TP-Link 路由器防火牆進階配置：IP/MAC/域名過濾實戰案例

TP-Link 路由器內建防火牆支援 IP 位址過濾、MAC 位址過濾、域名過濾三大維度，可精細管控內網裝置對外存取權限，提升 Wi-Fi 安全性，防範蹭網與惡意攻擊。本文提供三類規則的完整配置邏輯與實戰案例。

前置條件

• 登入路由器管理介面 (通常 https://192.168.1.1 或 tplogin.cn)。
• 先啟用「防火牆總開關」，再進入各子功能頁面。
• 明確理解「預設過濾規則」(Default Filter Rule) 的邏輯：
  • 禁止不符合規則的封包 (白名單模式：僅允許明確允許的)
  • 允許不符合規則的封包 (黑名單模式：僅阻擋明確禁止的)

一、IP 位址過濾 (依來源 IP/目的 IP/埠/協定/時間控制)

案例 1：僅允許特定 IP 存取外網 (白名單)

目標： 192.168.1.103 全通；192.168.1.100-102 完全禁止。

1. 預設規則：「禁止不符合規則的封包」。
2. 新增規則：來源 IP 192.168.1.103，目的 IP 0.0.0.0 (任意)，協定 ALL，埠 0-65535，動作 允許，狀態 生效，時間 00:00-23:59。
3. 100-102 無需新增，預設規則自動阻擋。

案例 2：分時段、分埠、分目的 IP 精細控制

目標：
• 192.168.1.100-102：全天僅允許瀏覽網頁 (TCP 80)。
• 192.168.1.103：08:00-18:00 僅允許存取郵件伺服器 219.134.132.62 (TCP 25/110 + UDP 53)；其餘時間全阻擋。

1. 預設規則：「禁止不符合規則的封包」。
2. 規則 A：來源 192.168.1.100-102，目的任意，TCP 80，允許，全天。
3. 規則 B：來源 192.168.1.103，目的 219.134.132.62，TCP 25/110 + UDP 53，允許，08:00-18:00。
4. 無匹配規則的封包自動阻擋。

二、MAC 位址過濾 (依網卡實體位址控制)

案例：僅允許特定 MAC 存取外網

目標： 僅 00-19-66-80-53-52 可上網，其餘全部禁止。

1. 預設規則：「僅允許已啟用 MAC 清單內的裝置存取 Internet」 (白名單)。
2. 新增 MAC：00-19-66-80-53-52，狀態 生效。
3. 儲存生效，其他裝置即無法連網。

優勢： 防止 IP 竄改繞過限制；劣勢： MAC 可偽造，需配合靜態 ARP/端口安全使用。

三、域名過濾 (依 DNS 解析結果攔截)

案例：永久封鎖特定網站 + 分時段封鎖 .cn 後綴

目標：
• 永久禁止 www.caraphbl.com。
• 08:00-16:00 禁止含 .cn 字串的域名；其餘時間允許。

1. 新增規則：關鍵字 www.caraphbl.com，動作 禁止，時間 00:00-23:59，狀態 生效。
2. 新增規則：關鍵字 .cn，動作 禁止，時間 08:00-16:00，狀態 生效。

域名過濾常見失效原因與排查

1. 檢查防火牆總開關、域名過濾開關、規則狀態是否「生效」。
2. 關鍵字匹配為子集匹配：設 163.com 會攔截 news.163.com；設 www.163.com 僅攔截該完整域名。
3. 本地 DNS 快取導致繞過： 瀏覽器/系統已快取 IP，不再發 DNS 查詢。
   解決：ipconfig /flushdns (Windows) 或修復網路連線、重啟瀏覽器。

結語：三類過濾疊加使用 (IP 精確控制 + MAC 綁定裝置 + 域名應用層攔截) 可構建多層防護。家庭/中小企業建議：預設拒絕 + 白名單 IP/MAC + 域名封鎖惡意/不當網站，並定期審核規則有效性。