# 防火墙与访问限制

面板防火墙控制哪些连接可以通过。它与云安全组、系统防火墙、服务端分流和客户端路由分别工作；面板放行不会替你开放云安全组，分流到某个出口也不会越过访问限制。

## 从匹配规则开始

进入 **路由配置 → 分流管理 → 匹配规则**，先定义要识别的流量。例如，只允许办公室公网 `203.0.113.8/32`访问入口时，创建 **来源 IP CIDR**匹配，而不是目标 IP 匹配。这里的地址仅为文档示例，实际填写自己的出口地址。

域名、GeoIP、ASN、端口、组合条件和外部规则文件的可视化填写方法见[解锁服务与分流](/docs/unlock-traffic-routing-guide/#第一步创建匹配规则)。

## 创建一条防火墙规则

切换到 **防火墙规则 → 创建**，填写名称、显示名称，引用刚创建的匹配规则，选择 **放行**或 **拒绝**及优先级。

![防火墙规则关联匹配条件、动作与优先级](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-firewall-rule-91a813caafc5.png)

“公开”影响资源可见性／可用范围，不表示已经对外开放端口。规则保存后还需要加入规则集、绑定资源。

## 组织规则集

进入 **防火墙规则集 → 创建**，选择方向和未命中时的默认动作，再添加规则并排列顺序。

![入站规则集的方向、默认动作、采集开关与规则列表](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-firewall-ruleset-569add36eff0.png)

| 方向 | 匹配上下文与用途 |
| --- | --- |
| 入站 | 客户端来源；适合来源 IP、GeoIP、ASN 等访问限制 |
| 出站 | 对外访问目标；适合限制目标地址或服务 |

方向创建后不能直接修改。表单只列出兼容规则；外部规则文件会按所在规则集的方向解释，入站看来源、出站看目标，不能匹配的条目会被忽略，不能以“文件已加载”代替有效性检查。

白名单示例为：先放行办公室来源，**默认拒绝**其他来源。黑名单示例为：拒绝指定来源，**默认放行**其余来源。修改默认动作前务必检查空规则集的行为。

按实际规则集顺序和优先级检查首条命中的动作；不要让宽泛的允许条件提前覆盖应拒绝的范围。

## 绑定到正确层次

| 绑定位置 | 影响范围 |
| --- | --- |
| 服务器入站规则集 | 该入口 worker 的相关入站连接 |
| 端口 → 高级选项 → 入站防火墙规则集 | 对该端口进一步限制；不能放宽服务器层已经拒绝的连接 |
| 服务器出站规则集 | 对该服务器的对外访问施加限制 |
| 转发端点入站规则集 | 保护端点隧道入口，需确认 worker 实际连接来源被允许 |
| 订阅链接 → 策略与额度 → 拉取防火墙 | 限制拉取订阅配置的 HTTP 来源 |
| 套餐／用户默认与强制规则集 | 控制用户建端口时的预填和必选要求 |

跨面板共享还有拥有方设置的外层出向限制。各层约束需要共同满足，详见[跨面板资源共享](/docs/cross-panel-sharing/)。

## 先测试，再确认节点应用

在 **分流管理 → 规则测试**选择防火墙规则集，输入正确的来源／目标、协议和端口。至少测试一个应允许和一个应拒绝的请求。

规则测试解释条件与动作，不会替你验证节点监听、真实来源、云安全组或业务连通性。绑定后从实际客户端分别访问，再在连接统计与拦截记录核对命中结果。

转发端点的入站变更还需查看 **入站防火墙操作状态**：

- 数据库保存与节点确认应用是不同阶段。
- 对比期望／观测版本、策略哈希、连接与心跳状态。
- 离线、旧版本或待重试时，不能宣布新规则已经执行。
- 重试前先读最近错误；取消操作也需要节点确认恢复目标，不能把取消按钮当成即时撤销。
- 历史完成记录说明那次操作的结果，不能证明当前进程仍使用同一策略。

## 协议过滤与探测采集

部分节点配置提供协议过滤，例如 BitTorrent 或 UDP QUIC。检查界面中的 **期望过滤器**和**实际过滤器**，结合节点版本、恢复状态和拒绝计数判断是否生效。阻止 QUIC 可能使部分客户端回退 TCP，也可能使相关 UDP 服务失败，应验证自己的业务。

入站规则集可开启 **采集被拒连接数据**，设置采集字节、时长与连接保持行为。采集内容可能含来源地址和请求数据，按实际排障需要启用，并在[连接诊断](/docs/diagnostics-speed-test/#拦截记录和探测采集)查看结果。

删除规则或匹配条件前检查引用关系，先修改绑定的规则集／资源。临时封禁单个用户来源时，也可使用[在线设备／踢 IP](/docs/client-subscriptions/#拉取日志设备和凭据泄露)，并核对到期时间和下发状态。