DNS域名解析地址访问控制策略

防护原理

对于DNS域名解析地址的内对外访问控制规则（访问流量协议为TCP 、应用类型为HTTP/HTTPS/SSL/SMTP/SMTPS的数据除外），DNS解析域名地址后，该域名将被转化成IP地址。该内对外规则创建完成后，云防火墙将对域名解析出的IP地址进行防护。

限制条件

以下情况不支持DNS域名解析地址的访问控制策略：

• 外对内流量。

  目前，仅内对外流量的访问控制策略支持DNS域名解析。

• 目的地址域名为通配符域名（例如：*.aliyun.com）。
• 目的地址类型为域名地址簿。
• 金融云、政务云和国际站用户。

  目前，仅中国站公共云账号支持该功能。

操作步骤

1. 登录云防火墙控制台。
2. 在左侧导航栏单击安全策略 > 访问控制。
3. 在互联网边界防火墙 > 内对外页签下，单击新增策略。
   
4. 在新增内-外策略对话框中，创建内对外访问控制策略。
   访问控制策略配置项说明和配置方法请参见下表。

   配置项名称	配置项描述	配置方法
   源类型	该访问控制策略要过滤的数据包的来源地址类型，包含以下2类： IP：仅支持单个IP地址段。 地址簿：是您预先配置的IP地址簿，为多个IP地址段的组合，便于您在策略配置时对多个IP地址进行限制，从而简化策略配置。	单击选择IP或地址簿。 访问源地址类型为IP地址，需手动输入IP地址段；访问源地址类型选择地址簿时，需从您预先配置的址簿中选择。
   访问源	该访问控制策略要过滤的数据包的来源地址。	手动输入访问源。 说明 访问源只支持配置一个公网IP网段，例如：1.1.1.1/32。
   目的类型	该访问控制策略要过滤的数据包的目的地址类型，包含IP地址、地址簿、域名和区域4类。	此处单击选择域名。
   目的	该访问控制策略要过滤的数据包的目的地址。	手动输入需要该访问控制策略管控的域名地址。 说明 非通配符域名才支持动态DNS解析功能，通配符域名无法使用该功能。
   域名解析	云防火墙将自动为您解析目的域名地址，并对该解析到的地址进行访问控制。	单击域名解析，可查看该域名的实时解析地址。
   协议类型	该访问控制策略要过滤的数据包的协议类型。包含以下类型： ANY：任何协议。 TCP协议。 UDP协议。 ICMP协议。	单击下拉框选择需要访问控制策略管控的协议类型。
   端口类型	可选单个端口或端口地址簿。	单击选择端口类型。
   端口	允许或阻止该内对外流量数据包通过的端口号。	手动输入端口范围。0/0代表任意端口。
   应用	当前支持配置的应用有：ANY、HTTP、HTTPS、Memcache、MongoDB、MQTT、MySQL、RDP、Redis、SMTP、SMTPS、SSH和VNC。 协议选择TCP时，支持配置不同的应用类型；如选择其他类型协议，应用类型只能设置为ANY。 说明 识别应用依赖应用报文特征（协议识别不依据端口）；应用识别失败时，该数据包会被放行。	单击下拉框选择需要访问控制策略管控的应用类型。
   动作	允许或拒绝该流量通过互联网边界防火墙。 放行：允许访问。 拒绝：禁止访问，并且不会提供任何形式的通知信息。 观察：设置为观察模式后仍允许源到目的的访问。观察一段时间后可根据需要调整为放行或拒绝。	单击下拉框选择动作类型。
   描述	对访问控制策略进行描述或备注。输入该策略的备注内容，便于您后续查看时能快速区分每条策略的目的。	手动输入备注内容。
   优先级	设置访问控制策略的优先级。默认优先级为最后。 最后：指访问控制策略生效的顺序最低，最后生效。 最前：指访问控制策略生效的顺序最高，最先生效。	单击选择最前或最后。

5. 单击提交，完成内对外策略的配置。
   策略提交后，您可在互联网边界防火墙 > 内对外页面查看您配置的策略，对该策略进行编辑、删除、克隆或移动该策略的优先级位置。