云防火墙 迁移指南

若已使用旧版企业安全组，可以通过如下操作将旧版企业安全组的规则迁移至新版中。

一、迁移思路

1. 设置规则开关不自动开启。

2. 梳理旧版企业安全组策略。

3. 配置迁移到新版企业安全组。

4. 开启新版企业安全组开关。

5. 验证策略是否下发成功并生效。

6. 验证没问题后，删除旧版企业安全组规则。

7. 完成迁移。

注意：迁移有风险，请一定仔细确认 验证策略 是否下发成功并生效。

二、步骤1：设置规则开关不自动开启

建立新版企业安全组规则之后，规则开关不会自动开启，需要手动去开启，从而做到控制安全组策略的下发，避免规则配置错误影响业务，具体配置如下：

1. 登录 云防火墙控制台，在左侧导航单击访问控制，进入访问控制页面。

2. 在访问控制页面，单击右上角的访问控制设置，将新规则的默认启用状态设置为默认不启用。

三、步骤2：梳理旧版企业安全组策略

先明确旧版企业安全组的出入站规则，梳理哪些为双向、哪些为单向及其配置方式，为制定新版规则做准备。下面通过示例演示规则迁移步骤。

1. 在 企业安全组 > 入站规则页面，显示北京地域配置了2条入站规则和2条出站规则。其中，入站规则第一条针对 vpc-31f1ofew 这个实例设置了一条入站策略，允许 10.58.25.4 访问，第二条也设置了一条入站策略，禁止所有其他 IP 访问。

2. 单击出站规则切换页面 ，第一条出站规则是创建入站规则时勾选了双向下发自动生成的，即针对 ins-14zbj5vt 这个访问源自动生成了一条允许访问 vpc-31f1ofew 这个实例的出站规则，第二条规则是手动设置一条禁止 ins-14zbj5vt 访问其他 IP 的规则。

3. 以上为旧版企业安全组规则的分析示例，实际环境中需根据具体情况分析。分析完成后，再将规则迁移至新版企业安全组。

四、步骤3：迁移到新版企业安全组

根据上面的例子，将介绍新版企业安全组该如何去配置才能实现相同的效果。

1. 首先，为你介绍新版企业安全组配置界面做了哪些改动：新版增加了 IP、地域等配置项目，可以实现两个 IP 段之间访问控制以及 IP、资产实例、资产分组到地域等双向的访问控制。

2. 了解新版配置规则后，下面说明上述两个出入站规则的配置方法。入站策略配置要点有两条：一条允许 10.58.25.4 访问 vpc-31f1ofew；一条禁止所有 IP 访问 vpc-31f1ofew，具体配置如下：

2.1 在 企业安全组（新）页面，单击添加规则，弹出添加规则窗口。

2.2 在添加规则窗口中，配置相关参数，单击确定。

3. 等待几秒钟下发到资产的安全组，即可将旧版企业安全组策略迁移至新版企业安全组。

五、步骤4：开启新版企业安全组开关

开启新版安全组规则的开关，使该规则生效。

1. 在 企业安全组（新）页面，选择所需规则，单击状态列的开关。

2. 在确定启用当前规则弹窗中，单击确定，该规则即可生效。

六、步骤5：验证策略是否下发成功并生效

启用规则后，需前往实例的安全组确认策略是否下发成功。

1. 登录 私有网络控制台，在左侧导航中，选择安全 > 安全组，并选择目标地域和项目。

2. 在安全组页面，红框标出来的安全组策略是通过企业安全组下发的，底下标注了 cfwsg 字样也代表该规则是通过云防火墙创建的。


3. 单击任意一条安全组“ID/名称”，验证上述规则是否下发成功，如下所示，两条入站规则下发成功。

4. 

5. 单击出站规则切换页面，如下所示，出站规则也是下发成功了。

注意：说明：

注意：第一条规则是自动双向下发生成的，即在 vpc-31f1ofew（172.21.0.0/16）的入站方向创建了一条允许10.58.25.4访问的规则，相应的针对10.58.25.4，会在它的出站方向自动生成一条允许访问vpc-31f1ofew（172.21.0.0/16）的出站规则。第三条禁止访问所有的规则也已经下发成功。

七、步骤6：删除旧版企业安全组规则

通过上述验证新版规则下发没问题之后，就可以把旧版的规则删除。

1. 在 企业安全组 > 入站规则页面，支持删除单个或全部规则，具体操作如下所示。

·单个：选择所需规则，单击操作列的删除，弹出“确认删除” 窗口。

·全部：单击更多操作 > 全部删除，弹出“确认删除” 窗口。

2. 在“确认删除” 窗口中，单击确定，即可删除规则。

八、步骤7：完成迁移

以上就是关于企业安全组从旧版迁移新版的方法介绍，后续可在 企业安全组（新）页面 新增安全组规则，详情操作请参见 配置步骤。