無線路由器內建防火牆不僅能阻擋外部攻擊，更能管控內網裝置上網行為。本文詳細說明 IP 位址過濾、MAC 位址過濾、網址關鍵字過濾、域名關鍵字過濾、應用程式過濾五大規則的設定邏輯、操作步驟與實戰應用場景，打造乾淨安全的上網環境。

防火牆過濾總開關

路由器管理介面 →「過濾設定」/「防火牆設定」→ **「啟用過濾控制」**。
選「禁用」= 關閉所有防火牆過濾功能 (純路由模式)；**必須啟用**後下列個別規則才會生效。

五大過濾規則詳細設定

1. IP 位址過濾 — 控制「誰能上網」與「能上哪些外網」

• 區域網路 IP：管控 LAN 內哪些 IP (單一/範圍) **能/不能** 存取 Internet。
• 廣域網路 IP：管控 LAN 裝置 **能/不能** 存取特定外網 IP 範圍。
• 組合範例：限制 `192.168.1.10-100` (員工電腦) **無法存取** `58.63.236.1-63` (新浪網 IP 段)。

1. 進入「IP 位址過濾」→「馬上設定」→「NTP 設定」→「與主機同步」→「套用」 (時間同步為排程生效前提)。
2. 返回「過濾設定」→ 選「IP 位址過濾」→ 設定日期/時間段 → 填入 LAN IP 範圍/規則名稱 → 確定。

2. MAC 位址過濾 — 綁定實體網卡硬體位址

• 依 **MAC 位址** (實體位址、全球唯一) 管控特定裝置上網權限。
• 設定：「過濾規則設定」選「啟用」→ 填寫「規則名稱」、「MAC 位址」 (格式 `00:1A:2B:3C:4D:5E`) → 設定生效日期/時間段 → 確定。
• 優點：IP 變動 (DHCP) 不影響規則；缺點：MAC 可偽造、管理大量裝置繁瑣。

3. 網址關鍵字過濾 — 關鍵字匹配攔截 (URL 級)

• 輸入關鍵字 (如 `sina`、`video`、`game`、`porn`)，**凡 URL 含該字串即攔截**。
• 應用：阻擋影音/遊戲/成人/購物/社群媒體網站，提升工作專注度。
• 注意：HTTPS 加密連線下，路由器**無法解密 URL 完整路徑**，僅能見域名 (SNI)，關鍵字過濾對 HTTPS 效果有限。

4. 域名關鍵字過濾 — 域名級攔截 (DNS/Host 級)

• 輸入域名關鍵字 (如 `qq.com`、`taobao.com`)，**解析/連線至該域名即攔截**。
• 比網址過濾更廣泛：`qq.com` 會擋住 `web.qq.com`、`im.qq.com`、`mail.qq.com` 所有子域名。
• 同樣受限於 HTTPS 加密 (僅見 SNI 域名)，但覆蓋面較廣。

5. 應用程式過濾 — 針對特定軟體流量特徵攔截

• 依 **MAC/IP + 應用程式特徵碼** 識別流量 (如 BT/迅雷/網遊/視訊/股票/即時通訊)。
• 可針對**特定裝置**禁用特定應用，或**全網禁用**某應用。
• 特徵庫需路由器廠商定期更新，新版應用/加密流量 (TLS 1.3/QUIC) 識別率會下降。

實戰部署建議

• 家庭：兒童上網時段控制 (IP/MAC + 排程) + 成人/惡意網站域名黑名單。
• 企業：核心伺服器 IP 白名單上網 + 禁止 BT/影音/遊戲應用 + 記錄審計日誌。
• 學校/網咖：嚴格域名/應用黑名單 + 頻寬限制 (QoS) + 異常流量告警。

⚠️ **限制提醒**：路由器級防火牆屬 **L3/L4 狀態檢測 + L7 關鍵字匹配**，無法替代新一代防火牆 (NGFW) 的深度封包檢測 (DPI)、IPS、沙箱、威脅情報等進階防護。敏感環境請部署專業 NGFW/UTM 設備。