互联网边界防火墙

防护ECS资产（包括ECS公网IP和ECS EIP）时，您可以在云防火墙控制台一键下发互联网方向的默认放行策略，方便您通过云防火墙统一管理规则，无需前往ECS管理控制台修改安全组的配置。

功能原理

云防火墙通过给ECS资产关联的安全组下发4个优先级最低（优先级为100）的规则，放行ECS资产在互联网方向的访问。

对于相同优先级的规则，ECS安全组会优先匹配拒绝规则。因此，如果您原来配置了优先级为100的拒绝规则，云防火墙下发的放行策略不会使您之前配置的拒绝规则失效。

注意事项

• 一键下发的安全组默认放通策略，会对关联到该安全组的所有资源生效，在下发前，建议为安全组关联的所有资源开启云防火墙保护，并且合理配置互联网边界的入方向访问控制策略，否则会存在公网暴露的风险。

  对于未开启云防火墙开关的资源，不建议下发默认放通策略；对于已放通的资源，不建议关闭云防火墙的防护开关。

• 云防火墙服务到期后，通过云防火墙自动新增的4个放通策略还会保留在安全组中，并处于生效状态。如果您不再使用云防火墙服务，建议您手动删除云防火墙下发的4条默认放通策略。具体操作，请参见删除安全组规则。

使用限制

• 下发安全组默认放通策略功能只支持ECS公网IP和ECS EIP的入方向规则。

• 企业级安全组不支持下发安全组默认放通策略。

下发放通策略

1. 登录云防火墙控制台。

2. 在左侧导航栏，单击防火墙开关。

3. 在互联网边界防火墙页签，单击IPv4或IPv6页签。

4. 在公网资产列表找到需要放通默认策略的ECS资产，在安全组默认放行策略列单击下发。

5. （可选）如果当前安全组中的规则与待下发的规则冲突，您需要先完成策略调整。

   • 配置冲突可调整：安全组中的规则与待下发规则的优先级相同，但协议类型、端口范围和授权对象不同。

     您可以在安全组默认放行策略对话框，单击一键调整，通过将安全组原有的规则优先级调高，解决冲突。

   • 配置冲突不可调整：安全组中的规则与待下发规则的优先级、协议类型、端口范围、授权对象均相同。

     建议您前往ECS管理控制台的安全组页面查看和调整冲突的规则优先级，具体操作，请参见修改安全组规则。或者提交工单，联系产品技术专家进行咨询。

6. 在安全组对应的操作列，单击一键下发，查看待下发的4个放通策略，然后单击确定。

   如果ECS关联了多个安全组，您可以分别为所有关联的安全组下发放通策略，该ECS的默认放通策略才会生效。

   

安全组放通配置完成后，您可以在防火墙开关 > 互联网边界防火墙页面查看安全组默认放通策略的下发状态，确定策略是否已成功下发，及时排查未成功下发的问题。

安全组策略下发状态包含：

• 已下发：ECS资产关联的所有安全组均已下发了默认放通策略；

• 未下发：ECS资产关联的全部安全组或部分安全组还未下发默认放通策略，或者存在配置冲突。

• -：该资产类型不支持一键下发默认放通策略。