腾讯云国际版云防火墙 CFW 实战：420 / 1,450 / 3,900 USD 三档版本、五个边界形态与免费流量体检全解析（2026）

Meta Description: 腾讯云国际版云防火墙 CFW 实战：Premium 420、Enterprise 1,450、Ultimate 3,900 USD/月，含免费 24 小时流量体检、三边界规则配置、弹性 2.41/0.09 USD/Mbps/天与七个坑。

关键词：腾讯云国际版、云防火墙、Cloud Firewall、CFW 价格、VPC 防火墙、NAT 防火墙、互联网边界、东西向流量、IPS 入侵防御、等保合规、日志审计、腾讯云安全组

先说结论：腾讯云国际版的云防火墙（Cloud Firewall，简称 CFW）是一个只卖三个付费版本的订阅制产品——Premium 420 USD/月、Enterprise 1,450 USD/月、Ultimate 3,900 USD/月，三个版本的能力分界线画在"能不能管东西向流量"上：Premium 只管公网南北向，Enterprise 才开始支持 VPC 边界防火墙和地域封禁，Ultimate 才给安全基线和独占资源。如果你的 VPC 之间已经用对等连接或云联网打通、并且打算做微隔离，那么 Premium 无论加多少钱的扩展包都做不到，必须从 Enterprise 起步——这是选型时最容易踩空的一刀。

更重要的是：在掏钱之前有一个完全免费的动作可以做。CFW 提供"免费流量检测"（Complimentary Traffic Inspection），用旁路镜像对最多 10 个资产做 24 小时全流量体检，不需要购买任何产品，报告直接告诉你网络入侵、恶意通信、敏感凭据泄露、暴露端口四类风险的真实情况。每个主账号终身一次，报告保留 180 天。先体检、后选版本，比看十篇软文都管用。

这篇文章把 CFW 的价格结构（含按量弹性那三个容易算错的单价）、五个部署形态的接入代价、三个边界的规则怎么落、以及七个上线前必须知道的坑一次讲清。所有单价取自腾讯云国际站官方 Selection Guide 与 Billing Modes 页面（2026 年 10 月复核），算例按官方公式自行复算。

一、先定位：安全组、WAF、DDoS、主机安全都管不到的那一段

云上做边界防护最常见的误区，是把"安全组"当成防火墙用。安全组确实是免费的、分布式的、每个弹性网卡都能挂，但它有三个天然缺口：没有日志（谁被放过、谁被拦了，查不到）、没有入侵检测（只认五元组，不认攻击特征）、只管单个实例（跨 VPC、跨子网、跨专线的流量它看不见）。

腾讯云国际版的安全产品各有各的管段，把它们排在一张表里，CFW 的位置就出来了：

一句话记住分工：DDoS 挡"流量打满"，WAF 挡"应用漏洞被打"，CFW 挡"不该通的路通了"，CWP 挡"机器已经被人进去了"。四者是串联关系而不是替代关系——CFW 的价值恰恰在于它是唯一能回答"这条连接为什么被放行、命中了哪条规则"的那一层，而这正是等保测评里"边界防护 + 访问控制 + 日志审计"三项要求的取证材料。

顺带说一句成本对比：420 USD/月 买到的不是"更贵的安全组"，而是可审计的边界。如果业务只是几台机器跑个小站，这笔钱确实不值得花；一旦有跨 VPC 的东西向流量、有专线/VPN 接进来的办公网、或者要过等保，它就变成必需品。

二、三个边界、五种形态：先搞清楚你买的是哪一段

CFW 的产品结构不是"一个防火墙管全部"，而是按流量走的边界拆成三种防火墙，每种防火墙又有集群/主备两种形态。这是全文最需要先建立的概念，因为开通方式、计费项、业务影响三者完全不同。

2.1 三个边界

南北向指的是公网方向的进出：出站是云资产用绑定的公网 IP 主动访问外网，入站是外网主动访问你的公网 IP。东西向指的是 VPC 之间经对等连接（Peering）或云联网（CCN）打通的流量——这部分流量一分钱公网带宽都不走，也一秒钟都不经过 WAF 和 DDoS，安全组又只能管到自己那一侧，天生是盲区。

2.2 五种接入形态与各自的"接入代价"

官方的高可用规范文档把 Internet / NAT / VPC 三种防火墙拆成了五种形态，每一形态在割接时对业务的影响完全不同，这张表建议直接抄进变更方案：

两个可以直接拿去做决策的推论：

1. 能选策略路由就不要选改路由表。同为 VPC 防火墙，集群多路由表与主备形态都要动默认路由，抖动 1–2 秒、经云联网的 PaaS 长连接（数据库、消息队列）大概率断；而策略路由形态明确宣称不改底层路由表。差价值得付。
2. NAT 防火墙"新模式"看着简洁，隐患在出口 IP。EIP 挂在防火墙上，一旦故障切到备用 NAT 网关，出口 IP 就变了——这意味着对端白名单要提前加、DNS 记录要同步改、已建立的连接全部重连。官方文档把这三条写成了明确的风险提示，做跨境支付、对接第三方 API 的业务必须先把白名单铺好。

三、价格结构：三个版本的 Base Price、三个按量单价

CFW 的主套餐和功能扩展都是预付费（包月/包年），只有三个项目走后付费按量：日志分析存储、NAT 防火墙弹性、VPC 防火墙弹性。这两套价格必须分开记，因为它们回答的是两个不同问题——预付费决定你的能力上限，后付费决定你的超量账单。

3.1 四个版本的能力与规格对照

官方 Selection Guide 给出的版本表（2026 年 10 月核对）如下，我把最影响决策的几行抽出来：

三个必须背下来的"版本墙"：

• VPC 防火墙 = Enterprise 起。想做的事西向微隔离，Premium 加钱也做不到。
• IPS 入侵防御 = Premium 起。按量版连特征库都不给，它本质上只是个"带日志的安全组"。
• 安全基线 + 独占资源 = 只有 Ultimate。安全基线是 CFW 观察一段时间流量后自动生成 IP/域名清单，再按安全评分维护成白名单——这是给大企业做"业务访问画像"用的，中小团队用不上。

3.2 把月费除以规格，得到一个反直觉的结论

很多人第一反应是"先从 Premium 起步，不够再加扩展带宽"。把三个版本的基础价按默认规格折算成单位价格，你会发现这个直觉是错的：

结论很干脆：每 Mbps 单价随版本上升而下降，Premium 是三者里最贵的（21 USD/Mbps），Ultimate 最便宜（13 USD/Mbps）；每 IP 单价从 42 降到 19.5，差了一倍多。所以"买小版本 + 堆扩展包"在带宽接近版本上限时通常比直接上一档更贵——而且 Premium 的带宽天花板只有 200 Mbps，扩到这个数就没有余地了。

真正该按"最小可用"来买的是另一类场景：只有 1–3 个公网 IP、峰值 5 Mbps 的小站。这时按量计费版（10 Mbps 上限、最多 10 个 IP、没有 IPS）就够，别为 420 USD/月 的 Premium 买单。它的定位就是"给小规模业务一个带日志的边界"，官方 Quick Selection 也是这么划的：IP ≤ 10 且带宽 ≤ 10 Mbps → 按量版。

3.3 三个按量单价，以及它们之间的 26 倍差

后付费部分官方给得很干脆（Billing Modes 页）：

NAT 弹性是 VPC 弹性的 26.8 倍。这个差距不是笔误，逻辑上说得通：NAT 弹性处理的是公网流量，背后是真实的带宽与清洗资源；VPC 防火墙处理的是内网东西向流量，边际成本低得多。但它带来一个非常实际的后果：

在 NAT 防火墙上，100 Mbps 的超量跑满一天 = 100 × 2.41 = 241 USD，相当于 Premium 月费的 57%。而在 VPC 防火墙上同样的 100 Mbps 跑满一天只要 9 USD。

所以 NAT 防火墙的规格一定要留足余量，不能"按平均值买"。促销、备份窗口、批量同步这类短时冲高的业务，用弹性兜一下没问题；但如果每天都在超，那就是规格买小了，改配置比付弹性便宜得多。

四、零成本第一步：24 小时免费流量体检怎么做

在决定买哪个版本之前，先让 CFW 免费帮你体检一次。这是整个产品里性价比最高的功能，因为它不需要你购买任何产品。

4.1 免费体检的规则（官方口径）

覆盖四类风险：网络入侵与恶意通信、敏感数据与凭据泄露、异常外联行为、暴露资产与高危端口。

4.2 操作步骤

第 1 步，进入体检入口。 登录 CFW 控制台，左侧选「概览（Overview）」或「网络检测与响应（NDR）」，在「免费流量检测」模块点「体检（Health Check）」。

第 2 步，完成 CAM 授权。 系统会检查 CAM 授权状态；未授权时点「立即授权」，走腾讯云统一授权组件。这一步很容易被忽略——授权没完成，体检不会真正启动。

第 3 步，选资产。 默认列出公网资产，最多选 10 个。加载列表时系统会自动判断每个资产是否支持 NDR 检测，不支持的会被过滤隐藏；关掉过滤能看到灰显状态和具体原因（区域、操作系统、实例类型、TAT 等条件不满足）。需要更全覆盖时，可以勾选「同时开启加密流量检测」。

第 4 步，启动。 点「开始体检」，进入 24 小时检测期，期间不要动这些资产的安全组和网络配置，否则报告会失真。

第 5 步，看报告。 结束后系统自动生成报告，通过站内信和短信通知，可在「概览」或「NDR」页查看/下载。180 天内必须下载留档，过期自动删。

4.3 怎么读这份报告（决定买哪个版本）

报告对应四类风险，每一类的处置动作不一样：

• 暴露资产与高危端口 → 先回去改安全组，这类问题九成不需要买 CFW。
• 网络入侵与恶意通信 → 需要 IPS，Premium 起。
• 异常外联（矿池、C2 回连） → 需要威胁情报 + 出站控制，Premium 起；NAT 防火墙能定位到具体哪台内网 CVM 在挖矿。
• VPC 之间的横向移动 → 需要 VPC 防火墙，Enterprise 起。

换句话说，体检报告直接告诉你钱该花在哪一档。如果报告里只有端口暴露和几条扫描告警，恭喜，改安全组 + 按量版就够；如果出现内网横向探测、境外 C2 回连，那就别省那 1,450 USD。

五、互联网边界防火墙：第一条访问控制规则怎么写

互联网边界防火墙（Internet Firewall）是 CFW 里最"即插即用"的一块：集群部署、加一跳、不改路由表，开启之后资产清单自动出现。

5.1 开启开关与资产识别

第 1 步，进「防火墙开关（Firewall Toggle）」。 系统会自动识别租户的公网 IP、关联实例、绑定资产，按公网 IP 粒度管理访问控制。

第 2 步，确认资产清单。 公网 IP 列表里能直接看到每个 IP 已关联的入站/出站规则，后续统一在「访问控制」模块管。

⚠️ 只支持 BGP 公网 IP，三线（电信/联通/移动各一条）IP 不支持。这是官方明确写死的限制。如果你的资产在列表里"找不到"，先查 IP 类型，别怀疑权限。

5.2 规则的五元组与三种动作

一条 ACL 规则由「规则主体 + 规则描述」组成，主体就是经典五元组：

目的地址支持域名这一点很关键——它把"禁止访问矿池"从一堆 IP 名单变成了几条域名规则，这也是 CFW 相对安全组最实用的能力之一。

三种动作的差别不在"放不放行"，而在记不记日志，这直接决定了事后能不能取证：

所以不要用 Pass 做"观察"。Pass 是给那些"确定要放行、且不想产生日志噪声"的规则用的；要观察就用 Monitor，它放行但把访问控制日志和流量日志都记下来，是灰度上线的正确姿势。

5.3 优先级：1 最高，且"无命中 = 默认放行"

规则列表自上而下匹配，第 1 条优先级最高，命中即执行并停止后续匹配；不命中就继续往下；全部不命中时，默认允许通过。

最后这半句是全文最重要的一个坑：CFW 的白名单式默认放行。它的含义是——你写了 10 条 Block 规则，但攻击流量走的是第 11 个你没想过的端口，它照样通。CFW 不是"默认拒绝"的防火墙，指望"开了防火墙就安全了"是不成立的，规则必须覆盖到你想控制的每一类流量，最后再用一条通配的兜底规则收口。

优先级的维护规则也很硬：必须是连续正整数（1 到 n），不允许重复。新增规则自动排到 n+1；插入规则时后续规则整体后移一位、序号 +1；改序号就是移动位置，最小 1、最大 n。

5.4 一套可以直接抄的初始规则集

按"先放行、再观察、最后收紧"的顺序，建议这样开局（顺序即优先级）：

上线节奏：前 24 小时全部按 Monitor 跑，去「日志审计」看命中情况，确认没有把正常业务误标成可疑，再把对应规则从 Monitor 改成 Block。千万别一上来就 Block——把自己的运维端口锁在门外，是这类产品最经典的事故。

六、NAT 防火墙：两种接入模式，选错了要换出口 IP

NAT 防火墙管的是私网资产的出网流量。它是个虚拟化防火墙，原理和 NAT 网关类似，除了地址转换，还提供访问控制和日志留存。官方有两个名字在不同页面交替出现——「新模式 / 接入模式」和「Add Mode / Access Mode」，是同一件事。

6.1 两种模式的判断标准

判断逻辑只有一句话：已经有 NAT 网关且出口 IP 被外部依赖 → 选接入模式；全新地域、从零搭出网 → 新模式。

6.2 开通步骤

第 1 步，创建 NAT 防火墙实例。 在「防火墙开关」里开启 NAT 防火墙，选择地域与规格（规格决定南北向保护带宽）。

第 2 步，选子网。 实例创建后，系统自动识别该 VPC 下的所有子网。你只需要定位要接管的子网，打开开关。

第 3 步，确认路由变更。 系统会自动修改子网路由，把该子网的公网出站流量重定向到 NAT 防火墙。这一步是自动的，但也是割接抖动的来源——接入模式改的是 VPC 路由下一跳，官方明确提示典型 1–2 秒网络抖动，可能中断已建立的长连接（数据库连接、长轮询），建议放在业务低峰做。

第 4 步，配访问控制。 在 NAT 防火墙上配 ACL，按内网资产维度过滤出网流量，同时支持 SNAT/DNAT 转发。

6.3 新模式的高可用必须自己补

新模式省事，但高可用要自己做：官方建议额外配一台标准 NAT 网关作为备份出口，防火墙故障时切路由过去。这个切换会带来三件事，必须提前处置：

1. 原 EIP 上的活跃连接会断，客户端得重连；
2. 对端白名单要提前加上备份 NAT 网关的 EIP，否则第三方数据库/API 会直接拒绝；
3. 域名直接解析到该 EIP 的，要同步改 DNS。

接入模式反而简单：故障时系统自动把子网路由下一跳指回原 NAT 网关，流量完全绕过防火墙；此外还有手动 Bypass，误拦截或需要临时恢复满速时，一键让流量走原路径。

6.4 NAT 防火墙真正的价值：定位到"哪台机器在挖矿"

这是它比 Internet Firewall 更实用的地方。公网边界防火墙只能看到"某个 EIP 在往外连矿池"，而 NAT 防火墙工作在 CVM 级别，能直接指出是内网哪一台实例发起的恶意外连。配合威胁情报和 IPS，这类事件的处置时间能从"排查一整天"压缩到"看一眼告警"。

如果内网已经出现挖矿或 C2 回连的迹象，优先上 NAT 防火墙而不是先加 WAF——WAF 看的是七层请求，压根看不到 3333/5555 这类矿池端口。

七、VPC 防火墙：东西向隔离，从 Enterprise 才开始

VPC 防火墙是分布式防火墙，作用点是"两个 VPC 之间"——必须是由对等连接（Peering）或云联网（CCN）真正打通的两个 VPC，它不做 VPC 内部子网之间的隔离（那个用企业安全组或安全组）。它提供访问控制、拓扑可视化、日志审计，无需复杂路由配置或镜像安装，且独占资源分配。

7.1 开关与自动建墙

第 1 步，开启统一开关。 首次使用 VPC 防火墙，必须在「防火墙开关 → VPC 防火墙」里开启总开关。

第 2 步，让系统自动配墙。 开关打开后，系统会自动识别租户私网内的 VPC 数量、互通状态与方式，并为所有互通的 VPC 两两关系自动配置子防火墙。这一步在大型环境里会一次生成几十条子墙，别慌，先按拓扑图确认哪些对是你真正要管的。

第 3 步，按"VPC 对"配规则。 每个子防火墙独立启停、独立配规则。按对配置这个设计很实用：A↔B 只允许 3306，B↔C 全拒，各自独立，不会互相牵连。

7.2 三种形态怎么选

主备形态的官方提示写得非常直白：启用前必须确认应用支持长连接自动重连/重传，否则数据库、消息队列这类经 CCN 连接的服务很可能在切换瞬间报错。这不是"可能有点影响"，是"大概率会断"。

7.3 三个真实场景的配置要点

官方实践教程给了三个可直接照搬的场景，值得单独记下来：

场景一：VPN 接办公网。 办公网安全水位低于生产网，一旦中招钓鱼，攻击者能顺着 VPN 专线直达核心业务。做法：接 VPC 防火墙（主备），IPS 开成拦截模式，自动阻断办公网到云服务的扫描与攻击流量。配置上选 CCN 模式接入，防火墙 VPC 选「自动选择」，路由模式选「单点互联」。

场景二：多 IDC 混合云。 多个本地 IDC 经 CCN 互通、再用专线接公网 VPC，需要隔离部分 IDC 并防止横向移动。做法：接 VPC 防火墙 + IPS，用访问控制规则封掉特定 IDC 源段。IDC 数量少选单点互联，多则选多点互联。

场景三：跨账号对等连接"只进不出"。 B 账号要读 A、C 的数据，但绝不允许 A、C 反向访问 B。做法：接 VPC 防火墙（主备），配一条阻断所有目的地址为 B 的 VPC 网段的规则。接入模式选 VPC 模式，单点互联。这类"单向数据流"需求用安全组根本做不出来——安全组只能管自己这侧的进出，管不了对端。

7.4 一个必须回答的问题：安全组能不能替代

官方 FAQ 里直接问了这一条，答案是不能，理由两条：

1. 审计：VPC 防火墙能看命中规则和被放行的流量，安全组没有这个能力；
2. IPS：VPC 防火墙的入侵防御能处理流量中的威胁、发现扫描与攻击行为，安全组只认五元组。

换句话说，安全组是"要不要通"，防火墙是"为什么通、通得干不干净"。前者是配置，后者是证据。

八、割接影响评估：把这张表填进变更单

前面散落在各节的抖动与中断风险，汇总成一张可以直接贴进变更单的表。做 CFW 割接，风险点不在"配置对不对"，而在"业务断不断"：

配套的四条割接纪律：

1. 挑低峰期。官方对 NAT 接入模式和 VPC 主备形态都明确建议避开业务高峰。
2. 先在测试环境验证。官方 FAQ 原话就是"如果不放心，先在测试环境试"。
3. Bypass 要提前演练一遍。手动 Bypass 是误拦截时唯一的救命按钮，别等到出事才找它在哪。
4. 先 Monitor 后 Block。灰度期至少跑满一个业务周期（建议 24 小时以上），把误拦都消掉再收紧。

九、日志与合规：三套日志、三个保留期

CFW 的日志分三套，保留期完全不同，做等保或事件溯源时最容易搞混：

几个实操要点：

• 默认 7 天不够过等保。等保对日志留存的要求普遍在 6 个月，必须买「日志分析扩展」（6 个月 + 1,000 GB），或把日志投递（Log Shipping）到 CLS 长期归档。Premium 及以上才支持日志分析扩展和日志投递，按量版两者都没有——这是按量版最容易被忽略的能力缺口。
• 日志分析是按存储量逐日计费的，0.006 USD/GB/天。算一笔账：稳态存储 6,000 GB 时，单日费用 6,000 × 0.006 = 36 USD，一个月就是 1,080 USD——已经接近 Enterprise 的月费（1,450 USD）了。日志量大的环境，一定要配合清理策略或投递到对象存储，否则这笔钱会悄悄超过主套餐。
• 操作日志 30 天是查"谁改了规则"的唯一凭据。规则被人误删、开关被人关掉，只能靠它回溯。建议定期导出。
• 合规口径上，CFW 明确对应等保（MLPS）里的边界防护 + 访问控制两项要求，日志部分则补齐"安全审计"。这三项恰好是等保测评里最常被开整改项的地方。

十、成本测算：三种规模，三笔能算清的账

CFW 的价格结构有个特点——基础价是公开的，扩展包单价是动态的（购买页按地区、按规格实时算，页面源码里也不暴露静态价目）。所以下面只算"能算准的部分"，凡是需要扩展带宽的地方都标出询价点，不硬编数字。

场景 A：小型内容站 / 独立站

• 规模：2 台 CVM + 1 个负载均衡，峰值出网 8 Mbps，公网 IP 4 个
• 需求：入站放行 Web、封掉一堆扫描端口、要能查日志
• 选型：按量计费版（10 Mbps 上限、10 个公网 IP 以内）
• 成本：该版本未公布固定月费，按实际用量结算；比 Premium 省下 420 USD/月的固定支出
• 代价：没有 IPS、没有威胁情报、没有日志分析扩展、没有 VPC 防火墙。日志只有 7 天 50 GB
• 什么时候该升级：一旦免费体检报告里出现"恶意通信"或"异常外联"，按量版的短板立刻暴露——它看不见攻击特征，只能放行或阻断

若这家站点必须过等保，Premium 是底线：420 × 12 = 5,040 USD/年，换来 IPS + 威胁情报 + 可扩展的日志分析。

场景 B：中型跨境电商

• 规模：峰值出网 60 Mbps，公网 IP 20 个，需要出站管控（防矿池、防数据外传），日志要留 6 个月
• 选型：Premium 420 USD/月，但默认只有 20 Mbps / 10 IP，带宽要扩到 80 Mbps、IP 要扩到 20+
• 可算部分：日志分析稳态 800 GB → 800 × 0.006 = 4.8 USD/天 ≈ 144 USD/月
• 需询价：带宽扩展包、IP 扩展包、NDR 不适用（Enterprise 起）
• 一个提醒：如果把带宽扩到 200 Mbps（Premium 上限），成本会逼近甚至超过 Enterprise 的 1,450 USD/月，而 Enterprise 给的是 100 Mbps + 50 IP + VPC 防火墙。扩到版本上限之前，一定要横向比一档

场景 C：多 VPC 的集团业务

• 规模：3 个 VPC 经云联网互通（生产 / 测试 / 数据），需要东西向微隔离 + IPS + 长期日志
• 选型：Enterprise 1,450 USD/月（含 100 Mbps、50 IP、2,000 条规则、VPC 防火墙、NDR 扩展资格）
• 固定成本：1,450 × 12 = 17,400 USD/年
• 弹性成本极低：VPC 弹性 0.09 USD/Mbps/天。假设某天东西向突发超出 200 Mbps 并持续 2 小时：200 × 0.09 × 2/24 = 1.5 USD。VPC 侧的超量基本不用担心
• 真正要盯的是 NAT 侧：同样 200 Mbps 超量 2 小时 → 200 × 2.41 × 2/24 = 40.2 USD，是 VPC 侧的 26.8 倍

一句话总结三笔账

十一、上线前必须知道的七个坑

坑 1：只支持 BGP 公网 IP，三线 IP 不进来。 资产在防火墙列表里找不到，八成是这个原因。买 IP 之前先确认线路类型。

坑 2：全不命中 = 默认放行。 CFW 不是默认拒绝型防火墙。写了十条 Block 规则，攻击流量从第十一个端口进来照样通。必须写兜底规则收口。

坑 3：Pass 动作不记访问控制日志。 想观察流量却用了 Pass，结果日志里一片空白。观察用 Monitor，Pass 只留给"确定放行且不想有日志噪声"的规则。

坑 4：VPC 开关一开，所有互通 VPC 两两建墙。 环境越大生成得越多，规则面会瞬间爆炸。开之前先把拓扑画清楚，明确哪些 VPC 对真的要管。

坑 5：NAT 弹性单价是 VPC 的 26.8 倍。 2.41 vs 0.09 USD/Mbps/天。NAT 侧规格必须留余量，别按平均值买；单日 100 Mbps 超量就是 241 USD，接近 Premium 月费的六成。

坑 6：日志分析按存储逐日计费，会悄悄超过主套餐。 默认 7 天 50 GB 不够等保，但扩到 6 个月后存储会持续累积。稳态 6,000 GB 时月费 1,080 USD，已经接近 Enterprise 月费。日志一定要配清理策略或投递到 CLS/对象存储。

坑 7：试用只给企业认证，7 天一次，到期 3 天清空配置。 免费试用要求账号完成企业实名认证（个人认证要先升级）；每个用户仅能申请一次，默认 7 天，不会自动续期，到期即停止防护、控制台转只读；到期后 3 天系统回收全部资源并删除配置，不可逆。想留住现有配置，必须在到期前完成正式购买。另外，同一账号下只部署一个 CFW 实例，无法按业务线拆成多个独立实例分区管理——多业务线只能靠规则和 VPC 对来划分。

结语：CFW 该怎么落地

把这篇的结论压缩成一套动作顺序：

1. 先免费体检。24 小时、10 个资产、终身一次，拿到报告再谈预算。这一步零成本，却能直接告诉你该买哪一档。
2. 补安全组。报告里的端口暴露类问题，九成靠安全组就能解决，不用花钱。
3. 按边界选形态。公网南北向 → Internet Firewall（最平滑，秒级无感）；私网出网 → NAT 防火墙（已有 NAT 网关就走接入模式，别动出口 IP）；VPC 之间 → VPC 防火墙（有策略路由形态优先选，避开改路由表的抖动）。
4. 规则先 Monitor 后 Block，至少观察 24 小时，兜底规则一定要写——因为默认是全放行。
5. 日志按合规要求配。7 天不够就上日志分析扩展或投递 CLS，同时设清理策略，别让存储费超过主套餐。
6. 算清楚版本墙。VPC 隔离 = Enterprise 起，IPS = Premium 起，安全基线 = Ultimate 独有。扩到带宽上限前，先横向比一档。

云防火墙这类产品的价值，从来不是"多一层设备"，而是把"谁在什么时候、从哪到哪、被哪条规则放行"这件事变成可以查、可以举证、可以复盘的记录。安全组给不了这个，WAF 给不了这个，DDoS 防护也给不了这个。420 USD/月买的是这份确定性——前提是你把规则写对了，而规则写对的第一步，是知道它默认放行。

---

相关阅读（同站深度文章）：

• 腾讯云国际版 WAF 实战：自定义规则、Bot 管理与 CC 防护配置
• 腾讯云国际版 DDoS Defender 全解析：套餐月费、清洗流量与高防 IP 单价
• 腾讯云国际版主机安全 CWP：病毒查杀、基线检查与入侵告警
• 腾讯云国际版 VPC 对等连接与云联网：跨 VPC 互通完整指南
• 腾讯云国际版 NAT 网关与 EIP：私网出网架构与计费
• 腾讯云国际版日志服务 CLS：采集、检索与长期归档
• 腾讯云国际版专线接入：混合云组网与带宽计费
• 腾讯云国际版 VPN 连接：IPSec 与 SSL VPN 配置实践

免责声明：本文价格与规格数据取自腾讯云国际站官方文档（Selection Guide / Billing Modes / High Availability Specification / Trial Instructions，2026 年 10 月复核），价格可能随时变动，最终以腾讯云官网购买页实时报价为准。扩展带宽、扩展 IP、NDR 等动态计费项的单价未在静态页面公布，请以控制台购买页为准。

本文由 4.chengzicloud.cloud 提供，点击访问首页了解更多