怎样设置防火墙黑白名单

本文目录导读：

1. Windows 系统自带防火墙（最简单）
2. Linux 系统防火墙（以 iptables 为例）
3. 云服务器安全组（如阿里云、腾讯云、AWS）
4. 企业硬件防火墙（如 Cisco ASA、Palo Alto、华为）
5. 关键注意事项

设置防火墙的黑白名单（也叫访问控制列表 ACL 或 安全规则）是网络安全的基础操作，具体方法取决于你使用的是哪种防火墙（如 Windows 自带防火墙、Linux iptables/firewalld、硬件防火墙或云服务器安全组）。

下面分常见场景说明设置方法：

Windows 系统自带防火墙（最简单）

场景：禁止某个程序联网，或只允许特定 IP 访问你的电脑。

• 白名单（仅允许特定程序/IP）

  • 搜索 控制面板 -> Windows Defender 防火墙 -> 点击左侧 允许应用或功能通过 Windows Defender 防火墙。
  • 点击 更改设置 -> 允许其他应用,添加你的程序。
  • 更严格的做法：默认阻止所有，再添加规则。
    • 右侧点击 高级设置 -> 新建 入站规则 -> 端口 或 程序。
    • 选择 阻止所有连接，然后在对应用规则里添加 允许 规则。

• 黑名单（禁止某个程序/IP）

  • 进入高级设置，新建一条出站规则（禁止上网）或入站规则（禁止访问）。
  • 选择自定义 -> 所有程序 或 此程序路径。
  • 在作用域中，可以指定远程 IP 地址（黑名单 IP）。
  • 操作选择 阻止连接。

Linux 系统防火墙（以 iptables 为例）

场景：服务器只让特定 IP（白名单）访问 SSH（22端口），禁止所有其他 IP。

• 设置白名单（默认丢弃，只允许特定 IP）

  # 1. 清空现有规则（谨慎操作，小心断连）
  iptables -F
  # 2. 设置默认策略：丢弃所有入站流量
  iptables -P INPUT DROP
  # 3. 允许已建立的连接（很重要，否则你连不上）
  iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  # 4. 允许本地回环（localhost）
  iptables -A INPUT -i lo -j ACCEPT
  # 5. 白名单：允许特定 IP（比如你的办公公网IP 123.123.123.123）访问SSH
  iptables -A INPUT -s 123.123.123.123 -p tcp --dport 22 -j ACCEPT
  # 6. 其他所有IP访问SSH都会被丢弃（因为默认策略是DROP）

• 设置黑名单（阻止某个 IP 访问所有端口）

  # 阻止 IP 192.168.1.100 的所有访问
  iptables -A INPUT -s 192.168.1.100 -j DROP
  # 阻止 IP 段 10.0.0.0/24 访问 Web 服务（80端口）
  iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 80 -j DROP

云服务器安全组（如阿里云、腾讯云、AWS）

这是最常用的云端方式。注意：云服务器通常在 Web 控制台设置，而非系统内部防火墙（但两者会叠加）。

• 设置白名单（仅允许特定 IP 登录）

  1. 登录云厂商控制台 -> 找到你的云服务器实例 -> 安全组。
  2. 修改或添加入方向规则。
  3. 规则设置：
     • 类型：SSH（22端口） 或 RDP（3389端口）
     • 来源（源地址）：输入你的公网 IP（如 123.123.123/32）。不要填 0.0.0/0。
     • 策略：允许。
  4. 删除原有的 0.0.0/0 允许全部 IP 的规则。

• 设置黑名单（屏蔽恶意 IP）

  1. 添加入方向规则。
  2. 来源：填入要屏蔽的 IP（如 2.3.4/32）。
  3. 策略：拒绝。
  4. 注意：通常先拒绝（黑名单），再允许（白名单），但大部分安全组的规则匹配顺序是“先匹配先生效”，建议将拒绝规则放在更前面。

企业硬件防火墙（如 Cisco ASA、Palo Alto、华为）

场景：控制内网访问外网（出站）或外网访问内网（入站）。

• 白名单（最小权限原则）

  • 步骤：创建规则，匹配源 IP/用户组 -> 目的区域/端口 -> Action 设置为 Permit。
  • 特性：通常防火墙默认隐含拒绝所有，所以只写 Permit 规则即可。
  • 示例（Cisco ASA）： access-list OUTSIDE-IN extended permit tcp host 1.1.1.1 host 2.2.2.2 eq 443

• 黑名单（阻止威胁）

  • 创建规则，将威胁 IP/域名/URL 放入 Action 设置为 Deny。
  • 将这条 Deny 规则放在规则列表的最前面（因为防火墙通常从上到下匹配，匹配后停止）。
  • 示例：access-list BLOCK extended deny ip host 5.5.5.5 any

关键注意事项

1. 规则顺序很重要：大多数防火墙是顺序匹配，一旦匹配到就不再往下看。
   • 建议：把拒绝（黑名单）规则放在最前面，允许（白名单）规则放在后面,最后是默认拒绝。
2. 不要把自己锁在外面：设置远程桌面（RDP，Remote Desktop Protocol）或 SSH（Secure Shell）的白名单时，先确认你的白名单 IP 是正确的，并且保留一个备用远程控制方式（如云厂商的 VNC 控制台）。
3. 区分入站与出站：
   • 入站规则：别人访问你（通常需要严格白名单）。
   • 出站规则：你访问别人（通常放行，黑名单用于阻止访问恶意地址或禁止程序联网）。
4. 日志监控：开启拒绝日志，方便观察是谁在尝试暴力破解,以便将其加入黑名单。

如果你遇到具体的报错或不确定自己的防火墙型号，可以补充细节,我会给出更精确的步骤。

标签： 黑白名单