关于防火墙规则的简单看法

柯林

好多网友发帖询问防火墙规则的做法，看来这些朋友不常到防火墙区走动，那里面有很好的教程啊。为了帮助这些朋友，我简单地说点个人的肤浅看法。
防火墙规则，一般分为全局规则和应用程序规则两部分。
全局规则，从应用程序的角度而言，是对所有程序都起作用的规则；从协议的角度而言，是针对ARP、ICMP、IGMP、TCP、UDP等协议进行规则设置的地方。
应用程序规则，从应用程序的角度而言，只对所设定的程序起作用；从协议的角度而言，只针对传输层的TCP、UDP协议以及消息控制的ICMP协议进行设置【很多防火墙中，应用程序规则只管TCP与UDP的设置即可，毛豆这里顺带考虑ICMP】。
TCP、UDP、ICMP、IGMP数据都是打包成IP数据包的形式进行传递的，所以，当毛豆规则中选用协议为IP时，实际上就包括了TCP、UDP、ICMP、IGMP等协议的数据。
全局规则，毛豆有内部集成的处理机制，一般不建议作特别详细和严厉的设置，通常只需选择一个适合自己使用的隐身模式设置一下即可，主要的精力可以放到应用程序规则的制定上，这样可以在保证基本的安全性的前提下获得很好的易用性。

在设置应用程序规则的时候，记住一个基本原则——不要轻易放行连入。因为我们的个人电脑一般不作服务器用，不需要对外开放端口来提供服务让别人连接访问我们的电脑，我们是客户端，只需出外去连接服务器开放的端口就能浏览网页、上网站、逛论坛……
应用程序规则的制定，围绕协议、地址和端口这三个要素进行。
当我们发起对外的连接【外出访问，连出】时，源地址是本机，目标地址是远程计算机【可能是服务器，也可能是个人电脑】。
当我们开放本机端口提供服务【接入访问，连入】时，源地址是远程计算机，目标地址是本机。
如非必要，在做规则时，一般可以不填源地址和目标地址。
【方向出，一般称为出站、出站连接、外出、连出；方向入，一般称为入站、入站连接、连入。名词虽不同，意思都是一样的】
计算机上的端口，理论上有0-65535个，按TCP和UDP协议分，则TCP端口和UDP端口各有65536个。
在这65536个端口中，0-1023的端口是固定端口【又称低端口】，是特定的系统服务占用的，如非必要，绝对不能开放低端口；从1024开始到65535止，是系统分配给应用程序使用的，称为活动端口【又称高端口】。高端口与低端口的名称，源自端口号的大小，是一种俗称。
使用TCP端口进行连接，俗称TCP连接；使用UDP端口进行连接，俗称UDP连接。TCP连接是可靠连接，网络数据传输中使用得比较多。UDP连接虽然是不可靠连接，但是传输速度较快，QQ和P2P软件中会使用它。
【要了解各个端口的作用及对应的服务，可以下个《端口大全》之类的资料进行参考】
【本地高端口（活动端口）的选择，精确一些的话，选常用端口即可。xp的常用端口是1024-5000，vista的好像是49512-65535。一般情况下，偷懒的话，直接选满档1024-65535即可。注意，域名解析的规则，一定要选1024-65535，因为微软的补丁变来变去的，一会儿是常用端口，下一个补丁来了可能又变成50000以上的大端口】
基本东西了解，程序规则做起来就很简单。
先看系统进程：
外网的话，只须允许svchost即可，其它的可以禁止访问网络。svchost的规则如下：
1、域名解析  行为允许 协议UDP 方向出  源端口1024-65535  目标端口53
2、DHCP服务  行为允许 协议UDP 方向出  源端口68  目标端口67【有的规则直接写成源端口67-68，目标端口67-68，目的是同时适用于客户端与服务端】
3、时间同步 行为允许 协议UDP 方向出  源端口123  目标端口123
4、系统更新 行为允许 协议TCP 方向出  源端口1024-65535  目标端口80和443【不用系统更新的删掉】
5、UPNP 行为允许 协议UDP 方向出  源地址任意 目标地址239.255.255.250 源端口1024-65535  目标端口1900【不用upnp可以不设】
6、扎口袋 行为阻止 协议TCP/UDP 方向出/入  【从严厉的角度讲，协议应选IP，如果不清楚它是否使用ICMP协议，那就选TCP/UDP即可】
扎口袋的作用，是阻止不必要的弹窗——不在前面规则设定允许之列的一律阻止，不要再来弹窗询问。
如果是内网的话，再加个system的规则即可。只需共享其它计算机文件的，按如下设置：
1、行为允许 协议IP 方向出  源地址任意 目标地址为 本地网络1#
同时在全局规则中也添加：行为允许 协议IP 方向出  源地址任意 目标地址为 本地网络1#
如果允许其他计算机共享本机文件，按如下设置：
1、行为允许 协议IP 方向入  源地址本地网络1# 目标地址任意
同时在全局规则中也添加：行为允许 协议IP 方向入  源地址本地网络1# 目标地址任意
注意：以上规则如果要细化，请将IP协议改为UDP，添上目标端口为137-138；将IP协议改为TCP，添上目标端口为139
也就是把1、行为允许 协议IP 方向入  源地址本地网络1# 目标地址任意  改为
1、行为允许 协议UDP 方向入  源地址本地网络1# 目标地址任意 来源端口任意 目标端口137-138
2、行为允许 协议UDP 方向入  源地址本地网络1# 目标地址任意 来源端口任意 目标端口139
【文件共享，一般只需访问UDP137-138端口（获取机器名称），TCP139端口（传文件）即可；对于2000之类的系统，使用445端口来共享文件，那就再加上UDP445与TCP445端口的规则即可，局域网中共享远程打印，也会使用445端口和upnp服务（该服务一般在svchost中设置即可）】
【对于只想允许特定IP的计算机（例如死党、好友）共享本机文件的情况来说，请把 源地址本地网络1# 改为指定的局域网内计算机的IP地址，要允许几台计算机，就添加几条规则】
使用VPN的话，再加个lsass的规则即可。全局规则里可能需要设置一下协议支持，具体参看VPN的设置方法。

应用程序规则，可以分一下类：
1、只做客户端。这是最大的一类。无论这种客户端软件使用的TCP协议还是UDP协议，对于它们来说，规则都是出奇的简单——使用本机的活动端口【1024-65535的高端口】出外连接【方向出】远程计算机【服务端】的服务端口即可。比如我们熟悉的浏览器，以TCP协议的方式连接服务器的80端口【HTTP】，如果需要加密连接【例如网络银行之类的特殊场合】就再加条以TCP协议的方式连接服务器的443端口【HTTPS】，如果要使用代理，那就再加上以TCP协议的方式连接服务器的1080端口、3128端口、8080端口即可。一般应用程序升级，只须HTTP连接即可【以TCP协议的方式连接服务器的80端口】。像联众、中国在线游戏之类的一般性游戏，只须以TCP协议的方式连接远程服务器开放的指定端口，既可登录游戏中心玩游戏。
注意，HTTP服务的端口，标准规定是80端口，但是有些网站却使用其它端口来做HTTP服务【HTTP服务端口是可以设定的】，例如82、83、88、90、1721、8080、8888等。所以，当浏览器的规则设定HTTP访问只能访问80端口时，遇到这样的网站，就会被防火墙拦截而无法正常访问。解决的办法是：一、这种另类网站很少，无视。二、自控掌握，规则结尾写上一条TCP协议的本机高端口访问远程任意端口时询问的规则。
如果没有在系统服务中禁用DNS Client服务，域名解析是由svchost进程代劳域名解析的；如果禁用了该服务，就得启用应用程序本身的域名解析功能，这就需要在规则中添加上一条允许本机高端口【1024-65535】出站连接【方向出】远程UDP【UDP协议】53端口的规则。【域名解析的作用，是把域名翻译成IP地址，因为计算机的网络通信只认IP地址，如果没有域名解析功能，当我们输入www.kafan.cn的时候，浏览器就不知道它要连接的是什么地址，结果就会报错而无法访问。域名解析有TCP和UDP两种方式，一般只用UDP方式，因为UDP速度快，无需像TCP为了建立一个连接须进行三次握手、为了断开一个连接又须发出确认标志，适合DNS服务的快连快断的特点】。
（如果不确定是否需要启用程序的域名解析功能，一般建议在应用程序规则中加上一条域名解析的规则以防万一）
以浏览器规则为例，其规则一般一两条就够了：
①HTTP访问  行为允许 协议TCP 方向出  源端口1024-65535  目标端口80,443
②域名解析  行为允许 协议UDP 方向出  源端口1024-65535  目标端口53
③扎口袋 行为阻止 协议TCP/UDP 方向出/入
注意，上面的①②两条规则如果合并为一条规则：允许发起对外的访问 行为允许 协议IP 方向出时，实际上是比较宽松的，它包含的意思是，允许本机0-65535的端口【实际上应是1024-65535，系统分配给应用程序使用的活动端口号是从1024开始的】以TCP或者UDP的方式访问远程的0-65535端口 ，还允许对外发出任意的ICMP消息【只要是全局规则没有禁止的而程序能发的都会被允许】。如果再加上一条扎口袋的规则，它就成了”只允许外联访问“。
2、既是客户端又是服务端。这类软件也很多，P2P软件【迅雷、电驴、快车、网络电视……】、QQ、大型网游【CS、魔兽争霸……】。这类软件，客户端规则与上面第一类基本相同外，由于还会开放本机端口【通常是一个TCP端口和一个UDP端口】做服务端，所以还要加上服务端的规则——允许远程计算机的活动端口来连接【方向入】本机的服务端口【如果想精确控制，那么需要明确写上本机开放的是哪个端口号。由于我们不知道P2P软件究竟设置了哪个端口来做服务端口，模糊处理，可以指定范围——本机允许该软件使用高端口1024-65535范围内的端口来做服务端口，这样做出的P2P软件规则就会具有很大的通用性。倘若采用精确控制的方法来设定P2P软件的规则，如果所有的P2P软件都套用该规则，那么，就得在P2P软件上改设置——所有的P2P软件，不论是迅雷还是BT，都只能使用规则中指定的端口来做服务端口，否则就会被防火墙拦截】。
对于这类软件的规则，以P2P规则为例，不做精确控制的话，五条规则即可：
①外出访问 行为允许 协议TCP/UDP 方向出  源端口1024-65535  目标端口任意
②接入服务 行为允许 协议TCP/UDP 方向入  源端口1024-65535  目标端口1024-65535
③域名解析  行为允许 协议UDP 方向出  源端口1024-65535  目标端口53
④允许ping出  行为允许 协议ICMP 方向出  ICMP细节：ICMP回显请求
⑤扎口袋 行为阻止 协议TCP/UDP 方向出/入
如果做精确控制，那就是：
①外连访问 行为允许 协议IP 方向出
②接入服务 行为允许 协议TCP 方向入  源端口1024-65535  目标端口TCP服务端口
③接入服务 行为允许 协议UDP 方向入  源端口1024-65535  目标端口TCP服务端口
④扎口袋 行为阻止 协议TCP/UDP 方向出/入
考虑到规则中端口限制过死，对于不使用固定端口做服务端口以及软件上开放的服务端口号与规则中不一致时需要进行修改，很麻烦。那么，我们可以变通一下，使用默认的全局规则出入询问来帮助我们自动精准地对端口。补充一点ICMP规则，变通后的P2P程序规则如下：
①外连访问 行为允许 协议IP 方向出
②回应消息 行为允许 协议ICMP 方向入  ICMP细节：回应ping
③端口不可达 行为允许 协议ICMP 方向入  ICMP细节：端口不可达
④超时消息 行为允许 协议ICMP 方向入  ICMP细节：超时
⑤分片消息 行为允许 协议ICMP 方向入  ICMP细节：需要分片
好了，这样5条就已经够用了。使用这5条，已经很安全而又易用地对P2P类的程序网络访问进行了控制。
像QQ这种聊天软件来说，直接套用P2P的规则也无不可，如果模糊控制，那就是两条规则：
①外联访问 行为允许 协议IP 方向出  
②接入服务 行为允许 协议TCP/UDP 方向入  源端口1024-65535  目标端口1024-65535
如果要细化一点，作些精确控制，那么就是：
1、允许外出的HTTP访问【本机高端口连接远程服务端的TCP80、443、1080、3128、8080、8000、12000端口】
2、允许ICQ访问【本机UDP4000-4002端口连接远程服务端的UDP8000-8002端口，本机UDP5000-5002端口连接远程服务端的UDP9000-9002端口】
3、接入服务 【远程客户端UDP4000-5002端口连入本机UDP9000-9002端口】
4、文件传输 TCP方式 【本机高端口1024-65535外出访问远程服务端的高端口1024-65535】
5、文件传输 UDP方式 【本机UDP6000-6012端口访问远程服务端的高端口1024-65535】
6、扎口袋或者询问
如果参照上面的P2P经典5条，那么，只须写第一条外连访问即可，开放本机服务端口由弹窗询问来控制。
一般来说，能够进行精确控制的，尽量精确控制。究竟是采用精确控制还是模糊控制，除了个人选择之外，一般需要根据防火墙类型来确定。像jetico、LNS之类的防火墙，都是采用精确控制的；像风云、毛豆之类的防火墙，可以采取模糊控制；像PCT之类的大多数防火墙，总的设定初看是模糊控制，而实际使用中是精确控制——当检测到一个应用程序开放某端口时，会弹窗询问，如果用户选择确定，就将允许连入该端口的规则加入白名单。
魔兽争霸等大型网游的规则，与P2P一样，可以单独设置，也可以直接套用P2P规则。
超越以上两类，不知道如何分类才好的，是杀毒软件【这里说的杀毒软件是指具有网络监控和访问服务代理的杀毒软件（比如卡巴、avast、AVG之类），对于绿色杀软和一般的杀马软件只须升级病毒库的对其升级程序给予HTTP连接的规则即可】的规则。对于杀毒软件的规则，建议采用毛豆默认的规则【只一条】：
全权允许【行为允许 协议IP 方向出/入】

如果全局规则按照U版的打磨规则进行了详细的设置，那么，应用程序规则中允许的端口，全局规则中必须放行，否则就会被全局规则拦截而使程序无法正常访问或是影响连接速度。

【最后提请注意一点，在程序规则及数据的过滤上，各种防火墙的控制不一样，有的只须单向过滤即可（例如毛豆、CHX），有的需要双向控制（例如LNS、JETICO），请根据所用防火墙的特点灵活掌握。本帖所谈内容主要是针对毛豆来讲的。】

好了，基本上就是这样。
罗哩叭嗦说半天，不知道新手是清楚了还是越发糊涂了。水平有限，只能讲成这样子，不对之处还请大家批评指正，以免误人子弟。

附录一点参考资料：

windcn

搞规程不容易，写教程也不容易，谢谢分享

lujunji1987

防火墙还没学，一直是禁用的，要像柯灵学习

887799

不错，长知识。

satelite

支持学习了

叉烧包.

学习受用了

tlze

来学习，谢谢分享。

fkrs10

看了一遍，有点明白又迷糊。呵呵，不过，多看几遍应该就清楚得多了。这是极好的初学者普及教材，非常感谢－－我以为，在书店买来的教科书也不会比这详细。

lance2000

有图片说明就好了，还是多谢了，顶。。。。

ybb

写的很好，看的明白。
顶起。