防火墙菜单的核心功能

L3/L4 边缘协议过滤

该防火墙直接绑定在网关分配的独立公网 IP（Staple IP）上。流量在进入反向代理（Reverse Proxy）、GRE 或 FOU 隧道回源之前，就会先经过边缘节点的清洗。这意味着可以直接在网络的最前线阻断恶意 TCP/UDP 探测，从而为后端的自托管应用提供基础的抗 DDoS 能力，降低源站的 CPU 和带宽负载。

反向代理（Reverse Proxy）：由边缘节点代理转发 UDP 负载。【该功能默认没开启，应该需要开通其他功能】

隧道模式（GRE / FOU Tunnel）：将原始 UDP 包封装在隧道中发送至 Target IP，这对于需要保留客户端真实 IP 的 UDP 业务（如游戏或 Mesh VPN 节点 arbitration）非常有用。【这是默认的模式】

（文档：https://docs.gatewaysentry.com/Configuring_Firewall_Rules）

原理

在基于状态检测（Stateful Inspection，类似于 Linux netfilter/conntrack 机制）的防火墙中，“Connection State（连接状态）”用于控制防火墙如何处理 TCP 会话在其生命周期中的不同阶段。它不仅检查源 IP 和端口，还会根据 TCP 三次握手和数据传输的上下文来追踪网络流量。

针对图中TCP 协议下的各个组合选项，其具体含义如下：

核心状态基石

理解菜单中的组合选项前，需要先明确三个底层基础状态：

• NEW（新建）：代表试图建立新连接的第一个数据包（在 TCP 中通常是带有 SYN 标志的包）。
• ESTABLISHED（已建立）：代表连接已经建立，且防火墙已经看到该连接的双向通信数据包（即握手已完成，或者已经有返回流量的后续包）。
• RELATED（相关联）：代表该数据包试图建立新连接，但它与一个现有的 ESTABLISHED 核心连接在逻辑上明确相关联（例如：由于连接超时/端口不可达产生的 ICMP 错误消息，或者 FTP 等分离控制/数据通道的辅助连接）。

--TCP防火墙的选项细解

UDP就是无状态的，只有端口和地址设置

面板组合选项解析

根据这些基础状态，面板中的选项为您提供了不同维度的流量控制方案：

• ANY（任何状态）
• 含义：完全无视连接追踪（Connection Tracking）上下文。只要协议、IP 和端口匹配，无论它是建连的第一个包、中间传输包还是未知的乱序包，都一律执行匹配后的动作。
• 适用场景：配置纯粹的无状态（Stateless）过滤时使用，或者用于非常基础、不区分会话阶段的粗粒度访问控制。
• NEW
• 含义：严格只匹配用于发起全新 TCP 连接的请求包。
• 适用场景：常用于速率限制（例如限制每秒的新建连接数以防范 SYN Flood 攻击），或者用于记录谁在尝试发起连接。通常不会单独用作业务放行规则，因为后续的数据包会被阻断。
• ESTABLISHED
• 含义：仅匹配已经成功建立连接的后续通信数据包。
• 适用场景：经典的出站（Outbound）或回包策略限制。例如，您的服务器只允许被动响应外部的主动请求，或者严格限制仅允许已经建立安全验证的通道进行数据传输。
• NEW + ESTABLISHED
• 含义：同时匹配新建连接请求和连接建立后的所有正常数据传输包。
• 适用场景：这是发布常规对外服务（如 Web 服务器、API 接口）时最常用的标准放行规则。它既允许客户端顺利完成 TCP 握手，也允许后续正常的双向数据通信。
• ESTABLISHED + RELATED
• 含义：仅允许已建立连接的数据包，以及为了维持这些连接而产生的相关网络控制/报错包。完全拒绝任何外部主动发起的新连接请求（拒绝 NEW）。
• 适用场景：常用于配置服务器的入站（Inbound）白名单。例如，服务器主动向外拉取数据时，允许目标服务器返回数据（ESTABLISHED）并允许网络路径上的 MTU 发现报错（RELATED），但彻底屏蔽任何外部对该服务器的主动扫描和建连探测。
• NEW + ESTABLISHED + RELATED
• 含义：允许发起新连接、维持现有连接，并且允许相关的附属控制流量。这基本上包含了网络中所有正常的协议交互状态，仅排除了 INVALID（无效或无法识别状态的异常包）。
• 适用场景：提供最宽容且完整的状态放行。适用于复杂的网络服务部署（例如反向代理节点与源站之间的深度交互），确保不仅握手和数据传输畅通，底层网络机制（如 PMTU 发现）也不会被防火墙意外丢弃。

与AWS同类设置的对比

对当前的设置（特别是 NEW + ESTABLISHED）以及它与主流云厂商架构的映射关系做一个全面总结。

以一个经典的三层模型为例 由前端反代 后端 数据库组成 可设置如下： （内网其他vps用wg连接，需要对每个内网vps的公网ip做udp入站和出站规则，图中设了2个x2组）

最后兜底的：全局默认策略依然是 Drop

最后加入一条自己的ssh端口 tcp NEW+ESTABLISHED allow

多个内网节点与4相同

一、 为什么 TCP 规则必须选择 NEW + ESTABLISHED？

在您的规则 01 和 02 中，针对 80 和 443 端口,选择了 NEW + ESTABLISHED 而不是无状态的 ANY。这不仅仅是为了让网站能访问，更是一个严格的过滤漏斗：

1. NEW（放行敲门砖）： 允许互联网上的真实访客向您的服务器发送 TCP SYN 包，发起全新的连接握手。
2. ESTABLISHED（维持通行证）： 一旦握手成功，防火墙会在内存中记录这个连接。后续成千上万个用于传输网页数据的数据包，只要属于这个已建立的会话，都会被自动放行（包括回包出站）。
3. 被悄悄拦截的恶意流量：
4. 如果黑客伪造了一个带有 ACK 或 RST 标志的数据包（假装是已经建立连接的包），试图试探您的系统内部状态。
5. 因为防火墙的内存里没有这个连接的“握手记录”（即没有经过 NEW 阶段），防火墙会直接判定它为非法包并丢弃。这就彻底阻断了许多高级的 TCP 状态伪造攻击。

二、 对比映射：AWS 的安全组 vs. 网关的连接状态

AWS的ACL只用于ECS等产品上，价格昂贵

面板上的配置与AWS 网络安全的核心概念。在底层是完全一一对应的：

三、 这套配置构建的防御能力清单

通过边缘节点的 Anycast 架构配合您设置的这张状态检测防火墙规则表，您的服务器目前具备以下强大的抗击打能力：

🛡️ 能够完美防御的攻击（在边缘节点被直接丢弃，源站毫发无损）

1. 全端口恶意扫描 (Port Scanning)： 黑客用 Nmap 等工具扫描您的 22 (SSH)、3306 (数据库)、6379 (Redis) 等高危端口。防御点： 触发底部 DROP 默认策略，扫描器只会收到超时（Timeout），无法判断您的服务器上运行了什么服务。
2. TCP 畸形包与状态耗尽攻击： 黑客发送大量无头无尾的伪造包（如 FIN Flood、XMAS 扫描）。防御点： 因为不符合 NEW + ESTABLISHED 的严格状态机，直接在边缘被拦截。
3. 针对非业务端口的 DDoS 泛洪攻击： 动辄几十 Gbps 的垃圾流量试图淹没您的服务器。防御点： 只要不是发往 80/443 或 51820 的，全被边缘节点的 Anycast 黑洞吸收，源站的 CPU 和带宽毫无波动。
4. TCP SYN 反射攻击： 攻击者伪造您的 IP 向外网发送请求，导致海量外网服务器向您发送 SYN-ACK 回包。防御点： 您的防火墙没有主动向外发过 NEW 请求，这些凭空飞来的 SYN-ACK 包不属于任何 ESTABLISHED 会话，直接被丢弃。

总结： 防火墙规则表非常干净、严谨，完美践行了“最小特权原则”。它就像是一面坚固的单向防爆玻璃，把网络层 99% 的粗暴攻击都挡在了千里之外。