共计 1123 个字符，预计需要花费 3 分钟才能阅读完成。
为什么要设置防火墙
我用的是家庭宽带，pppoe 拨号，有公网 IP，映射了群晖等一些服务出去，之前在路由器上设置了访问日志观察了一段时间，基本上每时每刻都会有全世界各地的 IP 做端口扫描探测。
下面是国外国内两个著名的 IP 资产测绘平台上搜索 synology 关键词的情况：
shodan 20W 结果：
fofa 100W+ 结果：
这其中可能就有你我的 nas，虽说一般也没那么容易就被攻击，但做些防护措施总没错的，万一哪天群晖曝出漏洞，也没那么快就被利用到。
我的防火墙设置
我用的是 routeros，目前 filter 表主要做了这么些规则：
1、fasttrack forward，没有指定接口，用于快速转发已经建立起连接的流量（establised 和 related），也就是不需要经过下面的规则了，设置了硬件 offload，可以减轻路由器计算压力
2、fasttrack input，同上，主要区别是一个是转发，一个是路由器本身的服务，比如 VPN 的流量，已经建立连接的 VPN 就不需要继续走下面的防火墙规则了
3、白名单，在白名单里的 IP 直接放行，通常可以设置一些比较固定的远端管理 IP
4、丢弃非法流量和黑名单流量，非法流量有可能是一些特殊机制的扫描造成的，直接丢弃；黑名单来自于下面规则中的扫描行为检测
5、拒绝指定时间段内（例如凌晨 1 点到早上 7 点）对游戏服务器的访问，就几个小伙伴一起玩的 mc 之类的，因为之前发现有小伙伴玩到凌晨 4 点，这很危险，影像身体健康，所以设置了这个手动防沉迷机制。
突然想起这里可能有点问题，因为前面提到已经建立的连接直接就会转发，所以这条规则可能要放到更前面去才能产生效果。
6、监测端口扫描行为并添加到黑名单，这是 routeros 自带的功能，可以自行调整参数，例如 3 秒中内访问了 5 个以上不同的端口试图新建连接。
7、允许访问路由器自身开放的服务，例如 VPN、SSH 等
8、拒绝其它所有进入流量，这个主要是避免访问到路由器上开放的其它一些不必要的端口。如果有需要开放的话，应该手动添加到第 7 条中去。
接下来的计划：
预计还可以研究一下根据地域来阻止访问，例如禁止所有国外 IP 访问，甚至只允许省内访问，群晖上已经设置了禁止国外 IP 访问，这也能阻挡掉很多扫描和攻击行为，注意前面还要放通内网 IP，不然局域网都访问不到了。
NAT 表主要是一些内部服务的端口映射，其中有一条值得一提，用于在局域网通过公网 IP 访问内部服务器的，又叫做 IP 回流、发夹效应（Hairpinning）、“NAT 环回”（NAT loopback） 等等：
当局域网通过网关访问局域网地址时，对源地址进行转换，这样就能在内网通过域名或者公网 IP 来访问到内部的群晖系统了。
所以大家还有什么其它的防火墙设置策略吗？
