本文檔介紹了云防火墻和安全組的主要差異。

安全組是ECS提供的用于設(shè)置ECS實(shí)例間訪問控制的虛擬主機(jī)防火墻，是一種分布式的防火墻。

云防火墻是互聯(lián)網(wǎng)邊界防火墻、VPC邊界防火墻（VPC邊界防火墻功能即將上線）、主機(jī)邊界防火墻的統(tǒng)稱，為用戶提供互聯(lián)網(wǎng)、虛擬網(wǎng)絡(luò)、主機(jī)三種邊界防護(hù)。

云防火墻相對安全組的獨(dú)有功能

支持應(yīng)用級別的訪問控制。例如：可以配置HTTP協(xié)議放通，其HTTP服務(wù)可以運(yùn)行在任意端口。

支持域名級別的訪問控制。例如：可以配置只允許所有ECS到*.aliyun.com的請求。

支持地址簿，可以將一組IP、端口或者具有相同標(biāo)簽的ECS配置為一個地址簿，方便用戶進(jìn)行配置。

提供IPS功能，支持常見系統(tǒng)漏洞防護(hù)。

支持暴力破解防護(hù)。

提供觀察模式，并提供完整流日志，分析阻斷數(shù)據(jù)。

云防火墻相對安全組的增強(qiáng)功能

云防火墻的主機(jī)防火墻底層使用了安全組的能力。用戶既可以在云防火墻-主機(jī)防火墻處配置策略也可以在安全組控制臺配置策略，兩者配置自動保持同步。云防火墻相對安全組提供了一些增強(qiáng)功能：

支持策略的批量發(fā)布。

支持策略組初始模板。

同應(yīng)用組配合，自動創(chuàng)建安全組。

支持組內(nèi)ECS實(shí)例間默認(rèn)不通。

為什么會有三種云防火墻

云防火墻是互聯(lián)網(wǎng)邊界防火墻、VPC邊界防火墻、主機(jī)邊界防火墻的統(tǒng)稱，為用戶提供互聯(lián)網(wǎng)、虛擬網(wǎng)絡(luò)、主機(jī)三種邊界防護(hù)。

互聯(lián)網(wǎng)邊界防火墻作用于互聯(lián)網(wǎng)邊界，對所有公網(wǎng)IP統(tǒng)一管控；主機(jī)防火墻對應(yīng)安全組，對ECS間通信進(jìn)行管控?；ヂ?lián)網(wǎng)邊界防火墻/主機(jī)防火墻原理圖和位置如下：

VPC邊界防火墻作用于VPC邊界，對某一高速通道流量進(jìn)行管控。VPC邊界防火墻原理圖和位置如下：

三種防火墻配合使用，可以讓用戶精細(xì)化地管控數(shù)據(jù)訪問行為，同時也組成了互聯(lián)網(wǎng)邊界-虛擬網(wǎng)絡(luò)邊界-主機(jī)邊界三層縱深防御體系：

對于需要精細(xì)化訪問控制的需求，云防火墻提供集中式的訪問控制，也就是內(nèi)對外、外對內(nèi)訪問控制策略，提供了應(yīng)用、域名等精細(xì)化訪問控制策略，并可以統(tǒng)一管控所有VPC、所有區(qū)域，并提供觀察模式、地址簿等優(yōu)化策略配置功能，配置相對簡單。

對于微隔離的訪問控制需求，云防火墻提供分布式的訪問控制，目前底層利用的是安全組能力，同時提供所有內(nèi)部流量的可視能力，幫助用戶優(yōu)化內(nèi)對內(nèi)對策略。后續(xù)會提供策略的觀察模式、攔截訪問分析、智能策略等能力。

根據(jù)網(wǎng)絡(luò)邊界配置防火墻，便于邏輯分層，同時也方便后續(xù)維護(hù)。如用戶只有公網(wǎng)防護(hù)需求，就只需要在互聯(lián)網(wǎng)邊界防火墻處配置南北向策略（即內(nèi)-外或外-內(nèi)訪問控制策略）。如果同時有主機(jī)防護(hù)需求，可以在主機(jī)防火墻處只配置東西向策略（即內(nèi)-內(nèi)訪問控制策略）。