快速使用云防火墙统一防护云上资产

步骤一：开通云防火墙按量版

1. 访问云防火墙购买页，选择商品类型为按量付费2.0，并完成如下配置项。

   配置项	说明
   互联网资产自动接入防护	选择是，自动将所有公网资产接入防火墙，并为新增资产开启自动保护开关。后续可在控制台调整。
   日志分析与日志分析存储容量	建议保持默认选项以存储访问日志。该配置支持对防护资产流量日志进行实时采集、查询、分析、加工及消费，满足等级保护合规要求。
   服务关联角色	为了提供流量访问控制、监控分析等功能，云防火墙需要访问您的云服务资源，请单击创建服务关联角色，系统会自动创建角色AliyunServiceRoleForCloudFW，无需手动对此角色做任何修改。

2. 仔细阅读并选中云防火墙（按量付费）服务协议，单击立即购买并完成支付。

步骤二：查看公网资产与防护状态

1. 登录云防火墙控制台。在左侧导航栏，单击开关。

2. 在互联网边界防火墙页签，可查看当前阿里云账号下的公网资产及其防护状态。由于在上一步购买时已启用互联网资产自动接入防护，所有公网资产默认处于保护中状态。

步骤三：查看入侵防御（IPS）能力

云防火墙默认启用的入侵防御系统（Intrusion Prevention System, IPS）可实时检测并主动阻断多种已知威胁，包括但不限于：网络攻击行为、漏洞利用尝试、暴力破解、蠕虫传播、挖矿活动、后门木马通信以及拒绝服务（DoS）攻击。

可以通过以下步骤，对IPS规则进行查看。

1. 在左侧导航栏，选择防护配置 > IPS配置。

2. 系统默认启用基础防御与虚拟补丁功能，并采用拦截-中等威胁引擎运行模式，适用于日常安全防护场景。

步骤四：配置访问控制（ACL）策略

云防火墙支持为不同资产配置独立的访问控制策略，以分别管控其入站和出站流量，实现精细化访问控制。

默认情况下，云防火墙已配置如下动作为放行的策略，可以在左侧导航栏防护配置 > 访问控制 > 策略配置 > 互联网边界进行查看。

当前，多数网络攻击风险源自公网，因此需配置符合实际业务需求的安全策略。建议使用白名单的方式，设置一条最低优先级拒绝全部的兜底策略，并在其基础上配置具体的放行策略。

1. 配置策略：前往防护配置 > 访问控制 > 策略配置 > 互联网边界页面，进行配置：

   入方向(优先级从高到低)：

   访问源	目的	协议	应用	端口	动作
   阿里可信IP	云资产公网IP	全部	ANY	全部	放行
   云产品回源地址（如WAF、DDoS）	云资产公网IP	全部	ANY	全部	放行
   可信远程连接运维人员或堡垒机地址	云资产公网IP	TCP	RDP、SSH	3389、22	放行
   可信运维人员地址	云资产公网IP	ICMP	ANY	-	放行
   全部	对外提供Web服务的云资产公网IP	TCP	HTTPS	443	放行
   全部	对外提供API服务的云资产公网IP	TCP	HTTP	相应API端口	放行
   全部	全部	全部	全部	全部	拒绝

   出方向(优先级从高到低)：

   访问源	目的	协议	应用	端口	动作
   全部	阿里可信IP、阿里可信域名	全部	ANY	全部	放行
   全部	软件仓库、证书服务	全部	ANY	全部	放行
   全部	微软、谷歌、Windows等可信域名	TCP	HTTPS、HTTP	全部	放行
   全部	全部	UDP	ANY	53、123	放行
   全部	全部	ICMP	ANY	-	放行
   全部	全部	全部	全部	全部	拒绝

2. 调整ACL引擎模式：默认模式下，云防火墙将放行无法识别的应用或域名流量，以防止策略配置初期的误拦截。待策略确认无误后，请单击右上角ACL引擎管理，将目标资产的ACL引擎模式切换为严格模式。

3. 验证测试：策略配置完成并等待3-5分钟后，可通过ping或curl等命令测试，然后刷新云防火墙控制台，单击命中次数/最近命中时间列的数字，前往日志审计页面查看命中日志。