MSR3620-X1 路由器的防火墙模块，创建安全规则，指定源地址后，自动变成any

把0改为32 试试吧  防火墙策略一般默认都是拒绝的

升级一下版本试试，首页支持文档与软件软件下载路由器H3C MSR G2 系列开放多业务路由器H3C MSR3620-X1[X1-XS]路由器

建议使用命令行操作 首页支持文档与软件文档中心路由器H3C MSR系列开放多业务路由器H3C MSR 3600路由器(Comware V7)

默认策略是拒绝的。

掩码没写对吧。0不就是对应any

遇到配置界面自动替换地址的情况，这很可能不是你的操作有误，而是MSR3620-X1防火墙特性的一个表现。

 问题分析

1. 源地址变成 any：你选择的外网接口（假设为GigabitEthernet0/0）属于 Untrust 安全域，通常用于接收所有公网流量。在基于安全域的防火墙策略中，对来源于Untrust域的报文，any 就代表了“所有外部发起的访问”。这通常意味着你的当前操作可能是在配置针对从外网到内网的“域间策略”，而不是针对特定IP的限制。

2. 目的地址变成整个28位掩码网段：配置界面将你指定的服务器IP（例如 192.168.1.10/32）自动转换为其所在网段（例如 192.168.1.0/28），这很可能是为了匹配你内网服务器所在的安全域（通常为 Trust 域）而发生的自动行为。

问题 1：为什么指定了源 IP 和目的 IP，保存后变成了 any 和整个网段？

根本原因：你选了错误的「接口方向」，规则被自动改写了

1. 源地址自动变成 any
   • 当你选择「外网口入方向」时，系统认为：流量是从外网进来的，源 IP 就是外网的公网 IP，所以你手动填的公网 IP 112.96.202.202 被直接忽略，自动改成了 any。
   • 这是因为：在外网口入方向的规则里，源IP 代表的是「外网的发起方」，而你写的 112.96.202.202 其实是你自己的公网出口 IP，不是外部访问者的 IP，逻辑上不成立，所以系统直接把它改成了 any。
2. 目的地址自动变成了 192.168.28.0/24 整个网段
   • 这是 MSR 路由器 Web 界面防火墙的一个设计缺陷 / 逻辑简化：当你在「外网口入方向」配置规则，目的 IP 写内网地址时，系统会直接把它替换成该内网 IP 所在的整个网段。
   • 它认为你要保护的是整个内网，而不是单台主机，所以把你写的 192.168.28.234/32 自动改成了 192.168.28.0/24。

正确的配置思路与操作

方式 1：在「外网口」配置，用目的端口来限定（推荐）

1. 接口：GE0
2. 方向：入方向
3. 源 IP：填写外部访问者的 IP / 网段（比如你要允许的那个公网 IP）
4. 目的 IP：可以留空（或写内网服务器 IP，系统会自动识别为 NAT 映射的公网 IP）
5. 目的端口：填写你 nat server 映射的端口（比如 80、443、3389 等）
6. 动作：允许

方式 2：直接在 CLI 命令行配置 ACL（最精准，不会被改写）

问题 2：MSR3620-X1 的防火墙，有没有默认放行策略？

结论：默认是「未配置任何规则时，默认放行所有流量」；配置了任意规则后，默认变成「拒绝所有」

1. 默认状态（没有任何规则）
   • 所有接口的所有方向，默认放行所有流量，不做任何限制。
2. 配置了至少一条规则后
   • 系统会把该接口 / 方向的默认动作改成拒绝所有。
   • 也就是说：只有被你规则明确允许的流量才能通过，其他所有流量都会被拒绝。
   • 你之前看到的规则变成了 any → 192.168.28.0/24 允许，就会出现：
     • 仅外网所有 IP 能访问 192.168.28.0/24 网段，
     • 外网其他所有访问内网其他网段的流量，全部被拒绝。

避坑总结

1. Web 界面的防火墙模块不适合做精细的单 IP / 单端口控制，容易被自动改写，建议直接用 CLI 的 ACL 配置。
2. 配置规则后，默认动作会变成拒绝所有，要注意不要把正常流量也拦了。
3. 如果你只想限制访问 NAT 映射的服务器，除了防火墙规则，还可以直接在 nat server 里绑定访问控制列表。