防火墙（firewall）

系统防火墙（一键开关）

防火墙页顶部「系统防火墙」面板展示系统防火墙开关状态，支持一键开启 / 关闭。关闭状态下，Qidun 写入的封禁规则不会拦截流量，面板会以红色提示。

平台	检测 / 开关方式
Windows	状态检测直接读取注册表（GPO 策略优先，其次本地存储，两者均缺省按 Windows 默认视为开启，与系统语言无关）；开关切换经 netsh advfirewall 一并切换域 / 专用 / 公用三个配置档
Linux	自动探测 ufw（ufw --force enable/disable）或 firewalld（systemctl start/stop firewalld）；两者都没有时提示「由 Qidun 直接管理 iptables/nft 规则，无独立开关」

1. 一键开启：默认放行常用端口 22 / 80 / 443 / 3389 以及本面板端口 529 / 530（先放行再开启，防止远程会话被自己锁在门外），全部写入下方「端口规则」列表，可随时增删维护。
2. 关闭：需二次确认；开启与关闭都会写入审计日志并经看门狗上报（关闭为 critical）。
3. 各配置档状态以徽标展示（如 Domain:on · Private:off · Public:off），可点「刷新状态」更新。
4. 门禁提示：系统防火墙支持一键开关但未开启时，本页仅显示「防火墙未开启，请先开启防火墙」与一键开启按钮；开启后展示完整台账。
5. 配置位置：自动封禁配置（阈值开关 / IP 白名单 / 封禁时长）与系统防火墙开/关统一位于系统设置 → 防火墙配置。

功能定位与实现方式

防火墙页是封禁 / 解封与端口规则的统一台账与执行入口。封禁记录表（blocked_ips）是唯一事实源：无论哪个模块触发的封禁都会在此可见、可解封。

平台	实现
Windows	netsh advfirewall（封禁规则名 qidun_ban_<ip>；端口规则 qidun_port_*，添加前预检保证幂等）
Linux	优先 iptables（-C 检查后 -I INPUT -j DROP），失败回退 nft

统计卡

卡片	下钻
活跃封禁（有限期 + 永久）	当前封禁中列表
今日封禁	今日全部来源记录
手动封禁	source=manual 记录
自动封禁（登录监控 + WEB 登录 + 蜜罐 + MySQL 监控）	非手动来源记录
封禁列表（最近记录）	进入独立列表页：来源筛选 + IP 搜索 + 分页 + 行内解封
监听端口	点击弹窗：端口 / 协议 / 状态 / PID / 进程（来自系统 netstat / ss）

手动封禁

1. 「手动封禁」面板填写 IP（支持 IPv6）、原因（留空为 manual_ban）。
2. 选择时长：永久 / 1 小时 / 24 小时 / 7 天。
3. 点击封禁 — 同时写入系统防火墙规则与封禁台账；白名单内 IP 不生效。

封禁列表与解封

• 点击统计卡封禁列表进入独立列表页；页内提供来源筛选（全部 / 手动 / 登录监控 / WEB 登录 / 蜜罐 / MySQL 监控）与 IP 搜索框，支持每页 20 / 50 / 100 与翻页。
• 表格列：IP / 来源 / 原因 / 封禁时间 / 过期时间（永久显示 -）/ 状态（封禁中红 / 已解封绿）/ 操作。
• 解封：确认后先删系统防火墙规则再更新台账（规则删除失败仅记日志，不阻塞状态更新）。
• 到期自动解封：蜜罐 / WEB 登录 / 登录监控的有限期封禁（默认蜜罐与 WEB 登录 3 天、登录监控 1 小时）到期后由后台自动删除系统防火墙规则并标记已解封。
• 列表显示最近 500 条；完整历史在「系统日志 → 防火墙封禁」。

端口规则

1. 「端口规则」右上点击添加规则。
2. 填写端口（1–65535）、协议（TCP / UDP / TCP+UDP）、动作（开放= 放行入站 / 禁用= 拦截入站）。
3. 保存后立即写入系统防火墙；规则可随时删除（需确认）。

系统防火墙中规则名以 qidun_port_ 开头，便于与其他规则区分。一键开启系统防火墙时默认放行的 22/80/443/3389 与 529/530 也会出现在此列表中，可像普通规则一样删除维护。

自动封禁配置与白名单（已移至系统设置）

以下配置已统一移至系统设置 → 防火墙配置面板，防火墙页保留入口链接。

配置	说明
达阈值触发系统防火墙封禁	登录监控 / Web 登录等自动封禁动作的执行开关
蜜罐封禁时长 / WEB登录封禁时长（小时，0=永久）	自动封禁的有限期；到期由后台自动删除系统防火墙规则并解封。默认 3 天（259200 秒）
IP 白名单	IP / CIDR 逗号分隔；白名单 IP 自动跳过登录监控、WEB 登录、蜜罐、MySQL 攻击源自动封禁的全部封禁判定（内置恒含 127.0.0.1 / ::1）

封禁来源说明

来源	触发者	典型时效
手动	本页手动封禁	自选（含永久）
登录监控	系统登录爆破检测	默认 3 天（v1.2.9 起），到期自动解封；重启/规则丢失后自动对账补挂规则
WEB 登录	面板登录爆破达到封禁阈值	默认 3 天，到期自动解封（可配 0=永久）
蜜罐	非本机连接 530 守卫端口	默认 3 天，到期自动解封（可配 0=永久）
MySQL 监控	MySQL 实例开启「攻击源自动封禁」后，认证失败超阈的来源 IP	时长按实例配置（默认 3 天，可配 0=永久）；白名单与 127.0.0.1 / ::1 永不封禁。详见 MySQL 监控