基礎設定

防火牆是 MailVSR-MS 的第一道防線。系統預設封鎖所有外部連入，只開放必要的服務連接埠（例如 SMTP、IMAP、POP3 與管理介面）。基礎設定頁提供防火牆目前的運作狀態、是否回應外部 Ping 的開關，以及目前生效的規則內容，是排查「連線被擋住」問題的第一站。

什麼情況會用到這一頁：

• 外部連不上某個服務，想確認該埠到底有沒有開
• 不希望主機在網路上被輕易發現（不想回應 ping）
• 想確認手動防禦規則有沒有真的套用進去
• 規則改壞、完全連不上，需要急救

目前狀態

頁面上方顯示防火牆現況：

• 狀態徽章：「防護中」（綠色）表示規則已生效；「未啟用」（紅色）表示目前沒有套用規則
• 規則數：目前生效的規則數量

防火牆採「必啟」設計：系統會在開機與設定變更時自動重建規則，因此正常情況下狀態應該是「防護中」。若看到「未啟用」，通常代表規則套用失敗（例如設定檔有誤），請先檢查「目前規則」頁籤或系統日誌，不要放著不管——這段期間主機等於沒有任何防護。

基礎設定頁籤

目前版本只提供一個可調整的選項：

• 隱藏回應 Ping：啟用後 WAN 側不回應 ICMP，外部無法 ping 到本機
  • 畫面上的說明是「啟用後 WAN 側不回應 ICMP（外部無法 ping 本機）」
  • LAN 側不受影響，區域網路內的電腦仍可 ping 本機
  • 變更後按儲存，畫面會提示「✓ 防火牆設定已套用」

該不該開？ 若您不希望主機在網路上被掃描輕易發現，建議啟用。但要注意：ping 是很好的自我診斷工具，關閉後您也無法用 ping 快速判斷「線路通不通」，只能改用（網路設定 / 網路測試工具）從伺服器端往外測。若您經常需要從外部確認主機是否活著，可以先開著（可 ping），等穩定後再關。

網路位址轉換（NAT） 開關在目前版本暫時停用，畫面不顯示（系統內部固定為關閉）。因此 LAN 側的設備不會經由這台主機連到外網，這是目前的預期行為，不是故障。

目前規則頁籤

顯示目前生效的 nftables 規則（規則表 inet domfw），畫面說明是「目前生效的 nftables 規則（table inet domfw）」。內容由系統依服務設定自動產生，供診斷使用。按「重新整理」可重新讀取；若尚未套用任何規則，會顯示「（防火牆未套用 — 目前無規則）」。

規則由上而下依序比對，先符合的規則先處理，順序大致為：

1. 允許 loopback 與已建立的連線，並丟棄狀態異常的封包
2. 丟棄 TCP 旗標異常的封包
3. ICMP 規則（受「隱藏回應 Ping」影響）
4. 手動防禦規則（防火牆設定 / 手動防禦設定）
5. 連線記錄規則（若已啟用）
6. LDAP 來源限制：若設定了允許連線來源，只有清單內的來源可連 389／636（服務管理 / LDAP伺服器設定）
7. 服務連接埠放行

出廠放行的服務連接埠包含：

Web 服務連接埠會自動納入清單（網路設定 / 連接埠設定）。SSH 22 出廠不開放，需經維修模式（Service Mode）才會暫時開啟。

⚠️ 最關鍵的一點：手動防禦規則排在服務連接埠放行之前，因此一筆封鎖規則可以蓋掉服務埠的放行。要限制特定來源的連線，請用封鎖規則處理（而不是期待「服務埠有開就一定能連」）。

常見誤解與陷阱

• 以為「服務埠有開」就一定能連：還要通過前面幾關（ICMP、手動規則、LDAP 來源限制）
• 以為改完設定會即時生效在所有連線上：既有已建立的連線會被允許（規則第 1 條），因此測試時建議用新的連線驗證
• 以為 NAT 壞了：NAT 是暫時停用的功能，畫面本來就不會顯示開關
• 關掉 ping 後自己也無法診斷：請改用（網路設定 / 網路測試工具）往外測

防火牆把自己擋掉時的救援

若規則或設定失誤導致完全連不上（Web 與 SSH 都中斷），請從實體主機的主控台或帶外管理以 root 身分執行：

touch /ram/.fw-disable

系統監護行程（service-dog）偵測到這個檔案後，會立即清除 domfw 防火牆規則（回到全部放行的出廠狀態）並自動刪除該檔案。請注意：

• 這是暫時性的逃生措施。下一次防火牆套用（重新開機，或任何觸發套用的設定變更）就會恢復規則，請把握時間修正錯誤
• 此機制只清 domfw，不會清除維修通道（Service Mode）的 svcmode 規則；若 22 埠放行來源開錯，需另以 nft delete table inet svcmode 處理

注意事項

• 「目前規則」頁籤僅供檢視，請勿直接修改系統的防火牆設定檔
• 自動防禦與手動防禦的差別與適用時機，請參考（防火牆設定 / 自動防禦設定）與（防火牆設定 / 手動防禦設定）
• 連線被丟棄或封鎖的紀錄，可在（系統日誌 / 連線記錄）與（系統日誌 / 阻斷記錄）查看
• 若您只是想限制「誰可以進管理後台」，用（網路設定 / 連接埠設定 : 存取 IP 設定）的白名單更直接，它會擋在登入頁之前