云技术博客直接给结论：不包含，且这是一个常见的误区。
无论是阿里云还是腾讯云，你买到的“服务器套餐”（通常指 ECS 实例或 CVM 实例）里，默认只包含了计算资源（CPU/内存）、系统盘、数据盘以及基础的公网带宽。所谓的“防火墙服务”，在云厂商的产品体系里是完全独立计费的增值服务。
这里需要把“防火墙”这个概念拆成两个层面来理解，因为很多新手容易混淆：
1. 基础网络层：安全组（Security Group）—— 免费包含
这是最容易让人产生误解的地方。当你购买云服务器时，控制台会默认给你创建一个“安全组”。
- 性质：这是一种虚拟防火墙，基于状态检测包过滤。
- 费用：完全免费，随实例一起存在。
- 能力：只能控制端口（如开放 80、443、22），无法识别应用层攻击（如 SQL 注入、XSS），也无法抵御大规模的 DDoS 流量。
- 现状：对于个人开发者或小微型业务，配置好安全组就够用了。但如果你问的是专业的“防火墙服务”，那肯定不是指这个。
2. 专业防护层：WAF / 高防 IP / 云防火墙 —— 额外付费
如果你指的是具备 Web 应用防护、抗 DDoS、入侵防御等能力的专业防火墙产品，这些都不在服务器套餐内，需要单独购买或按量计费。
阿里云侧：
- Web 应用防火墙 (WAF)：用于防护 CC 攻击、SQL 注入等。有 SaaS 版（按年/月订阅）和 Pro/企业版。价格从几百到几万不等，取决于防护规格。
- DDoS 高防 (Anti-DDoS Premium)：用于清洗大流量攻击。基础版可能赠送少量防护额度，但真正的高防 IP 需要单独购买，价格昂贵。
- 云防火墙 (Cloud Firewall)：面向中大型企业，提供东西向流量隔离、微隔离、日志审计等功能。这是独立售卖的企业级产品，不在普通 ECS 套餐里。
腾讯云侧：
- Web 应用防火墙 (WAF)：同样分为标准版、企业版等，需单独开通并付费。
- DDoS 防护 (Anti-DDoS)：有免费的轻量级防护（通常只有 5Gbps 左右的清洗阈值），超出部分或更高防护等级需购买“高防包”或“高防 IP”。
- 主机安全（原云镜）：虽然主要叫主机安全，但它包含了入侵检测、病毒查杀等类似防火墙的功能，也是单独计费的。
为什么云厂商不把专业防火墙打包进服务器？
- 需求差异极大：有的用户根本不需要 WAF，有的用户需要 TB 级别的 DDoS 防护。如果打包进去，要么导致普通用户多付钱（抬升门槛），要么导致高端用户不够用（降低体验）。
- 弹性伸缩：专业防火墙的计算资源和防护能力是动态调整的，与底层服务器的 CPU/内存解耦更合理。
- 合规与审计：企业级防火墙往往涉及更复杂的网络拓扑和安全策略管理，需要独立的控制台和权限体系。
给你的实操建议：
- 先用好免费的安全组：确保只开放必要端口，禁止 SSH/RDP 对公网暴露，或使用密钥登录而非密码。
- 评估业务风险：
- 如果是博客、测试站、内部工具：安全组 + 强密码 + 定期更新系统补丁，足够应对绝大多数情况。
- 如果有电商、XX、游戏等高价值业务：务必考虑购买 WAF 和 DDoS 高防。可以先看厂商是否有“新用户试用”或“低配体验包”，再决定长期投入。
- 注意隐藏成本：有些套餐宣传“送一年安全服务”，仔细看条款，送的往往是“主机安全”的基础版或短期的 WAF 试用，并非永久免费的专业防火墙。
总结：别指望服务器套餐里自带“金钟罩铁布衫”。基础的网络端口管控（安全组）是免费的，但真正的专业防火墙，都是明码标价、按需购买的独立产品。