Cloud Next Generation Firewall (Cloud NGFW) 是分散式的新型雲端防火牆服務，可保護 Cloud de Confiance by S3NS 工作負載，例如在 Cloud de Confiance 或使用 Cloud de Confiance資源的應用程式和服務。
Cloud NGFW 可針對南北向流量 (進入或離開虛擬私有雲 (VPC) 網路) 和東西向流量 (VPC 網路內資源之間的通訊)，提供具狀態的檢查和第 7 層應用程式控制。為提供進階安全性，Cloud NGFW 包含入侵偵測和防護服務、進階惡意軟體沙箱 (WildFire) (預覽版) 和網址篩選服務。入侵偵測與防範服務會檢查應用程式層的流量，以識別及封鎖網路威脅。網址篩選服務可讓您封鎖或允許網站和網頁的網址，藉此控管存取權。
本文概述 Cloud NGFW 的功能、服務層級，以及 Cloud NGFW 支援的不同網路。
Cloud NGFW 的主要功能
Cloud NGFW 提供下列主要安全功能：
分散式防火牆服務。Cloud NGFW 會將防火牆規則套用至虛擬私有雲網路中的 VM 執行個體、以 VM 為基礎的資源和支援的負載平衡器，以允許流量、拒絕流量或將流量傳送至檢查程序。
全域和區域網路防火牆政策。透過 Cloud NGFW，您可以將防火牆規則歸為政策物件，並在多個虛擬私有雲 (VPC) 網路中，以全域或特定區域的形式套用這些物件。詳情請參閱「全域網路防火牆政策」和「區域網路防火牆政策」。
階層式防火牆政策。透過 Cloud NGFW，您可以將防火牆規則編成政策物件群組，並套用至整個機構或特定資料夾。這些政策可在整個 Cloud de Confiance資源階層中，提供一致的防火牆強制執行機制。詳情請參閱「階層式防火牆政策」。
多層安全防護機制。Cloud NGFW 會在網路堆疊的第 3 層、第 4 層和第 7 層套用控制項，保護工作負載。您可以建立防火牆規則，控管網路層和應用程式層的流量。
精細的控制和微區隔。微分段是一種安全做法，可將網路劃分為小型獨立區域，為工作負載建立零信任架構。使用安全標記，您可以啟用微區隔，並套用精細的身分型安全性規則，篩選內部和外部流量。
與負載平衡器整合：為保護輸入流量，Cloud NGFW 會與代管 Envoy Proxy 整合，為內部應用程式負載平衡器和內部 Proxy 網路負載平衡器提供支援。您可以對這兩種負載平衡器類型套用第 3 層和第 4 層篩選條件。此外，您也可以對跨區域內部應用程式負載平衡器套用第 7 層 (搶先版) 篩選條件。內部 Proxy 網路負載平衡器不支援第 7 層檢查。
Cloud NGFW 級別
Cloud NGFW 功能分為下列級別：
Cloud Next Generation Firewall Essentials：基礎防火牆服務層級，提供 Cloud de Confiance 。這個層級的功能可讓您根據標準網路屬性 (包括 IP 範圍、通訊埠和通訊協定) 建立規則。這個層級的功能完全免付費。
Cloud Next Generation Firewall Standard：除了 Essentials 方案的功能，還提供進階功能，例如完整網域名稱 (FQDN) 物件和威脅情報。
Cloud NGFW 層級系統可讓您精細控管安全防護支出。如要進一步瞭解 Cloud NGFW 的功能、層級和定價，請參閱「Cloud NGFW 層級」和「Cloud NGFW 定價」。
支援的虛擬私有雲網路
Cloud NGFW 支援下列 VPC 網路，每個網路都專為特定工作負載需求和效能設定檔而設計。
支援的負載平衡器
Cloud NGFW 也支援下列以 Envoy 為基礎的負載平衡器：
| 政策類型 | Cloud NGFW 方案 | 支援的負載平衡器 |
|---|---|---|
| 全域網路防火牆政策 | Essentials 和 Standard |
詳情請參閱「使用全域網路防火牆政策保護以 Envoy 為基礎的負載平衡器」。 |
| 全域網路防火牆政策 | Enterprise | 跨區域內部應用程式負載平衡器 (搶先版)
詳情請參閱「使用全域網路防火牆政策保護以 Envoy 為基礎的負載平衡器」。 |
| 區域性防火牆政策 | Essentials 和 Standard |
|
| 區域性防火牆政策 | Enterprise | 不支援 |
| 階層式防火牆政策 | 所有層級 | 不支援 |
| 虛擬私有雲防火牆規則 | 所有層級 | 不支援 |