业务系统按需开放
为需要使用系统的成员开放 Web 服务端口。数据库、管理后台等其他资源，分别设置访问范围。
指定成员业务系统 · 443
一条规则，回答三个问题
谁能连接，能用什么。
选择来源与目标，再指定服务端口。
只开放工作需要的连接，让权限与任务对应。
01 / 来源
谁可以发起访问
选择用户、角色组、标签或设备等对象。
成员：运维人员02 / 目标
可以连接哪些资源
指定终端，或按标签归集设备。
标签：生产服务器03 / 端口
开放哪个服务
限制到服务需要使用的端口。
22 · SSH 服务端口写法
443 单个端口80,443 多个端口8080-8090 连续范围* 所有端口维护设备，也划清边界
为运维人员开放目标服务器的维护端口。任务结束后，可停用对应规则，并检查是否还有其他放行规则。
运维成员服务器 · 22
从自由互通，到精细管理
自己的设备可选择全部互通。需要细分访问时，也可以只为指定电脑开放 NAS 的文件服务端口。
个人电脑NAS · 445
以上为配置示例，端口以实际服务设置为准。网络放行后，仍需通过目标应用的登录与权限验证。
设备增加，规则仍然清楚
按人管理，也能按资源组织。
从一台终端，到一组服务。
用合适的对象表达访问范围，减少逐台配置。
用户与用户组（角色）
指定某位成员，或使用管理员组、成员组，表达不同角色的访问范围。
按使用者设置终端与标签
直接选择一台终端，或为同类设备设置标签，在规则中统一引用。
按设备用途组织Host 与 IP set
用 Host 为 IP 地址或网段命名；用 IP set 归集多个地址与网段，集中维护访问对象。
按地址范围管理也可选择「所有终端」作为规则对象。需要限制服务时，仍可通过目标与端口缩小放行范围。
- 01
先整理需要的连接
列出访问者、目标设备和服务端口，保留管理设备所需的访问路径。
- 02
选择模式，配置放行规则
全部互通适合需要互访的设备；需要访问边界时，使用自定义规则，并为用途添加备注。
- 03
保存下发，验证放行与拒绝
用真实设备检查应允许的服务能否访问，也检查不应开放的目标与端口是否被拒绝。
- 04
人员与设备变化时，及时调整
新终端加入后会重新计算并下发策略；成员、标签或业务变化时，复核相应访问范围。
关于访问边界这些细节，
这些细节，
配置前先了解。
全部互通，是把设备开放到公网吗？
不是。这里描述的是组网内的访问关系，不代表向整个互联网公开服务。默认的全部互通模式允许组网内终端互相访问；需要限制访问范围时，可切换为自定义规则。设备本身的防火墙和应用登录仍然有效。
自定义模式下，一条规则都不添加会怎样？
组网内的业务访问没有匹配的放行规则，就会被拒绝。切换前先整理需要保留的访问，添加相应规则并保存下发，再用实际设备检查允许与不允许的连接。停用某条规则后，如果其他启用规则仍允许同一访问，这条访问仍会放行。
允许 A 访问 B，B 就能反过来访问 A 吗？
规则有方向。允许 A 向 B 的指定端口发起连接，不等于允许 B 主动向 A 建立新连接；已允许连接的正常响应不需要另加一条反向规则。需要双向主动访问时，应分别配置对应方向。
开放 SSH 端口，就能直接登录服务器吗？
ACL 决定网络访问是否放行，服务器仍需开启 SSH 服务，并使用原有账号、密钥等完成认证。同样，允许访问文件服务或业务系统，也不替代应用内部的权限管理。
访问控制会影响 P2P 和终端授权吗？
访问控制决定哪些连接可以建立，终端授权决定服务内容与基础云中继带宽。各版本 P2P 直连均不限速、不限流量，实际速度受线路与设备影响。不同授权版本包含的 ACL 规则和标签数量，可在价格页比较。