文档中心

云防火墙

流量解密

解密策略

本文介绍如何添加、编辑、删除解密策略。

注意

流量解密模块当前属于邀测功能，在邀测期间，火山引擎会对服务可用性和可靠性提供支撑，但不对任何服务可用性、可靠性做出承诺，《服务等级协议》将在您开通使用产品和服务正式发布版本后开始适用。

本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。

前提条件

已开通云防火墙旗舰版。

已在证书中心上传服务器证书或私有证书，具体操作，请参见上传SSL证书、创建私有证书。

在云防火墙证书管理页面已经导入需要解密的域名证书。

使用限制

暂不支持国密证书和不含SAN信息的证书。

当前仅支持对使用 AES-GCM、ChaCha20-Poly1305、ECDHE-RSA、ECDHE-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。

解密策略概览

登录云防火墙控制台，在左侧导航栏，单击流量解密。

在流量解密页面，点击解密策略。

参数	说明
入站策略	展示当前配置的入站策略数量
出站策略	展示当前配置的出站策略数量
可用余额	当前防火墙版本可用的策略数量，若您有更多解密策略数量需求，请提交工单处理。

策略数量说明：云防火墙将按照访问源、访问目的元素数量，统计每条解密策略的实际占用规格数。

说明

单条策略占用的规格数＝源地址个数（IP地址段个数或区域个数）＊目的地址个数（IP地址段个数或区域个数或域名个数）。

案例：

访问源：192.168.1.1,192.168.2.0/24

访问目的：www.example.com

占用策略数＝访问源IP地址段个数＊目的地址域名个数＝2＊1＝2个

添加解密策略

添加入站解密策略

在入站策略/出站策略页签，选择入站策略，点击添加策略。

配置项	配置说明	配置参数案例
策略方向	入站策略：解密自身网站业务，检测HTTPS协议外部攻击。出站策略：解密出站加密流量，检测HTTPS协议异常外联风险。	入站
访问源类型	您需要选择访问源类型，并根据访问源类型输入访问源地址。选择IP类型时，需要输入IP地址或IP地址段。如180.184.1.1或180.184.0.0/16，0.0.0.0/0表示为全部。选择地址簿类型时，您需要提前创建IP地址簿。	IP
访问源	根据访问源类型输入访问源内容。	0.0.0.0/0
访问目的	前提条件需要在证书管理导入需要解密域名关联的证书，否则无法新增解密策略。输入需要解密的业务网站域名：支持输入单个域名如，example.com，example1.example2.com，请勿输入泛域名。域名单级长度不超过63个字符，总长度不超过128个字符注意需确保目的域名地址与证书业务地址一致，若用户输入的域名与证书业务地址不一致，则防火墙解密失败导致业务受损。	example.com
协议	HTTPS 注意当前仅支持对使用 AES-GCM、ChaCha20-Poly1305、ECDHE-RSA、ECDHE-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。	HTTPS
目的端口	设置业务端口信息，如443，仅支持输入单个端口，若业务存在多个端口，请配置多条解密策略。注意需确保目的端口为HTTPS协议，避免解密失败导致业务受损	443
策略描述	输入当前策略内容和使用场景。便于您识别并应用解密策略。	Web服务解密策略
策略开关	设置策略开关。如果您创建策略时未启用策略，可以在策略列表中开启策略。	开启

添加出站解密策略

在入站策略/出站策略页签，选择入站策略，点击添加策略。

配置项	配置说明	配置参数案例
策略方向	入站策略：解密自身网站业务，检测HTTPS协议外部攻击。出站策略：解密出站加密流量，检测HTTPS协议异常外联风险。	出站
访问源类型	您需要选择访问源类型，并根据访问源类型输入访问源地址。选择IP类型时，需要输入IP地址或IP地址段。如180.184.1.1或180.184.0.0/16，0.0.0.0/0表示为全部。选择地址簿类型时，您需要提前创建IP地址簿。注意需确保访问源业务机器都已安装根证书(CA)，避免解密失败导致业务受损	IP
访问源	根据访问源类型输入访问源内容。	180.184.0.0/16
访问目的	前提条件需要在证书管理导入需要解密域名关联的证书，否则无法新增解密策略。输入需要解密的业务网站域名。支持输入单个域名如，example.com，example1.example2.com，请勿输入泛域名。域名单级长度不超过63个字符，总长度不超过128个字符注意需确保目的域名地址与证书业务地址一致，若用户输入的域名与证书业务地址不一致，则防火墙解密失败导致业务受损。	example.com
协议	HTTPS 注意当前仅支持对使用 AES-GCM、ChaCha20-Poly1305、ECDHE-RSA、ECDHE-ECDSA 加密算法的TLS 1.2 和 TLS 1.3 协议进行解密。	HTTPS
目的端口	设置业务端口信息，如443，仅支持输入单个端口，若业务存在多个端口，请配置多条解密策略。注意需确保目的端口为HTTPS协议，避免解密失败导致业务受损	443
策略描述	输入当前策略内容和使用场景。便于您识别并应用解密策略。	外部域名解密策略
策略开关	设置策略开关。如果您创建策略时未启用策略，可以在策略列表中开启策略。	开启

查看解密策略

配置策略完成后，你可以在解密策略列表，查看当前策略最近命中时间以及命中次数。

您可以到解密策略列表复制当前策略ID，到日志管理中搜索该策略ID，查看解密日志。

管理操作

解密策略创建完成后，您可以对策略列表进行以下操作。

检索：支持访问源、访问目的、目的端口、规则ID、规则描述搜索，支持多选。

编辑：支持对策略进行编辑，修改策略参数。

注意

编辑解密策略时，云防火墙会中断长链接会话，建议在业务低峰期进行编辑操作。

复制：支持复制该条策略，以便于业务快速新增相似策略。

删除：删除策略后，云防火墙不再进行解密。

注意

删除解密策略时，云防火墙会中断长链接会话，建议在业务低峰期进行编辑。

最近更新时间：2026.03.12 13:03:33

这个页面对您有帮助吗？

有用

无用