本文檔介紹了云防火墻和安全組的主要差異。

安全組是ECS提供的用于設(shè)置ECS實(shí)例間訪問(wèn)控制的虛擬主機(jī)防火墻，是一種分布式的防火墻。

云防火墻是互聯(lián)網(wǎng)邊界防火墻、VPC邊界防火墻（VPC邊界防火墻功能即將上線）、主機(jī)邊界防火墻的統(tǒng)稱，為用戶提供互聯(lián)網(wǎng)、虛擬網(wǎng)絡(luò)、主機(jī)三種邊界防護(hù)。

云防火墻相對(duì)安全組的獨(dú)有功能

支持應(yīng)用級(jí)別的訪問(wèn)控制。例如：可以配置HTTP協(xié)議放通，其HTTP服務(wù)可以運(yùn)行在任意端口。

支持域名級(jí)別的訪問(wèn)控制。例如：可以配置只允許所有ECS到*.aliyun.com的請(qǐng)求。

支持地址簿，可以將一組IP、端口或者具有相同標(biāo)簽的ECS配置為一個(gè)地址簿，方便用戶進(jìn)行配置。

提供IPS功能，支持常見(jiàn)系統(tǒng)漏洞防護(hù)。

支持暴力破解防護(hù)。

提供觀察模式，并提供完整流日志，分析阻斷數(shù)據(jù)。

云防火墻相對(duì)安全組的增強(qiáng)功能

云防火墻的主機(jī)防火墻底層使用了安全組的能力。用戶既可以在云防火墻-主機(jī)防火墻處配置策略也可以在安全組控制臺(tái)配置策略，兩者配置自動(dòng)保持同步。云防火墻相對(duì)安全組提供了一些增強(qiáng)功能：

支持策略的批量發(fā)布。

支持策略組初始模板。

同應(yīng)用組配合，自動(dòng)創(chuàng)建安全組。

支持組內(nèi)ECS實(shí)例間默認(rèn)不通。

為什么會(huì)有三種云防火墻

云防火墻是互聯(lián)網(wǎng)邊界防火墻、VPC邊界防火墻、主機(jī)邊界防火墻的統(tǒng)稱，為用戶提供互聯(lián)網(wǎng)、虛擬網(wǎng)絡(luò)、主機(jī)三種邊界防護(hù)。

互聯(lián)網(wǎng)邊界防火墻作用于互聯(lián)網(wǎng)邊界，對(duì)所有公網(wǎng)IP統(tǒng)一管控；主機(jī)防火墻對(duì)應(yīng)安全組，對(duì)ECS間通信進(jìn)行管控。互聯(lián)網(wǎng)邊界防火墻/主機(jī)防火墻原理圖和位置如下：

VPC邊界防火墻作用于VPC邊界，對(duì)某一高速通道流量進(jìn)行管控。VPC邊界防火墻原理圖和位置如下：

三種防火墻配合使用，可以讓用戶精細(xì)化地管控?cái)?shù)據(jù)訪問(wèn)行為，同時(shí)也組成了互聯(lián)網(wǎng)邊界-虛擬網(wǎng)絡(luò)邊界-主機(jī)邊界三層縱深防御體系：

對(duì)于需要精細(xì)化訪問(wèn)控制的需求，云防火墻提供集中式的訪問(wèn)控制，也就是內(nèi)對(duì)外、外對(duì)內(nèi)訪問(wèn)控制策略，提供了應(yīng)用、域名等精細(xì)化訪問(wèn)控制策略，并可以統(tǒng)一管控所有VPC、所有區(qū)域，并提供觀察模式、地址簿等優(yōu)化策略配置功能，配置相對(duì)簡(jiǎn)單。

對(duì)于微隔離的訪問(wèn)控制需求，云防火墻提供分布式的訪問(wèn)控制，目前底層利用的是安全組能力，同時(shí)提供所有內(nèi)部流量的可視能力，幫助用戶優(yōu)化內(nèi)對(duì)內(nèi)對(duì)策略。后續(xù)會(huì)提供策略的觀察模式、攔截訪問(wèn)分析、智能策略等能力。

根據(jù)網(wǎng)絡(luò)邊界配置防火墻，便于邏輯分層，同時(shí)也方便后續(xù)維護(hù)。如用戶只有公網(wǎng)防護(hù)需求，就只需要在互聯(lián)網(wǎng)邊界防火墻處配置南北向策略（即內(nèi)-外或外-內(nèi)訪問(wèn)控制策略）。如果同時(shí)有主機(jī)防護(hù)需求，可以在主機(jī)防火墻處只配置東西向策略（即內(nèi)-內(nèi)訪問(wèn)控制策略）。