防火墙与访问限制
创建允许或拒绝规则，绑定入站、出站与订阅拉取，并检查节点下发和协议过滤状态。
面板防火墙控制哪些连接可以通过。它与云安全组、系统防火墙、服务端分流和客户端路由分别工作；面板放行不会替你开放云安全组，分流到某个出口也不会越过访问限制。
从匹配规则开始
进入 路由配置 → 分流管理 → 匹配规则，先定义要识别的流量。例如，只允许办公室公网 203.0.113.8/32访问入口时，创建 来源 IP CIDR匹配，而不是目标 IP 匹配。这里的地址仅为文档示例，实际填写自己的出口地址。
域名、GeoIP、ASN、端口、组合条件和外部规则文件的可视化填写方法见解锁服务与分流。
创建一条防火墙规则
切换到 防火墙规则 → 创建，填写名称、显示名称，引用刚创建的匹配规则，选择 放行或 拒绝及优先级。
“公开”影响资源可见性／可用范围，不表示已经对外开放端口。规则保存后还需要加入规则集、绑定资源。
组织规则集
进入 防火墙规则集 → 创建，选择方向和未命中时的默认动作，再添加规则并排列顺序。
| 方向 | 匹配上下文与用途 |
|---|---|
| 入站 | 客户端来源；适合来源 IP、GeoIP、ASN 等访问限制 |
| 出站 | 对外访问目标；适合限制目标地址或服务 |
方向创建后不能直接修改。表单只列出兼容规则；外部规则文件会按所在规则集的方向解释，入站看来源、出站看目标，不能匹配的条目会被忽略，不能以“文件已加载”代替有效性检查。
白名单示例为：先放行办公室来源，默认拒绝其他来源。黑名单示例为：拒绝指定来源，默认放行其余来源。修改默认动作前务必检查空规则集的行为。
按实际规则集顺序和优先级检查首条命中的动作；不要让宽泛的允许条件提前覆盖应拒绝的范围。
绑定到正确层次
| 绑定位置 | 影响范围 |
|---|---|
| 服务器入站规则集 | 该入口 worker 的相关入站连接 |
| 端口 → 高级选项 → 入站防火墙规则集 | 对该端口进一步限制；不能放宽服务器层已经拒绝的连接 |
| 服务器出站规则集 | 对该服务器的对外访问施加限制 |
| 转发端点入站规则集 | 保护端点隧道入口，需确认 worker 实际连接来源被允许 |
| 订阅链接 → 策略与额度 → 拉取防火墙 | 限制拉取订阅配置的 HTTP 来源 |
| 套餐／用户默认与强制规则集 | 控制用户建端口时的预填和必选要求 |
跨面板共享还有拥有方设置的外层出向限制。各层约束需要共同满足，详见跨面板资源共享。
先测试，再确认节点应用
在 分流管理 → 规则测试选择防火墙规则集，输入正确的来源／目标、协议和端口。至少测试一个应允许和一个应拒绝的请求。
规则测试解释条件与动作，不会替你验证节点监听、真实来源、云安全组或业务连通性。绑定后从实际客户端分别访问，再在连接统计与拦截记录核对命中结果。
转发端点的入站变更还需查看 入站防火墙操作状态：
- 数据库保存与节点确认应用是不同阶段。
- 对比期望／观测版本、策略哈希、连接与心跳状态。
- 离线、旧版本或待重试时，不能宣布新规则已经执行。
- 重试前先读最近错误；取消操作也需要节点确认恢复目标，不能把取消按钮当成即时撤销。
- 历史完成记录说明那次操作的结果，不能证明当前进程仍使用同一策略。
协议过滤与探测采集
部分节点配置提供协议过滤，例如 BitTorrent 或 UDP QUIC。检查界面中的 期望过滤器和实际过滤器，结合节点版本、恢复状态和拒绝计数判断是否生效。阻止 QUIC 可能使部分客户端回退 TCP，也可能使相关 UDP 服务失败，应验证自己的业务。
入站规则集可开启 采集被拒连接数据，设置采集字节、时长与连接保持行为。采集内容可能含来源地址和请求数据，按实际排障需要启用，并在连接诊断查看结果。
删除规则或匹配条件前检查引用关系，先修改绑定的规则集／资源。临时封禁单个用户来源时，也可使用在线设备／踢 IP，并核对到期时间和下发状态。