防火墙拦截了 VPN？诊断与处理方法

防火墙是个看门人。它根据关于应用、端口、协议和目的地的规则，决定哪些网络流量可以离开或进入一台设备或一个网络。正因如此，它可能就是 VPN 连不上的原因：VPN 应用需要向外发送某种特定的流量，而路上某个地方有一条规则说“不”。难处在于，防火墙很少会自己表明身份。你得到的只是超时或“无法连接”，却没有任何关于原因的说明。

本文是一份诊断指南。它介绍如何识别指向防火墙的特征，如何判断牵涉的是三种防火墙中的哪一种（你的设备、你的路由器，或别人的网络），如何在不降低保护水平的前提下测试，以及每种情况下该怎么做。文章有意聚焦于检查你自己拥有的规则。如果拦截来自学校、雇主或场所，正确的做法是询问所有者或改用其他连接，而不是与他们的策略对抗。关于防火墙与 VPN 的区别，可以看 VPN 与防火墙；关于 VPN 无法启动时的通用修复办法，可以看 VPN 连接不上。

指向防火墙的特征

防火墙会留下典型的“指纹”。把你看到的情况与下表对照。

你观察到的现象	说明什么
普通网页能打开，但 VPN 超时	有东西专门过滤 VPN 流量
VPN 在移动数据上可用，在某个 Wi-Fi 上失败	该 Wi-Fi 网络或其路由器有规则
VPN 在所有网络上都失败，但只限一台设备	设备防火墙或其上的安全套件
昨天还好好的，今天失败，而且刚运行过安全更新	新的默认规则，或应用失去了允许条目
提示认证失败	不是防火墙：服务器已经回应了你
已连接但网页打不开	不是入口处的防火墙，应查看 DNS 与路由

拦截 VPN 的防火墙通常会让连接尝试超时，因为数据包被悄悄丢弃，没有人回复。主动拒绝的防火墙则可能显示为立即失败。两者都不会产生登录错误，所以如果应用说你的凭据被拒绝，问题就不在防火墙：服务器已经回应了，你应该转而在 My Pass 上检查登录信息。先看清提示的确切措辞，因为整个诊断都取决于它。

时间也是一条线索。大约三十秒到一分钟之后失败，说明流量发出去了却没有回应。一两秒内立即失败，则暗示设备拒绝发送，这指向设备自己的规则。

防火墙可能在三个地方

最有用的一步是弄清你面对的是哪一种防火墙，因为每一种需要采取的行动不同。

1. 你设备上的防火墙

每个主流操作系统都有内置防火墙，许多人还会运行带有自己防火墙的安全套件。Windows 上有 Windows Defender 防火墙；macOS 上有应用防火墙和系统的数据包过滤器；Linux 上有内核防火墙及其前端等工具。手机上用户能看到的防火墙设置较少，但安全类应用和过滤类应用的作用与之类似。

表明问题出在设备上的迹象：同一个 VPN 在你试过的所有网络上都失败，同一个 Wi-Fi 上的其他设备能正常连接，并且问题是在安装安全产品或修改防火墙设置之后开始的。

2. 你路由器上的防火墙

家用路由器同样会过滤流量，有些带有家长控制、“安全防护盾”或应用拦截功能。大多数默认并不拦截 VPN 流量，但很久以前设置的规则，或某次更新后打开的更严格模式，可能会拦截。

表明问题出在路由器上的迹象：该 Wi-Fi 上的所有设备都有同样的麻烦，VPN 在移动数据和朋友家都能用，而你的路由器上有一项你记得开启过的安全或过滤功能。

3. 你所访问的网络

学校、办公室、酒店、机场和一些公共热点会运行防火墙，决定访客可以做什么。原因通常很平常：容量、安全策略或合规要求。这样的网络可能允许浏览网页，但限制其他流量。

表明问题出在网络上的迹象：VPN 在家里能用，只在某一个地点失败，其他访客也有同样的反馈，并且有公告或条款页面提到了允许的事项。

按顺序进行的安全测试

测试从干扰最小的开始，到干扰最大的结束。每一个回答一个问题。

**测试一：换网络。**把同一台设备连到移动数据，再试 VPN。如果可以，差别就在 Wi-Fi 网络（路由器或网络策略），而不在设备。如果处处失败，更可能是设备或应用。对大多数人来说，这一个测试就能解决问题。

**测试二：换设备。**在同一个 Wi-Fi 上试第二台设备。如果第二台能连上，问题在第一台设备上；如果两台都连不上，则与网络或路由器有关。

**测试三：确认应用的权限。**在电脑上，检查 VPN 应用第一次运行时，操作系统是否弹出过允许提示，以及你是否把它关掉了。在 Windows 上，提示会询问是否允许应用在专用和公用网络上通信。如果拒绝了，应用就没有允许规则。请在防火墙的“允许的应用”列表中检查。

**测试四：短暂地暂停一样东西。**如果你在自己家里的网络，需要知道设备的防火墙或安全套件是否有责任，可以关闭其中一个组件一分钟，试一下 VPN，然后立即重新打开。只在可信的网络上测试，而且一次只测一个组件。在可能的情况下，更好的办法是保持保护开启并添加允许规则，因为这样测试的是同一件事，却不会暴露风险。

**测试五：查看日志。**大多数防火墙都会记录被拦截的连接。在 Windows 上，你可以在防火墙的高级设置里开启对被丢弃数据包的记录。安全套件会在历史记录中显示被拦截的事件。查找时间与你上次尝试吻合的条目。条目里出现 VPN 应用或其目的地的名称，是你能得到的最有力的证据。

在你自己的设备上该改什么

确定设备是原因之后，做出能解决问题的最小改动。

1. **允许 VPN 应用通过防火墙。**在内置防火墙的允许应用列表中，确保 VPN 应用被允许，并选择你实际使用的网络类型。在 Windows 上，参见 Windows 防火墙与 VPN 中的说明，其中涵盖了专用和公用配置。
2. **在安全套件中添加例外。**在套件的网页防护、网络防护或防火墙部分，找到受信任应用的列表，把 VPN 应用加进去。只对来自官方下载的软件这样做。
3. **检查出站规则。**有些设置默认拦截出站流量，只允许列出的应用。在你把 VPN 客户端列入之前，它会被拦截。
4. **查找其他软件创建的规则。**远程访问工具、虚拟机和旧的 VPN 客户端有时会添加防火墙规则，卸载之后规则仍然保留。检查列表中有没有你不认识的条目，但不要删除你无法确定用途的规则，记下来再询问。
5. **不要让保护一直关着。**如果为了测试而关闭了什么，请重新打开，并改为添加合适的允许条目。

NIST 的 IPsec VPN 指南和 Microsoft 关于在 Windows 中连接 VPN 的说明，都解释了 VPN 客户端通常需要发送的流量，如果你自己管理规则，它们是很好的参考。我们不说明你的 VPN 使用哪种方式；应用的默认设置是正确的起点。

在你的路由器上该改什么

如果测试一和测试二指向路由器，请逐项处理。

1. **重启路由器。**拔掉电源三十秒。这会清除卡住的状态，经常能解决奇怪的拦截问题。
2. **找到安全或家长控制功能。**名称各异：“安全防护盾”“网页防护”“应用过滤”“入侵防御”“家庭控制”。逐个关闭来测试，每次只关一项。
3. **查看出站规则。**有些路由器允许你定义哪些端口和协议可以出去。严格的清单可能拦截 VPN 流量。
4. **检查访客网络配置。**如果你用的是访问受限的访客 Wi-Fi，请换到主网络，或询问所有者访客网络是否允许 VPN 流量。
5. **更新固件。**更新会修复过滤代码中的缺陷。更新前先备份设置。
6. **记下你改了什么。**把你调整过的每一项的原值写下来，以便还原。

如果路由器由你的网络运营商提供并管理，你可能无法访问这些设置。请联系运营商，而不是试图绕过。

当网络属于别人时

这种情况下，正确的答案往往不是技术性的。学校、公司、酒店或公共网络上的防火墙是一种策略的体现，请以此看待。

• **查看规则。**找一找使用条款或可接受使用政策页面。有些网络明确说明是否允许 VPN。
• **询问。**联系网络管理员或前台。说明你为了工作或保护自己的流量需要使用 VPN，并询问是否允许以及如何使用。管理员通常有标准答复，有些还会为此提供专用网络。
• **改用其他连接。**你自己的移动数据或热点，通常是正当的替代方案。可以看看 在公共 Wi-Fi 上连接 VPN，了解能连接时的合理习惯，以及在酒店 Wi-Fi 上使用 VPN，了解这一特定场景。
• **不要试图对抗这项策略。**绕过雇主或学校的限制，可能违反他们的规定或你与他们的约定，对你的账号或工作造成后果。本文不提供这类方法，你也不应该去寻找。

一个完整的例子

小雯在家用笔记本办公。一天早上，VPN 连不上，应用大约四十秒后超时。

• **测试一。**她把笔记本连到手机热点，VPN 立刻连上了。这说明笔记本和应用都能工作，差别在于家里的 Wi-Fi。
• **测试二。**她伴侣的笔记本在家里的 Wi-Fi 上也失败。这指向路由器，而不是她的设备。
• **检查路由器。**在路由器设置中，她发现一个最近更新过的“网络保护”功能被设在最严格的级别。她记下当前设置，把它调到标准级别并重新连接，VPN 可用了。
• **后续。**她保留新设置，写下旧设置，并在下次路由器更新之后再检查一次。

注意，小雯从来没有关闭笔记本的防火墙，也没有动过应用。测试把问题缩小到一个位置，而修复只是一项设置。

常见错误

• 把防火墙关一整天，而不是只做一分钟的测试。
• 只在家里的网络上测试，就断定应用坏了。
• 为并非来自官方渠道的软件添加允许规则。
• 删除自己不理解的防火墙规则。
• 把登录错误当成防火墙问题。
• 试图对抗学校、雇主或酒店的策略，而不是询问或改用其他连接。
• 忘记访客网络的配置可能比主网络规则更严格。

小结

拦截 VPN 的防火墙通常表现为：在某些网络上超时，在另一些网络上不会。先判断它在哪里：你的设备、你的路由器，还是别人的网络。在两个网络上对比同一台设备，在一个网络上对比两台设备。然后改动最小的那一处：设备上的允许规则、路由器上的过滤功能，或者与网络所有者的一次沟通。永远不要让你的保护一直处于关闭状态，也不要试图对抗不属于你的策略。

如果想要一个通行证在第二个连接上测试，可以在价格页面查看选项。