手動防禦讓您直接指定「來源 IP ＋ 連接埠 ＋ 通訊協定」，決定要封鎖（DROP）或放行（ACCEPT）哪些連線。當您已經知道要拒絕某個 IP 或網段、或要為特定來源開放服務埠時，就在這裡建立規則。規則是您明確指定的白紙黑字，與自動防禦依日誌自動判斷的機制不同（防火牆設定 / 自動防禦設定）。
畫面帶說明是「手動規則（來源 IP + 連接埠 + 通訊協定）：可封鎖（DROP）或放行（ACCEPT），支援反向與優先權排序。儲存後立即套用。」
什麼情況會用到這一頁：
- 某個 IP 一直在嘗試連線或寄廣告信，要直接擋掉
- 要限定只有特定來源能連 SMTP（25 埠）
- 要為某個外部 IP 開放一個原本沒開的埠
- 除了公司網段以外，其他來源一律拒絕
規則列表
列表欄位如下，可勾選多筆後批次刪除；沒有規則時顯示「目前沒有規則」：
- 啟用：規則是否生效
- 優先權：規則在防火牆中的先後順序，數字越大越先比對
- 來源 IP / 網段：規則比對的來源，例如
203.204.5.6或192.168.0.0/16 - 連接埠：規則比對的埠，例如
25或8000-9000；留空表示全部埠 - 協定：TCP、UDP 或 TCP+UDP
- 動作：封鎖（DROP）或放行（ACCEPT）
- 反向：正向表列（比對列出的來源）或反向（!）表列（比對「不在」列出的來源）
- 備註：說明文字
新增 / 編輯規則
按「新增規則」開啟視窗，填寫以下欄位後儲存：
- 啟用：建立後是否立即生效
- 優先權：可選「排在最前面」或「排在 某來源:某埠 之後」，用來決定這筆規則相對於既有規則的位置
- 協定：TCP／UDP／TCP+UDP
- 連接埠：可填單一埠或範圍，多筆以逗號分隔。欄位提示為「如 25 或 8000-9000（逗號分隔，留空 = 全部）」
- 最長 200 個字元
- 留空表示全部埠
- 反向：選「正向表列」比對列出的來源；選「反向（!）」則比對不在清單中的來源，適合「除了這些 IP 之外全部封鎖」的情境
- 來源 IP / 網段：欄位提示為「如 203.204.5.6 或 192.168.0.0/16（逗號分隔）」
- 最長 500 個字元
- 可填單一 IP、CIDR 網段，多筆以逗號分隔
- 動作：封鎖（DROP）或放行（ACCEPT）
- 備註：選填，最長 200 個字元，欄位提示為「備註說明（選填）」
儲存後規則立即套用，畫面提示「✓ 規則已儲存」；失敗顯示「規則儲存失敗」。刪除則提示「✓ 規則已刪除」，失敗顯示「規則刪除失敗」；批次刪除會先詢問「確定刪除選取的 :count 筆規則？」，完成顯示「✓ 已刪除 :count 筆規則」，失敗顯示「批次刪除失敗」。
三個實用範例
範例一：封鎖某個來源連所有埠
- 啟用：是／協定：TCP+UDP／連接埠：留空（全部）／反向：正向表列
- 來源 IP：
203.0.113.99／動作：封鎖（DROP） - 備註：
廣告來源，2026-10 起封鎖
範例二：只允許公司網段連 SMTP（25 埠）
- 啟用：是／協定：TCP／連接埠：
25／反向：反向（!）／動作：封鎖（DROP） - 來源 IP：
192.168.1.0/24 - 效果：除了 `192.168.1.0/24 之外，其他來源連 25 埠一律封鎖
（這種寫法就是「反向」的典型用途：清單列的是例外，不是打擊目標。）
範例三：放行特定外部 IP 連管理介面的自訂埠
- 啟用：是／協定：TCP／連接埠：
8443／反向：正向表列 - 來源 IP：
198.51.100.25／動作：放行（ACCEPT） - 備註：
外部廠商維護用
優先權與比對順序
防火牆是由上而下逐條比對，先符合的規則先處理。系統產生的規則中，手動規則會排在服務連接埠放行之前，因此：
- 一筆「封鎖」規則可以蓋掉服務埠的放行（例如封鎖某個來源連 25 埠，即使 25 埠是開放的）
- 要放行原本未開放的埠給特定來源，用「放行」規則即可
新增時的「排在最前面／排在…之後」用來決定它在手動規則群中的位置，數字越大越前面。若兩筆規則的先後關係需要調整，編輯該筆規則重新選擇位置即可。
為什麼順序重要：假設您同時有一筆「封鎖 203.0.113.99 全部埠」與一筆「放行 203.0.113.99 連 25 埠」，先比對到的那一筆決定結果。封鎖類規則建議排在前面，例外放行規則排在後面。
常見誤解與陷阱
- 反向規則用錯：反向（!）比對的是「不在清單中」的來源。若您想「封鎖清單中這些 IP」，請選正向表列；選錯方向會變成封鎖全部其他人（包含自己）
- 以為留空埠等於不作用：留空代表全部埠，殺傷力最大
- 以為封鎖只影響外部：規則不區分來源在內網或外網，把
192.168.1.0/24反向封鎖會連內網一起擋掉 - 改了規則卻沒確認實際內容：儲存後請到（防火牆設定 / 基礎設定）的「目前規則」頁籤確認規則真的進去了
- 一次加了太多規則：疑難排解時建議一次只加一筆、馬上測試，確認後再加下一筆
規則把自己擋掉時的救援
若規則設定錯誤導致完全連不上（Web 與 SSH 都中斷），請從實體主機的主控台或帶外管理以 root 身分執行：
touch /ram/.fw-disable
系統監護行程偵測到這個檔案後，會立即清除 domfw 防火牆規則，回到全部放行的狀態。請注意這是暫時的：下一次防火牆套用（重新開機，或任何觸發套用的設定變更）就會恢復規則，請把握時間修正錯誤的規則。
注意事項
- 儲存前請確認「動作」與「反向」的組合符合預期，反向規則很容易不小心封鎖到自己或內部網段
- 規則套用後的實際內容，可在（防火牆設定 / 基礎設定）的「目前規則」頁籤確認
- 來源已知、要精準拒絕時用手動防禦；來源未知、要依行為自動判斷時用（防火牆設定 / 自動防禦設定）
- 限制管理介面的來源，建議用白名單處理，它會直接擋在登入頁之前（網路設定 / 連接埠設定 : 存取 IP 設定）
- 被本頁規則擋掉的連線，可在（系統日誌 / 連線記錄）與（系統日誌 / 阻斷記錄）追查