云防火墙提供互联网边界防火墙、VPC 边界防火墙和 NAT 边界防火墙三种类型的防护。本文以互联网边界防火墙为例，介绍如何快速配置云防火墙。 ## 前提条件 * 您已熟悉云防火墙的基础知识，包括了解[云防火墙具备哪些功能](https://www.volcengine.com/docs/6516/76355)，[云防火墙具备哪些应用场景](https://www.volcengine.com/docs/6516/93550)。 * 您已结合业务防护需求、防火墙不同版本的功能特性、费用成本等因素，购买适合您的云防火墙版本。云防火墙不同版本特性说明请参见[版本特性](https://www.volcengine.com/docs/6516/1465898)。 ## 使用流程 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/4ed916a73ce84a6f913bbad1998c5677~tplv-goo7wpa0wc-image.image =1553x) ## 案例说明某企业业务安全防护需求说明： * 对外提供 Web 服务的公网 IP 为`14.100.100.175`，需要只对外暴露 443 端口，其他端口全部关闭，通过减少资产暴露面，降低入侵风险。 * 开发业务系统`14.100.100.80`需要对外访问某数据源，域名为`example.com`，基于资产安全考虑，仅允许该资产访问`example.com`，拒绝其他所有主动外联。 ## **步骤 1：开启云防火墙** 1. 登录[云防火墙控制台](https://console.volcengine.com/firewall/overview)，在左侧导航栏，单击**防火墙开关**。 2. 在**防火墙开关**页面，点击**互联网边界防火墙**。 3. 手动打开公网IP资产`14.100.100.175`和`14.100.100.80`的防火墙防护开关。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/28924bc3dc29440e92723f0d084aec37~tplv-goo7wpa0wc-image.image =1684x) 4. （可选）如需了解其他防火墙应用场景，请参考下文。 |**防火墙开关类型** |**应用场景** | |---|---| |**互联网边界防火墙** |支持将公网 EIP 资产的入方向和出方向流量引流至防火墙进行访问控制，减少公网资产暴露面降低入侵风险，有效拦截内部网络到公网的未授权访问。|\ | |开启互联网边界防火墙，更多详情，请参见[互联网边界防火墙](https://www.volcengine.com/docs/6516/105519)。 | |**VPC 边界防火墙** |支持将专有网络 VPC 和 VPC 之间、VPC 和本地数据中心（VPN 或专线）、VPC 和第三方云（VPN 或专线网关）之间流量引流至防火墙进行访问控制，做好业务隔离，有效拦截内部网络之间的未授权访问。|\ | |开启 VPC 边界防火墙，更多详情，请参见[VPC边界防火墙概述](https://www.volcengine.com/docs/6516/1472586)。 | |**NAT 边界防火墙** |支持对 NAT 网关私网 IP 访问公网的流量引流至防火墙进行访问控制，有效拦截内部网络到公网的未授权访问。|\ | |开启 NAT 边界防火墙，更多详情，请参见[NAT边界防火墙](https://www.volcengine.com/docs/6516/1472577)。 | ## **步骤 2：配置访问控制策略** 当您的公网 IP 资产接入互联网边界防火墙，业务流量会接入到云防火墙进行防护。根据业务防护需求，配置相对应的访问控制策略。 1. 登录[云防火墙控制台](https://console.volcengine.com/firewall/overview)，在左侧导航栏，单击**防火墙开关**。 2. 在左侧导航栏，选择**访问控制＞互联网边界**。 3. 在**入站规则/入站规则**页签，可分别添加入站规则/出站规则。 * **入站策略配置**：云防火墙在没有配置策略时默认放行所有流量，因此该场景下需要配置 2 条访问策略。 * 一条为低优先级阻断策略，阻断所有互联网 IP 对公网 IP 业务资产的请求访问流量。 * 一条为高级优先放行策略，放行所有互联网 IP 访对`14.100.100.175` 业务资产 443 端口的请求访问流量。 |**规则优先级** |**访问源类型** |**访问源** |**访问目的类型** |**访问目的** |**协议类型** |**目的端口** |**动作** |**生效时间** |**描述** |**策略开关** | |---|---|---|---|---|---|---|---|---|---|---| |1 |IP |0.0.0.0/0 |IP |14.100.100.175 |TCP |443 |放行 |始终生效 |允许访问Web 443端口 |开启 | |2 |IP |0.0.0.0/0 |IP |0.0.0.0/0 |ANY |0/65535 |阻断 |始终生效 |全阻断兜底策略 |开启 | * **出站策略配置**：云防火墙在没有配置策略时默认放行所有流量，因此该场景下需要配置 2 条访问策略。 * 一条为低优先级阻断策略，阻断所有公网 IP 业务资产对互联网 IP 的请求访问流量。 * 一条为高级优先放行策略，放行`14.100.100.80` 公网 IP 资产对互联网 `example.com` 域名的请求访问流量。 |**规则优先级** |**访问源类型** |**访问源** |**访问目的类型** |**访问目的** |**协议类型** |**目的端口** |**动作** |**生效时间** |**描述** |**策略开关** | |---|---|---|---|---|---|---|---|---|---|---| |1 |IP |14.100.100.80 |域名 |example.com |ANY |0/65535 |放行 |始终生效 |允许访问example.com域名 |开启 | |2 |IP |0.0.0.0/0 |IP |0.0.0.0/0 |ANY |0/65535 |阻断 |始终生效 |全阻断兜底策略 |开启 | 4. （可选）如需了解其他防火墙访问控制策略配置，请参考下文。 |**防火墙类型** |**最佳实践** | |---|---| |**互联网边界防火墙** |* [只允许公网流量访问指定端口的策略（入方向）](https://www.volcengine.com/docs/6516/1172117)|\ | |* [只允许主机访问指定域名的策略（出方向）](https://www.volcengine.com/docs/6516/1173853)|\ | |* [拒绝全部国际区域的访问主机的策略（入方向）](https://www.volcengine.com/docs/6516/1173854) | |**VPC 边界防火墙** |* [VPC与VPC之间流量访问控制（自动引流配置）](https://www.volcengine.com/docs/6516/1172119)|\ | |* [VPC与专线之间流量访问控制（自动引流配置）](https://www.volcengine.com/docs/6516/1172120)|\ | |* [VPC与VPN之间流量访问控制（手动引流配置）](https://www.volcengine.com/docs/6516/1173855)|\ | |* [VPN与专线之间流量访问控制（手动引流配置）](https://www.volcengine.com/docs/6516/1173856) | |**NAT 边界防火墙** |* [私网IP入向流量访问控制](https://www.volcengine.com/docs/6516/1338061)|\ | |* [私网IP](https://www.volcengine.com/docs/6516/1338062)[出向](https://www.volcengine.com/docs/6516/1338062)[流量访问控制](https://www.volcengine.com/docs/6516/1338062) | ## **步骤3：日志管理和流量分析** 通过流量日志管理和流量分析您可以排查分析公网资产暴露面、资产违规外连、内部网络之间的未授权访问等场景，再根据自身业务情况进行访问控制策略调整。本文以互联网边界防火墙为例，介绍资产暴露面和主动外联治理。 ### 日志管理支持访问控制日志、流量会话日志审计，并基于火山引擎日志服务提供检索分析、监控告警、数据可视化等功能。通过原始日志数据，可排查网络中是否存在异常访问，以及验证策略有效性。配置策略完成后，除了通过 ping/curl 命令验证策略有效性，也可以到日志管理中，查看访问控制日志和流量日志，云防火墙是否有对应的日志审计。 1. 登录[云防火墙控制台](https://console.volcengine.com/firewall/overview)，在左侧导航栏，单击**日志管理**。 2. 在基础模式页面可以看到访问控制日志以及流量会话日志，通过日志信息看到相应的策略生效数据。 3. 在高级模式页面下通过检索分析，可以看到可视化图表。如您可以搜索主动外联的流量大小排序，判断是否存在不符合预期的对外请求访问。若存在异常访问，则需要到访问控制策略中配置黑名单。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/12e51fe7f9da4128a3e4c3b5074369b0~tplv-goo7wpa0wc-image.image =1581x) ### 资产暴露面云防火墙的资产暴露分析页面为您展示资产入方向流量的概览信息，帮助您发现暴露在互联网的风险端口，对不必要的暴露端口进行收敛。云防火墙根据流量会话数据，发现外对内访问成功的数据，访问的资产端口则暴露在互联网上。若暴露面分析页面中含有非预期 IP、端口信息，则需要到访问控制策略中配置黑名单。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/40cbe6fe60cc4b4caea916bf4dabb1f3~tplv-goo7wpa0wc-image.image =803x) ## **步骤4：告警通知** 您可以通过设置告警通知，当云防火墙流量带宽、日志存储、访问控制策略数量等资源用量不足时，发送告警通知，以便于您了解资产状态，防护资产安全。 1. 登录火山引擎控制台，在[消息中心-基本接受配置-安全消息-产品告警通知](https://console.volcengine.com/message/setting)中配置站内信、邮件、短信通知。 2. 登录[云防火墙控制台](https://console.volcengine.com/firewall/overview)，在左侧导航栏，单击**系统管理\-告警通知**。 3. 根据业务需求调整告警通知开关和通知阈值。