互联网边界防火墙访问控制（内外双向流量）

内对外流量访问控制

1. 登录云防火墙控制台。
2. 单击导航栏的安全策略 > 访问控制 > 互联网边界防火墙 > 内对外。
   
   
   
3. 在 内对外tab页面左上角单击新增策略按钮，打开新增内-外策略对话框。
   
   
   
4. 创建内对外访问控制策略。
   1. 创建第一条内对外策略，先对可信的源IP进行放行。
      1. 依照表格中序号配置规则参数。

         序号	参数名称	参数配置
         1	源类型	可选择IP或地址簿。 IP：仅支持单个IP地址段。 地址簿：是您预先配置的IP地址簿，是多个IP地址段的组合，便于您在策略配置时对多个IP地址进行限制。
         2	访问源	设置访问流量的来源地址。本操作步骤中访问源代表允许访问外部互联网的内网IP地址。 选择IP作为源类型时，该访问源一定要设置成网段，如：1.1.1.1/32。 选择地址簿作为源类型时，您可单击从地址簿中选择按钮，选择源IP地址簿作为访问源。
         3	目的类型	可选择IP、地址簿、域名或区域。 说明 目的区域已支持全部国内区域（中国23个省、4个直辖市、5个自治区以及2个特别行政区），以及全部国际区域（全球7个洲）。
         4	目的	设置接收流量的目的地址。本操作步骤中目的代表允许某个内网IP地址访问的外部互联网地址。
         5	协议类型	设置该内到外访问流量的协议类型，可选择TCP、UDP、ICMP或ANY。不确定具体协议类型时可选择ANY。
         6	端口类型	可选择端口或地址簿。 端口：仅支持一个端口范围。 地址簿：是指您预先配置的端口地址簿，是多个端口的组合，便于您在策略配置时对多个端口进行限制。
         7	端口	设置需要放开或限制的端口。可根据端口类型的配置项，手动输入单个端口号，或者单击从地址簿中选择，选择预先配置的端口地址簿。
         8	应用	设置该内到外访问流量的应用类型。 说明 目的类型选择域名时，应用可选择HTTP、HTTPS、SMTP或SMTPS。
         9	动作	设置允许或拒绝该流量通过互联网边界防火墙。本操作步骤中选择放行。
         10	描述	输入该策略的备注内容，便于您后续查看时能快速区分每条策略的目的。
         11	优先级	选择该策略的优先级，默认为最低。

      2. 单击提交完成访问控制策略的创建。
         说明 最新创建的策略会展示在访问控制策略列表最后一页的最后一列中。
   2. 创建第二条内对外访问控制策略，拒绝其它所有访问源去访问外部互联网。

      将访问源地址设置为0.0.0.0/0，动作设置为拒绝，禁止所有未授权的访问。其他访问控制参数配置可参考上一步。

   3. 确定第一条可信源放行策略的优先级高于第二条所有访问源拒绝策略的优先级。

   说明 默认情况下，云防火墙按照访问控制策略创建的先后顺序为策略分配优先级，新创建策略的优先级低于已有策略的优先级。有关策略优先级的详细内容，参见设置/修改访问控制策略的优先级。

   有关策略配置参数的详细说明，参见访问控制策略参数表。

外对内流量访问控制

1. 登录云防火墙控制台。
2. 单击导航栏的安全策略 > 访问控制 > 互联网边界防火墙 > 外对内。
   
   
   
3. 在 外对内tab页面左上角单击新增策略按钮，打开新增外-内策略对话框。
   
   
   
4. 创建第一条外对内访问控制策略，先对可信的外部源IP进行放行。

   访问源设置为可信的IP地址段或选择预先配置的可信IP地址簿，动作设置为放行。其他访问控制可参考内对外流量访问控制中的配置。

   说明 外对内流量的访问控制策略中，如果源类型选择了地址簿，那么访问源可选择IP地址簿或云地址簿类型；目的地址簿仅可选择IP地址簿类型。
5. 创建第二条外对内访问控制策略，拒绝其它所有访问源去访问内部网络。

   将访问源地址设置为0.0.0.0/0，动作设置为拒绝，禁止所有未授权的访问。

6. 确定第一条可信源放行策略的优先级高于第二条所有访问源拒绝策略的优先级。

查看访问控制策略是否已生效

访问控制策略配置完成后，默认情况下策略立即生效。但如果策略参数配置不当，或者互联网边界防火墙未开，可能会导致您的策略配置不生效。

您可在访问控制策略列表中定位到该新增的策略，并单击命中次数，跳转到流量日志页面，查看策略是否生效。流量日志页面规则名一栏如果显示出该策略的名称，表示该策略已生效。

说明 如果删除策略，之前配置的放行/拒绝策略会失效，请谨慎删除。

访问控制策略参数表