管理实例防火墙

最近更新时间:2024-08-16 15:21:41

我的收藏

操作场景

防火墙是保障轻量应用服务器实例网络安全的重要手段,所提供的安全防护作用等同于云服务器中的安全组。您可以通过配置防火墙规则,允许或禁止公网或私网对轻量应用服务器实例的访问。
说明:
防火墙只能对实例的入流量进行控制,出流量默认允许所有请求。

相关概念

出流量:数据从实例内通过公网或内网传输至实例外产生的流量。
入流量:数据从实例外通过公网或内网传输至实例内产生的流量。

防火墙规则

配额限制

每个轻量应用服务器的实例可创建的防火墙规则数量限制:100个

组成部分

轻量应用服务器实例的防火墙中可以包含多条防火墙规则。每条防火墙规则包括如下组成部分:
组成部分
说明
应用类型
自定义:您可以按需定义协议和端口。
预置的应用类型:提供常用的防火墙规则模板,如 Windows登录(3389)、Linux登录(22)等。若选择预置的应用类型,则对应的协议和端口将会自动填入且不可修改。
来源
指定的单个 IPv4 地址或 IPv4 地址范围。
协议
协议类型,可选择 TCP、UDP、ICMP 其中一种。
端口
协议端口,指定的单个或多个端口。
策略
允许:放行该端口相应的访问请求。
拒绝:直接丢弃数据包,不返回任何回应信息。
备注
自定义,简短地描述规则,便于后期管理。

规则优先级

防火墙内规则具有优先级。 规则优先级通过规则在列表中的位置来表示,列表顶端规则优先级最高,最先应用;列表底端规则优先级最低。
若有规则冲突,则默认应用位置更前的规则。
当有流量进入对应防火墙的实例时,将从防火墙规则列表顶端的规则开始逐条匹配至最后一条。如果匹配某一条规则成功,允许通过,则不再匹配该规则之后的规则。
当进入的流量与任何一条防火墙规则都不匹配时,防火墙将默认阻止该流量进入实例。 若您需调整防火墙已有规则优先级,请参见 修改防火墙规则优先级

操作步骤

说明:
您可参考此步骤添加或删除防火墙规则,修改立即生效。

添加防火墙规则

1. 登录 轻量应用服务器控制台,在服务器列表中找到您想要操作的实例,单击右上角

> 查看详情进入该实例的详情页。

2. 在实例详情页中,选择防火墙页签,并单击添加规则。如下图所示:

说明:
轻量应用服务器创建后,默认放通 ICMP 协议,默认开启80端口( HTTP 服务)、443端口( HTTPS 服务)、22端口( Linux SSH 服务)和3389端口( Windows TCP和UDP,注意2023年3月30日创建后的服务器默认两个均放通,在此日期前的实例均需要手动放通UDP3389端口以便提升登录优化质量)。
上述默认放通的端口,实例创建完成后您可以根据自身业务需求,在实例详情页防火墙页面手动修改策略为“拒绝”或者删除防火墙规则(删除后默认不通)。
3. 
在弹出的
创建新的规则窗口中,参考以下信息进行添加。如下图所示: 本文以添加放通来源 IP 为192.168.1.1,协议类型 TCP,端口为3306-20000的规则为例。请您结合实际情况进行操作,规则参数说明请参见 组成部分

应用类型:本文需自行设置协议类型及端口,则选择自定义
限制来源:本文需限制源 IP,则需填写来源。如不填写,则该规则对所有 IPv4 源地址均生效。
源IP地址:防火墙规则仅对输入的源 IP 地址生效。支持以下输入格式:
指定单个 IP:例如 192.168.1.1
指定 CIDR 段:例如 192.168.1.0/24
所有 IPv4 地址0.0.0.0/0
协议:可选择 TCP、UDP 或 ICMP,本文以选择 TCP 为例。
端口:可指定单个或多个端口,范围需在1到65535之间,多个端口范围之间使用符号 , 进行分隔。端口支持格式如下:
单个端口:例如 80
多个离散端口:例如 80,443
连续端口:例如 3306-20000
所有端口ALL
策略:默认选择允许
允许:放行该端口相应的访问请求。
拒绝:直接丢弃数据包,不返回任何回应信息。
备注:自定义,简短地描述规则,便于后期管理。
4. 单击确定即可添加防火墙规则。

删除防火墙规则

1. 登录 轻量应用服务器控制台,选择并进入该实例的详情页。
2. 在实例详情页中,选择防火墙页签。
3. 防火墙页签中,选择需要删除的防火墙规则所在行右侧的删除。如下图所示:

4. 在弹出的提示框中,单击确定,即可删除对应的防火墙规则。

修改防火墙规则

1. 登录 轻量应用服务器控制台,选择并进入该实例的详情页。
2. 在实例详情页中,选择防火墙页签。
3. 防火墙页签中,选择需修改的防火墙规则所在行右侧的编辑。如下图所示:

4. 在弹出的编辑已有的规则窗口中,参见 规则参数说明 修改已有设置后,单击确定即可。
说明:
“应用类型自定义”的规则,不支持修改协议及端口。如需修改,请将应用类型切换为自定义
修改完成后无需重启轻量应用服务器。

相关操作

导入防火墙规则

您可以将待导入的规则按照导入模板进行填写,或直接导出已有规则。
说明:
导入模板的规则如下图所示,支持 .csv 格式的文件。导入规则模板文件中的来源、协议、端口等格式可参照控制台页面提示。
CidrBlock
Protocol
Port
Action
FirewallRuleDescription
0.0.0.0/0
TCP
1
ACCEPT
-
0.0.0.0/0
TCP
2
ACCEPT
-
0.0.0.0/0
TCP
3
ACCEPT
-
0.0.0.0/0
TCP
4
ACCEPT
-
0.0.0.0/0
TCP
5
ACCEPT
-
0.0.0.0/0
TCP
6
ACCEPT
-
1. 登录 轻量应用服务器控制台,选择并进入该实例的详情页。
2. 在实例详情页中,选择防火墙页签。
3. 防火墙页签中单击导入规则,在弹出的弹窗中选择导入规则的方式。

覆盖导入规则
追加导入规则
覆盖导入规则:选择文件中的规则将覆盖防火墙模板的原有规则。
1. 导入方式选择覆盖导入
2. 上传规则文件,通过校验后,单击开始导入

追加导入规则:选择文件中的规则将添加至防火墙模板原有规则之前。
1. 导入方式选择追加导入
2. 上传规则文件,通过校验后,单击开始导入


修改防火墙规则优先级

1. 登录 轻量应用服务器控制台,选择并进入该实例的详情页。
2. 在实例详情页中,选择防火墙页签,并单击排序
3. 选择需调整规则前的

,拖动至所需位置后松开鼠标。如下图所示:

4. 单击列表下方保存即可完成防火墙规则优先级调整。