msr3660-xs

acl限制，

无法直接关闭 

你遇到的这个问题，根源在于设备默认的防火墙策略对从外网（Untrust区域）发起的UDP探测是全放行的，并没有进行任何拦截。

要解决它，最直接的办法就是配置一条安全策略，拒绝所有从外网到设备本身的UDP访问。这可以通过Web图形界面或命令行来完成。

如果你更习惯用命令行，也可以通过ACL实现同样效果：

1. 进入系统视图：

   bash

   system-view

2. 创建一个高级ACL，拒绝所有UDP流量：

   bash

   acl advanced 3000 rule 0 deny udp quit

   说明：rule 0 deny udp 会拒绝所有UDP协议报文。如果需要更精细的控制（如仅拒绝特定端口），可以使用 rule deny udp destination-port eq <端口号>。

3. 将ACL应用到外网接口的入方向（inbound），以过滤从外网进入的UDP流量：

   bash

   interface GigabitEthernet 0/0 # 请替换为你的实际外网接口 packet-filter 3000 inbound quit

4. 保存配置：

   bash

   save

⚠️ 重要提醒

• 避免误伤：直接拒绝所有UDP流量可能会影响正常的业务，例如从外网访问内部的DNS服务。

  • 如果没有任何对外UDP服务：可以直接拒绝所有UDP。

  • 如果存在对外UDP服务：需要在“拒绝所有”的策略上方，再添加一条优先级更高的“允许”策略，放行特定的UDP端口（如udp destination-port eq 53用于DNS）。

• 关闭非必要服务：除了配置策略，还应检查并关闭路由器上不必要的服务，如UPnP、SNMP等，它们也可能开放UDP端口。以UPnP为例，可在Web的“服务”->“UPnP”中关闭，或用命令 undo upnp enable。

• 验证配置：配置完成后，再次使用 nc -zvu <设备IP> 1-65535 命令进行测试，确认UDP端口不再响应。

• 配置备份：在进行任何更改前，建议先备份当前配置，以便在出现问题时能快速恢复。