ROS 规则外的IP自动添加阻断

设置方法：
IP > Firewall > Filter Rules
1.新增检测
默认为TCP端口扫描检测，可以增加UDP端口扫描检测。这里协议类型选TCP。之后再建一条一样的 选 UDP 。

扩展选项中PSD展开。其中有4个参数
Weight Threshold 权重阀值 默认阀值21
Delay Threshold 延迟阀值 默认时间3秒
Low Ports Weight 低端口（1-1024） 默认权重3
High Ports Weight 高端口（1025-65535） 默认权重1

比如权重阀值是99，时间3秒， 扫描高端口（1025-65535），扫描端口99连接后进入拒绝名单
比如权重阀值是99，时间3秒， 扫描低端口（1-1024），扫描端口统计达到33连接后进入拒绝名单
比如权重阀值是99，时间3秒， 扫描低端口和高端口号，扫描端口统计累加达到99后进入拒绝名单

行为部分，选择 add src to address list，添加到源地址列表。填写地址列表名称，超时时间（进入列表后多长时间再踢出去）。

2.新增，Chain选input，高级选项中的src.address list选择刚添加的列表名称，行为选择drop。

3.参照2部分，Chain选forward，其余和部分2一样。

如有其他需求，再按自己需求修改数值和填写。

现在将这个规则进行完善，根据一些特征并自动拉黑符合该特征的IP一段时间。下列的规则必须搭配上述博文链接（禁止端口扫描）进行。

首先需要对开放的端口（比如ROS配置的端口转发规则）进行一些修改。
这里以转发telnet 23端口为例（将23端口进行映射），展开在Firewall-NAT已添加的端口转发规则里边，点击Advanced选项卡，Src.Address List里添加白名单名称。比如acl-ip-allow-1。

点击Frewall-Address List，填写我们要建立的IP列表名称（这里称白名单列表）。在白名单列表里添加允许进行telnet登陆的IP地址。除了白名单以外的IP地址都无法登陆telnet。

点击Frewall-Filter Rules，添加新的规则。
General选项卡
Chain:Input
Protocol:TCP 如是UDP或者其他类型的协议，则添加正确的协议。
Dst.Port:填写要比配的端口，我这里填写端口23（telnet tcp 23）。
In.Interface List:选择端口组。如果你是单拨 或者只需选择一个接口 则在In.Interface:进行选择外网接口

Advcanced选项卡
Src.Address List:选择刚添加的名为acl-ip-allow-1的IP地址列表，并且点击□，会自动打上感叹号，意思是除了指定的IP地址外都匹配这条规则。

Action选项卡
Action:add src to address list 行为选择将不符合规则的IP添加到IP地址列表
Address List:drop-ip 这里填写一个IP列表名称，列表里的IP地址将被阻断连接
Timeout:02:00:00 加入被阻断列表后2小时自动将该IP移除列表

建立上述规则之后，若不符合上述的规则，IP会自动加入阻断列表并且禁止从WAN侧对路由的一切行为。