公司刚上线的新系统，需要让外部客户访问，但又不能让内部数据随便外泄。这时候，网关安全策略就成了关键。很多人觉得这东西高深莫测，其实只要理清内外网访问的逻辑，配置起来并不复杂。
什么是网关安全策略
网关是内网和外网之间的“门卫”，所有进出流量都得经过它。安全策略就是给这个门卫下指令：谁可以进、谁必须拦、哪些服务能对外暴露，哪些只能内部使用。比如财务系统只能在办公室访问，而官网则要让所有人都能打开。
区分内外网访问的基本原则
内网访问通常指公司局域网内的设备互相通信，安全性较高，限制可以宽松些。外网访问来自互联网，风险大，必须严格控制。常见的做法是：只开放必要的端口，比如80和443用于网页服务，其他一律关闭。
配置示例：允许外网访问Web服务
假设你有一台内网服务器（IP：192.168.1.100）运行网站，想让外部用户通过公网IP访问。可以在网关上设置一条NAT规则和防火墙策略：
防火墙策略：
源区域：untrust
目的区域：trust
目的地址：192.168.1.100
服务：HTTP, HTTPS
动作：允许
NAT规则：
公网IP:80 -> 192.168.1.100:80
公网IP:443 -> 192.168.1.100:443禁止敏感服务外泄
数据库、文件共享这类服务绝不能直接暴露在公网。即使要远程访问，也应通过VPN接入内网后再操作。例如MySQL默认端口3306，应该在网关上默认拒绝来自外网的连接请求。
定期检查策略有效性
有家公司曾误将内网测试系统对外开放，结果被扫描工具发现并植入恶意程序。建议每月review一次网关策略，关闭不再使用的规则，及时更新服务变更后的配置。
日志监控不可少
开启网关日志记录，能帮你发现异常行为。比如某天突然出现大量来自国外IP对内网SSH端口的尝试登录，这就是明显的攻击信号，可以通过策略临时封禁来源IP段。
小技巧：按时间段开放访问
有些临时需求，比如外包团队协助开发，不需要7×24小时开放权限。可以在网关策略中设置生效时间，比如仅在工作日的9:00到18:00允许特定IP访问指定服务器，过期自动失效，降低风险。