文档中心

云防火墙

访问控制

访问控制策略概述

云防火墙提供适用于互联网边界、NAT边界、VPC边界和主机边界的访问控制策略能力，您可以根据业务需要，配置不同防火墙的流量拦截和放行策略，以便更好地管控资产的未授权访问。本文介绍访问控制策略相关功能参数。

前提条件

您必须先开启互联网边界防火墙、VPC边界防火墙、NAT边界防火墙开关，才可以配置相对应防火墙访问控制策略。

策略功能参数说明

功能参数	参数说明
优先级	访问控制策略的优先级数值越小，优先级越高。为了确保访问策略匹配最优，建议您将经常匹配和细化匹配的策略设置为高优先级。
访问源	IP：对特定的单个IP地址段发起的流量进行访问控制。 IP地址簿：对一系列IP地址段发起的流量进行访问控制。区域：对特定地理区域发起的流量进行访问控制。
访问目的	支持IP、IP地址簿、域名、域名地址簿和区域。 IP：对特定的单个IP地址段收到的流量进行访问控制。 IP地址簿：对一系列IP地址段收到的流量进行访问控制。域名：支持对域名地址收到的流量进行访问控制，支持输入单域名example.com、泛域名*.example.com、多级域名example1.example2.com 注意域名请勿输入http(s)等协议内容。域名协议支持HTTP、HTTPS、SMTP、SMTPS、POP3S、IMAPS、TLS七种协议。域名访问控制策略原理是通过流量中的Host、SNI字段进行解析匹配，若您的业务流量中不含这两个字段，则域名策略无法生效。域名地址簿：对一系列域名地址收到的流量进行访问控制。区域：对特定地理区域收到的流量进行访问控制。
协议类型	支持TCP、UDP、ICMP和ANY。不确定具体协议类型时可选择ANY。
端口	对访问流量经过的端口进行访问控制，支持端口和端口地址簿。
动作	放行：放行该流量，在访问控制日志中记录放行日志，流量会话中记录流量日志。阻断：拦截该流量，会在访问控制日志中记录阻断日志。观察：放行该流量。会在访问控制日志中记录观察日志。策略的动作设置为观察模式后，您可以在观察一段时间后，根据需要调整为放行或阻断。
策略生效时间	始终生效：策略配置后，始终生效。重复生效：策略可在一段时间范围重复生效，如在2024-12-01 10:00 至 2025-12-01 10:00内，每周一10:00至11:00重复生效。单时间段生效：策略可在一段时间范围内生效，如2024-12-01 10:00 至 2025-12-01 10:00内。说明策略开始时间和结束时间间隔需大于30分钟。
规则ID	每条访问控制策略都有一唯一ID表示，您可以在访问控制策略列表或者日志管理对策略ID进行搜索。
规则描述	输入当前策略内容和使用场景。便于您识别并应用访问控制策略。
命中次数	当前访问控制策略流量命中的次数，若策略命中次数长期为0，需业务判断是否为无效策略以进行调整。
最近命中时间	当前访问控制策略最近一次流量命中的时间。
策略状态	下发中：新建、修改和删除访问控制策略后，云防火墙约需要1-2分钟将策略下发到引擎。已生效：访问控制策略完成后，策略变更为已生效状态，前端字段刷新略微有延迟，您也可以通过手动刷新表格查看最新策略状态。未生效：当前时间在策略生效时间范围外，如当天北京时间为2024年1月1日 10:00:00，策略生效范围为2025年2月1日 14:22 至 2025年2月7日在 14:22，该策略属于未生效。
占用策略数	云防火墙将按照访问源、访问目的、端口的元素数量，统计每条访问控制策略的实际占用规格数。说明单条策略占用的规格数＝源地址个数（IP地址段个数或区域个数）＊目的地址个数（IP地址段个数或区域个数或域名个数）＊端口段个数。案例访问源：192.168.1.1,192.168.2.0/24 目的地址：www.example.com 端口：80,443,22 占用策略数＝访问源IP地址段个数＊目的地址域名个数＊端口段个数＝2＊1＊3＝6
操作	编辑：可修改当前策略参数配置。复制：可复制出一条与当前策略策略配置相同的新策略，提高配置效率。移动：可以自定义调整当前策略优先级，输入优先级数字即可。删除：可删除该条策略。

策略工作原理

如果您未配置任何访问控制策略，云防火墙在访问控制策略匹配环节，默认放行所有流量。建议您配置一条访问源为0.0.0.0/0，访问目的0.0.0.0/0，协议为ANY的最低优先级阻断兜底策略，业务按需白名单放行。

配置访问控制策略后，云防火墙会按照特定的逻辑将访问控制策略展开为一条或多条匹配策略，并下发到引擎。当流量经过云防火墙时，云防火墙按照策略的优先级，依次匹配流量报文，如果流量报文命中某一条策略，则执行该策略动作，并结束策略匹配，否则将继续匹配下一优先级策略，直至命中策略或匹配完所有配置的策略。如果流量匹配完所有访问控制策略后还是没有命中，默认放行该流量。

说明

创建、修改和删除访问控制策略后，云防火墙约需要1-2分钟将策略下发到引擎。

访问控制策略的优先级数值越小，优先级越高。为了确保访问策略匹配最优，建议您将经常匹配和细化匹配的策略设置为高优先级。

当策略的访问源、访问目的、端口配置为地址簿时，云防火墙将根据配置的对象个数展开多条匹配策略。

最近更新时间：2026.03.12 11:43:26

这个页面对您有帮助吗？

有用

无用