【产品教程】2026.05.14 梦想网关 外部访问控制(允许指定IP访问)
操作背景：现有一个需求，需要实现外部网络设备192.168.67.200-192.168.67.215这个地址段的设备可以正常访问到内部服务器（端口映射/路由的方式）但是，不允许其他外部网络设备访问内部服务器，此时应当如何操作？
1、部署思路（从需求到规划）
（1）区域间的隔离：前面我们提到了，在标准配置下，内网接口配置trust，划分到信任区域，外网接口配置untrust，划分到非信任区域，够成了区域间数据的相互隔离
（2）允许全部出局：在区域间隔离的情况下，任意安全区域间不可互通，我们配置安全策略，定向地允许数据主动从trust - untrust
（3）允许部分入局：在区域间隔离的情况下，任意安全区域间不可互通，我们配置安全策略，调用自定义IP地址组，定向地允许来自自定义IP地址组的数据主动从untrust - trust

![](/media/202605/70b109e7c1b143c38ca9da99781e2dab4211.png)
2、配置步骤的实现
第一步：【简要介绍】配置物理接口【注意：这个只是样例，根据实际项目规划调整】
配置5口为路由模式，外网属性，接口划分到untrust区域
配置2口为路由模式，内网属性，接口划分到trust区域

![](/media/202605/e9c5681932b743c3820b2cebcedb80478925.png)
第二步：【简要介绍】配置WAN口【注意：这个只是样例，根据实际项目规划调整】
配置WAN口绑定物理口5口（外网属性口），配置对应的接入方式

![](/media/202605/fbf792aadb414c9ba94e63c9716419ea2517.png)
第三步：【简要介绍】配置LAN口【注意：这个只是样例，根据实际项目规划调整】
配置LAN口绑定物理口1口（内网属性口），配置对应的接口方式

![](/media/202605/43e0116d8bcc42cd860c34a3bf65e96b5727.png)
第四步：【简要介绍】配置LAN侧DHCP server【注意：这个只是样例，根据实际项目规划调整】

![](/media/202605/31b027ca5f6e4951a830353139cdc2af1428.png)
第五步【本小节的重点】：创建IP地址组对象
找到对象-地址库-地址，点击添加，添加地址对象

![](/media/202605/de9dcc7907894b15a218a9eddbd70adc9306.png)

![](/media/202605/d6779fc2e945408d9b582a54f5f85dbd5305.png)
配置完成后，可以看到添加的地址段

![](/media/202605/653942bf1d184a8da32caa596dcb47251975.png)
第六步【本小节的重点】：配置安全策略
（1）配置 trust - untrust 定向打通内部网络到外部网络的数据，确保数据正常出局
（2）配置 untrust - trust 定向打通指定外部网络（符合自定义IP组的数据）到内部网络的数据，确保指定外部网络正常入局
配置完成后，其余的非指定外部网络由于安全区域间的隔离，无法正常入局

![](/media/202605/491763cb31cc499b83655dfd60d1f70e9208.png)
新增 trust - untrust 允许策略，确保数据正常出局

![](/media/202605/4411e767fbb8406d8ab3b1445497be9e7373.png)
新增 untrust - trust 策略，允许指定部分地址段正常入局
如果这里想让规则更加紧一些（更贴近数据）我们可以在目的地址这里配置内网服务器地址（更有针对性一些，确保外部不和其他内部地址访问）

![](/media/202605/ab06ff275db04e62ad878a8b0d75ed645234.png)
源IP地址这里点击选择，调用上一步添加的地址组

![](/media/202605/33a24fe9a86841929aeeec37b2f2f1233988.png)
配置完成后，点击确认提交，安全策略规则中，可以看到我们刚刚配置的策略规则

![](/media/202605/0a068072ea484e34aecba030169a18784705.png)
第七步：【简要介绍】配置NAT规则，确保正常出局
默认配置下是any-any，规范起见，可以修改配置成：1口 - 5口 或者 trust - untrust

![](/media/202605/44547117b32f43b590334786dcef2bcb3614.png)

![](/media/202605/d9f903f5ae734a7a8a3fa89ff134eadb4722.png)
第八步：【简要介绍】配置入局方式（这里我们为了演示以端口映射为例，但不仅限于端口映射，路由入局同理）

![](/media/202605/57bafe7604e74697800aa88772ffd2e62733.png)

![](/media/202605/2c9deeadc32b47a9949ffb7f51bd426a1964.png)

梦想网关 外部访问控制(允许指定IP访问)

梦想网关外部访问控制(允许指定IP访问)