云防火墙可以统一管理ECS实例之间（东西向）、互联网和ECS实例之间（南北向）的流量。本文介绍如何配置云防火墙并查看业务关系。

前提条件

  • 使用本教程进行操作前，请确保您已经注册了阿里云账号。如还未注册，请先完成账号注册。
  • 在使用主机边界防火墙前，您需要授权云防火墙访问云资源，请参见云防火墙授权说明。
  • 在使用主机边界防火墙前，您需要确保云防火墙为企业版或旗舰版，请参见云防火墙计费方式。

背景信息

云防火墙提供防火墙一键开关、入侵检测、主动外联阻断、流量分析、日志等功能。包括主机边界防火墙、互联网边界防火墙和VPC边界防火墙。更多云防火墙概念介绍，请参见云防火墙和云防火墙词汇表。

主机边界防火墙作用于东西向流量，底层使用了ECS安全组的能力。您可以在云防火墙控制台为主机边界防火墙设置内对内策略组，也可以在ECS控制台的安全组中设置规则，来控制东西向（即，ECS实例之间）的访问。云防火墙和ECS安全组的配置自动保持同步。您还可以设置应用组，直观查看ECS实例间的访问关系，从而根据访问情况优化内对内策略。

互联网边界防火墙作用于南北向流量，在互联网和ECS实例间进行访问控制。您可以按需设置外对内和内对外策略，在入侵防御的基础上进行策略加固，请参见网络流量活动概览和访问控制策略概览。

以下场景建议您使用云防火墙：
  • 基于域名的访问控制。
  • 基于应用的访问控制。
  • 对失陷主机的主动外联进行自动阻断。
  • 因等保需求，需要近6个月的访问日志。

配置主机边界防火墙

在云防火墙控制台发布策略组后，数据立即同步到安全组，但是在ECS控制台配置安全组后，数据每天在固定时间同步到策略组，需要次日才能看到效果。购买企业版或旗舰版云防火墙后，您可以在云防火墙控制台统一维护东西向的访问控制策略。

完成以下操作，配置主机边界防火墙：

  1. 登录云防火墙控制台。
  2. 在左侧导航栏，单击访问控制。
  3. 单击主机边界防火墙。
    • 策略组来源表示了策略组的来源。
    • 自定义表示在云防火墙中创建。
    • 同步安全组表示同步自ECS安全组。
    • 同步应用组表示同步自应用组。
  4. 单击新增策略组。
  5. 配置策略组名称、所属VPC、实例ID、描述和模板，然后单击提交。
    说明 配置所属VPC后，地域也确定为VPC所属的地域，例如华东1（杭州）。
  6. 可选： 在策略组操作列下单击配置策略，按照业务需求新建策略。
  7. 在策略组操作列下单击发布，发布成功后即同步到ECS安全组。按照以下步骤查看同步效果：
    1. 登录ECS管理控制台。
    2. 选择策略组所在地域，例如华东1（杭州）。
    3. 在左侧导航栏，单击网络与安全 > 安全组。
    4. 搜索维度选择安全组名称，在文本框中输入策略组名称，然后单击搜索，出现同名安全组即表示同步成功。

主机边界防火墙配置完成后，即开始控制ECS实例间的访问。在云防火墙中，您还可以设置应用组，可视化呈现业务关系。

查看业务关系

在云防火墙中，业务区是东西向业务中构成用户某个业务的各个应用组的集合，例如门户网站业务区可能包含Web应用组、DB应用组等。应用组是东西向业务中提供的相同/相似服务的应用集合，例如所有部署了MySQL的ECS实例归属到同一个DB应用组，部署了Apache服务的ECS实例归属到同一个Web应用组。

完成以下操作，查看当前ECS实例之间的关系：

  1. 登录云防火墙控制台。
  2. 在左侧导航栏，单击业务可视 > 应用分组。
  3. 创建业务区。
    1. 单击业务区。
    2. 单击新建业务区。
    3. 填写名称，例如DB业务、Web业务。
    4. 填写备注。
    5. 选择程度，例如非常重要。
  4. 创建应用组。
    1. 单击应用组。
    2. 单击新建应用组。
    3. 填写名称，例如DB应用组、Web应用组。
    4. 填写备注。
    5. 选择程度，例如非常重要。
    6. 选择业务区类型，例如选择已有业务区。
    7. 选择业务区，例如DB业务、Web业务。
  5. 分配应用。
    1. 选择VPC，例如华东 1 - vpc-xxx。
    2. 根据业务需要分配应用，例如将部署了MySQL的ECS实例分配至DB应用组，将部署了Apache服务的ECS实例分配至Web应用组。
  6. 在左侧导航栏，单击业务关系。
  7. 选择VPC，例如华东 1 - vpc-xxx，即可查看不同业务区的访问关系。您也可以进入应用组和应用层级查看访问关系。

    查看业务区的访问关系 通过云防火墙控制ECS实例间访问_安全_最佳实践_云服务器 ECS 阿里云技术文档