文档

配置NAT边界访问控制策略

更新时间:

如果您需要限制VPC内资源(例如ECS、ECI等)通过NAT网关访问互联网的出方向流量时,您可以为NAT网关开启NAT边界防火墙,并配置NAT边界访问控制策略,精细化管控私网资源到互联网的访问。

VPC内的私网资源通过NAT网关直接访问互联网时,可能存在未经授权的访问、数据泄露、恶意流量攻击等风险。您可以利用云防火墙的NAT边界防火墙能力,通过指定访问源、目的地址、端口、协议、应用等元素,只允许必要的流量通行,有效限制私网资源到互联网的未授权访问。

为NAT网关开启NAT边界防火墙后,NAT边界防火墙支持防护VPC内私网资源(包括同一VPC内的资源和跨VPC的资源)流向该NAT网关的所有出方向流量。

前提条件

  • 已创建并开启NAT边界防火墙。具体步骤,请参见NAT边界防火墙

  • 已购买足够的策略授权规格数。您可以在防护配置 > 访问控制 > NAT边界页面,查看策略的使用规格。关于策略占用规格的计算方法,请参见访问控制策略概述

    如果剩余可用的策略授权规格不足,您可以单击规格升级,购买访问控制全局扩展数量。更多操作,请参见购买云防火墙服务

    image..png

  • 如果您需要同时添加多个对象作为访问源地址或目的地址,您可以先添加地址簿。具体操作,请参见地址簿管理

配置NAT边界访问控制策略

  1. 登录云防火墙控制台

  2. 在左侧导航栏,选择防护配置 > 访问控制 > NAT边界

  3. NAT边界页面,选择待配置的NAT网关,单击创建策略

    云防火墙会自动同步您当前账号下关联的NAT网关,您可以单击下拉框选择待配置的NAT网关。

    image..png

  4. 创建策略-NAT边界面板,配置访问控制策略,然后单击确定

    配置项

    说明

    源类型

    网络流量的发起方。您需要选择访问源类型,并根据访问源类型输入发送流量的访问源地址。

    • 选择IP类型时,需要输入IP地址段。地址段需要使用标准掩码格式,例如192.168.0.0/16。最多支持输入2000个地址段,多个地址段之间使用半角逗号(,)分隔。

      如果您同时输入了多个IP地址段,云防火墙会自动将输入的多个地址段创建为地址簿,并在您保存策略配置时提示您设置地址簿名称。

    • 选择地址簿类型时,您需要提前创建地址簿。创建地址簿的具体操作,请参见地址簿管理

    访问源

    目的类型

    网络流量的接收方。您需要选择目的类型,并根据目的类型输入接收流量的目的地址。

    • 选择IP类型时,需要输入IP地址段。地址段需要使用标准掩码格式,例如192.168.0.0/16。最多支持输入2000个地址段,多个地址段之间使用半角逗号(,)分隔。

      如果您同时输入了多个IP地址段,云防火墙会自动将输入的多个地址段创建为地址簿,并在您保存策略配置时提示您设置地址簿名称。

    • 选择地址簿类型时,您需要提前创建地址簿。创建地址簿的具体操作,请参见地址簿管理

    • 选择域名类型时,您需要选择域名的识别模式。目前提供三种域名的识别模式:

      • 基于FQDN(报文提取Host/SNI):管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量时,建议使用此模式。

      • 基于DNS动态解析:管理HTTP、HTTPS、SMTP、SMTPS、SSL以外的流量时,建议使用此模式。

        重要

        此模式不支持泛域名。

      • 同时基于FQDN与DNS动态解析(域名应用类型为HTTP/HTTPS/SSL/SMTP/STMPS):管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量,但部分或全部流量中未携带 HOST/SNI字段时,建议使用此模式。

      • 重要

        此模式仅在开启ACL引擎管理严格模式时生效。

    • 选择区域类型时,需要选择目的地址所在的区域。可选中国区域或国际区域。

    目的

    协议类型

    传输层协议类型,支持设置为:TCPUDPICMPANY。不确定具体协议时可选择ANY

    端口类型

    设置目的端口类型和目的端口。

    • 选择端口类型时,需要输入端口段。端口段中间通过正斜线(/)分隔,例如22/22、80/88。最多可添加2000个端口段,多个端口段之间使用半角逗号(,)隔开。

      如果您同时输入了多个端口段,云防火墙会自动将输入的多个端口段创建为地址簿,并在您保存策略配置时提示您设置地址簿名称。

    • 地址簿:选择地址簿类型时,您需要提前创建端口地址簿。创建地址簿的具体操作,请参见地址簿管理

    端口

    应用

    设置该访问流量的应用类型。

    • 域名模式使用DNS动态解析时,您可以选择所有应用。

    • 域名模式使用基于FQDN(报文提取Host/SNI)时,您只能选择HTTP、HTTPS、SMTP、SMTPS或SSL。

    • 域名模式使用同时基于FQDN(报文提取Host/SNI)与DNS动态解析时,您只能选择HTTP、HTTPS、SMTP、SMTPS、SSL或ANY。

    动作

    设置匹配成功的流量在该条策略的放行情况。

    • 放行:放行该流量。

    • 拒绝:拦截该流量,并且不会提供任何形式的通知信息。

    • 观察:该模式下,默认放行流量。观察一段时间后,您可根据需要调整为放行拒绝

    描述

    输入该策略的备注内容,便于您后续查看时能快速区分每个策略的目的。

    优先级

    选择该策略的优先级,默认为最后,表示优先级最低。

    • 最前:指访问控制策略生效的优先级最高,最先生效。

    • 最后:指访问控制策略生效的优先级最低,最后生效。

    策略有效期

    设置该策略的有效时间段。策略仅在有效时间段内才可用于匹配流量。

    启用状态

    设置是否启用策略。如果您创建策略时未启用策略,可以在策略列表中开启策略。

配置ACL引擎模式

配置访问控制策略后,NAT边界防火墙的ACL引擎模式默认为宽松模式。该模式下,如果出现未识别应用或域名的业务流量时,为了不影响业务,云防火墙默认放行这部分流量。您可以根据实际业务需要切换为严格模式

  1. 防护配置 > 访问控制 > NAT边界页面,单击访问控制策略列表右上方ACL引擎管理

  2. ACL引擎管理-NAT边界防火墙面板,在需要切换模式的NAT网关的引擎模式列,单击修改

  3. 修改引擎模式对话框,选择引擎模式,然后单击确定

    • 严格模式:开启严格模式后,针对未识别应用或域名的流量将严格匹配所配置的策略,如果有配置拒绝策略,将拒绝未识别unknown流量业务访问。

    • 宽松模式:开启宽松模式后,针对未识别unknown应用或域名的业务流量将放行,以优先保证业务。

查看策略的命中情况

访问控制策略配置完成后,默认情况下策略立即生效。您可以在访问控制策略列表的命中次数/最近命中时间列,查看访问控制策略的命中情况。

image.png

命中次数/最近命中时间列有显示命中次数及时间,表示已有访问流量命中该策略。您可以单击命中次数,跳转到流量日志页面查看详细数据。具体操作,请参见日志审计

相关操作

创建策略后,您可以在访问控制策略列表,对该策略编辑、删除、复制或移动(移动即修改策略的优先级)。优先级修改后,策略原优先级之后的策略优先级都将相应依次递减。

重要

删除策略后,该策略管控的流量将不受云防火墙的访问控制。请谨慎删除。

相关文档

  • 本页导读 (1)