企业网络的“大门保安”是防火墙：它按策略决定放行还是拦截——默认拒绝、按需放行，是边界安全的第一道防线。这篇讲企业防火墙的基本配置思路。
防火墙的核心：策略
防火墙策略五元组：源IP、目的IP、源端口、目的端口、协议，加动作（允许/拒绝）。最佳实践“默认拒绝+显式放行”：先建“拒绝所有”的兜底策略，再按业务需要一条条放行（如允许办公网访问外网HTTP/HTTPS）。策略越少越清晰，越安全（策略设计见企业网络栏目）。
区域划分：信任分级
企业防火墙按“信任等级”划分区域：内网（高信任）、DMZ（中信任，放对外服务器）、外网（低信任）。不同区域之间用策略控制——内网到DMZ放行业务端口，外网到DMZ只放行80/443。区域化设计让策略“有章可循”（DMZ见配置指南栏目）。
安全加固清单
关闭远程管理或限制管理源IP；开启日志并定期审计；启用入侵防御（IPS，硬件支持时）；配置防暴力破解（登录失败锁定）；定期备份配置、升级固件。防火墙“买回来不等于安全”，配置和维护才是关键（安全见选购科普）。
常见问题
业务突然不通：先查策略顺序（防火墙按顺序匹配，前面的策略优先级高）；误拦正常流量：看日志确认被哪条策略拦截；性能下降：检查是否开启了过多高开销功能（日志见企业网络）。
企业防火墙配置，是“默认拒绝+区域化+最小放行”的组合拳：策略简洁、区域分明、日志常看。边界守住了，内网才谈得上安全。
策略顺序
防火墙策略“顺序即优先级”：先放行关键业务，再拒绝其余，兜底放最后，顺序别乱。
