連接埠設定

連接埠設定管理管理介面與使用者介面的入口：它們用哪個連接埠、允許哪些 TLS 版本，以及（畫面上的）來源 IP 白名單。GW 的後台與 WebMail 共用同一個連接埠——也就是說，改了這裡，管理員與一般使用者的入口會同時改變。

什麼時候會用到這一頁：

公司資安政策要求管理介面不要用預設的 443（改用非標準埠以降低被掃描的機會）
要停用較舊的 TLS 版本（例如只允許 TLSv1.2 以上）
變更連接埠後，要確認新的入口能不能連
想限制「只有特定來源 IP 能連管理介面」

畫面的兩個頁籤

頁籤	內容
`連接埠`	Web 服務連接埠、TLS 協定等級
`存取 IP 設定`	管理介面（`/admin`）白名單、使用者介面（`/user`）白名單

連接埠頁籤

Web 服務連接埠

必填，整數，範圍 1～65535
畫面說明原文：「webadmin 與 webmail 共用此連接埠。系統服務使用的保留埠不可選用。」
不可選用的保留埠（系統服務使用，填了會被拒絕）： 10、20、21、22、23、24、25、53、110、111、123、143、389、465、587、636、993、995、65527
也不能選目前已被其他服務佔用的埠
出廠預設為 443（也就是 https 的標準埠，所以平常連線不必打埠號）

⚠️ 改成非 443 之後，網址就必須帶埠號，例如 https://gw.yourcompany.com:8443/admin。請務必記下來，否則日後會找不到入口。

TLS 協定等級

必填，三選一：

選項（畫面文字）	意義	建議
`TLSv1.3`	只允許最新版本	最安全；但很舊的瀏覽器或郵件軟體可能連不上
`TLSv1.2 + TLSv1.3`	允許 1.2 與 1.3	建議值，兼顧安全與相容性
`TLSv1.1 + TLSv1.2 + TLSv1.3`	連 1.1 也允許	相容性最好，但 TLSv1.1 已屬老舊協定，除非有舊設備必須相容，否則不建議

存取 IP 設定頁籤

管理介面（/admin）白名單

多行文字，最長 4000 字元
畫面說明原文：「允許存取管理介面的來源 IP 前綴，每行一個（如 192.168 或 10.1.1.1）。留空 = 不限制。」
格式限制：每一行只允許數字、.、:、英文字母 a～f、x、*
- 格式錯誤時顯示：「白名單格式錯誤：<您填的那一行>」
留空＝不限制來源

使用者介面（/user）白名單

多行文字，最長 4000 字元
畫面說明原文：「允許存取使用者介面的來源 IP 前綴，每行一個（如 192.168 或 10.1.1.1）。留空 = 不限制。」

比對方式是「前綴比對」

填 192.168 會匹配所有以這串字元開頭的來源 IP（192.168.1.10、192.168.20.5 都符合）。

⚠️ 這是字串前綴、不是網段計算，所以：

想只開放 192.168.1.x，建議直接寫 192.168.1.
只寫 192.168 會連 192.1680.x.x（如果您的網路真有這種位址）也一起放行
想放行單一主機就寫完整的 10.1.1.25

⚠️ 重要：GW 的白名單「只儲存、不強制」

這一點與 MailVSR-MS 不同，寫手冊必須講清楚，否則您會以為設定生效了：

按下儲存後，白名單內容會存進系統設定，畫面也會依它顯示警告
但GW 目前沒有任何機制會依這份白名單擋掉連線：儲存流程只改寫 nginx 的 listen（連接埠）與 ssl_protocols（TLS 等級），不會產生任何 allow／deny 規則；GW 也沒有對應的存取控制中介層
因此畫面警告「你的 IP 不在白名單中，儲存後將無法存取此頁」在 GW 上是提醒性質，實際上不會把您擋在外面
換句話說：不要依賴這一頁做存取控制。真的要限制來源，請用（防火牆設定 / 手動防禦設定）建立規則，或由上游防火牆處理

（此差異已在產品端回報，未來版本可能補上強制機制；屆時這一頁會需要更新。）

儲存後會發生什麼

只改 TLS 等級

直接套用，成功訊息「連接埠設定已儲存」。

改了連接埠

系統備份 nginx 設定 → 改寫 listen 與 ssl_protocols → 執行設定驗證
驗證失敗會自動回滾並顯示「nginx 設定驗證失敗（已回滾）：…」
驗證通過後重新載入網頁服務
畫面出現「連接埠已變更」的倒數視窗（「將轉跳至新連接埠」「轉跳倒數 N 秒」），並提供「立即前往」按鈕
之後請改用新埠號連線

失敗時的訊息

「儲存失敗」（一般性失敗）
「連接埠需在 1~65535 之間」
「連接埠 N 為保留埠（系統服務使用）」
「連接埠 N 已被其他服務佔用」
「TLS 協定等級無效」
「找不到 nginx site 設定（路徑）」／「找不到 nginx listen 行（格式不符）」／「找不到 ssl_certificate 行（無法插入 ssl_protocols）」——這三種代表機器上的設定檔被改壞了，請洽原廠

設定範例

情境：公司要求管理介面不要用 443，且只允許 TLSv1.2 以上。

欄位	填入值
Web 服務連接埠	`8443`
TLS 協定等級	`TLSv1.2 + TLSv1.3`

儲存後改以 https://gw.yourcompany.com:8443/admin 登入。

主控台也能改同一組設定（救援用）

機器本機主控台（見（安裝需求與安裝 / 控制台設定））的選單與這一頁讀寫同一組設定：

主控台選單 T（Configure Webadmin Port）＝改連接埠。這個選項是真的會生效的：它會改 nginx 的 listen、套用防火牆並重啟網頁服務；成功後直接回到儀表板
主控台選單 A（Reset Access IP whitelist）＝清除 admin_ip 與 user_ip 兩個白名單欄位（只清白名單，不動連接埠與憑證）。因為 GW 的白名單本來就不強制，這個選項主要是把填錯的內容清掉

⚠️ 改連接埠填錯、導致連不回來時，請用主控台 T 改回 443——這是這一頁最實際的救援方式。

常見誤解與陷阱

以為白名單會擋人：GW 只儲存不強制（見上方說明）。要真正限制來源請用防火牆
改了連接埠卻沒記下來：日後找不到入口時，只能靠主控台 T 查／改
忘了防火牆也要開新埠：這一頁儲存時會一併套用防火牆與重載服務，但若您另外有上游硬體防火牆／雲端安全群組，那邊也要記得開
選了保留埠：25、53、143、389、465、587、636、993、995 這些是郵件與目錄服務在用的埠，系統會直接拒絕
只選 TLSv1.3 之後舊設備連不上：先確認您的使用者端軟體支援，再收緊
/admin 與 /user 共用連接埠：不能只改其中一個