建议为所有公网资产开启互联网边界防火墙保护，以降低网络攻击威胁、减少互联网暴露面并降低业务流量安全风险。该功能支持秒级一键开启，无需调整业务路由。开启保护是使用云防火墙的前提，仅当资产处于保护状态时，入侵防御、访问控制策略、流量分析及日志审计等模块配置方可生效。
适用范围
互联网边界防火墙支持对本账号下的公网 IPv4 和 IPv6 资产进行出向和入向流量保护。如需保护其他账号下的资产，需完成企业认证并配置多账号统一管理。
支持防护的资产类型
IPv4资产：AI网关公网IP、ALB EIP、API网关公网IP、堡垒机出口IP、堡垒机 IP、堡垒机入口IP、EIP、无影云电脑（企业版）公网IP、ECS EIP、ECS 公网IP、ENI EIP、GA EIP、HAVIP、NAT EIP、NAT 公网IP、NLB EIP、CLB EIP、CLB 公网IP、轻量应用服务器公网IP、VPN公网IP。
IPv6资产：AI网关公网IPv6、ALB IPv6、API网关公网IPv6、ECS IPv6、ENI EIP IPv6、GA EIP IPv6、NLB IPv6、CLB IPv6。
对于全球加速GA EIP与GA EIP IPv6，需满足以下条件：
该加速IP所属GA实例必须为标准型实例。
加速IP类型必须为弹性公网IP类型。
该加速IP所属加速地域不能为阿里云POP点。
查看加速地域是否为阿里云POP点，请参见ListAvailableBusiRegions。
对业务的影响
为资产开启互联网边界防火墙保护时，无需更改当前网络拓扑，支持资源一键秒级接入保护。
防护规格
自2025年10月15日起，云防火墙发布计费方式2.0。新购用户默认采用计费方式2.0，此前已购买的用户继续使用计费方式1.0，不同的计费方式下，互联网边界防火墙的防护规格不同。
计费方式2.0
在 2.0 计费方式下，费用按防火墙实例数与处理的公网流量计费。
防火墙实例数：每个防护地域对应 1 个实例。同一地域内，无论开启防护的公网 IP 数量多少，也无论 IP 类型为 IPv4 还是 IPv6，均仅占用 1 个实例规格。
公网流量处理能力：处理的公网总流量峰值，计费标准为互联网出向与入向流量带宽之和。
包年包月版：各版本提供一定的防火墙实例数与公网流量处理能力。若配额不足，可升级规格；若实际流量超过已购公网流量处理能力，超量流量将按弹性后付费方式计费。
按量付费版：按实际的防火墙实例数和处理的总流量峰值计费。支持处理的峰值带宽最高为 10 Gbps，如需定制更大规格，请联系商务经理或架构师。
计费方式1.0
在1.0计费方式下，费用按开启保护的公网IP数与处理的公网流量计费。
可保护公网IP数：可开启互联网边界防火墙保护的公网IP资产数量。
公网流量处理能力：处理的公网总流量峰值，计费标准为互联网出向或入向流量带宽取最高值。
包年包月版：各版本提供一定的可防护公网IP数与公网流量处理能力。若配额不足，可升级规格；若实际流量超过已购公网流量处理能力，超量流量将按弹性后付费方式计费。
按量付费版：按实际开启保护的公网IP数和处理的总流量峰值计费。
为资产开启保护
开通云防火墙时，若将互联网资产自动接入防护选项设置为“是”，系统将自动为当前账号下的公网资产开启保护，无需执行此处的手动操作。若该选项设置为“否”，则需按以下步骤手动为资产开启保护：
登录云防火墙控制台。在左侧导航栏单击开关。
在互联网边界防火墙页签，根据资产 IP 类型单击IPv4或IPv6页签。
若公网资产列表中未显示目标资产，请单击列表右上角的同步资产，资产同步预计需要 1~2 分钟。
执行以下任一操作开启保护：
单个开启：在目标资产所在行的操作列单击开启保护。
批量开启：选中多个目标资产，单击列表下方的开启保护。
设置新增资产自动保护
开启新增资产自动保护后，若当前阿里云账号及成员账号（依赖多账号统一管理配置）新增公网资产，系统将自动开启互联网边界防火墙保护。为保障公网资产及时获得防护，基于最佳安全实践，建议开启此功能。
开通云防火墙时：通过互联网资产自动接入防护选项控制开启状态。
开通云防火墙后：在云防火墙控制台开关 > 互联网边界防火墙页面，通过右上角新增资产自动保护开关按钮控制开启状态。
选择自动保护的新增资产类型：单击新增资产自动保护，在弹出的配置界面中，按资产类型与所属地域选择需自动保护的新增资产，配置完成后单击保存设置以生效。
后续步骤
为资产开启互联网边界防火墙保护后，系统将自动配置默认防护规则。为避免误拦截，默认策略较为宽松，防护效果有限。建议按以下操作进一步优化防护配置：
调整IPS威胁引擎运行模式：默认采用“拦截-中等”模式，适用于日常安全防护场景，误拦截概率低。可根据业务需求调整为更宽松或更严格的模式。具体配置请参见IPS配置。
配置访问控制策略：默认所有规则动作均为放行，无实际防护效果，建议按需调整。最佳实践为采用“白名单模式”，即默认丢弃所有流量，仅放行已知可信流量。为避免误拦截，不建议直接配置严格规则，建议优先使用观察动作，待业务稳定运行一段时间后，再逐步调整为丢弃动作。具体配置请参见配置互联网边界访问控制策略。
策略配置完成后，可通过以下方式查询流量与防护日志：
日常运维
在开关 > 互联网边界防火墙页签，可执行以下操作：
查看资产保护状态：页面上方信息栏展示防火墙实例数与已保护的公网IP数量。可单击全部开启一键开启保护，或单击查看保护详情查看具体资产防护信息。当可用实例授权数不足时，可以单击升级进行升配。
下载公网资产信息：将公网资产列表以CSV格式下载至本地。在公网资产列表右上角单击
图标，随后在页面右上角单击下载任务管理查看下载进度。任务完成后，在操作列单击下载获取文件。关闭资产的互联网防火墙保护：关闭保护后，云防火墙将不再管控该公网资产的流量，可能导致资产遭受恶意攻击、数据泄露等风险，请谨慎操作。在互联网边界防火墙页签，单击IPv4或IPv6页签，在公网资产列表中找到目标资产，在操作列单击关闭保护。
下发安全组默认放通策略
为ECS资产开启互联网边界防火墙保护后，可一键向关联的 ECS 普通安全组（入方向）下发默认策略。该功能旨在将公网流量管控权移交至云防火墙，实现统一审计与管理。无需前往ECS控制台修改安全组配置。
适用范围
仅支持关联 ECS 公网 IP 或 EIP 的普通安全组，不支持企业级安全组。
策略逻辑
系统在目标安全组中自动添加 4 条优先级为 100（最低）的规则，具体逻辑如下：
显式放行公网流量：添加
0.0.0.0/0放行规则。此规则用于覆盖可能存在的“默认拒绝”配置，确保公网流量能穿透安全组到达云防火墙进行统一过滤。阻断私网直连：拦截
192.168.0.0/16、172.16.0.0/12、10.0.0.0/8流量。防止内网东西向流量绕过云防火墙直接访问实例。拒绝优先原则：依据安全组匹配机制，同优先级下拒绝规则优先于放行规则生效。若原安全组已存在优先级为 100 的拒绝规则，新下发的放行策略不会使其失效，保障原有安全基线不受影响。
规则详情
源对象 | 协议类型 | 端口范围 | 策略类型 | 说明 |
192.168.0.0/16 | ALL | -1/-1 | 拦截 | 阻断 RFC1918 私网流量，防止内网绕过防护。 |
172.16.0.0/12 | ALL | -1/-1 | 拦截 | |
10.0.0.0/8 | ALL | -1/-1 | 拦截 | |
0.0.0.0/0 | ALL | -1/-1 | 放行 | 兜底放行公网流量，引导至云防火墙管控。 |
公网暴露风险：下发前请确保所有ECS资产已开启互联网边界防火墙保护并配置有效的访问控制策略。否则下发此策略后可能导致公网流量直接穿透至实例，存在暴露风险。
未纳管资源限制：未开启互联网边界防火墙保护的资源请勿下发此策略。否则将导致私网流量被阻断，且公网流量因缺乏云防火墙防护而失去原有安全组的有效管控。
服务释放残留：释放云防火墙服务后，这 4 条规则不会自动删除。请务必手动清理，以免残留规则影响后续网络规划与安全策略部署。
操作步骤
登录云防火墙控制台。在左侧导航栏，单击开关。
在互联网边界防火墙页签，单击 IPv4 页签。
在公网资产列表中，定位至目标 ECS 资产，在安全组默认放行策略列单击下发。
（可选）处理策略冲突。
可自动调整：若安全组中已有规则与待下发规则的优先级相同，但协议类型、端口范围或授权对象不同，可在对话框中单击一键调整。系统将自动调高原有规则的优先级以解决冲突。
需手动调整：若安全组中已有规则与待下发规则的优先级、协议类型、端口范围及授权对象均相同，需前往 ECS 控制台的安全组页面手动调整规则优先级。具体操作，请参见修改安全组规则。
在对话框中单击一键下发，确认待下发的 4 条策略后，单击确定。
若 ECS 关联了多个安全组，需为所有关联的安全组分别下发策略，默认放通策略方可生效。
配置完成后，可在页面查看下发状态。
状态 | 说明 |
已下发 | ECS 资产关联的所有安全组均已成功下发默认放通策略。 |
未下发 | ECS 资产关联的全部或部分安全组尚未下发默认放通策略，或存在配置冲突。 |
- | 该资产类型不支持一键下发默认放通策略。 |
常见问题
为什么云防火墙访问控制策略不生效或日志不显示流量？
若为公网资产（如 NAT EIP、ECS 等）配置的访问控制策略未生效，或流量日志中无预期的记录，通常是因为该资产在互联网边界防火墙中的防火墙状态为未受保护。在此状态下，相关策略不会生效，流量亦不会被拦截或记录。
解决方法：
登录云防火墙控制台。
在左侧导航栏，单击开关。
在互联网边界防火墙页签，检查目标公网资产的防护状态。
若防火墙状态为未受保护，请手动开启防护开关。
开启防护后，该资产的流量将受已配置的访问控制策略管控（执行放行或丢弃），并同步记录至流量日志中。