IP 黑名单是什么
黑名单把确认恶意的源地址加入列表，使设备在策略匹配之前直接丢弃其流量，适合处置扫描源、暴力破解源与明确的攻击来源。它的优势是生效快、不受策略顺序影响；代价是需要人工维护或联动下发，且误封会造成业务中断。批量封禁通常由 IPS、威胁情报或终端侧联动自动完成，手工维护只适合少量已确证的地址。
基本信息
| 生效位置 | 黑名单优先于普通策略匹配，命中即丢弃 |
|---|---|
| 常见功能 | 华为有防火墙黑名单功能，H3C、AF 也提供类似地址封禁能力 |
| 动态封禁 | 由威胁检测联动下发，需设置老化时间避免表项长期残留 |
| 查看方式 | 查看当前黑名单表项与来源，确认是手工配置还是联动下发 |
| 风险控制 | 封禁前确认该地址段不属于自有分支、合作方或云服务出口 |
典型使用场景
- 暴力破解处置：对反复尝试登录的源地址快速封禁
- 扫描源处置：对全网段扫描行为按来源封禁并观察后续变化
- 应急止损：攻击进行中先封禁关键来源，再排查入口与凭据
- 联动防护：由 IPS 或威胁情报命中后自动下发封禁表项
- 审计留痕：记录每次封禁的原因、时间与撤销依据
华为示例（版本差异以 ? 为准）
华为示例（版本差异以 ? 为准）
system-view
firewall blacklist enable # 启用黑名单功能
firewall blacklist ip 203.0.113.10 # 示例地址为文档保留网段
quit
# 实际填写已确证的恶意源，并记录封禁原因与时间
display firewall blacklist # 核对当前表项与来源封禁方式对照
| 方式 | 适用目标 | 注意点 |
|---|---|---|
| 手工黑名单 | 少量已确证的攻击源 | 定期复核，避免长期残留 |
| 联动下发 | 批量、持续变化的来源 | 设置老化时间与上限 |
| 策略拒绝 | 需要留痕与审计的场景 | 占用策略条目，需维护顺序 |
| 上游清洗 | 流量型攻击与大流量扫描 | 在运营商或云端处置更有效 |
| 仅告警 | 来源不明确或影响面未知 | 先观察再决定是否封禁 |
批量封禁优先用自动化联动（威胁检测命中后下发），手工维护只适合少量确证地址；同时要建立封禁台账，记录原因、生效时间与撤销条件，避免半年后无人知道某条封禁为何存在。