附录 F 防火墙宏定义 | Proxmox VE 管理员手册中文版

F.防火墙宏定义Firewall Macro Definitions

关于宏

规则中可用 MACRO(ACTION) [OPTIONS] 形式调用宏 —— 例如：

IN SSH(ACCEPT) -i net0
IN HTTP(ACCEPT) -source +management
IN MySQL(ACCEPT) -source +db-clients

每个宏内部展开为一条或多条具体规则（含 proto / dport / sport 等）。下表给出当前 PVE 自带的宏列表。 权威源 是宿主机上的 pve-firewall：

# 列出所有宏与其展开
pve-firewall help macros

# 看某个宏的具体展开
pve-firewall help macros SSH

规则编辑器（GUI）下拉框也会动态从 pve-firewall 获取列表 —— 始终与所装版本一致。

宏总表

下表列出每个宏的协议与端口。表头说明：

proto：IP 协议，多为 tcp / udp / icmp / icmpv6；数字（如 47、 89、 94）表示原始 IP 协议号（GRE / OSPF / IPIP）。
dport：目的端口，单端口、范围（a:b）或逗号列表（a,b,c）。
sport：源端口（多数宏不限制，留空）。

宏	用途	proto	dport	sport
`Amanda`	Amanda 备份	udp	10080
`Amanda`	Amanda 备份	tcp	10080
`Auth`	identd 认证流量	tcp	113
`BGP`	边界网关协议	tcp	179
`BitTorrent`	BitTorrent 3.1 及更早	tcp	6881:6889
`BitTorrent`	BitTorrent 3.1 及更早	udp	6881
`BitTorrent32`	BitTorrent 3.2 及更新	tcp	6881:6999
`BitTorrent32`	BitTorrent 3.2 及更新	udp	6881
`CVS`	CVS pserver	tcp	2401
`Ceph`	Ceph 存储集群（Monitor / OSD / MDS）	tcp	6789
		tcp	3300
		tcp	6800:7300
`Citrix`	Citrix / ICA（ICA / ICA Browser / CGP）	tcp	1494
		udp	1604
		tcp	2598
`DAAP`	数字音频访问协议（iTunes / Rythmbox）	tcp	3689
`DAAP`	数字音频访问协议（iTunes / Rythmbox）	udp	3689
`DCC`	分布式校验和反垃圾邮件	tcp	6277
`DHCPfwd`	转发的 DHCP 流量	udp	67:68
`DHCPv6`	DHCPv6	udp	546:547
`DNS`	域名系统（UDP 与 TCP）	udp	53
`DNS`	域名系统（UDP 与 TCP）	tcp	53
`Distcc`	分布式编译	tcp	3632
`FTP`	文件传输协议	tcp	21
`Finger`	Finger（RFC 742）	tcp	79
`GNUnet`	GNUnet 安全 P2P 网络	tcp	2086
		udp	2086
		tcp	1080
		udp	1080
`GRE`	通用路由封装	47	—	—
`Git`	Git 分布式版本控制	tcp	9418
`HKP`	OpenPGP HTTP 公钥服务器	tcp	11371
`HTTP`	HTTP / WWW	tcp	80
`HTTPS`	HTTPS / WWW over SSL	tcp	443
`ICPV2`	Squid Internet Cache Protocol V2	udp	3130
`ICQ`	AOL Instant Messenger	tcp	5190
`IMAP`	IMAP	tcp	143
`IMAPS`	IMAP over SSL	tcp	993
`IPIP`	IPIP 封装	94	—	—
`IPsec`	IPsec 流量	udp	500	500
`IPsec`	IPsec 流量	50（ESP）	—	—
`IPsecah`	IPsec 认证头（AH）	udp	500	500
`IPsecah`	IPsec 认证头（AH）	51（AH）	—	—
`IPsecnat`	IPsec + NAT-T	udp	500
		udp	4500
		50（ESP）	—	—
`IRC`	互联网中继聊天	tcp	6667
`Jetdirect`	HP Jetdirect 打印	tcp	9100
`L2TP`	第二层隧道协议	udp	1701
`LDAP`	轻量目录访问协议	tcp	389
`LDAPS`	LDAP over SSL	tcp	636
`MDNS`	组播 DNS	udp	5353
`MSNP`	Microsoft Notification Protocol	tcp	1863
`MSSQL`	Microsoft SQL Server	tcp	1433
`Mail`	邮件（SMTP / SMTPS / Submission）	tcp	25
		tcp	465
		tcp	587
`Munin`	Munin 资源监控	tcp	4949
`MySQL`	MySQL 服务器	tcp	3306
`NNTP`	NNTP（Usenet）	tcp	119
`NNTPS`	加密 NNTP（Usenet）	tcp	563
`NTP`	网络时间协议（ntpd）	udp	123
`NeighborDiscovery`	IPv6 邻居 / 路由器发现	icmpv6	router-solicitation
		icmpv6	router-advertisement
		icmpv6	neighbor-solicitation
		icmpv6	neighbor-advertisement
`OSPF`	OSPF 组播	89	—	—
`OpenVPN`	OpenVPN	udp	1194
`PCA`	Symantec PCAnywhere	udp	5632
`PCA`	Symantec PCAnywhere	tcp	5631
`PMG`	Proxmox Mail Gateway Web 界面	tcp	8006
`POP3`	POP3	tcp	110
`POP3S`	加密 POP3	tcp	995
`PPtP`	点对点隧道协议	47（GRE）	—	—
`PPtP`	点对点隧道协议	tcp	1723
`Ping`	ICMP echo request	icmp	echo-request
`PostgreSQL`	PostgreSQL 服务器	tcp	5432
`Printer`	LPD 行式打印机协议	tcp	515
`RDP`	Microsoft 远程桌面	tcp	3389
`RIP`	路由信息协议（双向）	udp	520
`RNDC`	BIND 远程管理协议	tcp	953
`Razor`	Razor 反垃圾邮件系统	tcp	2703
`Rdate`	远程时间获取（rdate）	tcp	37
`Rsync`	Rsync 服务器	tcp	873
`SANE`	SANE 网络扫描	tcp	6566
`SMB`	Microsoft SMB	udp	135,445
		udp	137:139
		udp	1024:65535	137
		tcp	135,139,445
`SMBswat`	Samba Web 管理工具	tcp	901
`SMTP`	简单邮件传输协议	tcp	25
`SMTPS`	加密 SMTP	tcp	465
`SNMP`	简单网络管理协议	udp	161:162
`SNMP`	简单网络管理协议	tcp	161
`SPAMD`	SpamAssassin SPAMD	tcp	783
`SPICEproxy`	PVE SPICE 显示代理	tcp	3128
`SSH`	SSH	tcp	22
`SVN`	Subversion 服务（svnserve）	tcp	3690
`SixXS`	SixXS IPv6 隧道	tcp	3874
		udp	3740
		41 / udp	5072,8374
`Squid`	Squid Web 代理	tcp	3128
`Submission`	邮件提交	tcp	587
`Syslog`	Syslog（RFC 5424）	udp	514
`Syslog`	Syslog（RFC 5424）	tcp	514
`TFTP`	简单文件传输协议	udp	69
`Telnet`	Telnet	tcp	23
`Telnets`	Telnet over SSL	tcp	992
`Time`	RFC 868 Time 协议	tcp	37
`Trcrt`	Traceroute（最多 30 跳）	udp	33434:33524
`Trcrt`	Traceroute（最多 30 跳）	icmp	echo-request
`VNC`	VNC 显示 0 – 99	tcp	5900:5999
`VNCL`	VNC 服务端 → 监听模式 viewer	tcp	5500
`Web`	WWW（HTTP + HTTPS）	tcp	80
`Web`	WWW（HTTP + HTTPS）	tcp	443
`Webcache`	Web Cache / Proxy（8080）	tcp	8080
`Webmin`	Webmin	tcp	10000
`Whois`	Whois（nicname / RFC 3912）	tcp	43

NOTE

本表反映 Proxmox VE 9 / 8 主流版本的内置宏。每个宏的展开（具体协议 / 端口 / IPv4-only 还是 v4+v6）随 PVE 版本演进 —— 用 pve-firewall help macros <NAME> 查看与你所装版本完全一致的展开，这是权威来源。

使用示例

[RULES]
# 在 net0 接口上放行 SSH
IN SSH(ACCEPT) -i net0

# 仅来自 management ipset 的 HTTP / HTTPS
IN HTTP(ACCEPT)  -source +management
IN HTTPS(ACCEPT) -source +management

# 同时开放 HTTP + HTTPS（Web 一条搞定）
IN Web(ACCEPT)   -source +management

# 放行集群常见组件
IN BGP(ACCEPT)   -source +bgp-peers
IN Ceph(ACCEPT)  -source +cluster_network

如内置宏不能涵盖所需服务，直接在规则里写 -p tcp -dport 1234 即可；或定义安全组（详见 §13.4）以复用一组规则。