防火墙

防火墙是你电脑和网络门口的一道检查岗：每一个想进出你电脑或你家网络的连接，它都要翻一遍规则表，对得上的放行，对不上的拦下。它检查的是“连接”这件事本身——谁想连谁——本文先讲最基本的连接过滤；有些综合防火墙也会检查应用内容或恶意代码。

举个几乎人人都见过的例子：你刚装了一个联机游戏，第一次启动，Windows 弹出提示：“防火墙已阻止此应用的某些功能”，问你允不允许它在网络上通信。你点了“允许”，游戏需要的入站联机功能获准，队友可以连进它建立的房间。刚才发生的事是：游戏要接收其他设备主动发来的连接，防火墙翻了一遍规则表，没找到给它放行的规则，于是先拦下来问你；你点“允许”的那一下，防火墙往规则表里加了一条“这个程序可在所选网络接收入站连接”，以后再启动就不问了。如果当时你手快点了“取消”，相关入站功能可能不能用，但游戏主动连接服务器的登录功能未必受影响。

门卫到底在查什么

可以把防火墙想成小区门卫查访客：你从小区往外走，一般没人拦；外面的人想进来，门卫要核实——找哪家、是不是这家人叫的。这个类比只负责搭桥，门卫手里真实的那张表，查的是三样东西：

1. 查地址：这个连接从哪来、到哪去。 网络上每台设备都有地址（IP 地址，相当于门牌号）。规则可以直接写“不和某些地址来往”——比如公司网管把一批地址列进黑名单，这些地址的连接请求到门口就被拒。

2. 查端口：走哪扇门。 一台电脑同时跑着很多联网程序，靠“端口”来区分走哪扇门——从 0 到 65535，共六万多个编号窗口，浏览加密网页一般走 443 号，远程桌面、各种游戏各有各的号。防火墙最常见的规则就是管门：某些门一律不开，某些门只对特定程序开放。

3. 查方向：是你主动出去，还是外面主动进来。 家里和公司最常见的默认规则是：你主动往外连，放行；外面的人没人请就主动往里连，拦下。而且这个门卫记性好——你发起的连接，对方的回应能顺顺当当地回来；但一个和你毫无关系的外部连接直接敲门，一律吃闭门羹。所以你平时上网毫无感觉，防火墙却一直替你挡着门外那些没人请的试探。

你周围其实不止一道防火墙

很多人以为防火墙就是电脑里那个开关，其实你连着好几道：

电脑系统自带一道。 Windows、macOS都内置了防火墙；Windows默认开启，macOS是否开启应看系统设置，开头那个弹窗就是它发的。

家用路由器里还有一道。 路由器一般自带防火墙功能，出厂默认规则正是“里面往外连可以、外面主动进来不行”。所以在你自己家电脑上架个网站，外面的人默认是访问不到的——不是网坏了，是路由器这道门拦着。

公司和学校的出口处有一道更严的。 那是专门的设备，规则由网管按单位规定定。所以在公司打不开某些网站、用不了某些软件，多半不是网坏了，而是这道门按单位的规定拦的。这类限制属于单位的网络管理，各有各的考虑，本篇只解释它的原理。

这几道门是叠着起作用的：里面一道放行了，外面那道还可能拦；反过来，一道拦下，后面的连接根本走不到你电脑上。

防火墙和杀毒软件是两种活

这是最多人搞混的一点。一句话分清：防火墙是门卫，管“进出”；杀毒软件是安检加保洁，管“东西干不干净”。

防火墙只看连接本身：谁连谁、走哪扇门、符不符合规则。至于连接那头传过来的文件有没有毒，基础包过滤未必识别得出，不能指望所有防火墙都替你查杀文件。你把一个带毒的文件从正常渠道下载下来，这次连接本身完全合法，门卫照放——因为按规则它没有任何问题。

杀毒软件主要查文件和程序本身，部分产品也整合了联网防护——代码里有没有恶意特征、运行起来有没有可疑行为。一个干干净净的程序要联网，杀毒软件不关心，但防火墙要管。

所以这两个一个都不能少：撤了门卫，安检再严，陌生人也能随便进出你的网络；撤了安检，门卫再严，你自己把危险品当正常包裹拿进门，也没人查。

两个常见误会

误会一：“弹了‘已阻止’，说明这个软件有毒。” 不是。这类弹窗通常说明程序想接收入站连接，当前规则没有允许相应功能。正规软件首次启用某些入站联机功能也可能弹——它还没被登记过而已。判断软件好坏，看的是来源正不正规，不是看弹不弹窗。

误会二：“防火墙开着就高枕无忧了。” 它挡不住你主动做的事：你在钓鱼网站亲手填的密码、你自己下载并运行的带毒文件、你点“允许”放行的程序——这些连接都是你点头同意的，门卫照规矩放行，一点不冤。另一个极端也要不得：嫌弹窗烦就把防火墙整个关掉，等于为了让门卫别问话，直接把门卫撤了。正确做法只给那个程序加一条放行规则——你点“允许”时，系统做的正是这件事。