防火墙及端口设置
不同可用区的公网访问控制方式不同，请先确认实例所在可用区，再查看对应章节：
| 对比项 | 华北二A / 上海二B | 其他可用区（华北一C、上海二A、上海二C） |
|---|---|---|
| 公网访问 | 实例拥有固定独立公网 IP | 无独立 IP，通过平台域名 + 端口映射访问 |
| 管理方式 | 账号级外网防火墙，规则可绑定到多个实例 | 实例级端口配置，每个实例单独设置 |
| 支持协议 | TCP、UDP、ICMP、GRE | HTTP、TCP，不支持 UDP |
| 源地址限制 | 支持按 IP / 网段放行或拒绝 | 不支持 |
| 数量限制 | 每条规则源地址 ≤ 10 个 | HTTP、TCP 端口各最多 10 个（含默认端口） |
| 默认开放 | 由所选防火墙决定，推荐防火墙默认开放 22、3389（Web 服务器推荐另开 80、443） | HTTP 8888（JupyterLab）、TCP 23（SSH） |
| 访问地址 | 公网IP:端口 | 平台分配的域名 + 映射端口，以控制台显示为准 |
| 配置入口 | 控制台「外网防火墙 」 | 创建页「更多配置」或实例「更多操作 → 配置开放端口」 |
一、外网防火墙（华北二A / 上海二B）
为实例提供防火墙功能，通过将防火墙规则绑定到实例，即能对实例公网访问进行控制管理，为实例安全提供必要的保障。
防火墙介绍
为了给用户提供使用上的便捷，平台提供了两个默认的”推荐防火墙”，分别是”Web服务器推荐”与”非Web服务器推荐”，两者之间除”Web服务器推荐”默认开通了”80”、“443”端口外，均开通了”22”、“3389”端口。
防火墙默认规则除已开通端口外，其他端口默认关闭。
外网防火墙仅对来自外网的弹性IP的访问生效。
创建防火墙
手动创建
如果有外网防火墙的需求，您可前往【控制台】->【外网防火墙 】页面根据业务场景配置防火墙规则。
备注： 1、防火墙除已录入条目外，默认对其他访问执行拒绝动作。 2、防火墙不支持存在重复的规则，协议、端口、源地址、动作重复则判断为规则重复。存在重复规则会导致操作报错。
目前防火墙，配置说明如下：
| 配置 | 说明 |
|---|---|
| 基本协议 | 协议支持“TCP”、“UDP”、“ICMP”及“GRE”协议 |
| 端口 | 来源地址所访问的本地端口，端口范围 [1-65535] |
| 源地址 | 访问云平台主机资源的网络数据包来源地址，支持IP地址及网段，IP地址网段间用逗号分割（支持IP及网段数量≤10），例如”10.0.0.1,192.168.0.2/32” |
| 动作 | 防火墙生效时，对数据包的处理行为，包含“接受、“拒绝”两种动作。 |
| 优先级 | 在防火墙内添加规则时，规则按照优先级依次生效，每条规则包含“高”、“中”、“低”三档规则 |
| 备注（非必填） | 可对每一条规则添加备注，便于规则的管理和查找 |
系统创建
当您选择了社区镜像（或带预置端口的镜像）部署实例时，系统可能自动创建对应的防火墙规则以确保应用端口开放，您可前往【外网防火墙 】页面查询。建议不要修改系统创建的防火墙名称。
实例关联防火墙
部署时关联
在部署实例时，点开“更多配置”按钮，可以选择所需的防火墙规则。
部署后关联
您也可以在实例创建成功后，修改防火墙规则。打开【实例列表 】，在目标实例上点击「更多操作」→「配置防火墙」，修改防火墙规则。也可在 GPU算力服务 → 外网防火墙 统一管理规则后关联到实例。
二、实例级端口配置（其他可用区）
其他可用区的实例没有独立公网 IP，也不支持账号级外网防火墙。实例对外开放哪些端口，需要在每个实例上单独配置，未配置的端口外网默认关闭。
端口规则
- 仅支持 HTTP 和 TCP 两种协议，不支持 UDP。需要 UDP 的业务（如 WebRTC 推流）请选择华北二A / 上海二B。
- HTTP、TCP 端口各最多配置 10 个，含默认端口；同协议下端口不能重复。
- 默认开放 HTTP 8888（JupyterLab 等业务入口）和 TCP 23（SSH），请勿删除。
- 填写的是容器内服务监听的端口。外网访问时，平台会分配域名和映射端口，与容器内端口不一定相同。
创建实例时配置
在创建页的「更多配置」中填写需要开放的 HTTP / TCP 端口：
实例创建后修改
打开【实例列表 】，在目标实例上点击「更多操作」→「配置开放端口」：
每次保存都是全量替换：列表中删掉的端口会被关闭。 实例重装系统后，自定义端口需要重新配置。
访问已开放的端口
端口配置生效后，在实例详情页查看平台分配的访问地址：
- HTTP 端口：通过平台分配的域名直接在浏览器访问。
- TCP 端口：通过「域名 + 映射端口」访问，例如 SSH 登录：
ssh -p <映射端口> root@<域名>实际域名和映射端口以控制台「登录指令」及端口列表显示为准。
通过 API 配置
批量或自动化场景可调用 UpdateCompShareInstancePorts 更新端口，接口同样是全量替换语义。