手动设置拒绝访问的策略 是 否，企业策略组默认拒绝任何访问请求。
能容纳的私网IP地址数量 2000 65536
默认支持同一个策略组内ECS实例互通 否，需要在该策略组中创建允许的策略。 否，需要在该策略组中创建允许的策略。

新建策略组

  1. 登录云防火墙控制台。
  2. 在左侧导航栏，单击访问控制。
  3. 在访问控制页面，单击主机边界防火墙页签。
  4. 在主机边界防火墙页签，单击右上角的新增策略组。
  5. 在新建策略组对话框中，配置策略组参数。新建策略组
    参数 描述
    策略组类型 选择策略组的类型：
    • 普通策略组：适用于对网络精细化控制要求较高、网络连接数适中的用户场景。
    • 企业策略组：适用于对运维效率有更高需求的用户场景。
    策略组名称 按页面提示要求设置策略组的名称。

    建议使用方便识别的名称，便于识别和管理。
    所属VPC 在所属VPC下拉列表中，选择应用该策略组的专有网络VPC。
    说明 每个策略组只能配置一个VPC。
    实例ID 从实例ID下拉列表中，选择应用该策略组的一个或多个ECS实例。
    说明 实例ID列表只包含所属VPC下的ECS实例。
    描述 简短地描述策略组，方便后续对安全组进行管理。
    模板 从模板下拉列表中，选择要应用的模板类型：
    • default-accept-login：默认放行TCP 22、TCP 3389协议入方向访问和所有出方向访问。
    • default-accept-all：默认放行所有入方向和出方向访问。
    • default-drop-all：默认拒绝所有入方向和出方向访问。
      说明 企业策略组不支持default-drop-all选项。
  6. 单击确认。
    策略组创建完成后，您可以在主机边界防火墙的策略组列表中查看新建的策略组，并根据需要对策略组执行以下操作：
    • 配置策略：设置定制化的策略，实现更精细化的访问控制。
    • 发布：将策略组的访问控制策略同步到ECS实例的安全组。
    • 编辑：修改当前策略组包含的ECS实例和策略组的描述。
    • 删除：删除策略组。
      警告 删除策略组后，策略组中的主机访问控制策略会失效，请谨慎操作。删除策略组后，策略记录仍会保留在策略组列表中，但您无法再对其执行任何操作。
      如果您希望清理不再需要的策略组，则可以将策略组来源设置为自定义，筛选出所有在云防火墙控制台手动创建的策略组，再去判断策略组是否需要保留。筛选自定义策略组

配置策略

创建策略组之后，您还需要在该策略组中添加具体的访问控制策略。

  1. 登录云防火墙控制台。
  2. 在左侧导航栏，单击访问控制。
  3. 在访问控制页面，单击主机边界防火墙页签。
  4. 在主机边界防火墙页签，定位到要设置的策略组，单击其操作列下的配置策略。
  5. 在策略配置页面，单击右上角的创建策略。
  6. 在创建策略对话框中，配置策略参数。
    配置策略对话框
    参数 描述
    网卡类型 默认为内网且不可以修改，表示内网间的访问控制。
    策略方向 选择策略方向：
    • 入方向：指内网中的其他ECS实例访问策略组ECS实例。
    • 出方向：指策略组ECS实例访问内网中的其他ECS实例。
    策略类型 选择策略类型：
    • 允许：放行相应的访问流量。
    • 拒绝：直接丢弃数据包，不会返回任何回应信息。如果两条策略其他配置都相同，只有策略类型不同，则拒绝策略生效，允许策略不生效。
      说明 企业策略组不支持拒绝选项。
    协议类型 从协议类型列表选择访问流量的协议类型：
    • TCP
    • UDP
    • ICMP
    • ANY：表示任何协议类型。不确定访问流量的类型时可选择ANY。
    端口范围 输入访问流量使用的端口地址范围。例如：22/22。
    优先级 策略生效的优先级。使用整数表示，取值范围：1~100。优先级数值越小，优先级越高。

    优先级数值可重复。策略优先级相同时，拒绝类型的策略优先生效。

    源类型和源对象 选择访问流量的来源 。策略方向选择入方向时需要设置。您可以选择访问源地址的类型，并根据源类型设置源对象。
    可选的源类型：
    • 地址段访问

      选择该类型后，需要在源对象中手动输入访问源地址段。仅支持设置单个地址段。

    • 策略组

      选择该类型后，需要从源对象模块的策略组列表中，选择一个策略组作为源对象，表示对来自该策略组中所有ECS实例的流量进行管控。

      说明 企业策略组不支持策略组选项。
    目的选择 选择访问流量的目的地址。策略方向选择入方向时需要设置。可选择的目的地址类型：
    • 全部ECS：表示当前策略组中的所有ECS实例。
    • 地址段访问：选择该类型后，需要输入目的IP或CIDR地址段，表示当前策略组中该地址段对应的ECS实例。
    源选择 选择访问源的类型。策略方向选择出方向时需要设置。访问源包含以下类型：
    • 全部ECS：表示当前策略组中的所有ECS实例。
    • 地址段访问：选择该类型后，需要输入目的IP或CIDR地址段，表示当前策略组中该地址段对应的ECS实例。
    目的类型和目的对象 选择目的地址的类型并根据选择的目的类型设置目的对象。策略方向选择出方向时需要设置。
    可选的目的类型如下：
    • 地址段访问

      选择该类型后，需要手动输入访问目的地址段。仅支持设置单个地址段。

    • 策略组

      选择该类型后，从策略组列表中选择一个策略组，表示对本机访问该策略组中所有ECS实例的流量进行管控。

      说明 企业策略组不支持策略组选项。
    描述 简短地描述策略，方便后期管理。
  7. 单击提交。
    策略组创建完成后，您可以在策略列表中查看新建的策略，并根据需要编辑或删除已创建的策略。
    警告 删除策略后，策略中对应流量的访问控制将失效，请谨慎删除。删除策略后，策略记录仍会保留在策略列表中，但您无法再对其执行任何操作。

发布策略

创建策略后，您还需要发布该策略，策略才会生效，并开始对相应的内网流量进行访问控制。

  1. 登录云防火墙控制台。
  2. 在左侧导航栏，单击访问控制。
  3. 在访问控制页面单击主机边界防火墙页签，定位到需要发布的策略组，单击其操作列下的发布。发布策略
  4. 在策略发布对话框确认变更策略（即策略的变更内容），根据需要设置变更备注，并单击确定。发布策略组
    策略发布后才会同步到ECS安全组并生效。您可以在ECS控制台的安全组 > 安全组列表页面，查看云防火墙同步到安全组中的访问控制策略。云防火墙中创建的策略组策略名称默认为Cloud_Firewall_Security_Group。ECS安全组列表

相关文档

为什么会有三种云防火墙？

云防火墙和安全组有什么差异？