在小型的办公室或家庭的局域网中，很大一部分是通过ADSL Modem来共享上网的，在局域网的日常的管理中，出于保密或安全性等其他方面的需要，管理员对不同的用户可能有不同的要求与限制。例如某个部门的用户在上班时间就只允许他们能够收发E-mail，而限制他们浏览WEB站点和下载软件；对另外的一些用户，可能就要开放浏览WEB站点的权限等等不同的要求，还有，出于安全的需要，对连接上因特网的电脑，我们很多时候只需要进行"单边访问"，即只让内网的机器访问因特网，而不希望因特网中的机器访问内网。其实，要实现这些功能并不需要复杂的设置与昂贵的配件设备，使用ADSL Modem内置的IP过滤功能就能轻松完成。其实，IP过滤的设置并不复杂，只需要了解其中各个参数的具体含义，再结合自身的需求加以设置就行了。为了使大家能够更好地了解与使用好IP过滤功能，下面，笔者就以市面上常见的采用Globespan的芯片的ADSL Modem为例来具体说明IP过滤功能的详细设置及应用，并对设置页面中的各个参数都作了详细的解释与说明，还在此基础上列举几个了具体的应用实例。

　　一、IP过滤能干什么

　　所谓IP过滤，实际上就是允许你建立一套规则，以便在你的内部局域网和因特网之间以及内部局域网之间控制流入和流出数据的转发。它能允许你控制因特网和内部局域网之间将要通过的数据类型，能阻挡局域网内的某些计算机访问某类未授权的数据和私自访问因特网资源的企图，也能够阻挡外部发起的访问内部局域网的计算机。当你定义了一个IP过滤规则并开启了它的功能的话，就指定ADSL Modem检查每个数据包，检测它们是否符合在规则中的设定。这个设定包括网络或正在传送包的internet协议，数据传送的方向（如从局域网到因特网或从因特网到局域网），源计算机的IP地址，目的计算机IP地址和其他特有的数据包。如果数据包符合在IP规则中指定的设定，依靠在规则中指定的行为，则数据包能够被接受（继续转发到它的目的站点）或者被拒绝（丢弃掉）。

　　可以创建IP过滤规则来限制你局域网上的某些计算机访问某种类型数据或某些互联网站点，你还能限制由外面进行访问你局域网上的计算机的行为。

　　二、查看IP过滤设置

　　在浏览器的地址栏中键入192.168.1.1，输入用户名和密码后，可以点击"服务"标签，然后在任务栏中点击"IP Filter"（IP过滤）。在IP过滤设置页上有可以修改的"全局设置"，在"IP过滤规则表"中是所有当前已经制定的规则，通过点击最右边的操作栏中的三种图标来编辑（）、删除（）和查看（）相应规则，在运行状态栏中，红色表示此条规则没有被运行，绿色则代表规则已应用。在此页面中我们可以通过下方的"添加"按钮添加各种不同的IP过滤规则。如下图一所示

图1：IP过滤页面

　　在IP过滤设置页，共分为上下两栏，上栏四项为IP过滤的全局设置参数，在下栏的IP过滤规则表中是所有当前已经制定的规则。如下图二所示。下面对全局设置中的各个参数给大家解释一下。
　　

图2：全局设置

　　全局设置页面参数的四个选项分别是安全等级、Private Default Action、Public Default Action和DMZ Default Action，每个各下拉菜单中的具体选项含义如下：

　　安全等级：

　　用来设定哪一种安全级别的IP过滤规则有效，它是每条规则指定安全等级的基础。例如：当High级别被选择，则仅仅安全级别为高的规则有效，对于选择Medium 和Low设置也相应一样，如None被选择，IP过滤将被禁止。

　　Private/Public/DMZ Default Action：

　　用来设定Private/Public/DMZ三种类别接口的缺省行为（允许/拒绝），这个设置指定一个默认的动作，当ADSL接口接收到不符合过滤规则的数据包时在Private、Public或DMZ型设备接口上执行（接受或拒绝）这个默认的动作。你可以为每个接口类型指定一个不同的默认动作,这三种接口类型可以在创建接口（如 PPP接口等）时被设定。

　　（1）Public接口一般用于连接到因特网。PPP、EoA和IPoA一般都是Public接口。在Public接口上被收到的数据包将受到防火墙最严格的限制。典型的像，除了在其他IP过滤规则中被允许的规则，其他所有从外网发起的访问内网（你的局域网）的请求都将被拒绝（被Public接口丢弃）。一般在Public接口上的总的设置为"拒绝"，这样所有从外网的计算机发出到你局域网上的访问都被拒绝（在Public接口上丢弃它的数据包），除非那些符合指定IP过滤规则的访问才接受。

　　（2）Private接口用于连接你的局域网（Modem的以太口），在Private接口上收到的数据包几乎不受到防火墙限制，因为数据方向都是在你的局域网里。典型的，由内网发起的访问Internet的请求都是被允许的。一般在私用接口上的总的设置为"接受"，这样局域网上的计算机才能访问ADSL连接的互联网。

　　（3）DMZ（非军事区）涉及到公网用户访问内网服务器（虚拟服务器）的问题，默认这种访问是被禁止的。计算机在访问因特网上时它可以访问公网和内网的信息（例如一台局域网中的公用服务器），输入DMZ接口不管是局域网内的还是外面送来的数据包受到防火墙保护设置的限制介于Public和Private接口的限制之间。在DMZ接口的总的设置可能是"拒绝"，管理员可能在当时配置IP过滤规则时允许某些类型的访问。