云防火墙价格与规格参数全解：实例数、带宽、策略数怎么配
云防火墙的报价单上有三个独立变量：要防护几个 VPC、要处理多大公网带宽、要配多少条访问控制策略。这三项各自计价，任一项估错都会让预算失控。这一页把阿里云云防火墙计费 2.0 的三档规格、扩展项阶梯单价、计费 1.0 和 2.0 的账单差异、以及三个变量的估算方法拆开讲清楚。
三个计价变量：实例、带宽、策略
云防火墙不像 WAF 那样"选个版本交月费"就完事。它的计费模型是三个维度各自独立、各自扩容，理解这三项才能看懂报价单。
变量一：防护实例数。一个实例对应一个需要防护的 VPC 边界。企业有几个 VPC 要纳管，就要买几个实例。阿里云高级版含 1 个实例、企业版 3 个、旗舰版 5 个，不够可以按 1,500 元/个/月加购。
变量二：公网处理带宽。这是云防火墙能处理的公网流量上限，单位 Mbps。高级版 30 Mbps、企业版 200 Mbps、旗舰版 800 Mbps。这一项跟你的公网出口带宽直接挂钩，业务流量涨了就要扩。
变量三：访问控制策略数。能配置的 ACL 规则条数上限。高级版 10,000 条、企业版 50,000 条、旗舰版 100,000 条。看起来很多，但如果做精细化微隔离，按"源 IP 段 × 目的 IP 段 × 端口"展开，几千条很快就用完了。
这三项之外还有几个可选模块：日志存储、敏感数据泄露检测、弹性流量。它们不包含在版本价里，需要单独加购。
阿里云云防火墙三档规格与价格（计费 2.0）
计费 2.0 是目前新购的主流模式，按实例数、带宽、策略数三个维度定价。下面是三档的规格和刊例价。
| 规格项 | 高级版 | 企业版 | 旗舰版 |
|---|---|---|---|
| 月费（元/月） | 2,800 | 9,600 | 26,000 |
| 含防护实例数 | 1 个 | 3 个 | 5 个 |
| 公网处理带宽 | 30 Mbps | 200 Mbps | 800 Mbps |
| 访问控制策略数 | 10,000 条 | 50,000 条 | 100,000 条 |
| 可加购实例 | 支持 | 支持 | 支持 |
| 可加购带宽 | 支持 | 支持 | 支持 |
| 日志存储 | 按 TB 加购 | 按 TB 加购 | 按 TB 加购 |
| 敏感数据泄露检测 | 加购 | 加购 | 加购 |
三档之间的价差不是线性的，值得单独看一下：
- 高级版到企业版：价格涨 3.4 倍，实例数涨 3 倍、带宽涨 6.7 倍、策略数涨 5 倍。带宽是涨幅最大的一项，说明企业版主要卖的是流量处理能力。
- 企业版到旗舰版：价格涨 2.7 倍，实例数涨 1.7 倍、带宽涨 4 倍、策略数涨 2 倍。旗舰版适合 VPC 多且公网流量大的场景。
- 如果只是 VPC 数量多、流量不大，买高级版加购实例（1,500 元/个/月）比升企业版划算。比如 4 个 VPC、总带宽 30 Mbps 以内：高级版 2,800 + 3 个扩展实例 4,500 = 7,300 元，比企业版 9,600 元省 2,300 元。
扩展项单价：带宽是超支主因
三个变量里，实例和策略数的扩容相对可控，带宽最容易失控——公网业务量一涨，带宽费用跟着涨，而且是阶梯计价，算错了差额很大。
| 扩展项 | 计价方式 | 说明 |
|---|---|---|
| 防护实例扩展 | 1,500 元/个/月 | 每增加一个 VPC 边界防护 |
| 公网带宽扩展 | ≤200 Mbps：50 元/Mbps/月 200–1,000 Mbps：45 元/Mbps/月 1,000–5,000 Mbps：40 元/Mbps/月 5,000–15,000 Mbps：30 元/Mbps/月 15,000 Mbps 以上：20 元/Mbps/月 | 阶梯计价，按区间分段累加，不是统一单价 |
| 临时带宽扩展 | 2.5 元/Mbps/天 | 大促、重保等短期场景用，按天计费 |
| 日志存储 | 500 元/TB/月 | 按存储容量购买，过等保必备 |
| 敏感数据泄露检测 | 2,000 元/月（含 100 GB） 超出部分 0.18 元/GB | 检测流量中的身份证号、银行卡号等敏感信息 |
| 弹性流量处理 | 0.36 元/GB | 超出已购带宽后按实际流量后付费 |
算一个带宽扩展的实际例子。企业版含 200 Mbps，业务涨到需要 600 Mbps，需要扩展 400 Mbps：
- 200 Mbps 以内部分：含在版本价里，不额外收费
- 200–600 Mbps 这 400 Mbps：按 45 元/Mbps 算，400 × 45 = 18,000 元/月
- 合计：企业版 9,600 + 带宽扩展 18,000 = 27,600 元/月
这个结果说明一件事：当带宽需求超过 500 Mbps 时，直接买旗舰版可能更划算。旗舰版含 800 Mbps，26,000 元/月；企业版加扩到 800 Mbps 需要 9,600 + 600 × 45 = 36,600 元。旗舰版便宜 10,600 元，而且实例数和策略数都更多。
但反过来，如果 VPC 只有 2 个、策略数只要 20,000 条，只是带宽需要 600 Mbps，那买企业版加带宽扩展更合适，不需要为用不上的实例数和策略数付钱。这就是三个变量要分开估的原因。
计费 1.0 和 2.0 的账单差异
2023 年之后阿里云云防火墙切换到计费 2.0，但仍有老用户跑在计费 1.0 上。两套模型的计费项完全不同，混着看容易算错。
计费 1.0 的计费项：
- 公网 IP 扩展：50 元/个/月
- 公网流量：50 元/Mbps/月
- NAT 实例：200 元/个/月
- VPC 实例：2,000 元/个/月
计费 2.0 的计费项：版本费（含实例数、带宽、策略数）+ 实例扩展 + 带宽扩展 + 日志 + 敏感数据检测。
关键差别在于：1.0 按公网 IP 个数收费，2.0 按 VPC 实例数收费。如果一个 VPC 里有 50 个公网 IP，1.0 模式下光 IP 扩展就是 2,500 元/月；2.0 模式下这个 VPC 只算 1 个实例，成本大幅下降。所以公网 IP 多的业务，迁到 2.0 通常省钱。
反过来，如果 VPC 特别多但每个 VPC 里 IP 很少，1.0 可能更便宜。判断方法是把两种模型的计费项都算一遍，取低的。老用户在续费前值得重算一次，很多业务已经不适合继续跑 1.0。
计费 2.0 还有一个优势是长期折扣明确：1 年 8.5 折、2 年 7.5 折、3 年 7 折。计费 1.0 没有这个梯度。
三个变量怎么估
实例数怎么估。先数清楚有几个 VPC 需要纳管。生产环境、测试环境、灾备环境如果各自独立 VPC，都要算。另外注意云企业网（CEN）场景下，多个 VPC 互联后边界怎么算，这个要跟厂商确认清楚，不同架构的计费口径不同。
带宽怎么估。取过去三个月公网出方向和入方向的 95 峰值，取较大值，再乘 1.3 倍安全系数。注意云防火墙的带宽统计口径是"处理的公网流量"，跟 EIP 带宽不完全等价，采购前跟厂商确认统计方式。有季节性波动的业务，按峰值月份算，或者用临时带宽扩展（2.5 元/Mbps/天）应对短期高峰。
策略数怎么估。这个最容易被低估。一条"允许 A 网段访问 B 网段 443 端口"的规则算 1 条，但如果要做微隔离，把 20 个业务系统两两之间的访问关系都定义清楚，规则数会快速膨胀。粗略估法：业务系统数量 × 平均每个系统的访问关系数 × 2（入向和出向）。10 个系统、每个 30 条关系，就是 600 条，看起来不多；但如果细化到 IP 级别，可能上万条。
还有一项常被忽略：策略数不是买了就够，还要留余量。业务变更会不断新增规则，如果买到刚好够用，三个月后就要扩。建议按估算值的 1.5 倍选档。
采购前要准备的五件事
- VPC 清单和网络拓扑。几个 VPC、各自网段、是否通过 CEN 互联、有没有 NAT 网关和 VPN 网关。这决定了实例数和接入架构。
- 公网出口带宽数据。过去三个月的公网流量 95 峰值，单位 Mbps。没有监控数据的，按 EIP 带宽规格总和估算。
- 现有安全组和 ACL 规则。如果已有大量安全组规则，评估迁移到云防火墙的工作量。策略数上限要覆盖迁移后的规则总量。
- 等保要求。过等保三级需要日志留存 6 个月，云防火墙的日志存储按 TB 购买，要提前算好容量。日志容量不够会导致留存不达标。
- 是否有敏感数据检测需求。涉及个人信息、支付卡数据的业务，可能需要开敏感数据泄露检测模块，2,000 元/月起。
开通与部署
云防火墙是旁路部署，不需要改网络架构，这是它跟硬件防火墙最大的区别。
第一步，购买实例。选版本、地域、实例数、带宽、策略数，选择购买时长。长期项目建议直接买 3 年，7 折的折扣幅度比 1 年的 8.5 折大很多。
第二步，开启防护。在控制台把需要防护的 VPC 加入，系统会自动同步该 VPC 下的资产（ECS、SLB、RDS 等）。
第三步，配置策略。先开观察模式跑一段时间，看现有的流量画像，再基于真实流量配访问控制策略。直接上拦截模式容易误伤业务。
第四步，开日志。购买日志存储容量，确认日志正常写入。这一步在等保测评前必须完成，否则拿不到审计证据。
第五步，调优。按周看一次策略命中情况，清理长期零命中的规则，避免策略数被无效规则占满。
整个流程通常一到三天，策略调优要持续一到两周。
采购常见问题
云防火墙一个月最低多少钱？
阿里云云防火墙高级版 2,800 元/月，含 1 个 VPC 实例、30 Mbps 带宽、10,000 条策略，这是入门档。但这个配置对多数企业偏紧：VPC 通常不止 1 个，过等保还要加日志存储 500 元/TB。实际起步预算按 5,000 到 8,000 元/月估算更接近真实情况。
VPC 数量多但流量小，怎么买最省？
买高级版加购实例。高级版 2,800 元含 1 个实例，每加 1 个实例 1,500 元/月。4 个 VPC 的配置是 2,800 + 3 × 1,500 = 7,300 元/月，比企业版 9,600 元省 2,300 元。前提是总带宽不超 30 Mbps、策略数不超 10,000 条，超了就要重新算。反过来，如果带宽需要 200 Mbps 以上，企业版反而更划算。
带宽扩展的阶梯价怎么算，是统一单价吗？
不是统一单价，是分段累加。200 Mbps 以内 50 元/Mbps，200 到 1,000 Mbps 之间 45 元，1,000 到 5,000 Mbps 之间 40 元，5,000 到 15,000 Mbps 之间 30 元，15,000 以上 20 元。举例：扩 600 Mbps，前 200 按 50 元、后 400 按 45 元，不是 600 × 45。报价单如果按统一单价算，要多付不少。
计费 1.0 的老实例要不要迁到 2.0？
看公网 IP 密度。计费 1.0 按公网 IP 个数收费（50 元/个/月），2.0 按 VPC 实例收费。一个 VPC 里有几十个公网 IP 的业务，迁到 2.0 明显省钱；VPC 特别多但每个 VPC 里 IP 很少的业务，1.0 可能更便宜。判断方法很简单：把两种模型按当前规模各算一遍，取低的。另外 2.0 有 1 年 8.5 折、3 年 7 折的长约折扣，1.0 没有。
策略数 10,000 条够用吗？
取决于隔离粒度。做网段级隔离，10,000 条通常够；做 IP 级微隔离，很容易不够。粗略估法是业务系统数 × 平均访问关系数 × 2。10 个系统、每个 30 条关系约 600 条，但如果细化到 IP 和端口级别，可能上万条。建议按估算值的 1.5 倍选档，因为业务变更会持续新增规则，买到刚好够用三个月后就要扩。
日志存储要买多大？
按日均日志量乘留存天数估算。等保三级要求日志留存不少于 6 个月，假设日均产生 10 GB 日志，6 个月约 1.8 TB，按 2 TB 买，费用 1,000 元/月。注意日志容量达到上限后会停止写入，等保测评时发现日志断档是常见问题，建议留 30% 余量。
云防火墙和 WAF、安全组是什么关系？
三层不同粒度的控制。安全组是实例级的白名单，最基础也最粗；云防火墙管 VPC 边界的南北向和 VPC 间的东西向流量，能做集中管理和策略编排；WAF 管七层 HTTP 内容，识别 SQL 注入这类应用层攻击。三者不替代，通常是安全组做兜底、云防火墙做集中管控、WAF 做应用层防护。
临时带宽扩展怎么用？
2.5 元/Mbps/天，按天计费。适合大促、重保、短期活动这类临时高峰场景。比如双十一期间需要额外 500 Mbps 跑 5 天，费用 500 × 2.5 × 5 = 6,250 元；如果按包月扩展 500 Mbps，一个月要 22,500 元。短期高峰用临时扩展，长期增长用包月扩展，这是两个不同场景。
敏感数据泄露检测值不值得买？
看业务是否处理个人信息或支付卡数据。2,000 元/月含 100 GB 检测流量，超出 0.18 元/GB。它的作用是在流量里识别身份证号、银行卡号、手机号这类敏感信息的外传行为，属于数据防泄漏的一环。涉及个人信息保护法合规的业务值得开；纯内部系统、不传输个人数据的场景可以先不开。
买多年能省多少？
计费 2.0 的折扣梯度是 1 年 8.5 折、2 年 7.5 折、3 年 7 折。企业版 9,600 元/月，1 年付约 97,920 元（8.5 折），3 年付约 241,920 元（7 折），三年下来比按月付省 10 万以上。云防火墙属于长期基础设施，只要业务架构三年内不大改，长约的折扣值得拿。
相关页面
本页讲的是云防火墙的价格结构、规格参数和部署流程。想比较不同厂商的能力差异，或者看其他安全产品的采购成本，可以看下面几页。
- 云防火墙厂商横向对比与选型：阿里云、腾讯云、华为云的能力差异和计费模式对比。
- WAF 厂商横向对比与选型：七层应用防护怎么选，跟云防火墙怎么分工。
- DDoS 高防价格与选型：流量型攻击的防护成本和配置方法。
- 日志审计成本测算：安全日志长期留存的完整算账方法。
- 等保合规咨询与整改：过等保需要哪些安全产品，怎么组合最省钱。
🔗 官方价格与规格直达
以下为各厂商官方产品页入口，点击可直接查看对应产品的官方价格与规格参数。价格与规格以厂商官网公示为准，通过本页链接访问不增加您的购买成本。
价格与规格数据整理自各云厂商官方文档与公开刊例价，采集时间为 2026 年 10 月。云产品价格与规格会随厂商政策调整，实际以购买页面为准。本站不构成采购决策的唯一依据，具体项目请结合业务实际情况评估。
