安全方案 华为云服务器台湾DDoS防护与防火墙配置建议

1. 准备工作与环境确认

1. 登录华为云控制台（https://console.huaweicloud.com），在右上角切换地域到“台湾/台北”或控制台列出的台湾相关地域；确认需要保护的ECS实例、弹性公网IP（EIP）或负载均衡（ELB）实例的实例ID和IP地址并记录。

2. 购买并启用Anti-DDoS服务（总体步骤）

2. 进入控制台-服务->安全->Anti-DDoS（或云盾中的DDoS防护），选择合适的产品（Anti-DDoS Lite/Pro/Enterprise），点击购买并选择保护的目标类型（EIP/ELB/域名），提交并完成计费绑定。

3. 绑定EIP/ELB到Anti-DDoS并配置策略

3. 在Anti-DDoS控制台：选择“防护对象管理”->新增/绑定防护对象，选择要保护的EIP或负载均衡，绑定后进入“策略配置”；按业务端口设置清洗阈值（pps/bps），优先设置与日常流量2-3倍的阈值作为缓冲。

4. 配置清洗与自动化告警规则

4. 在绑定对象的“防护策略”内设置清洗阈值、自动切换到清洗/自动抑制的触发条件；配置被攻击时的告警接收人和方式（邮件/短信/云监控告警），并在控制台开启流量记录以便事后溯源。

5. 设置Anti-DDoS的黑白名单与Geo策略

5. 在Anti-DDoS的“访问控制”里添加白名单（管理IP、监控IP）以免误拦，添加黑名单或封禁异常IP段；如业务仅面向台湾客户，可启用地域封禁或限制来自高风险国家/地区的流量。

6. 安全组（Security Group）最佳实践与逐步配置

6. 控制台->弹性云服务器ECS->安全组，新建安全组并为其添加入方向规则：仅开放必要端口（SSH 仅公司管理IP，RDP同理；HTTP/HTTPS对公网开放），使用CIDR限制来源；出方向建议默认允许或按最小权限设定。

7. 使用网络ACL（Subnet ACL）实现子网级流量控制

7. 控制台->虚拟私有云VPC->子网->网络ACL，新建ACL并按序号添加规则：先允许常用业务端口，再拒绝所有未匹配流量（最后一条为DENY），记得设置入站与出站方向均配置，并与测试环境验证规则顺序。

8. 部署云防火墙（Cloud Firewall）并关联VPC

8. 购买并配置云防火墙：进入安全->云防火墙，创建策略并选择保护的VPC、子网或公网带宽；使用策略分组管理规则（应用层、网络层），设置基于IP/端口/协议的精细化放行与拒绝策略，启用NAT日志与访问记录。

9. 部署WAF（Web应用防火墙）保护Web应用

9. 控制台->应用服务->WAF，购买并绑定域名（或通过ELB绑定）；配置防护模式（观察->防护->阻断）、开启常用规则集（SQL 注入、XSS、文件包含、常见漏洞），设置CC防护阈值与自定义白名单，启用访问日志与策略告警。

10. 管理入口安全：堡垒机、SSH密钥与端口变更

10. 为管理入口部署堡垒机（Bastion Host）或开启云服务的“堡垒机”产品，关闭直接公网管理；使用密钥对认证替代密码，限制SSH端口（非22）并通过安全组限定来源IP；为SUDO操作启用登录审计。

11. 流量分发与容量冗余：CDN与ELB配合使用

11. 对静态内容启用CDN以减轻源站压力，将公网流量先引导到ELB并在ELB层设置健康检查；在域名解析层面配置弹性IP与备份IP，并在DDoS触发时通过DNS或ELB策略实现流量切换与削峰。

12. 日志、监控与应急响应流程配置

12. 启用云监控（CES/Cloud Eye）对EIP/ELB/实例流量与连接数设置阈值告警；开启VPC Flow Log和WAF/防火墙日志，日志写入OBS或LTS便于分析；制定应急SOP：检测→切换到清洗→封禁源IP→扩容→通报与复盘。

13. 常用命令与自动化（建议）

13. 使用华为云API/SDK或Terraform自动化防护（如自动化变更安全组、触发扩容、在告警时启用更严格策略）；建议写脚本在检测到异常流量时自动执行：开启更严格白名单、增加WAF规则、扩大Anti-DDoS阈值配额。

14. 运行维护与定期演练建议

14. 定期（每季度）进行攻防演练，包括WAF规则回归测试、流量清洗演练、堡垒机登录审计查看与应急脚本演练；定期回顾日志、更新规则库并对业务流量基线进行重新评估以调整阈值。

15. 常见误区与风险提示

15. 切勿将管理端口全部对公网开放；不要在没有白名单的情况下直接启用自动阻断高敏感阈值；购买Anti-DDoS后仍需配置安全组、WAF与监控，防护是多层联动而非单一产品。

16. 问：我是否必须在台湾地域单独购买Anti-DDoS？

16. 问：我是否必须在台湾地域单独购买Anti-DDoS？

16. 答：建议就近购买并绑定台湾地域的防护资源以降低链路延迟与清洗时延。部分Anti-DDoS产品按地域生效，若源站在台湾，优先在台购买并绑定EIP/ELB；若采用跨地域灾备，可在主备地域分别配置防护并通过DNS或负载均衡实现流量切换。

17. 问：安全组、网络ACL与云防火墙三者如何选用与配合？

17. 问：安全组、网络ACL与云防火墙三者如何选用与配合？

17. 答：安全组用于实例级主机访问控制（状态化、细粒度端口控制），网络ACL用于子网级无状态包过滤（适合粗粒度拦截），云防火墙提供统一策略管理和规则日志（适合企业级集中管理）。推荐三层联动：安全组做精细放行，ACL做粗粒度隔离，云防火墙做策略与审计。

18. 问：遇到突发DDoS攻击，我应如何快速响应？

18. 问：遇到突发DDoS攻击，我应如何快速响应？

18. 答：首先在云监控/Anti-DDoS告警触发时立即启用清洗策略并切换到更严格防护模式；临时将管理IP加入白名单并封禁可疑源IP段；如流量超出当前防护能力，联系华为云技术支持申请紧急扩容或上报攻击工单；同时启用WAF的阻断策略与CDN/ELB做边缘削峰，完成后进行问题复盘与调整阈值。

来源：安全方案 华为云服务器台湾DDoS防护与防火墙配置建议