NAT边界规则

访问控制规则支持域名过滤，以及地理位置要求的流量过滤。NAT 边界规则提供两张访问控制规则列表，分别是入向规则与出向规则，入向规则：在互联网边界内，管控由外到内的南北向流量。出向规则：在互联网边界内，管控由内到外的南北向流量。本文档将以“入向规则”为例，进行相关操作说明，“出向规则”操作同理。

操作指南

1. 登录云防火墙控制台，在左侧导航栏中，选择访问控制 > NAT 边界规则。
2. 在 NAT 边界规则界面，单击入向规则，进入入向规则界面。
3. 在入向规则界面，可以创建访问控制规则，以及查看规则列表（入向规则、出向规则已使用的额度以及规则列表总的配额）、最近操作记录和访问控制规则详情。最近操作记录展示了用户最近对规则列表进行的操作：
   • 单击详情可查看该条操作记录详情。
   • 单击查看操作日志，可查看详细操作记录。
     
4. 添加规则，在入向规则页面，可进行规则的配置，以添加入向规则为例进行说明。
   1. 在入向规则页面，单击添加规则，将弹出“添加入向规则”的弹窗。
   2. 在“添加入向规则”的弹窗中，可进行规则的配置。访问源类型可选 IP 地址、地理位置、云厂商及地址模板，访问目的类型可选 IP 地址、资源标签、地址模板，并根据规则重要性来勾选最先或者最后执行。填写好访问源和访问目的之后，再填写目的端口，选择对应的协议和要执行的策略等信息，并在描述一栏做好备注，单击确定，即可完成规则的配置。
      
      字段说明：

• 访问源类型：
  • IP 地址：任意 IP 地址或 CIDR 格式地址例如10.10.10.10或10.10.10.10/24。支持多个对象使用逗号分隔。
  • 地理位置：为 IP 对应的实际地理位置。
  • 云厂商：为各个云服务厂商品牌对应的服务 IP。
  • 地址模板：为用户自定义设置的 IP 地址模板。
• 访问目的类型：
  • IP 地址：入向规则的访问目的仅对您的公网 IP 生效，若填写 CIDR 地址，则后台会自动关联为该地址段内包含的您的全部公网 IP。支持多个对象使用逗号分隔。
  • 资源标签：根据资源的标签来选择访问目的，标签内实例的公网 IP 会匹配互联网边界规则。
  • 地址模板：选择用户自定义设置的 IP 地址模板为访问目的。
• **端口协议类型：**定义访问目的端口的输入方式。旁路防火墙仅支持手动填写端口。
• 规则优先级：定义规则执行的优先级，最先执行或最后执行。
• 执行顺序：访问控制规则的执行顺序，出向规则和入向规则的执行顺序互不影响，执行顺序较高的规则被优先匹配，命中某条规则后，不再匹配后续规则。当您修改某条规则的执行顺序时，原本该位置的规则的执行顺序+1，以此类推。当您删除某条规则时，后续所有规则的执行顺序-1。
• 访问源：入向规则访问源对所有公网 IP 生效，支持 IP 地址、地理位置、云厂商和地址模板。
• 访问目的：入向规则访问目的仅对生效范围内的所有内网资产生效，支持 IP 地址、资产实例、资源标签、地址模板和资产分组，出向规则访问源和访问目的支持的类型正好相反。
• 域名规则（出向规则支持）：根据访问中请求的域名，判断是否放行，不校验域名解析的 IP。
• 域名解析规则（出向规则支持）：根据协议、实例所在的地域，放行域名实际请求的 IP。
• 目的端口：TCP/UDP 规则支持单端口号、基于'/'的端口段以及英文逗号分隔的离散端口值，例如“80”、“80/80”、“-1/-1”、“1/65535”或“80,443,3380/3389”，ICMP 规则不需要配置端口。
• 协议：当前版本的入向规则支持 TCP和UDP协议；出向规则支持 TCP、UDP、ICMP、HTTP、HTTPS、SMTP、SMTPS、DNS 和 FTP 等协议。
• 策略说明：
  • 放行：放通命中规则的流量，记录命中次数但不记录访问控制日志，且记录流量日志。
  • 观察：放通命中规则的流量，记录命中次数并记录访问控制日志与流量日志。
  • 阻断：拦截命中规则的流量，记录命中次数并记录访问控制日志，流量日志记录流量的一个请求数据包信息。
• **生效范围：**当前规则生效的防火墙范围，可选“全局规则”、指定地域实例生效或指定防火墙实例生效。
• 描述：用于描述规则，最多支持50个字符，支持通过##的方式插入规则的特殊设置，当前版本支持的设定有#长连接#，适用于有长连接业务场景。
• NAT 边界通配规则：
• 防火墙提供了不同的通配 IP、通配端口和通配域名的规则：

  输入字段	输入示例	说明
  访问源/访问目的	0.0.0.0/0	表示全部 IP。
  域名	*	表示全部域名。
  域名	*.aa.com	表示以*开头的二级域名：aa.com。
  目的端口	-1/-1	表示全部端口。
  目的端口	1/65535	表示全部端口。
  目的端口	80,443,3389	表示对80、443、3389三个端口生效。
  目的端口	80/443	表示对80到443之间的全部端口生效。
  目的端口	80/443,3389	表示对80到443之间全部端口与3389端口生效。

5. 在右侧操作栏单击复制，添加多条规则。

   说明：

   在“添加入向规则”的弹窗中，一行代表一条规则，每次添加规则默认插入到列表的最后位置，即执行顺序最大，优先级最低的位置。

• 场景1：已在本地完成规则列表的编辑，需要批量添加规则提升效率。
  1. 在右侧操作栏单击复制，可在当前位置的下方新增一行规则，单次最多支持添加10条规则。
  2. 完善表单中所有字段。
  3. 提交前，检查批量添加规则的执行顺序是否符合预期。
  4. 单击确定，提交所配置的规则。
• 场景2：需要同时对某个 IP 配置多条规则。
  1. 首先编辑一行规则，只编辑需要重复填写的部分。
  2. 在右侧操作栏单击复制，可在当前位置的下方新增一行规则，并自动复制上一行已经填写的内容，单次最多支持添加10条规则。
  3. 完善表单中其他字段，补充不需要重复填写的部分。
  4. 提交前，检查批量添加规则的执行顺序是否符合预期。
  5. 单击确定，提交所配置的规则。

6. 导入规则，单击导入规则，可以从本地选择文件导入，您可以指定导入位置和下载导入模板。