ZoneAlarm 自定义防火墙规则——开放端口、阻止 IP、导入导出规则集

先说明：默认规则已经足够好

ZoneAlarm 的默认防火墙规则（安全区域 + 应用控制 Auto + OSFirewall 默认覆盖）已经在"防黑"这个场景里把绝大多数风险堵得严严实实。99% 的用户永远不需要修改这些规则——下面这些场景才值得动：

如果只是普通的浏览、下载、游戏，保持默认就好。手动开放一个端口等于在防墙上开一个门——门开了就有人会试图进，除非你明确知道自己在做什么。

典型场景：你在家里电脑上跑了个 Minecraft 服务器，想让朋友从外网连进来。ZoneAlarm 默认拒绝所有外部主动发起的入站连接，朋友连不上——需要手动开放 Minecraft 的监听端口。

操作步骤：

只开放必要的端口：不要一口气开放 10 个端口等"可能会用到"，每个开放的端口都是攻击入口
尽量只针对可信 IP：如果只让固定几个人连，把远端 IP 填死，不要设 Any
开放完关掉：临时场景（比如开一天 Minecraft 派对）用完立即删掉这条规则，不要长期开着
配合路由器端口映射：ZoneAlarm 开放了端口不代表朋友能从外网连过来——如果你的电脑在路由器 NAT 后面，还要在路由器里把外部端口映射到你电脑的内网 IP

典型场景：某个 IP 一直在批量扫描你的端口（日志里反复出现同一个 IP 的扫描记录），想彻底封掉它。

操作步骤和开放端口类似，但动作选 Deny：

字段	示例
规则名称	阻止扫描源
方向	Inbound（也可以同时 Block Outbound 防止你的电脑主动连回它）
协议	Any
本地端口	Any
远端 IP	单个 IP 或 IP 网段（如 192.168.100.0/24）
动作	Block（比 Deny 更彻底，Block 直接丢弃数据包，Deny 返回拒绝响应）

Block 和 Deny 的区别：

对抗端口扫描用 Block 更好——扫描方会以为这个 IP 根本不存在，不会继续针对你。

ZoneAlarm 支持把完整的防火墙规则导出为配置文件（.cfg 格式），再导入到其他电脑上。适用场景：公司 IT 管理员给 50 台电脑批量部署防火墙规则，或者你自己家里多台电脑想用同一套规则。

操作：

注意：导入规则会覆盖当前所有防火墙设置，包括安全区域级别、应用控制模式、OSFirewall 规则——导入前确认是你想要的配置，或者先导出当前配置做备份。

开放端口时可以参考下面这个表，但记住：能不开放就不开放：

端口	协议	用途	安全建议
22	TCP	SSH 远程登录	只在需要时开放，强烈建议配合密钥登录禁用密码
80	TCP	HTTP Web 服务器	如果你跑 Web 服务才需要
443	TCP	HTTPS Web 服务器	同上
3389	TCP	Windows 远程桌面 RDP	严禁从公网直接开放——RDP 暴力破解是最高频的远程入侵手段，一定要放在 VPN 后面
445	TCP	SMB 文件共享	互联网区域绝对禁止开放，局域网共享用 Trusted Zone Medium 级别就够了
25565	TCP	Minecraft Java 版	游戏服务器临时开放
27015	UDP	Steam 游戏服务器	游戏服务器临时开放
53	TCP/UDP	DNS 域名解析	不需要手动开放，ZoneAlarm 默认允许系统 DNS 请求
80/443 出站	TCP	浏览器正常访问	应用控制 Auto 模式自动放行 Chrome/Edge/Firefox

如果发现某个程序突然上不了网（浏览器打不开网页、游戏连不上服务器），可能是自定义规则和默认规则冲突了：

恢复默认配置的操作：Firewall → Reset Configuration → 确认。这会清空所有自定义规则，恢复安全区域默认级别，应用控制回到 Auto 模式。

ZoneAlarm 双向防火墙（四层防御第一层·网络层）到此全部讲完。核心概念回顾：

下一个模块是 ZoneAlarm 四层防御的第三层——杀毒引擎：