新装完系统，总有人急着再装一个安全软件，结果搜索出来一堆全家桶。免费防火墙这件事，建议从系统自带的看起，先弄明白它已经替你做了什么。

自带的Defender防火墙

Windows安全中心里的防火墙和网络保护，按专用网络和公用网络分别管理，入站默认拦截、出站默认放行。新程序第一次联网会弹窗询问，看清程序名再决定放不放行，这一步比事后清理有用。个人日常使用，它多数情况已经够用。

常用的两个入口

  • 允许列表：控制面板，系统和安全，允许应用通过Windows Defender防火墙，按专用或公用勾选
  • 高级规则：运行里输入wf.msc回车，能看入站出站规则，还能查日志里哪些包被拦了
  • 网络类型：家里选专用，咖啡厅机场这类公共WiFi一定切公用，拦截策略更严

什么时候需要第三方

  • 想看清每个程序的上传下载流量，需要流量可视化类工具
  • 需要精细的出站规则，比如只允许指定程序联网
  • 公网服务器要按端口和网段严格收紧，自带功能能做但费时间

常见的免费选择里，国内有火绒这类安全软件带网络防护模块，国外老牌的有Comodo、ZoneAlarm等。装之前注意两点：安全类软件只装一套，两个防火墙互相拦截会让网络莫名断；下载认准官方渠道，捆绑安装包比没有防火墙更糟。路由器本身也带一层防火墙功能，家用环境等于多一道门。

配置上别走极端

看不懂规则就用默认配置，最忌讳为了某个软件连不上网，把防火墙整个关掉。真要放行某个程序，在允许列表里单独勾选，范围选专用网络即可。服务器场景的思路正好相反：默认全拒，只放行需要的端口，比如对外只开80和443，远程管理端口限制到指定来源IP。

实际判断：家用电脑的免费防火墙加路由器的NAT隔离，已经挡住绝大部分外部扫描；公网服务器才是需要认真写规则的场景，个人电脑别堆一堆安全软件。