本文介绍如何添加、编辑、删除解密策略。 :::warning 1. 流量解密模块当前属于邀测功能，在邀测期间，火山引擎会对服务可用性和可靠性提供支撑，但不对任何服务可用性、可靠性做出承诺，《[服务等级协议](https://www.volcengine.com/docs/6516/105521)》将在您开通使用产品和服务正式发布版本后开始适用。 2. 本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。 ::: ## 前提条件 * 已开通云防火墙旗舰版。 * 已在证书中心上传服务器证书或私有证书，具体操作，请参见[上传SSL证书](https://www.volcengine.com/docs/6638/118039)、[创建私有证书](https://www.volcengine.com/docs/6638/1054578)。 * 在云防火墙[证书管理](/docs/6516/6878c17db45916055a21ef58)页面已经导入需要解密的域名证书。 ## 使用限制 * 暂不支持国密证书和不含SAN信息的证书。 * 当前仅支持对使用 AES\-GCM、ChaCha20\-Poly1305、ECDHE\-RSA、ECDHE\-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。 ## 解密策略概览 1. 登录[云防火墙控制台](https://console.volcengine.com/firewall/overview)，在左侧导航栏，单击**流量解密**。 2. 在**流量解密**页面，点击**解密策略**。 |**参数** |**说明** | |---|---| |入站策略 |展示当前配置的入站策略数量 | |出站策略 |展示当前配置的出站策略数量 | |可用余额 |当前防火墙版本可用的策略数量，若您有更多解密策略数量需求，请提交[工单](https://console.volcengine.com/workorder/create?step=3&SubProductID=P00000238&FlowKey=qnooeIledbEQkrbNSlyl&aiSearchQuestion=&aiID=)处理。 | 策略数量说明：云防火墙将按照访问源、访问目的元素数量，统计每条解密策略的实际占用规格数。 :::tip 单条策略占用的规格数＝源地址个数（IP地址段个数或区域个数）＊目的地址个数（IP地址段个数或区域个数或域名个数）。 ::: 案例： > * 访问源：192.168.1.1,192.168.2.0/24 > * 访问目的：www.example.com 占用策略数＝访问源IP地址段个数＊目的地址域名个数＝2＊1＝2个 ## 添加解密策略 ### 添加入站解密策略在**入站策略/出站策略**页签，选择**入站策略**，**点击添加策略。** |**配置项** |**配置说明** |**配置参数案例** | |---|---|---| |策略方向 |入站策略：解密自身网站业务，检测HTTPS协议外部攻击。|入站 |\ | |出站策略：解密出站加密流量，检测HTTPS协议异常外联风险。 | | |访问源类型 |您需要选择访问源类型，并根据访问源类型输入访问源地址。|IP |\ | || |\ | |* 选择**IP**类型时，需要输入IP地址或IP地址段。如`180.184.1.1`或`180.184.0.0/16`，`0.0.0.0/0`表示为全部。| |\ | |* 选择**地址簿**类型时，您需要提前创建IP地址簿。 | | |访问源 |根据访问源类型输入访问源内容。 |`0.0.0.0/0` | |访问目的 |* 前提条件需要在[证书管理](/docs/6516/6878c17db45916055a21ef58)导入需要解密域名关联的证书，否则无法新增解密策略。|`example.com` |\ | |* 输入需要解密的业务网站域名：| |\ | | * 支持输入单个域名如，`example.com`，`example1.example2.com`，请勿输入泛域名。| |\ | | * 域名单级长度不超过63个字符，总长度不超过128个字符| |\ | || |\ | |:::warning| |\ | |需确保目的域名地址与证书业务地址一致，若用户输入的域名与证书业务地址不一致，则防火墙解密失败导致业务受损。| |\ | || |\ | |:::| | |协议 |HTTPS|HTTPS |\ | |:::warning| |\ | |当前仅支持对使用 AES\-GCM、ChaCha20\-Poly1305、ECDHE\-RSA、ECDHE\-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。| |\ | || |\ | |:::| | |目的端口 |设置业务端口信息，如443，仅支持输入单个端口，若业务存在多个端口，请配置多条解密策略。|443 |\ | |:::warning| |\ | |需确保目的端口为HTTPS协议，避免解密失败导致业务受损| |\ | || |\ | |:::| | |策略描述 |输入当前策略内容和使用场景。便于您识别并应用解密策略。 |Web服务解密策略 | |**策略开关** |设置策略开关。如果您创建策略时未启用策略，可以在策略列表中开启策略。 |开启 | ### 添加出站解密策略在**入站策略/出站策略**页签，选择**入站策略**，**点击添加策略。** |**配置项** |**配置说明** |**配置参数案例** | |---|---|---| |策略方向 |入站策略：解密自身网站业务，检测HTTPS协议外部攻击。|出站 |\ | |出站策略：解密出站加密流量，检测HTTPS协议异常外联风险。 | | |访问源类型 |您需要选择访问源类型，并根据访问源类型输入访问源地址。|IP |\ | || |\ | |* 选择**IP**类型时，需要输入IP地址或IP地址段。如`180.184.1.1`或`180.184.0.0/16`，`0.0.0.0/0`表示为全部。| |\ | |* 选择**地址簿**类型时，您需要提前创建IP地址簿。| |\ | || |\ | |:::warning| |\ | |需确保访问源业务机器都已安装根证书(CA)，避免解密失败导致业务受损| |\ | || |\ | |:::| | |访问源 |根据访问源类型输入访问源内容。 |`180.184.0.0/16` | |访问目的 |* 前提条件需要在[证书管理](/docs/6516/6878c17db45916055a21ef58)导入需要解密域名关联的证书，否则无法新增解密策略。|`example.com` |\ | |* 输入需要解密的业务网站域名。| |\ | | * 支持输入单个域名如，`example.com`，`example1.example2.com`，请勿输入泛域名。| |\ | | * 域名单级长度不超过63个字符，总长度不超过128个字符| |\ | || |\ | |:::warning| |\ | |需确保目的域名地址与证书业务地址一致，若用户输入的域名与证书业务地址不一致，则防火墙解密失败导致业务受损。| |\ | || |\ | |:::| | |协议 |HTTPS|HTTPS |\ | |:::warning| |\ | |当前仅支持对使用 AES\-GCM、ChaCha20\-Poly1305、ECDHE\-RSA、ECDHE\-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。| |\ | || |\ | |:::| | |目的端口 |设置业务端口信息，如443，仅支持输入单个端口，若业务存在多个端口，请配置多条解密策略。|443 |\ | |:::warning| |\ | |需确保目的端口为HTTPS协议，避免解密失败导致业务受损| |\ | || |\ | |:::| | |策略描述 |输入当前策略内容和使用场景。便于您识别并应用解密策略。 |外部域名解密策略 | |**策略开关** |设置策略开关。如果您创建策略时未启用策略，可以在策略列表中开启策略。 |开启 | ## 查看解密策略 1. 配置策略完成后，你可以在解密策略列表，查看当前策略最近命中时间以及命中次数。 2. 您可以到解密策略列表复制当前策略ID，到日志管理中搜索该策略ID，查看解密日志。 ![图片](https://p9-arcosite.byteimg.com/tos-cn-i-goo7wpa0wc/52c20f1673444284aac2b75fae598ac9~tplv-goo7wpa0wc-image.image =1677x) ## 管理操作解密策略创建完成后，您可以对策略列表进行以下操作。 * 检索：支持访问源、访问目的、目的端口、规则ID、规则描述搜索，支持多选。 * 编辑：支持对策略进行编辑，修改策略参数。 :::warning 编辑解密策略时，云防火墙会中断长链接会话，建议在业务低峰期进行编辑操作。 ::: * 复制：支持复制该条策略，以便于业务快速新增相似策略。 * 删除：删除策略后，云防火墙不再进行解密。 :::warning 删除解密策略时，云防火墙会中断长链接会话，建议在业务低峰期进行编辑。 :::