防护云资源和互联网之间的出入双向流量

您可以通过视频指导，快速了解如何开启资产保护。

公网资产（包括IPv4和IPv6）开启互联网边界防火墙后，云防火墙会基于DPI流量分析、IPS入侵防御规则、威胁情报、虚拟补丁、访问控制策略等，对出向和入向流量进行过滤，判断流量是否满足放行条件，有效拦截非法的访问流量，保障公网资产与互联网之间的流量安全。

防护的公网资产范围（出向+入向）：ECS公网IP、ECS EIP、ECS IPv6、CLB公网IP、CLB EIP、ALB EIP、NLB EIP、SLB IPv6、EIP（含L2 EIP）、ENI EIP、NAT EIP、HaVip EIP、堡垒机IP资产等。

互联网边界防火墙的防护场景示例如下图所示：

创建、开启及关闭互联网边界防火墙时，您无需更改当前的网络拓扑，可以将资源一键秒级接入保护或关闭保护，对业务无影响。

互联网边界防火墙的防护规格分为可防护的公网IP数量和公网流量处理能力。

防护规格

说明

云防火墙包年包月版（高级版、企业版、旗舰版）

云防火墙按量版

可防护公网IP数

可开启互联网边界防火墙开关的公网IP数量。

取决于您购买的可防护公网IP数量和可处理的总流量峰值。如果配额不足，您可以升级规格。具体操作，请参见查看资产的防护情况。

不同云防火墙版本拥有不同的公网IP配额限制，具体内容，请参见包年包月。

根据实际开启防护的公网IP数和处理的总流量峰值计费，不存在配额限制。详细计费内容，请参见按量付费。

公网流量处理能力

处理的互联网总流量峰值，计费标准为互联网出向或入向流量带宽取最高值。

云防火墙会为您统计当前已开启保护的公网IP数、未开启保护的公网IP数、不同地域公网IP的保护情况等数据，您可以根据实际需求，为公网资产开启防护。

为了保证业务流量安全，建议您开启阿里云账号下所有公网资产的互联网边界保护。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，查看当前阿里云账号的公网资产防护情况。

（可选）如果当前的可用授权不足，您可以单击规格升级，根据实际需求升级云防火墙版本、扩展可防护公网IP数和公网流量处理能力等。更多信息，请参见包年包月。

如果没有开启新增资产自动保护，您可以手动为公网资产开启互联网边界保护。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，单击IPv4或IPv6页签，手动开启公网资产保护。

如果在公网资产列表中没有需要开启保护的资产，您可以在公网资产列表右上角单击同步资产，同步当前阿里云账号及其成员账号的资产信息。资产同步预计需要1~2分钟。

单个开启保护

在公网资产列表中找到需要开启保护的公网资产，在操作列单击开启保护。

批量开启保护

在公网资产列表中选中多个需要开启保护的公网资产，在列表下方单击开启保护。

您也可以在数据统计区域单击开启保护，根据公网IP、地域和资产类型维度，一键开启所有公网资产的互联网边界保护。

开启新增资产自动保护后，当前阿里云账号及其成员账号下如果有新增的公网资产，云防火墙将自动开启新增资产的互联网边界保护。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，开启新增资产自动保护开关。

如果您未配置互联网边界访问控制策略，云防火墙在互联网边界检测环节默认放行所有流量。您可以进入访问控制 > 互联网边界页面，配置访问控制策略，具体操作，请参见互联网边界（出入双向流量）。

互联网边界防火墙防护的是互联网方向的流量方向，因此您需要确认防护的公网资产已放行互联网方向的流量，具体信息，请参考公网资产对应的官网文档。

防护ECS资产（包括ECS公网IP和ECS EIP）时，您可以在云防火墙控制台一键下发互联网方向的默认放行策略，方便您通过云防火墙统一管理规则，无需前往ECS管理控制台修改安全组的配置。

云防火墙通过给ECS资产关联的安全组下发4个优先级最低（优先级为100）的规则，放行ECS资产在互联网方向的访问。

对于相同优先级的规则，ECS安全组会优先匹配拒绝规则。因此，如果您原来配置了优先级为100的拒绝规则，云防火墙下发的放行策略不会使您之前配置的拒绝规则失效。

一键下发的安全组默认放通策略，会对关联到该安全组的所有资源生效，在下发前，建议为安全组关联的所有资源开启云防火墙保护，并且合理配置互联网边界的入方向访问控制策略，否则会存在公网暴露的风险。

对于未开启云防火墙开关的资源，不建议下发默认放通策略；对于已放通的资源，不建议关闭云防火墙的防护开关。

云防火墙服务到期后，通过云防火墙自动新增的4个放通策略还会保留在安全组中，并处于生效状态。如果您不再使用云防火墙服务，建议您手动删除云防火墙下发的4条默认放通策略。具体操作，请参见删除安全组规则。

下发安全组默认放通策略功能只支持ECS公网IP和ECS EIP的入方向规则。

企业级安全组不支持下发安全组默认放通策略。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，单击IPv4或IPv6页签。

在公网资产列表找到需要放通默认策略的ECS资产，在安全组默认放通策略列单击下发。

（可选）如果当前安全组中的规则与待下发的规则冲突，您需要先完成策略调整。

配置冲突可调整：安全组中的规则与待下发规则的优先级相同，但协议类型、端口范围和授权对象不同。

您可以在安全组默认放通策略对话框，单击一键调整，通过将安全组原有的规则优先级调高，解决冲突。

配置冲突不可调整：安全组中的规则与待下发规则的优先级、协议类型、端口范围、授权对象均相同。

建议您前往ECS管理控制台的安全组页面查看和调整冲突的规则优先级，具体操作，请参见修改安全组规则。或者提交工单，联系产品技术专家进行咨询。

在安全组对应的操作列，单击一键下发，查看待下发的4个放通策略，然后单击确定。

如果ECS关联了多个安全组，您可以分别为所有关联的安全组下发放通策略，该ECS的默认放通策略才会生效。

安全组放通配置完成后，您可以在防火墙开关 > 互联网边界防火墙页面查看安全组默认放通策略的下发状态，确定策略是否已成功下发，及时排查未成功下发的问题。

安全组策略下发状态包含：

已下发：ECS资产关联的所有安全组均已下发了默认放通策略；

未下发：ECS资产关联的全部安全组或部分安全组还未下发默认放通策略，或者存在配置冲突。

-：该资产类型不支持一键下发默认放通策略。

您可以将公网资产列表的资产信息以CSV文件形式下载到本地。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，单击IPv4或IPv6页签。

在公网资产列表右上角，单击图标。

在互联网边界防火墙页签的右上角，单击下载任务管理，查看任务下载进展。任务下载完成后，在操作列，单击下载。

关闭公网资产互联网边界保护后，云防火墙将无法管控该公网资产的流量，可能会导致该公网资产遭受恶意攻击、数据泄露等风险。请谨慎操作。

登录云防火墙控制台。

在左侧导航栏，单击防火墙开关

在互联网边界防火墙页签，单击IPv4或IPv6页签，在公网资产列表中找到需要开启保护的公网资产，在操作列单击关闭保护。

互联网边界访问控制策略的详细配置指导，请参见互联网边界（出入双向流量）。

如果您需要针对指定区域进行流量访问控制，请参见拒绝海外区域访问主机的策略配置教程。

如果您需要管控公网资产和指定网站域名的访问流量，请参见只允许公网主机访问指定域名的策略配置教程。

更多关于互联网边界防火墙的问题：

开启防火墙开关对业务有什么影响？

互联网边界防火墙的作用是什么？

互联网边界防火墙是否支持防护IPv6资产？

互联网边界防火墙是否会对网络流量产生影响？

关闭互联网边界防火墙有什么影响？

为什么开启互联网边界防火墙时提示SLB网络限制？

免费版同步资产后，没有显示部分公网IP资产？

同时开启互联网边界、NAT边界和DNS边界防火墙，出方向的流量如何匹配？