手動防禦設定

手動防禦設定讓您用「來源 IP ＋ 連接埠 ＋ 通訊協定」的組合，自己建立封鎖（DROP）或放行（ACCEPT）規則。自動防禦（fail2ban）處理的是「一直登入失敗」這種行為，這一頁處理的是「我就是要擋掉這個來源」或「我就是要開這個埠給特定人」這種明確的規則。

⚠️ 這一頁的規則儲存後立即套用到防火牆，而且手動規則的優先順序高於系統的服務埠放行——也就是說，您在這裡的封鎖會蓋掉系統原本開放的服務埠。寫錯會立刻把連線擋掉（包括您自己的管理連線），請務必看完下面的說明再動手。

什麼時候會用到這一頁：

• 某個 IP 一直在掃描或攻擊，要直接封鎖（比自動防禦更即時、更明確）
• 要封鎖一整個網段（自動防禦的黑名單只接受單一 IP）
• 只想讓特定來源能連某個服務埠，其他一律拒絕
• 系統的服務埠開放範圍太廣，要針對特定來源收緊
• 臨時要擋掉某個來源的所有連線

規則列表

列表欄位：啟用、優先權、來源 IP / 網段、連接埠、協定、動作、反向、備註、操作。

• 協定欄顯示為 TCP、UDP 或 TCP+UDP
• 動作欄顯示為「封鎖（DROP）」或「放行（ACCEPT）」
• 反向欄顯示「正向表列」或「反向（!）」
• 各列可勾選，支援批次刪除（會先確認「確定刪除選取的 N 筆規則？」）
• 沒有規則時顯示「目前沒有規則」

新增規則的欄位逐一說明

啟用

• 開關（開／關）
• 關閉的規則仍留在清單中，但不會套用到防火牆（方便暫時停用觀察）

優先權

• 必填，整數，最小 1（實際由下拉選單選擇，不必自己算數字）
• 下拉選單只有兩個選項，用「位置」而不是數字來表達：
  • 排在最前面——這條規則會排在所有現有規則之前
  • 排在 :source :port 之後——插在某一條現有規則的後面（選單會列出每一條現有規則的來源與埠）
• 排序語意：數字越大越先比對。系統內部以 10000 為間隔自動安排，所以您只要選「插在哪裡」就好
• 為什麼重要：防火牆是由上而下比對、第一條符合的就決定結果。同一封信／同一個連線若同時符合「放行」與「封鎖」兩條規則，排在前面的那條贏

來源 IP / 網段

• 選填，最長 500 字元
• 畫面輸入提示：「如 203.204.5.6 或 192.168.0.0/16（逗號分隔）」
• 可以填單一 IP、也可以填網段（CIDR 寫法）；多筆用逗號分隔
• 留空＝不限來源（只依連接埠決定）

連接埠

• 選填，最長 200 字元
• 畫面輸入提示：「如 25 或 8000-9000（逗號分隔，留空 = 全部）」
• 可以填單一埠、埠範圍、多筆（逗號分隔）
• 留空＝所有埠

協定

• 下拉選單，三個選項：

• 若您不確定，保持 TCP+UDP；只擋 TCP 可能漏掉 UDP 的攻擊，只擋 UDP 則對郵件服務沒有作用

動作

• 必填，二選一：
  • 封鎖（DROP）——直接丟棄封包（對方不會收到任何回應，看起來像連線逾時）
  • 放行（ACCEPT）——允許通過

反向

• 必填，二選一：
  • 正向表列——符合這條規則的才套用動作（一般的寫法）
  • 反向表列——除了符合這條規則的以外，其他都套用動作（規則前面會加 !）

⚠️ 反向最容易被誤用。例如「來源 192.168.1.0/24 ＋ 動作 封鎖 ＋ 反向」＝「除了 `192.168.1.0/24 之外，其他全部封鎖」——如果您的管理連線不是來自那個網段，按下儲存就會立刻連不回來。

備註

• 選填，最長 200 字元
• 畫面提示：備註說明（選填）
• 強烈建議填寫（例：封鎖惡意掃描來源-20261009），否則日後沒人知道這條規則為什麼存在

三個實用範例

範例一：封鎖單一惡意 IP 的所有連線

範例二：某個服務埠只開放給公司的對外 IP

假設公司對外 IP 是 198.51.100.25，要讓它連管理介面的 8443，其他來源一律拒絕。要兩條規則、順序很重要：

1. 第一條：來源 198.51.100.25、連接埠 8443、協定 TCP、動作 放行（ACCEPT）、優先權 排在最前面
2. 第二條：來源（留空）、連接埠 8443、協定 TCP、動作 封鎖（DROP）、優先權 排在…之後（排在第一條之後）

⚠️ 若兩條順序顛倒，第二條（全部封鎖）會先命中，第一條就永遠不會生效。

範例三：封鎖一整個網段

儲存後會發生什麼

• 新增／修改／刪除都會立即重新套用防火牆（不必手動按套用）
• 成功訊息：「✓ 規則已儲存」／「✓ 規則已刪除」／批次刪除「✓ 已刪除 N 筆規則」
• 失敗訊息：「規則儲存失敗」／「規則刪除失敗」／「批次刪除失敗」
• 單筆刪除前會確認「確定刪除此規則？」（刪除後無法復原）

常見誤解與陷阱

• ⚠️ 把自己的管理來源擋掉：規則一旦套用就立刻生效。儲存前請先確認您的來源 IP 不在被封鎖的範圍內，尤其使用「反向」時
• ⚠️ 手動規則會蓋掉服務埠放行：這是刻意設計（請見（防火牆設定 / 基礎設定）的規則順序說明）。也因此「系統本來開放 25，我卻在這一頁封鎖了 25」是有效的
• ⚠️ 規則只比對 IPv4：系統產生的是 IPv4 的來源比對（ip saddr）。因此即使您在來源欄填 IPv6 位址，規則也不會生效；要限制 IPv6 請在更上游的設備處理
• 「留空埠＝全部埠」：只填來源沒填埠，會封鎖／放行該來源的所有連線（含管理介面）。要只針對郵件，請明確填 25
• 來源欄不驗 IP 格式：系統只檢查長度，不會驗證是不是合法 IP／網段。打錯字存得進去，但規則不會照您預期運作
• 多筆用逗號分隔：不是空白、也不是分號
• 排序決定結果：同時有放行與封鎖且範圍重疊時，排前面的贏。新增規則時請留意「排在最前面」會蓋掉既有規則
• 緊急救援：若真的把自己鎖在外面，請見（防火牆設定 / 基礎設定）的逃生機制（/ram/.fw-disable，暫時解除、下次套用會恢復）

相關頁面

• 自動封鎖（登入失敗）與黑名單 →（防火牆設定 / 自動防禦設定）
• 防火牆狀態、目前生效規則、逃生機制 →（防火牆設定 / 基礎設定）
• 管理介面埠與（畫面提供的）來源白名單 →（網路設定 / 連接埠設定）
• 規則改完要測通不通 →（網路設定 / 網路測試工具）
• 被擋掉的連線紀錄 →（系統日誌 / 連線記錄）、（系統日誌 / 阻斷記錄）