路由器防火牆是網絡邊界的第一道防線。IP 位址過濾功能能依來源/目的 IP、埠號、協定、時間精細控制流量。本文以水星 (Mercury) 路由器為例，通過兩個實戰案例，手把手教您配置精準存取控制策略。
核心概念：IP 位址過濾規則邏輯
- 規則匹配順序：按規則編號從小到大逐條匹配，首次匹配即生效，後續規則不再檢查
- 預設過濾規則：所有不匹配自定義規則的封包，如何處置？
— 允許通過 (預設放行)：黑名單模式，僅封鎖特定流量
— 禁止通過 (預設拒絕)：**白名單模式，僅放行特定流量，安全性更高**
- 規則參數：來源 IP 範圍、目的 IP 範圍、協定 (TCP/UDP/ICMP/All)、來源埠/目的埠、時間段、動作 (允許/禁止)、啟用狀態
案例一：黑名單模式——禁止特定 IP 段訪問外網，例外放行特定主機
需求：禁止 192.168.1.100-102 訪問外網所有 IP，但允許 192.168.1.103 無限制訪問外網。
步驟 1：設定預設規則為「禁止」
- 登入路由器後台 → 防火牆設置 → IP 位址過濾
- 預設過濾規則：選擇 「禁止」 (即：不符合下列規則的封包一律丟棄)
- 啟用 IP 位址過濾總開關
步驟 2：新增「允許」規則給例外主機 (規則編號較小，優先匹配)
- 點擊「新增條目」/「添加規則」
- 規則名稱：
Allow_103_All
- 來源 IP：
192.168.1.103 (單一 IP) / 範圍 192.168.1.103-192.168.1.103
- 目的 IP：
0.0.0.0 (代表任意外網 IP) 或 任何
- 協定：All (所有)
- 來源埠/目的埠：0-65535 (所有)
- 時間段：全天 (00:00-23:59)
- 動作：允許
- 啟用：是
- 儲存 → 規則生效 (通常無需重啟)
邏輯驗證：103 發封包 → 匹配規則 1 (允許) → 放行。100-102 發封包 → 不匹配規則 1 → 匹配預設規則 (禁止) → 丟棄。完美符合需求。
案例二：白名單模式 + 時間/埠號精細控制——複雜業務管控
需求：
— 192.168.1.100-102：任何時間僅能瀏覽網頁 (TCP 80/443)
— 192.168.1.103：08:00-18:00 僅能收發郵件 (TCP 25/110/143/993/995) 至特定郵件伺服器 219.134.132.62，其餘時間禁止所有外網通訊
步驟 1：預設規則同樣設為「禁止」 (白名單模式)
步驟 2：新增規則 (按優先級順序，編號遞增)
| 優先級 | 規則名 | 來源 IP | 目的 IP | 協定 | 目的埠 | 時間段 | 動作 |
|---|
| 1 | Allow_100-102_Web | 192.168.1.100-192.168.1.102 | 0.0.0.0 (任意) | TCP | 80, 443 | 00:00-23:59 | 允許 |
| 2 | Allow_103_Mail_Work | 192.168.1.103 | 219.134.132.62 | TCP | 25, 110, 143, 993, 995 | 08:00-18:00 | 允許 |
| 3 | Allow_103_DNS_Always | 192.168.1.103 | ISP_DNS_IP / 1.1.1.1 / 8.8.8.8 | UDP/TCP | 53 | 00:00-23:59 | 允許 |
關鍵補充：規則 3 允許 DNS (53 埠) 全天候，否則 103 連郵件伺服器域名都解析不了。若路由器支援 DNS Proxy，也可只允許路由器 IP 的 DNS 埠。
步驟 3：驗證與調試
- 用 100-102 設備瀏覽網頁 ✅、下載/遊戲/遠端桌面 ❌
- 用 103 設備工作時間收發郵件 ✅、瀏覽網頁 ❌、非工作時間 Ping 外網 ❌
- 路由器日誌/流量統計確認規則命中計數器遞增
進階技巧與最佳實踐
- 規則分組與命名規範：
Allow/Deny_來源用途_目的應用_時間，如 Allow_Finance_ERP_WorkHours
- 善用 IP 群組/地址對象：將常用 IP 範圍定義為對象 (如
OBJ_FINANCE_PC)，規則引用對象，修改 IP 只需改對象
- 啟用日誌記錄：關鍵規則 (拒絕/敏感允許) 勾選「記錄日誌」，定期審計
- 定期審核清理：半年檢視一次，刪除失效規則、合併重複規則、調整優先級
- 結合 MAC/IP 綁定 + 802.1X：防止用戶改 IP 繞過規則
- 應用層識別 (DPI/ALC)：高階路由器支援「識別應用」而非只看埠號，更精準 (如識別「微信視訊」vs「微信傳檔」)
常見錯誤自查
- ❌ 預設規則設「允許」，又加一堆「禁止」規則 → 繞過極易、維護難 (黑名單模式)
- ❌ 規則順序錯：拒絕規則在允許規則前 → 允許不生效
- ❌ 忘記允許 DNS (53) / NTP (123) / DHCP (67/68) / 路由協定 → 斷網/時間不同步/路由不收斂
- ❌ 時間段跨午夜 (如 22:00-06:00) 設定錯誤 → 拆分為 22:00-23:59 + 00:00-06:00 兩條規則
- ❌ 只過濾 TCP，忘記 UDP/ICMP → ICMP Ping 洩露拓撲、UDP DNS/QUIC/語音繞過
IP 過濾是靜態、確定性、低開銷的存取控制基石。配合 DPI、IPS、威脅情報、零信任，構建多層防禦。從今天開始，把「預設拒絕」刻進肌肉記憶。