VPC边界防火墙可用于检测和控制通过云企业网或者高速通道连接的网络实例间的通信流量，默认放行所有流量。您可以通过访问控制策略对实例间的流量进行管控，阻断可疑流量或恶意流量，放行可信流量。本文介绍如何配置VPC边界防火墙的访问控制策略。
前提条件
已创建并开启VPC边界防火墙。更多内容，请参见配置企业版转发路由器的VPC边界防火墙。
已购买足够的策略授权规格数。您可以在页面，查看策略的使用规格。关于策略占用规格的计算方法，请参见访问控制策略概述。
如果剩余可用的策略授权规格不足，您可以单击规格升级，购买访问控制全局扩展数量。更多操作，请参见购买云防火墙服务。
配置VPC边界访问控制策略
在对两个VPC之间的流量进行管控时，可以对不可信或业务不需要的流量配置拒绝访问策略，再放行其他流量（黑名单模式）；或者对可信或业务需要的流量配置放行访问策略，再拒绝其他流量（白名单模式）。关于VPC边界访问控制策略的配置示例，请参见访问控制策略配置示例。
登录云防火墙控制台。
左侧导航栏，选择。
在VPC边界页面，切换到你需要配置策略的业务实例。
单击创建策略，参考以下表格，配置策略详情，然后单击确定。
配置项
说明
源类型
网络连接的发起方。您需要选择访问源类型，并根据访问源类型输入发送流量的访问源地址。
选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。
如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。
选择地址簿类型时，您需要提前创建地址簿。创建地址簿的具体操作，请参见地址簿管理。
访问源
目的类型
网络流量的接收方。您需要选择目的类型，并根据目的类型输入接收流量的目的地址。
选择IP类型时，需要输入IP地址段。地址段需要使用标准掩码格式，例如192.168.0.0/16。最多支持输入2000个地址段，多个地址段之间使用半角逗号（,）分隔。
如果您同时输入了多个IP地址段，云防火墙会自动将输入的多个地址段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。
选择地址簿类型时，可以选择已创建地址簿（IPv4地址簿或域名地址簿）。
如果您未创建地址簿，可以单击新建地址簿，直接创建IPv4地址簿或域名地址簿用于本次策略配置。关于地址簿的相关说明，请参见地址簿管理。
选择域名类型时，您需要选择域名的识别模式。目前提供三种域名的识别模式：
基于FQDN（报文提取Host/SNI)：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量时，建议使用此模式。
基于DNS动态解析：管理HTTP、HTTPS、SMTP、SMTPS、SSL以外的流量时，建议使用此模式。
重要此模式不支持泛域名。
同时基于FQDN与DNS动态解析：管理HTTP、HTTPS、SMTP、SMTPS、SSL五种协议流量，但部分或全部流量中未携带 HOST/SNI字段时，建议使用此模式。
重要此模式仅在开启ACL引擎管理严格模式时生效。
目的
协议类型
传输层协议类型，支持设置为：TCP、UDP、ICMP、ANY。不确定具体协议时可选择ANY。
端口类型
设置目的端口类型和目的端口。
选择端口类型时，需要输入端口段。端口段中间通过正斜线（/）分隔，例如22/22、80/88。最多可添加2000个端口段，多个端口段之间使用半角逗号（,）隔开。
如果您同时输入了多个端口段，云防火墙会自动将输入的多个端口段创建为地址簿，并在您保存策略配置时提示您设置地址簿名称。
地址簿：选择地址簿类型时，您需要提前创建端口地址簿。创建地址簿的具体操作，请参见地址簿管理。
端口
应用
设置访问流量的应用类型。支持选择多个应用类型。
协议类型选择TCP时，应用类型支持选择为HTTP、HTTPS、SMTP、SMTPS、SSL、FTP等。
协议类型选择UDP、ICMP或ANY时，应用类型仅允许选择为ANY。
目的类型选择域名地址簿或域名时，应用类型仅允许选择为HTTP、HTTPS、SMTP和SMTPS。
说明识别应用依赖应用报文特征（协议识别不依据端口），应用识别失败时，该会话流量会被放行。如果您想拦截未知应用类型的流量，建议您开启互联网边界防火墙严格模式。更多信息，请参见访问控制引擎模式介绍。
动作
设置匹配成功的流量在该条策略的放行情况。
放行：放行该流量。
拒绝：拦截该流量，并且不会提供任何形式的通知信息。
观察：该模式下，默认放行流量。观察一段时间后，您可根据需要调整为放行或拒绝。
描述
输入该策略的备注内容，便于您后续查看时能快速区分每个策略的目的。
优先级
选择该策略的优先级，默认为最后，表示优先级最低。
最前：指访问控制策略生效的优先级最高，最先生效。
最后：指访问控制策略生效的优先级最低，最后生效。
策略有效期
设置该策略的有效时间段。策略仅在有效时间段内才可用于匹配流量。
总是
单次时间段：选择单次时间段。
重复周期：选择重复的时间段和生效日期。
说明生效日期的开始时间应小于停止时间，预计策略生效延时3~5分钟。
勾选无限重复，生效结束时间会自动设置为2099.12.31。
相关FAQ：配置策略有效期时，如果重复周期跨天会生效吗？
启用状态
设置是否启用策略。如果您创建策略时未启用策略，可以在策略列表中开启策略。
查看策略的命中情况
业务运行一段时间后，您可以在访问控制策略列表的命中次数/最近命中时间列，查看访问控制策略的命中情况。
单击命中次数可跳转到流量日志页面，查看流量日志。关于如何查看流量日志，请参见日志审计。
相关操作
创建策略后，您可以在访问控制策略列表，对该策略编辑、删除、复制或移动（移动即修改策略的优先级）。优先级修改后，策略原优先级之后的策略优先级都将相应依次递减。
访问控制策略的优先级可设置为1~N，其中N为当前已配置的访问控制策略数量。数值越小，优先级越高。优先级修改后，策略原优先级之后的策略优先级都将相应依次递减。
删除策略后，该策略管控的流量将不受云防火墙的访问控制。请谨慎删除。
相关文档
更多访问控制策略配置原则，请参见访问控制策略配置示例。
访问控制策略的工作原理，请参见访问控制策略概述。
查看及管理访问控制策略中的IP地址簿、端口地址簿、域名地址簿等，请参见地址簿管理。
更多关于访问控制策略的配置和使用问题，请参见访问控制策略常见问题。