防火牆過濾總開關
路由器管理介面 → 過濾設定 → 啟用過濾控制。未啟用前，所有下屬規則均不生效。建議先完成 NTP 時間同步（過濾規則含時間段需正確系統時間）。
五大過濾維度詳細配置
1. IP 位址過濾（第 3 層）
- LAN IP 過濾：控制「哪些內網裝置」能存取外網。例：限制
192.168.1.10-100 (員工區) 可上網，192.168.1.101-200 (訪客/IoT) 僅能存取內網服務。
- WAN IP 過濾：控制「內網裝置能存取哪些外網 IP」。例：封鎖
58.63.236.1-63 (新浪伺服器段) → 禁止存取新浪網。
- 組合策略：LAN IP + WAN IP 交叉匹配，實現「特定裝置僅能存取特定外網段」。
配置步驟：啟用 NTP 同步 → IP過濾頁 → 「馬上設定」 → 填寫規則名稱、LAN IP 範圍、WAN IP 範圍、時間段 → 儲存。
2. MAC 位址過濾（第 2 層）
- 依裝置唯一硬體地址控制上網權限，繞過 IP 變更/竊取。
- 模式：白名單 (僅允許列表裝置) / 黑名單 (禁止列表裝置)。白名單安全性高但維護成本大。
- 時間段控制：可設定「工作日 09:00-18:00 允許員工 MAC 上網」，非時段自動斷網。
3. 網址關鍵字過濾 (URL Keyword Filtering)
- 依 URL 完整路徑中的關鍵字匹配封鎖。例：關鍵字
sina → 封鎖 news.sina.com.cn、finance.sina.com.cn、blog.sina.com.cn/xxx 等所有含「sina」的請求。
- 優點：單一規則覆蓋整個域名下所有子頁；缺點：誤封風險高 (如
example.com/sina 非新浪業務)、HTTPS 加密下無法見 URL 路徑 (僅見 SNI 域名)。
4. 域名關鍵字過濾 (Domain Keyword Filtering)
- 依 DNS 查詢/HTTPS SNI 中的域名關鍵字封鎖。例：
qq.com → 封鎖 qq.com、im.qq.com、games.qq.com 等所有子域。
- HTTPS 環境下比 URL 關鍵字更有效 (僅需解析 SNI)，但無法區分同域名下不同路徑。
5. 應用程式/協定過濾 (Application/L7 Filtering / DPI)
- 基於深度封包檢測 (DPI) 識別應用層協定特徵碼，而非單純 Port/ID。
- 例：選擇 Tencent QQ Protocol → 指定 MAC
AA:BB:CC:DD:EE:FF 或 IP 段 192.168.1.1-254 → 時間段「週一至週五 08:30-18:00」→ 封鎖 QQ 登入/傳訊/語音流量，不影響同 IP 其他應用 (如瀏覽騰訊新聞網頁)。
- 支援常見：迅雷、BT、電驢、視訊串流、遊戲、即時通訊、VPN 協定等。
實戰部署建議
- 分層防禦：邊界防火牆 (L3/L4) + 路由器應用層過濾 (L7) + 端點 EDR，構建纵深防禦。
- 白名單優先：核心業務網段/裝置採白名單模式，其餘預設拒絕。
- 時間段精細化：區分工作/非工作時段、部門班表，避免一刀切影響業務。
- 日誌審計：啟用過濾日誌，定期審閱被封鎖流量，調整誤判規則。
- HTTPS 限制：URL 關鍵字過濾對 HTTPS 失效，需配合 SSL 檢測 (中間人解密) 或改用域名/SNI 過濾。
JCG/TP-Link/華碩/網件等主流路由器均提供上述功能，善用可大幅提升網路管控力與安全性。