D-Link 路由器內建「過濾器」與「防火牆」兩套機制。本文以 DI-704UP 為例，對比 IP Filter、MAC Filter 與 Stateful Firewall 差異，並實作「高管無限制、一般職員僅允 HTTP/HTTPS/SMTP/POP3」的分級存取控制規則。
三種控制機制比較
| 機制 | 方向 | 粒度 | 適用場景 |
|---|
| IP Filter | 僅 LAN→WAN | IP 位址/埠 | 單純封鎖特定電腦上網 |
| MAC Filter | 僅 LAN→WAN | MAC 位址 | 依網卡硬體位址允許/拒絕，無法限制埠 |
| Firewall (狀態檢測) | 雙向 (LAN↔WAN) | IP/埠/協定/方向 | 精細分級、雙向控制、企業級需求 |
實作案例：十台電腦分級管控
- 環境：LAN 固定 IP 192.168.0.100~109，閘道 192.168.0.1。
- 100~104：高管，無限制。
105~109：職員，僅允 Web (80/443)、SMTP (25)、POP3 (110)。
設定步驟（Firewall 介面）
- 登入
192.168.0.1 →「進階設定」→「防火牆」。
- 預設拒絕：新增規則 Deny All：
來源：LAN * / 目的地：WAN * / 埠範圍：* / 動作：Deny。
- 允許高管全通：新增 Allow：
來源：LAN 192.168.0.100~104 / 目的地：WAN * / 埠：* / 動作：Allow。
- 允許職員特定埠：新增三條 Allow 規則：
來源：LAN 192.168.0.105~109 / 目的地：WAN * / 埠：80 → Allow
來源：LAN 192.168.0.105~109 / 目的地：WAN * / 埠：443 → Allow
來源：LAN 192.168.0.105~109 / 目的地：WAN * / 埠：25 → Allow
（同理加入 110/587/993/995 等郵件埠）
每條儲存後會顯示於規則清單。
- 確認規則順序：Allow 規則優先於 Deny All，或依介面上移/下移調整優先權。
部署建議
- 所有 LAN 裝置必須固定 IP（靜態或靜態 DHCP 綁定），否則 IP 漂移導致規則失效。
- 規則變更後建議重啟防火牆服務或路由器生效。
- 定期匯出防火牆規則備份，便於災難恢復。
- 若需允許外部存取內部服務（如 VPN、Web），另於「虛擬伺服器」或「DMZ」配置，防火牆同步放行對應回應流量。