路由器防火墙怎么设置：分模式配置方案

路由器防火墙怎么设置，优先在Web管理页开启基础防护，分为拦截外网主动入站、管控内网出站两类规则，家用宽带无公网IP时只开启默认防火墙即可，有公网IP、搭建内网服务器、远程访问设备的场景需要手动添加放行规则，仅支持IPv4的老旧路由器不具备IPv6防火墙控制能力，配置错误放行端口会让内网设备暴露在公网，调高防护等级可能带来部分游戏、视频通话连接卡顿。

路由器防火墙怎么设置：登录与基础开关

你在浏览器输入路由器后台地址，常见为192.168.1.1或192.168.0.1，输入管理员账号密码进入后台，在安全、高级安全或者防火墙菜单找到总开关。基础模式一般预设为拦截外网主动发起的连接请求，内网设备主动向外访问的数据包默认允许通行，这是家用场景最稳妥的选择，不需要额外改动规则。不要直接选择最高防护等级，该等级会过滤较多数据包，部分P2P类应用会出现连接失败。

核对路由器IP版本支持情况。

带有IPv6标识的路由器会单独分出IPv6防火墙选项，IPv6地址本身公网可达，不开启IPv6防火墙时，内网设备更容易被外部扫描探测，如果你家宽带分配了IPv6地址，建议同步开启IPv6防火墙，规则逻辑和IPv4保持一致，没有特殊服务就不新增放行条目。

路由器防火墙怎么设置：端口放行与黑名单

端口放行也就是添加虚拟服务器规则，属于防火墙的例外策略，只有当你需要外网访问内网NAS、监控、自建服务时才添加。填写内容包含内网设备固定IP、内部端口、外部端口、协议类型，TCP和UDP协议要分开建立规则，不要直接填写1到65535的大范围端口段，大范围放行会大幅扩大暴露面。曾经有人一次性开放全部端口段用于测试，短时间内收到大量来自公网的扫描包。

IP黑名单功能用来阻止特定外部IP访问你的内网，你可以把路由器系统日志里频繁发起连接尝试的IP填入黑名单，黑名单只对入站流量生效，内网设备主动向这个IP发起的访问不会被阻断，适合长期拦截反复扫描的地址，不适合用来屏蔽国内视频网站这类出站访问目标。

路由器防火墙怎么设置：内网访问管控

出站管控用来限制内网设备访问外网，可以按单台设备IP或者MAC地址设置，支持按时间段、目标网站、目标端口限制访问。比如给家里的终端设置工作日晚间禁止访问游戏服务器端口，这类规则优先级高于基础入站防护，配置之后内网设备向外发起的请求也会被防火墙校验。出站规则和入站规则分开管理，不要在入站端口放行菜单里配置网站拦截，两类规则生效链路不一样。

配置完成后保存并测试连通性。

保存规则之后，优先测试需要使用的业务，远程服务用外网流量测试访问是否正常，普通上网、聊天、网页浏览也逐一确认。修改防火墙规则后，已经建立的网络连接不会立刻断开，需要重新建立连接，部分路由器需要重启防火墙模块才能让新规则完全生效，不用直接重启整台路由器。

该方法的适用边界是路由器自带防火墙模块，软路由、企业路由的防火墙功能独立，配置界面、规则语法和家用路由器差异明显，不能直接套用这套菜单路径；光猫桥接模式下，防火墙要在后置路由器里配置，光猫路由模式则需要在光猫后台操作。

定期查看防火墙日志，日志会记录被拦截的连接来源IP、端口、时间，持续出现大量拦截记录属于正常现象，代表防火墙正在工作；如果日志持续出现放行规则之外的大量连接成功记录，说明存在规则配置疏漏，你要回到防火墙页面复查已经添加的放行条目。

路由器防火墙属于边界防护，它无法查杀内网设备里已经运行的恶意程序，内网设备中毒之后向外发起的对外连接，默认情况下防火墙不会拦截，搭配终端杀毒软件，能够形成多层防护。

路由器防火墙规则生效顺序为黑名单优先，其次是自定义放行规则，最后执行默认基础策略，调整规则顺序可以改变拦截效果，新建规则默认排在末尾，如果你需要优先拦截某一类流量，手动把黑名单条目向上移动。