comodo firewall免费版是个人电脑首选，安装后启用“默认拒绝”模式，所有未明确允许的程序一律禁止联网；tinywall为轻量级替代方案，基于windows defender增强图形化控制；glasswire则以时间轴热力图监控流量并支持一键拦截可疑进程。
想给电脑装个靠谱的防火墙工具，又怕选错导致网络断连、程序无法联网或系统变卡？市面上免费和付费工具混杂，有些连基本出站控制都做不到，有些则把用户当小白反复弹窗干扰操作。
个人电脑首选：Comodo Firewall免费版
第一步：访问官网 comodo.com/home/internet-security/firewall.php，下载最新版 Comodo Firewall 12.2.2（2021年发布但持续更新规则库）。
第二步：安装时取消勾选“设为默认浏览器”“更改主页”等捆绑选项，否则会强制替换你的Edge或Chrome首页。
第三步：首次启动后，它会自动启用“默认拒绝”模式——【所有未明确允许的程序一律禁止联网】，这是真正起效的关键。别急着点“允许”，先看弹窗里显示的是微信、QQ还是某个陌生进程名。
这一步操作起来很简单，直接把文件拖进去就行。但注意：若你正在运行远程桌面、NAS同步工具或Steam家庭共享，它们首次联网会被拦，需手动放行并勾选“记住此选择”。
轻量级替代方案：TinyWall
方法一：仅适用于 Windows 10/11 系统，不兼容 Server 版本。它不是独立防火墙，而是对系统自带 Windows Defender 防火墙的图形化增强层。
方法二：下载 tinywall.net 官方包，解压即用，无需安装。运行 TinyWall.exe 后右下角托盘出现盾牌图标，点击即可打开主界面。
方法三：在“应用程序规则”页签里，双击任意已联网程序，可单独设置入站/出站权限——比如只允许 Chrome 出站，但禁止其接收外部连接，这对防挖 矿木马很有效。
注意：它不能拦截驱动级通信，也不支持自定义协议端口范围批量封禁，适合只想管住浏览器、微信、钉钉这类常规软件的用户。
监控型进阶工具：GlassWire
① 打开 glasswire.com 下载 GlassWire Free 版（支持 Win7 至 Win11），安装后首次启动会要求开启“网络流量监控”权限。
② 主界面以时间轴+热力图形式展示每小时带宽占用，点击任意高峰时段，下方列出当时活跃进程及其IP目标地址。
③ 找到可疑进程（如名称含“Update”“Agent”且来源不明），右键→“Block this application”→确认后该程序图标立刻变灰，且后续启动不再弹窗请求权限。
④ 进入 Settings → Alerts → 勾选 “Alert when new application tries to connect”，这样下次有新程序偷偷联网，你会在右下角收到带截图的实时通知。
这个功能对识别静默驻留的广告 SDK 或捆绑安装的 PUP（潜在有害程序）特别有用，但免费版不支持按端口或国家地区屏蔽。
企业级硬件防火墙参考型号
华为 USG6000E-S12：吞吐量 12Gbps，支持 SSL 解密与云沙箱联动，适合50人以上局域网出口部署。
深信服 AF-1000-FH1300B：内置威胁情报自动更新，标配零信任 SDP 接入模块，中小企业远程办公场景落地快。
H3C SecPath F100-C-G5：国产化适配龙芯/飞腾平台，满足等保2.0三级合规要求，政务或教育专网常用。
