**推出 的新主控台體驗 AWS WAF**

您現在可以使用更新後的體驗，在主控台的任何位置存取 AWS WAF 功能。如需詳細資訊，請參閱[使用 主控台](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html)。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Firewall Manager 如何建立防火牆端點
<a name="fms-create-firewall-endpoints"></a>

本節說明 Firewall Manager 如何建立防火牆端點。

政策中的*防火牆管理類型*決定 Firewall Manager 如何建立防火牆。您的政策可以建立*分散式*防火牆、*集中式*防火牆，也可以**匯入現有的防火牆**：
+ **分散式** - 透過分散式部署模型， Firewall Manager 會為政策範圍內的每個 VPC 建立端點。您可以指定要在其中建立防火牆端點的可用區域來自訂端點位置，或者 Firewall Manager 可以在具有公有子網路的可用區域中自動建立端點。如果您手動選擇可用區域，您可以選擇限制每個可用區域的允許 CIDRs 集。如果您決定讓 Firewall Manager 自動建立端點，您也必須指定服務要在 VPCs內建立單一端點或多個防火牆端點。
  + 對於多個防火牆端點， Firewall Manager 會在每個可用區域中部署防火牆端點，其中您在路由表中具有具有網際網路閘道或 Firewall Manager 建立的防火牆端點路由的子網路。這是網路防火牆政策的預設選項。
  + 對於單一防火牆端點，防火牆管理員會在具有網際網路閘道路由的任何子網路的單一可用區域中部署防火牆端點。使用此選項時，其他區域中的流量需要跨區域邊界，才能由防火牆篩選。
**注意**  
對於這兩個選項，必須有子網路與路由表中具有 IPv4/字首清單路由相關聯。Firewall Manager 不會檢查任何其他資源。
+ **集中式** - 透過集中式部署模型，防火牆管理員會在*檢查 VPC* 中建立一或多個防火牆端點。檢查 VPC 是 Firewall Manager 啟動端點的中央 VPC。當您使用集中式部署模型時，您也可以指定要在其中建立防火牆端點的可用區域。您無法在建立政策後變更檢查 VPC。若要使用不同的檢查 VPC，您必須建立新的政策。
+ **匯入現有防火牆** - 當您匯入現有防火牆時，您可以透過將一或多個*資源集*新增至政策，來選擇要在政策中管理的防火牆。資源集是資源的集合，在此情況下，網路防火牆中的現有防火牆是由組織中的帳戶管理。在政策中使用資源集之前，您必須先建立資源集。如需 Firewall Manager 資源集的詳細資訊，請參閱 [在 Firewall Manager 中分組您的資源](fms-resource-sets.md)。

  使用匯入的防火牆時，請注意下列考量事項：
  + 如果匯入的防火牆不合規，防火牆管理員會嘗試自動解決違規，但下列情況除外：
    + 如果 Firewall Manager 與 Network Firewall 政策的狀態或無狀態預設動作不相符。
    + 如果匯入防火牆的防火牆政策中的規則群組具有與 Firewall Manager 政策中的規則群組相同的優先順序。
    + 如果匯入的防火牆使用與非政策資源集一部分的防火牆相關聯的防火牆政策。這可能是因為防火牆可以只有一個防火牆政策，但單一防火牆政策可以與多個防火牆相關聯。
    + 如果屬於匯入防火牆防火牆政策的預先存在規則群組，且防火牆管理員政策中也指定了不同的優先順序。
  + 如果您在政策中啟用資源清除，防火牆管理員會從資源集範圍內的防火牆移除 FMS 匯入政策中的規則群組。
  + 由 Firewall Manager 管理且匯入現有防火牆管理類型的防火牆一次只能由一個政策管理。如果將相同的資源集新增至多個匯入網路防火牆政策，資源集中的防火牆將由資源集所新增的第一個政策管理，而第二個政策則會予以忽略。
  + Firewall Manager 目前不會串流例外狀況政策組態。如需有關串流例外狀況政策的資訊，請參閱《 *AWS Network Firewall 開發人員指南*》中的[串流例外狀況政策](https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-policy-settings.html#:~:text=Stream%20exception%20policy)。
  + 匯入現有的防火牆不支援匯入 Transit 閘道連接的防火牆。

如果您使用分散式或集中式防火牆管理變更政策的可用區域清單，防火牆管理員會嘗試清除過去建立但目前不在政策範圍內的任何端點。只有在沒有參考超出範圍端點的路由表路由時，防火牆管理員才會移除端點。如果 Firewall Manager 發現無法刪除這些端點，它會將防火牆子網路標記為不合規，並繼續嘗試移除端點，直到可安全刪除為止。