在云服务器的网络边界防护中，完全依赖操作系统层面的软件防火墙 (如 iptables, nftables, ufw) 存在架构性缺陷：当遭遇高并发的网络层扫描或流量放大型 DDoS 攻击时，恶意报文已经穿透物理链路进入虚拟机的网卡队列，导致内核态花费大量 CPU 周期处理报文丢弃 (SoftIRQ 飙升)，从而引发应用层性能衰退。
为解决这一问题，Netcup 在 Generation 12.5 (G12.5) 的实例架构中，于机房接入层交换机 (ToR) 全面部署了 有状态网络防火墙 (Stateful Network Firewall)。
本文将解析该硬件防火墙的过滤机制，提供生产级网络访问控制列表 (ACL) 的最佳实践，特别是规避 IPv6 环境下阻断底层协议导致的断网风险。
一、 机房级 ACL 与系统级软防火墙的架构对比
- • 流量必须穿透虚拟化网络栈打入 vNIC。
- • 在应对海量 TCP SYN/UDP 泛洪时，内核软中断可能耗尽实例算力。
- • 规则误配可能导致整个实例网络栈阻断，排障依赖带外通道。
- • 在物理交换机层直接丢弃非法报文，零消耗实例计算资源。
- • 有状态检查 (Stateful)：对出站请求的合法响应流量自动放行。
- • 单公网接口支持高达 500 条 ACL 规则配置，支持 CIDR 与多端口匹配。
二、 生产环境基线配置策略 (入站规则)
在配置防火墙基线时，应当遵循零信任与最小权限原则，即设置全局默认 DROP，随后显式声明所需的业务端口。
标准 ACL 优先策略配置表
在 SCP 控制台中，规则按顺序评估，建议采用以下优先级匹配逻辑：
| 优先级 | 流量方向 | 协议簇 | 源地址范围 (CIDR) | 目标端口 | 策略 | 配置解析与合规要求 |
|---|---|---|---|---|---|---|
| 1 | Inbound | TCP | 管理节点的静态 CIDR (如 192.168.x.x/32) | 22 (或特定 SSH 端口) | ACCEPT | 仅信任的堡垒机或网关可发起 SSH 会话，规避全球 IP 段探测。 |
| 2 | Inbound | TCP | 0.0.0.0/0 & ::/0 | 80,443 | ACCEPT | 允许公共 HTTP/HTTPS 业务流量及 Let’s Encrypt 证书验证。 |
| 3 | Inbound | ICMP | 0.0.0.0/0 | Any | ACCEPT | 允许外网节点执行基础链路质量监控 (Ping)。 |
| 4 | Inbound | ICMPv6 | ::/0 | Any | ACCEPT | 核心基础设施要求：放行 IPv6 邻居发现协议 (NDP)，未放行将导致底层网络瘫痪。 |
| 5 (Default) | Inbound | ALL | 0.0.0.0/0 & ::/0 | Any | DROP | 收口规则：丢弃所有未显式放行的冗余数据包。 |
[!WARNING]
深入探讨：为何必须单独允许 ICMPv6？
IPv6 协议栈已废弃 IPv4 架构下的 ARP (地址解析协议)。IPv6 的底层链路通信完全依赖基于 ICMPv6 的 Neighbor Discovery Protocol (NDP)，具体包括 Neighbor Solicitation (NS) 和 Neighbor Advertisement (NA) 报文。 Netcup 机房边缘路由器会定期下发 NS 请求以更新 MAC 地址映射转发表。若基于控制台的 ACL 直接下发全量
::/0DROP 且未豁免 ICMPv6，实例将无法响应上游路由器的 NDP 探测。上级路由器会在转发表过期后切断实例的 IPv6 流量投递，造成实例完全失去公网连接。
三、 基于 SCP 面板的 ACL 规则下发流程
1. 挂载防火墙模块
- 访问 Netcup SCP 运维管理平台。
- 从资产列表中选择目标实例，导航至 Network (Netzwerk) 模块。
- 切换到 Firewall (Firewall) 面板。
- 若功能处于挂起状态，单击 Activate Firewall。底层控制平面将在数据中心交换机上配置网络策略，此过程一般需要数秒。
2. 定义与下发策略
- 单击 Add rule 添加匹配条件。
- 配置详细参数：
- Direction (匹配流向)：选择
Inbound。 - Protocol (底层协议)：选择
TCP,UDP,ICMP, 或ICMPv6。 - Source IP / Subnet：输入严格匹配的 CIDR，如
0.0.0.0/0。 - Port / Range：输入单一端口、离散端口组 (逗号分隔) 或连续范围。
- Action：配置
ACCEPT或DROP。
- Direction (匹配流向)：选择
- 依次构建 ACL 表并点击 Save changes 提交。配置将在全网交换机节点生效。
四、 紧急运维通道与误阻断处置
在配置默认 DROP 策略时，操作失误可能导致管理终端自身失联。面对这种情况，系统管理员可通过如下方法实施自救，避免不必要的系统重建：
方案 A：带外 VNC 终端直连
- 登入 SCP，定位至 Screen 面板。
- 启动 HTML5 VNC Viewer。
- 该会话终端建立于底层 KVM 虚拟化宿主机层面，不经过实例的虚拟网卡接口，自然绕过接入层的所有网络 ACL。
- 使用 root 凭据登入实例并进行本地排障。
方案 B：挂起机房网络防火墙
- 登录 SCP，回到 Network ➔ Firewall 模块。
- 执行 Deactivate Firewall 操作。
- 机房交换机将卸载实例关联的所有阻断规则，放开全部流量，此时可恢复 SSH 访问。待修复 ACL 逻辑后，重新激活即可。
五、 利用 API 进行自动安全策略下发 (以 CDN 为例)
在接入 CDN 网络 (如 Cloudflare) 后，为抵御针对源站 IP 的穿透式直接攻击，最佳实践是将源站的 80/443 端口仅对 CDN 节点的真实回源 IP 段开放，屏蔽公共互联网的其他直连访问。
Netcup 提供基于 SOAP / REST 协议的 WebServices API，允许用户通过自动化脚本定期同步最新的 CDN 节点 IP 段至硬件防火墙，充分利用其 500 条规则的配置上限。利用这些自动化端点，可以确保基础架构环境维持动态安全同步，减轻管理员维护静态 IP 白名单的负担。
六、 纵深防御架构部署
由于硬件防火墙无法解析加密报文及 HTTP 负载数据，因此机房层面的 ACL 并不能阻断应用层攻击 (例如频繁对 /login 发起的密码字典爆破)。为此，建议在本地环境部署以 Fail2ban 为代表的轻量级主机入侵预防系统 (HIDS)。
部署思路：
- 网络层 (Netcup 硬件防火墙)：负责粗粒度过滤，将海量未授权端口扫描流量终结于机房交换机层。
- 应用层 (Fail2ban/nftables)：监测 Nginx 或 SSH 服务的系统日志。一旦判定单个 IP 对授权放行的端口发起高频攻击，即刻调用内核态的 Netfilter/nftables 下发封禁规则，阻断违规会话。
这种 L4 层外置拦截配合 L7 层内置审计的混合防御架构，能以最低的算力消耗应对高强度并发攻击。