云防火墙可以统一管理ECS实例之间（东西向）、互联网和ECS实例之间（南北向）的流量，限制ECS实例的未授权访问。主机边界防火墙的访问控制策略发布后，会自动同步到ECS安全组并生效。本文介绍如何配置主机边界防火墙的访问控制策略。
前提条件
已注册阿里云账号。如还未注册，请先完成账号注册。
在使用主机边界防火墙前，您需要授权云防火墙访问云资源。具体操作，请参见授权云防火墙访问云资源。
在使用主机边界防火墙前，您需要确保云防火墙为企业版或旗舰版。具体操作，请参见云防火墙计费方式。
背景信息
云防火墙提供防火墙一键开关、入侵检测、主动外联阻断、流量分析、日志等功能，包括主机边界防火墙、互联网边界防火墙和VPC边界防火墙。更多信息，请参见云防火墙和云防火墙词汇表。
主机边界防火墙作用于东西向（即，ECS实例之间）流量，底层使用了ECS安全组的能力。您可以在云防火墙控制台为主机边界防火墙设置内对内策略组，也可以在ECS控制台的安全组中设置规则，来控制东西向的访问。云防火墙和ECS安全组的配置自动保持同步。您还可以设置应用组，直观查看ECS实例间的访问关系，从而根据访问情况优化内对内策略。
互联网边界防火墙作用于南北向流量，在互联网和ECS实例间进行访问控制。您可以按需设置外对内和内对外策略，在入侵防御的基础上进行策略加固，请参见网络流量活动概览和访问控制策略概览。
以下场景建议您使用云防火墙：
基于域名的访问控制。
基于应用的访问控制。
对失陷主机的主动外联进行自动阻断。
因等保需求，需要近6个月的访问日志。
配置主机边界防火墙
安全组是ECS提供的分布式虚拟主机防火墙，具备状态检测和数据包过滤功能，用于设置ECS实例间的网络访问控制。安全组是由同一个地域（Region）内具有相同安全防护需求并相互信任的实例组成。在创建实例的时候您需要指定安全组，每个实例至少属于一个安全组。
主机防火墙底层使用了安全组的功能，您既可以在访问控制页面的主机边界防火墙页签下配置策略，也可以在ECS管理控制台配置策略，两边配置自动保持同步。
完成以下操作，配置主机边界防火墙：
登录云防火墙控制台。
在左侧导航栏，选择。
创建策略组。
在主机边界页面，单击新增策略组。
在新增策略组对话框中，配置策略组。
配置项
说明
策略组类型
选择策略组的类型：
普通策略组
企业策略组
策略组名称
按页面提示要求设置策略组的名称。
建议使用方便识别的名称，便于识别和管理。
所属VPC
选择应用该策略组的专有网络VPC。 每个策略组只能配置一个VPC。
实例ID
从实例ID下拉列表中，选择应用该策略组的一个或多个ECS实例。
说明实例ID列表只包含所属VPC下的ECS实例。
描述
简短地描述策略组，方便后续对安全组进行管理。
模板
从模板下拉列表中，选择要应用的模板类型：
default-accept-login：默认放行TCP 22、TCP 3389协议入方向访问和所有出方向访问。
default-accept-all：默认放行所有入方向和出方向访问。
default-drop-all：默认拒绝所有入方向和出方向访问。
说明企业策略组不支持default-drop-all选项。
配置策略。
在主机边界页面，找到待设置的策略组，单击操作列下的配置策略。
在入方向或者出方向页签，单击创建策略。
在创建策略对话框中，配置策略参数。
配置项
说明
网卡类型
默认为内网，表示ECS的出方向和入方向的流量。
策略方向
选择策略生效方向。
入方向：指其他ECS实例访问策略组关联的ECS实例。
出方向：指策略组内的ECS实例访问其他ECS实例。
策略类型
选择策略类型。
允许：放行相应的访问流量。
拒绝：直接丢弃数据包，不会返回任何回应信息。如果两条策略其他配置都相同，只有策略类型不同，则拒绝策略生效，允许策略不生效。
说明企业策略组不支持拒绝选项。
协议类型
选择访问流量的协议类型。
选择ANY时，表示任何协议类型。不确定访问流量的类型时可选择ANY。
端口范围
输入访问流量使用的端口地址范围。
如果填写端口段，例如1~200的所有端口，则填写1/200；如果填写指定端口，例如80端口，则填写80/80。
优先级
策略生效的优先级。使用整数表示，取值范围：1~100。优先级数值越小，优先级越高。
优先级数值可重复。策略优先级相同时，拒绝类型的策略优先生效。
源类型、源对象
选择访问流量的来源，策略方向选择入方向时需要设置。您可以选择访问源地址的类型，并根据源类型设置源对象。
地址段访问
选择该类型后，需要在源对象中手动输入访问源地址段。仅支持设置单个地址段。
策略组
选择该类型后，需要从源对象的策略组列表，选择一个策略组作为源对象，表示对来自该策略组中所有ECS实例的流量进行管控。
说明企业策略组不支持策略组选项。
前缀列表
选择该类型后，需要从源对象的前缀列表，选择一个前缀列表作为源对象，云防火墙能够对与指定前缀列表的IP地址访问ECS实例的流量进行管控。关于前缀列表的介绍，请参见使用前缀列表提高安全组规则管理的效率。
目的选择
选择访问流量的目的地址。策略方向选择入方向时需要设置。可选择的目的地址类型：
全部ECS：表示关联当前策略组的所有ECS实例。
地址段访问：输入关联到当前策略组的ECS实例的IP地址，采用CIDR地址段格式。表示仅管控指定地址的ECS实例的入方向流量。
源选择
选择访问源的类型。策略方向选择出方向时需要设置。访问源包含以下类型：
全部ECS：表示关联当前策略组的所有ECS实例。
地址段访问：选择该类型后，需要输入源IP或CIDR地址段，表示当前策略组中该地址段对应的ECS实例。
目的类型、目的对象
选择目的地址的类型并根据选择的目的类型设置目的对象。策略方向选择出方向时需要设置。
可选的目的类型如下：
地址段访问
选择该类型后，需要手动输入访问目的地址段。仅支持设置单个地址段。
策略组
选择该类型后，从策略组列表中选择一个策略组，表示对本机访问该策略组中所有ECS实例的流量进行管控。
说明企业策略组不支持策略组选项。
前缀列表
选择该类型后，需要从前缀列表中一个前缀列表，表示对该前缀列表关联的安全组的所有ECS实例的流量进行管控。关于前缀列表的介绍，请参见使用前缀列表提高安全组规则管理的效率。
描述
策略的描述信息。
单击提交。
策略组创建完成后，您可以在主机边界防火墙的策略组列表中查看新建的策略组。
发布策略。
在主机边界页面，找到待设置的策略组，单击操作列下的发布。
在策略发布对话框中，设置变更备注，确认变更策略（即策略的变更内容），并单击确定。
策略发布后才会同步到ECS安全组并生效。您可以在ECS控制台的页面，查看云防火墙同步到安全组中的访问控制策略。云防火墙创建的策略组策略名称默认为Cloud_Firewall_Security_Group。
主机边界防火墙配置完成后，即开始控制ECS实例间的访问。