前提條件

• 您已經創建了專有網絡VPC和交換機。具體操作，請參見創建和管理專有網絡和創建和管理交換機。

• 當您創建IPv6類型的網絡ACL規則時，您需要為VPC開通IPv6網段。

  • 關于如何為VPC開通IPv6網段，請參見VPC開通IPv6。

  • IPv6類型的網絡ACL支持的地域，請參見IPv6網絡ACL支持的地域。

注意事項

IPv4和IPv6自定義規則最多可分別配置20條規則，如需提升配額，請您前往配額中心申請。

創建網絡ACL

1. 登錄專有網絡管理控制臺。
2. 在左側導航欄，選擇訪問控制 > 網絡ACL。

3. 在頂部菜單欄處，選擇要創建網絡ACL的地域。在網絡ACL頁面，單擊創建網絡ACL。

4. 在創建網絡ACL對話框，配置以下信息，其他參數可保持默認值或根據實際情況修改。

   配置	說明
   所屬專有網絡	選擇網絡ACL所屬的專有網絡。 說明 要關聯的專有網絡的地域必須與網絡ACL的地域相同。

添加網絡ACL規則

創建網絡ACL后，您可以為網絡ACL添加入方向規則，管控公網或私網對交換機中ECS實例的訪問。您也可以為網絡ACL添加出方向規則，管控交換機中的ECS實例對公網或私網的訪問。

1. 在網絡ACL頁面，找到目標網絡ACL，單擊網絡ACL的ID。

2. 在網絡ACL基本信息區域，您可以設置入方向規則或出方向規則。

   • 設置入方向規則

     1. 單擊入方向規則頁簽，然后單擊管理入方向規則。

     2. 根據以下信息配置入方向規則，然后單擊確定。

        配置	說明
        優先級	入方向規則的生效順序。 數字越小，優先級越高，最多可配置20條規則。更多信息，請參見規則生效順序。
        規則名稱	輸入入方向規則的名稱。
        類型	當您創建IPv6類型的網絡ACL規則后，入方向規則有以下類型： 云服務：系統默認創建3條接受的云服務規則，優先級固定最高且不能修改或刪除。 自定義：系統默認創建2條全放通的自定義規則，您可以選擇刪除或修改這兩條自定義規則。 系統：默認創建2條全拒絕的系統規則，優先級固定最低且不能修改或刪除。 當您創建僅支持IPv4類型的網絡ACL規則后，系統默認創建一條IPv4類型的全放通自定義規則。 說明 您只能創建自定義的IPv4或IPv6入方向規則。
        策略	選擇入方向規則的授權策略： 允許：允許訪問交換機中ECS實例。 拒絕：拒絕訪問交換機中ECS實例。
        協議類型	選擇協議類型，支持以下類型： ALL：所有協議。 ICMP：網絡控制報文協議。 GRE：通用路由封裝協議。 TCP：傳輸控制協議。 UDP：用戶數據報協議。 ICMPv6：IPv6網絡控制報文協議。僅支持選擇IPv6網段類型。
        IP網段類型	選擇IP網段類型。取值： IPv4。 IPv6。
        源地址	設置數據流的源地址網段。 默認為0.0.0.0/0。
        目的端口范圍	輸入入方向規則的目的端口范圍。 端口范圍為1~65535。使用正斜線（/）隔開起始端口和終止端口，格式為1/200、80/80，其中-1/-1不能單獨設置，代表不限制端口。 當選擇ALL、ICMP、GRE協議類型時，端口范圍無法設置，為-1/-1；當選擇TCP、UDP協議類型時，端口范圍為1~65535。設置格式為1/200或80/80，且不能設置為-1/-1。

     3. （可選）您可以在入方向規則頁簽底部單擊添加IPv4規則或添加IPv6規則添加一條自定義的入方向IPv4或IPv6規則。

   • 設置出方向規則

     1. 單擊出方向規則頁簽，然后單擊管理出方向規則。

     2. 根據以下信息配置出方向規則，然后單擊確定。

        配置	說明
        優先級	出方向規則的生效順序。 數字越小，優先級越高，最多可配置20條規則。更多信息，請參見規則生效順序。
        規則名稱	輸入出方向規則的名稱。
        類型	當您創建IPv6類型的網絡ACL規則后，出方向規則有以下類型： 云服務：系統默認創建3條接受的云服務規則，優先級固定最高且不能修改或刪除。 自定義：系統默認創建2條全放通的自定義規則，您可以選擇刪除或修改這兩條自定義規則。 系統：默認創建2條全拒絕的系統規則，優先級固定最低且不能修改或刪除。 當您創建僅支持IPv4類型的網絡ACL規則后，系統默認創建一條IPv4類型的全放通自定義規則。 說明 您僅可以創建自定義的IPv4或IPv6出方向規則。
        策略	選擇出方向規則的授權策略： 允許：允許交換機中的ECS實例訪問公網或私網。 拒絕：拒絕交換機中的ECS實例訪問公網或私網。
        協議類型	選擇協議類型，支持以下類型： ALL：所有協議。 ICMP：網絡控制報文協議。 GRE：通用路由封裝協議。 TCP：傳輸控制協議。 UDP：用戶數據報協議。 ICMPv6：IPv6網絡控制報文協議。僅支持選擇IPv6網段類型。
        IP網段類型	選擇IP網段類型。取值： IPv4。 IPv6。
        目的地址	輸入數據流的目的地址網段。 默認為0.0.0.0/32。
        目的端口范圍	輸入出方向規則的目的端口范圍。 端口范圍為1~65535。使用正斜線（/）隔開起始端口和終止端口，格式為1/200、80/80，其中-1/-1不能單獨設置，代表不限制端口。

     3. （可選）您可以在出方向規則頁簽底部單擊添加IPv4規則或添加IPv6規則添加一條自定義的出方向IPv4或IPv6規則。

快速添加多網段網絡ACL規則

如果您需要對多個IP地址段進行統一的網絡訪問控制時，您可以使用快速添加多網段網絡ACL功能，使用該功能可以簡化業務配置并確保一致的安全策略。

1. 在網絡ACL頁面，找到目標網絡ACL，單擊網絡ACL的ID。

2. 在網絡ACL基本信息區域，您可以快速添加多個網段的入方向規則或出方向規則。

   • 快速添加入方向規則

     1. 單擊入方向規則頁簽，然后單擊管理入方向規則。

     2. 在頁簽底部單擊快速添加規則，在快速添加對話框中，根據以下信息配置入方向規則，然后單擊確定。

        配置	說明
        策略	選擇入方向規則的授權策略： 允許：允許訪問交換機中ECS實例。 拒絕：拒絕訪問交換機中ECS實例。
        IP地址	輸入數據流的一個或多個源IPv4網段。
        目的端口范圍	選擇入方向規則的目的端口范圍。 端口范圍為1~65535。關于各個端口的詳細說明，請參見典型應用。 端口范圍為1~65535。使用正斜線（/）隔開起始端口和終止端口，格式為1/200、80/80，其中-1/-1不能單獨設置，代表不限制端口。
        優先級	選擇生效順序，指定自定義規則插入的位置。關于優先級的更多信息，請參見網絡ACL概述。 例如，如果插入生效順序為1的自定義規則后面，則需要輸入增加在第1條后。

     3. 根據需要設置規則名稱、協議類型（默認創建TCP協議類型的規則）等信息，然后單擊確定。

   • 快速添加出方向規則

     1. 單擊出方向規則頁簽，然后單擊管理出方向規則。

     2. 在頁簽底部單擊快速添加規則，在快速添加對話框中，根據以下信息配置出方向規則，然后單擊確定。

        配置	說明
        策略	選擇出方向規則的授權策略： 允許：允許交換機中的ECS實例訪問公網或私網。 拒絕：拒絕交換機中的ECS實例訪問公網或私網。
        IP地址	輸入數據流的一個或多個目的IPv4網段。
        目的端口范圍	選擇出方向規則的目的端口范圍。 端口范圍為1~65535。關于各個端口的詳細說明，請參見典型應用。 端口范圍為1~65535。使用正斜線（/）隔開起始端口和終止端口，格式為1/200、80/80，其中-1/-1不能單獨設置，代表不限制端口。
        優先級	選擇生效順序，指定自定義規則插入的位置。關于優先級的更多信息，請參見網絡ACL概述。 例如，如果插入生效順序為1的自定義規則后面，則需要輸入增加在第1條后。

     3. 根據需要設置規則名稱、協議類型（默認創建TCP協議類型的規則）等信息，然后單擊確定。

更多操作

1. 登錄專有網絡管理控制臺。
2. 在左側導航欄，選擇訪問控制 > 網絡ACL。
3. 在頂部菜單欄，選擇網絡ACL的地域。

4. 在網絡ACL頁面，您可以根據需要進行如下操作。

   配置	說明
   調整規則順序	網絡ACL按照規則生效順序執行規則，生效順序的值越小，優先級越高。您可以為規則排序來指定規則執行的先后順序。 找到目標網絡ACL，單擊網絡ACL的實例ID。 在網絡ACL基本信息頁面，您可以調整入方向規則或出方向規則的順序。 調整入方向規則順序 單擊入方向規則頁簽，然后單擊管理入方向規則。 上下拖動規則，然后單擊確定。 調整出方向規則順序 單擊出方向規則頁簽，然后單擊管理出方向規則。 上下拖動規則，然后單擊確定。
   綁定網絡ACL至交換機	將網絡ACL綁定至交換機前，請確保滿足以下條件： 您已經創建了網絡ACL并添加了網絡ACL規則。 交換機所屬的VPC與要綁定的網絡ACL所屬的VPC相同。 找到目標網絡ACL，然后在操作列單擊關聯交換機。 在已綁定資源頁簽下，單擊關聯交換機。 在關聯交換機對話框，選擇需要綁定的交換機，然后單擊確定關聯。 網絡ACL僅允許綁定所屬VPC內的交換機，且每個交換機僅允許綁定一個網絡ACL。
   解綁網絡ACL與交換機	您可以解除網絡ACL與交換機的綁定關系，解除后，網絡ACL將不再管控交換機中的ECS實例的流量。 找到目標網絡ACL，然后在操作列單擊關聯交換機。 在已綁定資源頁簽下，找到需要解綁網絡ACL的交換機，在操作列單擊解綁。 在解綁網絡ACL對話框中，單擊確定。
   刪除網絡ACL	您可以刪除網絡ACL，刪除前必須解綁網絡ACL關聯的交換機。 找到目標網絡ACL，然后在操作列單擊刪除。 在刪除網絡ACL對話框中，單擊確定。

相關文檔

• CreateNetworkAcl：創建網絡ACL。

• UpdateNetworkAclEntries：更新網絡ACL規則。

• AssociateNetworkAcl：綁定網絡ACL至交換機。

• UnassociateNetworkAcl：解除網絡ACL與交換機的綁定。

• DeleteNetworkAcl：刪除網絡ACL。