路由器防火牆功能簡介

現代寬帶路由器內建的防火牆功能強大，能有效管控內網設備的外網訪問權限。本文以 TP-Link 路由器為例，詳細說明 IP 地址過濾、MAC 地址過濾、域名過濾三大核心功能的配置方法與實戰案例。

一、IP 地址過濾：精準控制內網主機外網訪問

功能說明

IP 地址過濾根據來源 IP 地址，允許或禁止特定內網主機在特定時間段訪問外網的全部或特定端口。啟用前必須先開啟防火牆總開關，並設定缺省過濾規則。

案例一：僅允許特定 IP 完全訪問外網

需求： 禁止 192.168.1.100~192.168.1.102 訪問外網；允許 192.168.1.103 無限制訪問。

1. 缺省規則選「凡不符合已設規則的數據包，禁止通過」。
2. 新增條目：來源 IP 填 192.168.1.103，目的 IP 留空（表示所有），協議選「所有」，狀態「生效」。
3. 保存後，103 可自由上網，100~102 自動被缺省規則阻擋。

案例二：按時間與端口精細控制

需求： 100~102 僅能瀏覽網頁（80 端口）；103 僅在 08:00~18:00 向特定郵件伺服器（219.134.132.62）收發郵件（25/110 端口）及 DNS 解析（53 端口）。

1. 缺省規則同案例一。
2. 為 100~102 新增規則：目的端口 80，協議 TCP，時間「全天」，動作「允許」。
3. 為 103 新增規則：目的 IP 219.134.132.62，目的端口 25,110,53，協議 TCP/UDP，時間 08:00~18:00，動作「允許」。

二、MAC 地址過濾：綁定硬體地址防止偽裝

功能說明

MAC 過濾基於網卡物理地址，防止用戶通過修改 IP 繞過限制。同樣需先開啟防火牆總開關並設定缺省規則。

案例：僅允許特定 MAC 訪問外網

需求： 僅允許 MAC 為 00-19-66-80-53-52 的電腦上網。

1. 缺省規則選「僅允許已啟用 MAC 列表中的地址訪問 Internet」。
2. 新增條目：MAC 地址填 00-19-66-80-53-52，狀態「生效」。

三、域名過濾：阻擋特定網站或關鍵字

功能說明

域名過濾可限制內網電腦在特定時間訪問特定域名（如含 ".cn" 的網站）或特定網址。

案例：混合時間策略

需求： 全天禁止訪問 www.caraphbl.com；08:00~16:00 禁止訪問含 ".cn" 的網站，其餘時間允許。

1. 新增條目：域名 www.caraphbl.com，時間「全天」，動作「禁止」。
2. 新增條目：關鍵字 ".cn"，時間 08:00~16:00，動作「禁止」。

總結與建議

• 善用缺省規則配合白名單/黑名單，實現最小權限原則。
• IP 過濾適合固定 IP 環境；MAC 過濾防繞過更有效；域名過濾適合內容管控。
• 配置後務必測試驗證，避免誤攔截正常業務流量。