UR7208只配置一个管理页面

11.1  防火墙

1. 功能简介

防火墙功能是通过一系列的安全规则匹配网络中的报文，并执行相应的动作，从而达到阻断非法报文传输、正常转发合法报文的目的，为用户的网络提供一道安全屏障。

2. 注意事项

当报文匹配到一个防火墙安全规则后，则不会继续向下匹配，所以请合理安排安全规则的优先级，避免报文匹配错误的规则而导致执行相反动作。

3. 配置步骤

页面向导：网络安全→防火墙

4. 参数解释

表11-1 页面参数描述

UR7208 小贝 UWeb 网关，系统工具→远程管理页面可以直接勾选【禁止访问 Web 的 VLAN】，这是最简便方案；也可以用防火墙策略做精细化控制。 需求：VLAN1（网关 172.16.1.1）允许 HTTPS 443 登录管理；VLAN2/3/4 等（网关 172.16.2.1、172.16.3.1）禁止访问 443 管理页面。

方案一：远程管理页面直接禁止其他 VLAN 访问 WEB（推荐，最简单）

1. 登录 UR7208 管理页，菜单：系统工具 → 远程管理 → HTTP/HTTPS
2. 找到选项：禁止访问 Web 的 VLAN，勾选除 VLAN1 之外的所有业务 VLAN（VLAN2、VLAN3、VLAN4……）
3. HTTPS 端口保持 443；确认允许 VLAN1 网段访问 Web
4. 保存应用。

✅效果：

• VLAN1 内电脑：https://172.16.1.1:443 可以正常打开管理页面
• VLAN2/VLAN3/VLAN4 网段：https://172.16.2.1:443、https://172.16.3.1:443 全部拒绝访问管理页面

原理：UR7208 的 WEB 服务全局监听，但可以按 VLAN 维度阻断 WEB 访问，业务上网不受任何影响，仅拦截 Web 管理页面。

注意：此方式是阻断从该 VLAN 网段访问路由器任意网关 IP 的 WEB 管理。VLAN2 的终端不仅无法访问 172.16.2.1:443，也不能访问 172.16.1.1:443。 如果你的需求是：VLAN2 终端可以访问 172.16.1.1:443，但不能访问 172.16.2.1:443，则需要使用方案二，防火墙包过滤策略。

方案二：防火墙策略精细化控制（适合上面这种精细需求）

菜单：安全设置→防火墙→访问控制 新建 2 条策略，从上往下匹配：

1. 允许策略 源网段：172.16.1.0/24，目的 IP：172.16.1.1，目的端口 443，协议 TCP，动作允许。
2. 拒绝策略 源网段：172.16.2.0/24，目的 IP：172.16.2.1，目的端口 443，TCP，动作拒绝。

其他业务 VLAN（172.16.3.0、172.16.4.0）参照第二条，批量添加拒绝策略。

此方案效果： ✅VLAN1：https://172.16.1.1:443正常登录 ✅VLAN2 终端可以访问https://172.16.1.1:443管理，但访问 172.16.2.1:443 直接阻断，符合你 “其他 x.1:443 关闭” 的要求。 ✅所有 VLAN 上网业务不受影响，仅拦截对应网关 443 端口的 HTTPS 管理。

重要避坑

1. UR7208 的 WEB 服务是整机统一服务，不能单独关闭某个 VLAN 接口上的 443 监听，只能通过访问控制 / 远程管理 VLAN 黑白名单来限制访问。
2. 业务流量、VLAN 之间互访不受这两条策略影响，仅管控访问路由器本机 443 管理端口。
3. 测试验证：
   • VLAN1 PC：https://172.16.1.1 正常打开
   • VLAN2 PC：https://172.16.2.1 无法打开管理页面，业务上网正常。
4. 如果开启简优云远程管理，内网这个限制不影响云平台管理。

小结

• 简单需求（其他 VLAN 完全不能访问路由器管理页面）：用【系统工具→远程管理】勾选禁止 WEB 的 VLAN，一步到位。
• 精细需求（其他 VLAN 可以访问 172.16.1.1 管理，但不能访问自身网关 x.1:443）：防火墙访问控制策略，拒绝各业务网段访问本 VLAN 网关 443 端口。
• 两种方案都不会影响内网 VLAN 上网，只管控访问网关 WEB 管理页面。