配置互联网边界访问控制策略

自定义访问控制策略

您可以按需自定义互联网边界防火墙的出向策略（内网访问外部互联网）和入向策略（外部互联网访问您的内部网络）。

1. 登录云防火墙控制台。

2. 在左侧导航栏，选择防护配置 > 访问控制 > 互联网边界。

3. 在出向或者入向页签，选择需要创建的IP类型（默认创建IPv4类型的策略），然后单击创建策略。

   

4. 在创建出向策略或者创建入向策略面板，单击自定义创建。

5. 参考以下表格，配置策略详情，然后单击确定。

   配置内网访问互联网的流量管控策略（出向策略）

   配置项	说明
   源类型	网络流量的发起方。您需要选择访问源类型，并根据访问源类型输入发送流量的访问源地址。 选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。 如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 选择地址簿类型时，您需要提前创建IP地址簿（IPv4或IPv6）。创建地址簿的具体操作，请参见地址簿管理。
   访问源
   目的类型	网络流量的接收方。您需要选择目的类型，并根据目的类型输入接收流量的目的地址。 选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。 如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 选择地址簿类型时，您需要提前创建IP地址簿（IPv4或IPv6）。创建地址簿的具体操作，请参见地址簿管理。 选择域名类型时，您需要选择域名的识别模式。目前提供三种域名的识别模式： 基于FQDN（报文提取Host/SNI)：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量时，建议使用此模式。 基于DNS动态解析：管理HTTP、HTTPS、SMTP、SMTPS、SSL以外的流量时，建议使用此模式。 重要 此模式不支持泛域名。 同时基于FQDN与DNS动态解析（域名应用类型为HTTP/HTTPS/SSL/SMTP/STMPS）：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量，但部分或全部流量中未携带 HOST/SNI字段时，建议使用此模式。 重要 此模式仅在开启ACL引擎管理严格模式时生效。 选择区域类型时，需要选择目的地址所在的区域。可选中国区域或国际区域。
   目的
   协议类型	传输层协议类型，支持设置为：TCP、UDP、ICMP、ANY。不确定具体协议时可选择ANY。
   端口类型	设置目的端口类型和目的端口。 选择端口类型时，需要输入端口段。端口段中间通过正斜线（/）分隔，例如22/22、80/88。最多可添加2000个端口段，多个端口段之间使用半角逗号（,）隔开。 如果您同时输入了多个端口段，云防火墙会自动将输入的多个端口段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 地址簿：选择地址簿类型时，您需要提前创建端口地址簿。创建地址簿的具体操作，请参见地址簿管理。
   端口
   应用	设置访问流量的应用类型。 协议类型选择TCP时，应用类型支持选择为HTTP、HTTPS、SMTP、SMTPS、SSL、FTP等。 协议类型选择UDP、ICMP或ANY时，应用类型仅允许选择为ANY。 域名模式使用DNS动态解析时，您可以选择所有应用。 域名模式使用基于FQDN（报文提取Host/SNI）时，您只能选择HTTP、HTTPS、SMTP、SMTPS或SSL。 域名模式使用同时基于FQDN（报文提取Host/SNI）与DNS动态解析时，您只能选择HTTP、HTTPS、SMTP、SMTPS、SSL。 说明 识别应用依赖应用报文特征（协议识别不依据端口），应用识别失败时，该会话流量会被放行。如果您想拦截未知应用类型的流量，建议您开启互联网边界防火墙严格模式。更多信息，请参见访问控制引擎模式介绍。
   动作	设置匹配成功的流量在该条策略的放行情况。 放行：放行该流量。 拒绝：拦截该流量，并且不会提供任何形式的通知信息。 观察：该模式下，默认放行流量。观察一段时间后，您可根据需要调整为放行或拒绝。
   描述	输入该策略的备注内容，便于您后续查看时能快速区分每个策略的目的。
   优先级	选择该策略的优先级，默认为最后，表示优先级最低。 最前：指访问控制策略生效的优先级最高，最先生效。 最后：指访问控制策略生效的优先级最低，最后生效。
   策略有效期	设置该策略的有效时间段。策略仅在有效时间段内才可用于匹配流量。
   启用状态	设置是否启用策略。如果您创建策略时未启用策略，可以在策略列表中开启策略。

   配置互联网访问内网的流量管控策略（入向策略）

   配置项	说明
   源类型	网络流量的发起方。您需要选择访问源类型，并根据访问源类型输入发送流量的访问源地址。 选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。 如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 选择地址簿类型时，您需要提前创建地址簿。创建地址簿的具体操作，请参见地址簿管理。 选择区域类型时，需要选择源地址所在的区域。可选中国区域或国际区域。
   访问源
   目的类型	网络流量的接收方。您需要选择目的类型，并根据目的类型输入接收流量的目的地址。 选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。 如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 选择地址簿类型时，您需要提前创建IP地址簿。创建地址簿的具体操作，请参见地址簿管理。 选择域名类型时，您需要选择域名的识别模式。目前提供三种域名的识别模式： 基于FQDN（报文提取Host/SNI)：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量时，建议使用此模式。 基于DNS动态解析：管理HTTP、HTTPS、SMTP、SMTPS、SSL以外的流量时，建议使用此模式。 重要 此模式不支持泛域名。 同时基于FQDN与DNS动态解析（域名应用类型为HTTP/HTTPS/SSL/SMTP/STMPS）：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量，但部分或全部流量中未携带 HOST/SNI字段时，建议使用此模式。 重要 此模式仅在开启ACL引擎管理严格模式时生效。 选择区域类型时，需要选择目的地址所在的区域。可选中国区域或国际区域。
   目的
   协议类型	传输层协议类型，支持设置为：TCP、UDP、ICMP、ANY。不确定具体协议时可选择ANY。
   端口类型	设置目的端口类型和目的端口。 选择端口类型时，需要输入端口段。端口段中间通过正斜线（/）分隔，例如22/22、80/88。最多可添加2000个端口段，多个端口段之间使用半角逗号（,）隔开。 如果您同时输入了多个端口段，云防火墙会自动将输入的多个端口段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。 地址簿：选择地址簿类型时，您需要提前创建端口地址簿。创建地址簿的具体操作，请参见地址簿管理。
   端口
   应用	设置该访问流量的应用类型。 域名模式使用DNS动态解析时，您可以选择所有应用。 域名模式使用基于FQDN（报文提取Host/SNI）时，您只能选择HTTP、HTTPS、SMTP、SMTPS或SSL。 域名模式使用同时基于FQDN（报文提取Host/SNI）与DNS动态解析时，您只能选择HTTP、HTTPS、SMTP、SMTPS、SSL。 协议类型选择TCP时，应用类型支持选择为HTTP、HTTPS、SMTP、SMTPS、SSL、FTP等。 协议类型选择UDP、ICMP或ANY时，应用类型仅允许选择为ANY。 说明 识别应用依赖应用报文特征（协议识别不依据端口），应用识别失败时，该会话流量会被放行。如果您想拦截未知应用类型的流量，建议您开启互联网边界防火墙严格模式。更多信息，请参见访问控制引擎模式介绍。
   动作	设置匹配成功的流量在该条策略的放行情况。 放行：放行该流量。 拒绝：拦截该流量，并且不会提供任何形式的通知信息。 观察：该模式下，默认放行流量。观察一段时间后，您可根据需要调整为放行或拒绝。
   描述	输入该策略的备注内容，便于您后续查看时能快速区分每个策略的目的。
   优先级	选择该策略的优先级，默认为最后，表示优先级最低。 最前：指访问控制策略生效的优先级最高，最先生效。 最后：指访问控制策略生效的优先级最低，最后生效。
   策略有效期	设置该策略的有效时间段。策略仅在有效时间段内才可用于匹配流量。
   启用状态	设置是否启用策略。如果您创建策略时未启用策略，可以在策略列表中开启策略。

下发智能推荐策略

云防火墙自动学习您的业务近30日的流量情况，结合发现的流量风险，为您推荐适合您业务的访问控制策略。如果智能推荐策略符合您的业务需求，您可以直接下发智能推荐策略。

支持下发出向（内网访问外部互联网）和入向（外部互联网访问您的内部网络）的智能策略。

1. 在左侧导航栏，选择防护配置 > 访问控制 > 互联网边界。

2. 通过以下方式，进入智能策略推荐页面。

   • 在策略列表右上角，单击智能策略，然后单击出向页签或入向页签。

     

   • 在出向页签或入向页签，单击创建策略，然后单击智能策略推荐页签。

3. 查看智能推荐策略，在需要下发的策略区域单击下发策略；或者批量选中需要下发的多个策略后，单击批量下发。

下发常用推荐策略

如果云防火墙内置的常用推荐策略符合您的业务需求，您可以直接下发对应的常用策略。

1. 在左侧导航栏，选择防护配置 > 访问控制 > 互联网边界。

2. 在出向页签或入向页签，单击创建策略，然后单击常用策略推荐页签。

3. 查看常用推荐策略，在需要下发的策略区域单击一键下发。