2023年12月2日发(作者：)

防火墙端口限制操作步骤

4120-R系列设置方法

1 连接准备

防火墙开机，用一台PC机（或笔记本电脑）通过交叉线连接到防火墙的管理口（默认设置是ETH1口），将本机IP地址设置为：192.168.1.x，掩码为255.255.255.0，ping通192.168.1.100 （防火墙管理口默认地址，如之前修改过又忘记了，可从串口登录用show interface 查看）。

由于防火墙是通过Web浏览器进行管理，首先要对浏览器进行设置

• Windows 2000、Windows XP、Windows 2003，IE 6.0以上版本

• Windows XP sp2系统，进入“工具—﹥Internet选项—﹥安全—﹥Internet —﹥自定义级别”，将“下载未签名的ActiveX控件”的“禁用”改为“提示”

在“隐私”选项中，关闭“弹出窗口阻止程序” 2 登录防火墙

打开浏览器，输入访问地址：192.168.1.100,进入登录界面

输入用户名（一般为admin），口令（初始口令为：neteye）

限制端口设置

关于端口的设置一般有两种方式办法

第一种方式 ：

限制一些特定的端口，其余端口全部开放

方法：先设置一条从内外访问外网的全允许规则（这条规则之前的设置中已经存在了，无需添加）；然后再添加拒绝规则，以拒绝开放一些端口，拒绝的规则优先级应高于全允许规则。

添加限制端口的步骤：

点击菜单 安全设置>访问控制，

点击“添加规则”按钮，建立包过滤规则 方向设置选“IN”到“OUT”，动作项选“拒绝”，然后点击“下一步”

注：大部分营业部ETH0命名为OUT（或者WAN）接宽带路由器外网，ETH2命名为IN(或者LAN)接内网交换机。也有个别例外，只需选对方向为内网口到外网口即可。

添加访问源地址0.0.0.0-255.255.255.255，目的IP地址0.0.0.0-255.255.255.255，然后点击“下一步”按钮，进行端口设置 在协议栏选TCP，名称可随便命名（主要方便自己加以区别），目标端口输入要限制的端口号，可以输入一个或者连续的一段端口号，如以上限制了tcp7708和tcp7709端口，源端口一般不做限制1-65535，然后点击图中向下按钮添加到以下端口列表中， 如需要其他限制多个端口可以重复此操作。

然后点击“下一步”

直接点击“完成”。

注意：新添加的规则开始一般都在最下面，防火墙策略的优先级为从上至下，所以新建的拒绝策略移动到之前全允许的策略上面才有效。

上图选择策略2，移动到第“1”一条，点击“移动”

最后点击左下角“保存并应用”按钮即可

第二种方式：

开放常用的端口，其余的全部拒绝。（全部拒绝的这条规则不用添加，因为防火墙找不到匹配的允许规则就会不允许数据包通过，如果想添加应移动到所有规则的最下面，优先级为最低）

方法：删除之前建立的所有规则，见下图，点击右边操作框中的“删除”按钮，一一删除。 然后添加新的规则，开放常用端口。添加方法与上述添加拒绝规则大致相同，除了第一步中的“动作”项改为允许。

5120系列防火墙设置方法（目前只有阳朔、东兴、福州营业部使用）

登录防火墙（登录方式与4120相似）

• 游览器192.168.1.100 （防火墙端口地址），将出现一个安全警报（如图），点击“是”

• 同一时刻只能有一个用户配置防火墙，登录时可以选择覆盖其他用户配置锁，取得配置权。

登录之后界面如下： 选择菜单：配置>策略>安全策略，添加安全策略。

第一种方式 ：

限制一些特定的端口，其余端口全部开放

建立一条全部允许策略（之前配置与存在），再添加拒绝规则，拒绝掉想要拒绝的服务。

如下操作

添加一条名称为zhengquan的规则，序号选“1”(目的是让其优先级高于全允许规则)，然后点击“应用”，在点击“zhengquan”规则进行编辑。

如下图： 在服务选项选“自定义”协议选TCP,源端口选1-65535，目的端口选需要限制的端口号，如上图所限制的是8001和8002端口，然后添加到右边列表中，重复操作可添加其他端口（如上图限制了很多端口）

动作选项选“拒绝”表示以上所选端口被拒绝。

添加完毕“应用”

在右边“启用”对话框中勾选启用此规则，最后应用并保存即可。

第二种方式：开放常用的端口，其余的全部拒绝

方法与上面4120描述形似。

建议：为了是ping数据包能通过防火墙我们应添加一条允许ICMP包的策略，此规则只为方便网络故障时的判断，与其他业务无关，可添加也可不添加。