防火墙规则需精准匹配内部网络分层、角色权限与业务逻辑：核心区默认禁止入站，办公区限制访问数据库，dmz区仅开放必要端口；按ip段、协议、端口、时间细化控制；关闭内网默认信任，启用状态检测与日志审计；定期清理过期规则，动态适配业务变化。
配置防火墙规则配合内部网络安全需求，核心是把规则变成“精准的访问控制语言”——不是堵死一切，而是让该通的通得清楚、该拦的拦得彻底。关键在于贴合内部网络结构、业务逻辑和人员权限，而不是套用通用模板。
明确内部网络分层与资产边界
内部网络通常不是一张平面网。先梳理清楚：哪些是核心区（如数据库、域控服务器）、哪些是办公区（普通员工终端）、哪些是DMZ区（对外Web、邮件服务）？不同区域之间必须用防火墙做逻辑隔离。
- 核心区默认禁止所有入站流量，只允许来自运维管理网段、特定端口（如3389或22）的连接
- 办公区可出站访问互联网，但禁止直接访问核心区数据库端口（如1433、3306）
- DMZ区仅开放对外服务必需端口（如80/443），且入站流量目的地址只能是对应服务器IP，不能横向访问办公区
按角色和业务流细化访问控制
内部用户不是铁板一块。财务人员需要访问报销系统，HR需要访问考勤平台，但两者都不该有权限连测试服务器。规则要体现“谁在什么位置、能访问什么、用什么协议、走什么端口”。
- 用源IP段标识部门：比如财务部终端统一在10.20.30.0/24网段，规则中直接写这个范围，而非单个IP
- 限制协议与端口组合：允许财务网段→报销系统IP:8443/TCP，但拒绝同一网段→任意IP:22/TCP（防横向SSH探测）
- 对高敏操作加时间约束：如数据库备份任务只允许在凌晨2–4点执行，防火墙规则可配合时间对象启用
关闭默认宽松行为，启用状态检测与日志审计
很多内部防火墙默认允许内网全通，这是最大隐患。必须主动关闭“内网信任”惯性思维。
- 将内网接口的默认策略设为“拒绝所有”，再逐条添加白名单规则
- 开启连接状态检测（Stateful Inspection），只允许已建立会话的返回流量，阻断伪造的SYN包或非法ICMP请求
- 所有拒绝日志必须启用并集中收集，定期查看被拦截的内部IP和目标端口——常能发现未授权扫描、误配服务或员工私自搭设的FTP/远程工具
定期清理与动态适配业务变化
内部系统上线、下线、迁移很频繁。一条半年前为旧OA系统开的规则，可能还在放行已被废弃的3389端口，成为攻击跳板。
- 每季度做一次规则健康检查：标记6个月无匹配日志的规则，确认是否可删除
- 新系统上线前，同步更新防火墙规则文档与实际配置，避免“先上线、后加固”的安全空窗
- 对临时需求（如远程协助、第三方调试）使用带自动过期时间的临时规则，到期自动禁用
