防火墙添加白名单在哪设置

防火墙白名单需在操作系统或安全平台的防火墙管理界面中，通过“高级设置—入站规则—新建规则”路径逐项配置。Windows系统依托“高级安全Windows Defender防火墙”，支持以程序路径、端口号（如80/TCP）、IP地址（含CIDR网段）三类对象创建精准放行规则；macOS在“系统偏好设置→安全与隐私→防火墙选项”中提供应用级白名单开关；Linux主流发行版则通过firewalld命令行执行`--add-port`或`--add-rich-rule`实现策略写入；云服务商如华为云、腾讯云亦在WAF控制台开放“防护策略→黑白名单”可视化入口，支持按域名粒度配置IP白名单并设定生效周期。所有配置均须严格遵循最小权限原则，确保每条规则具备明确来源、用途及生命周期管理依据。

一、Windows系统白名单配置的实操要点

在“高级安全Windows Defender防火墙”中，新建规则需严格区分对象类型。添加程序白名单时，必须定位到其真实.exe路径（如C:\Program Files\TeamViewer\TeamViewer.exe），勾选“专用”与“公用”网络后命名规则为“TeamViewer_远程访问_2024Q3”。若开放端口，例如数据库服务3306，应选择TCP协议、本地端口填“3306”，网络类型仅勾选“专用”，避免公网暴露。IP白名单则须进入“自定义规则”，在“作用域”页签中手动输入单IP（如192.168.5.100）或CIDR网段（如10.0.20.0/24），禁止使用“任何IP”选项；每条规则名称需体现业务场景、责任人及有效期，便于后续审计。

二、macOS平台白名单的启用逻辑

macOS不提供IP或端口级细粒度控制，仅支持应用程序层级放行。需先点击“防火墙选项”，解锁后点击“+”号添加已签名应用，系统自动校验开发者证书并记录签名哈希值。对于未签名工具（如自制Python服务），必须通过终端执行`sudo spctl --master-disable`临时关闭Gatekeeper，再将应用拖入白名单列表——此操作需同步在“隐私与安全性→完全磁盘访问”中授权，否则仍会被拦截。所有添加项默认仅对“已连接网络”生效，无定时或分级策略功能。

三、Linux firewalld白名单的命令规范

以CentOS Stream 9为例，执行`firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.45" port port="22" protocol="tcp" accept'`可精确放行某IP的SSH端口。关键在于：所有`--permanent`命令后必须执行`firewall-cmd --reload`，且需用`firewall-cmd --list-rich-rules`验证语法正确性。若批量导入IP，建议先生成规则脚本，逐条执行并记录返回码，避免因单条失败导致整批失效。

四、云WAF白名单的周期化管理

华为云WAF白名单支持“周粒度生效”，例如设定每周一至周五9:00–18:00放行运维专线IP；腾讯云则需通过API传入JSON参数，其中`priority`字段必须唯一，重复值将导致策略创建失败。所有云平台均限制单域名白名单条目数，企业版用户若达4990条阈值，须立即启动清理流程，下线超6个月无访问日志的IP条目。

白名单不是静态配置，而是需要持续验证、定期迭代的安全契约。