防火墙怎么设置白名单只允许某IP？

防火墙设置IP白名单，本质是通过精准的访问控制策略，仅放行指定源IP地址对特定端口或服务的连接请求，其余流量一律拦截。这一机制广泛应用于Windows系统高级安全防火墙、主流家用路由器、Linux服务器（iptables/firewalld）、云平台（如华为云、腾讯云）及企业级安全设备中：在Windows中需新建“自定义入站规则”，明确限定远程IP范围并设为“允许连接”；在Linux下可通过firewalld将可信IP加入trusted区域，或用iptables按顺序部署ACCEPT与DROP规则；云环境则依托安全组与访问控制策略，在控制台图形化配置源IP、协议类型与目标端口，并支持高优先级生效与日志审计。所有配置均需兼顾规则顺序、自身管理通道保留及定期验证，确保安全与可用性并重。

一、Windows系统白名单配置实操步骤

打开“控制面板→系统和安全→Windows Defender 防火墙→高级设置”，右键“入站规则”选择“新建规则”。在向导中选择“自定义”，程序路径保持默认（适用于所有应用），协议与端口处勾选“TCP”，并指定目标端口（如3389远程桌面或80/443 Web服务）；在“作用域”页，“远程IP地址”选“下列IP地址”，点击“添加”填入单个IP（如203.0.113.5）或CIDR格式网段（如192.168.10.0/24）；操作页选“允许连接”，配置文件勾选域、专用、公用三类网络；最后命名规则为“仅允许可信运维IP访问RDP”，完成即生效。务必在创建前确认当前管理会话IP未被排除，建议先启用日志记录以验证拦截行为。

二、Linux服务器firewalld精准管控方法

以CentOS 8/AlmaLinux为例，执行命令firewall-cmd --permanent --zone=trusted --add-source=203.0.113.5/32，将单一IP纳入高信任区域；若需限制特定服务（如仅开放SSH给该IP），则使用富规则：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.5" port port="22" protocol="tcp" accept'。全部配置后执行firewall-cmd --reload强制重载，再用firewall-cmd --list-all-verbosee检查规则是否按预期加载。注意：trusted区域默认放行所有服务，故生产环境推荐使用rich-rule方式实现最小权限原则，避免过度授权。

三、云平台安全组白名单部署要点

以华为云为例，进入“云防火墙→访问控制策略→新建规则”，源地址填写精确IP或标准CIDR（如198.51.100.10/32），目标地址设为对应ECS实例私网IP，协议选择TCP，目的端口输入22或8080等实际业务端口，动作设为“允许”，优先级拖至最高（数值最小），并勾选“开启日志记录”。腾讯云用户则在CVM实例关联的安全组中，新增入站规则，源IP类型选“IP地址”，填入192.168.1.100，协议端口同上，保存后立即生效。两类平台均需在配置后通过curl或telnet从白名单外IP发起探测，确认连接被拒绝，再从白名单IP验证通达性。

四、关键注意事项与验证闭环

必须在规则启用前预留带外管理通道（如物理控制台或云厂商VNC），防止误封导致失联；所有规则应标注清晰用途与责任人，写入运维文档；每周导出防火墙日志，筛选被DROP的IP进行趋势分析；每月执行一次白名单清理，剔除已离职人员或下线设备IP；变更后须用nmap -sT -p 22,80 192.168.1.100等工具做端口可达性扫描，形成“配置-测试-记录-复核”闭环。

综上，IP白名单不是简单添加一条允许规则，而是贯穿策略设计、分层部署、实时验证与持续运营的系统性安全实践。