基礎設定

防火牆的「基礎設定」是整個 nftables 防火牆的入口：上面顯示目前防護狀態與規則數量，下面讓您調整對外要不要回應 ping，另一個頁籤則可以直接看到目前真正生效的規則。

GW 是閘道器，防火牆的角色特別吃重——它同時擋住對外的惡意連線，也決定「哪些服務埠要開給外面」。這一頁的出廠行為是「預設封鎖所有外部連線，只開放服務需要的埠」，所以任何改動都可能影響信件的進出。

什麼時候會用到這一頁：

• 想確認防火牆現在到底有沒有在運作（狀態與規則數）
• 想讓外部 ping 不到本機（降低被掃描的機會）
• 改了規則卻懷疑沒生效，要看「目前規則」對照
• 排查「某個埠明明設定了、外面卻連不進來」

目前狀態（頁面上方）

最上方一張狀態卡，兩個資訊：

• 狀態：防護中（綠）表示防火牆已套用；未啟用（紅）表示目前沒有規則在運作
• 規則數：目前套用的規則條數。數字為 0 通常代表防火牆沒套用

⚠️ 這裡的「防護中」指的是規則確實套用到核心，不是「某個開關被打開」。GW 的防火牆沒有「啟用／停用」的切換開關（見下方說明）。

基礎設定 頁籤

⚠️ 這個頁籤實際上只有一個可調整的項目：

隱藏回應 Ping

• 開關（開／關）
• 畫面說明原文：「啟用後 WAN 側不回應 ICMP（外部無法 ping 本機）」
• 開啟：外部對本機的 ping 不會得到回應
• 關閉：外部可以 ping 到本機

該不該開？

• 要降低被自動掃描工具盯上的機會 → 建議開啟
• 如果您需要從外部 ping 本機來做監控（例如監控系統用 ping 判斷主機死活）→ 請關閉，並改用（網路設定 / 網路測試工具）或監控系統的埠檢測
• 開著不影響郵件：信件走的是 SMTP（TCP 25 等），與 ICMP 無關

⚠️ 儲存後會顯示「✓ 防火牆設定已套用」。

畫面「看不到」的兩個項目

以下兩個項目在語系檔與程式裡有名稱，但目前的畫面沒有提供控制項，請不要去找：

• 防火牆啟用（防火牆啟用／說明為「啟用後套用防護規則（預設封鎖所有外部連線，僅開放服務連接埠）」）——畫面上沒有這個開關。GW 的防火牆設計上是「設定好就會套用」，沒有提供使用者自行停用的入口
• 網路位址轉換（NAT）——功能已於 2026-08-08 暫時停用：畫面不顯示、後端儲存時一律強制 nat=0（程式內部邏輯保留，未來若恢復才會有畫面）

（這兩點已在產品端回報，屬於「語系有字、畫面沒有」的不一致。）

目前規則 頁籤

• 說明文字：「目前生效的 nftables 規則（table inet domfw）」
• 內容是直接讀取核心目前套用的規則（nft 的規則集），不是設定畫面裡的內容——也就是「真正在跑的規則」
• 右上角有「重新整理」按鈕，可按一下重新讀取（不會自動更新）
• 若目前沒有任何規則，會顯示「（防火牆未套用 — 目前無規則）」

最常用的時機：在（防火牆設定 / 手動防禦設定）加了規則、或在（網路設定 / 連接埠設定）改了埠之後，來這裡對照是否真的生效。看不到剛加的規則，就代表沒有套用成功。

規則的組成與優先順序（重要）

GW 的防火牆規則是由系統按固定順序產生後，一次整批套用（採原子載入，失敗會保留舊規則，不會套到一半）。順序如下：

1. 基礎防護：核心層級強化、預設丟棄所有連入、本機迴路（lo）放行、已建立的連線放行、異常封包丟棄、ICMP 處理（受上面的「隱藏回應 Ping」影響）
2. 異常封包檢查：多條 TCP 旗標異常的丟棄規則
3. 手動規則（黑名單）：您在（防火牆設定 / 手動防禦設定）建立的規則，依您設定的優先權排序
4. 服務埠放行：系統服務需要的埠（含郵件相關埠與管理介面埠）
5. NAT 相關：LAN 出網與埠轉發（GW 目前沒有埠轉發的設定介面）

⚠️ 關鍵：手動規則排在「服務埠放行」之前——所以您可以用手動規則封鎖某個服務埠。例如您建立一條「封鎖來源 203.0.113.8、埠 25」的規則，即使系統本來放行 25，來自該 IP 的連線仍會被擋下。反過來說，若您想「臨時擋掉某個埠」，用（防火牆設定 / 手動防禦設定）建立封鎖規則是有效的（不是被系統的放行規則蓋掉）。

逃生機制：暫時解除防火牆

萬一規則把自己鎖在外面（例如封鎖了自己的來源 IP），GW 提供一個逃旗標：

• 在機器上建立 /ram/.fw-disable 這個檔案 → 防火牆會被暫時解除
• GW 由系統服務監看這個旗標（這是 GW 與 MailVSR-MS 的差異：MS 靠 service-dog 監看，GW 改用 systemd 的 gw-firewall-escape.path 監看同一個檔案，語意相同）
• 語意是「暫時解除」：下次防火牆重新套用時就會恢復，不是永久關閉
• 這個旗標放在 /ram（記憶體），重開機即消失

⚠️ 這是原廠維修等級的動作。若只是要放行單一 IP，正確做法是回到（防火牆設定 / 手動防禦設定）調整規則。

常見誤解與陷阱

• 找不到「防火牆啟用」開關是正常的：GW 沒有提供使用者停用防火牆的入口，畫面上沒有這個控制項
• 「規則數 0」不等於「防火牆壞了」：可能是還沒套用過，或剛才被暫時解除；請按「重新整理」再看一次，並到「目前規則」頁籤確認
• 開了「隱藏回應 Ping」之後監控系統會誤判主機失聯：請改用埠檢測
• 手動規則可以蓋掉服務埠：這是設計上的優先順序，不是 bug（也可能是您「明明沒封鎖卻不通」的原因——請檢查手動規則）
• 改了規則不會自動出現在「目前規則」：要按「重新整理」
• /ram/.fw-disable 是暫時的：不要把它當成「永久關閉防火牆」的方法
• 這一頁只改「隱藏回應 Ping」：其他防護設定在（防火牆設定 / 自動防禦設定）與（防火牆設定 / 手動防禦設定）

相關頁面

• 自動封鎖（登入失敗、暴力破解）→（防火牆設定 / 自動防禦設定）
• 手動封鎖／放行規則 →（防火牆設定 / 手動防禦設定）
• 管理介面埠與來源限制 →（網路設定 / 連接埠設定）
• 改完規則要測通不通 →（網路設定 / 網路測試工具）
• 被擋掉的連線紀錄 →（系統日誌 / 連線記錄）、（系統日誌 / 阻斷記錄）