为什么公司一连内网就弹警告
前几天同事小李新装了台测试服务器，刚接上网，财务部的打印机突然没法用了。查了一圈才发现，是防火墙规则把打印服务的端口给拦了。这种事在办公室太常见，看似简单的防火墙设置，其实藏着不少门道。
先搞清楚你要防什么
不是所有设备都得套上铁桶般的防护。销售部用的展示平板只需要访问官网和PPT，而财务服务器要对接银行接口，安全策略自然不同。先列清楚每类设备的功能，再决定开放哪些通信权限。比如只允许财务机访问特定IP段的443端口，其他一律禁止。
别让默认规则成摆设
很多管理员图省事，直接启用“允许局域网互通”这种宽泛规则。结果病毒一旦进入内网，立刻横向扩散。更稳妥的做法是关闭默认放行，逐条添加白名单。比如数据库服务器只接受来自应用服务器的3306请求，其他来源的数据包直接丢弃。
# 示例：iptables 添加限定规则
<code>iptables -A INPUT -p tcp --dport 3306 -s 192.168.10.50 -j ACCEPT</code>
<code>iptables -A INPUT -p tcp --dport 3306 -j DROP</code>远程维护的坑怎么避
运维老张常通过手机VPN连回公司改配置，有次升级防火墙后忘了加规则，把自己关在外面。现在他都在备用账号里留一条“临时放行手机IP”的策略，有效期设为2小时，改完配置自动失效。这种临时通道比永久开放22端口安全得多。
实际部署时还会遇到钉钉会议掉线、监控摄像头无法推流的问题。多半是防火墙切断了长连接或UDP转发。与其完全放开，不如在规则里明确允许这些应用的特征流量。比如给视频流预留10010-10020端口范围，并限制单IP最大带宽。
日志不是摆设
某天发现有人尝试暴力破解管理后台，翻日志才发现攻击源集中在某个C段IP。立即在边界防火墙上添加拒绝规则后，告警次数从每天上百次降到个位数。定期看一眼拦截记录，能发现很多潜在风险点，比如员工私自搭建的下载机外联行为。
好的防火墙设置就像小区门禁，既要防止陌生人乱窜，又不能影响住户正常进出。每次调整规则后，最好用测试机模拟不同场景走一遍流程，确认业务不受影响再正式生效。