Windows 防火墙与 VPN：安全配置要点

防火墙和 VPN 是同处于你电脑上同一位置的两种不同防护，它们有时会互相妨碍。防火墙决定哪些连接可以进出你的电脑；VPN 则把你的流量包进一条通往另一个网络的加密隧道。两者不协调时，你会看到这样的现象：VPN 始终连不上、打印机不见了，或者每次启动应用都弹出提示。最诱人的办法是关掉防火墙，而这恰恰是最糟的一种。本文讲解如何配置 Windows Defender 防火墙，让 VPN 正常工作，重点放在安全的选择上：正确的网络类型、谨慎的规则、共享设置，以及一套从不关闭保护的排错流程。至于这几种工具在概念上的区别，可以搭配阅读VPN、杀毒软件与防火墙有什么区别。

Windows 电脑里谁负责什么

Windows Defender 防火墙是主机防火墙。它在电脑本机检查流量，所以既能看到物理网卡（Wi-Fi 或以太网），也能看到 VPN 的虚拟网卡。默认情况下，它允许出站连接，并拦截未经请求的入站连接，除非存在放行规则。

这个默认设置对 VPN 客户端是有利的。VPN 应用是向外主动连接它的服务器，所以通常不需要任何自定义规则就能工作。问题出现在四种情形里：

• 首次运行的弹窗被关掉了，程序于是被悄悄拦截。
• 应用了更严格的规则集，比如来自安全软件或工作策略，默认拦截出站流量。
• VPN 网卡被归入了与你预期不同的网络类型，从而改变了允许的内容。
• 你照着网上的小窍门加了规则，开放的范围比你以为的大。

记住这幅图景：防火墙控制谁能和这台机器对话，VPN 控制流量离开之后去往哪里。两者是互补的，所以目标是让它们协调一致，而不是二选一。

网络类型，以及 VPN 网卡为什么重要

Windows 会把每个网络连接归入一种类型，并对每种类型应用不同的规则。

类型	适用场景	一般表现
域	已加入域的公司网络	由组织的策略决定
专用	家庭或其他可信网络	允许更多发现和共享
公用	咖啡馆、酒店、机场及任何陌生网络	拦截绝大部分入站流量，关闭发现

出现新网卡时，Windows 可能把它归为“公用”，如果你在提示中点了“是”就归为“专用”，也可能保持未识别。VPN 会增加一块虚拟网卡，它的类型可能与你的 Wi-Fi 不同。这很重要，因为文件共享和设备发现都遵循网络类型。

想查看 Windows 目前怎么看待你的连接，打开 PowerShell 运行：

Get-NetConnectionProfile

查看 InterfaceAlias 和 NetworkCategory 两列。更安全的默认做法：

• 把共享的、公共的 Wi-Fi 以及 VPN 网卡当作“公用”。
• “专用”只用于你信任并能掌控的家庭或办公网络。
• 如果咖啡馆的连接因为你以前点过“是”而被设成了“专用”，用 Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public 改回来。

“公用”是更严格的选择。如果可信的家庭网络上本地打印机或共享文件夹不能用了，正确的修复是把那个网络切换为“专用”，而不是放宽公共网络上的规则。美国联邦贸易委员会（FTC）关于公共 Wi-Fi 的指南，解释了为什么陌生网络应当受到更严格的对待。

首次弹窗：有意识地作答

程序第一次试图接受或打开某些连接时，Windows 会弹出一个窗口，标题大致是“Windows Defender 防火墙已阻止此应用的某些功能”。它提供两个勾选框，通常是“专用网络”和“公用网络”，以及一个“允许访问”按钮。具体措辞随版本不同。

对 VPN 应用该如何回答：

1. 看清弹窗里的程序名称和路径。 确认它是你刚安装的那个应用，路径指向你预期的文件夹。
2. 勾选你实际使用的类型。 如果你在家里和咖啡馆都用 VPN，两个框都要勾。只在家里用，就只勾“专用”。
3. 点“允许访问”。 “取消”会拦截该程序，而且 Windows 会记住这个决定。
4. 不要勾“域”，除非你在要求这么做的公司网络里。

如果你已经点了取消，或者弹窗根本没出现：

1. 打开“Windows 安全中心”，进入“防火墙和网络保护”，再点“允许应用通过防火墙”。
2. 点“更改设置”，在列表中找到 VPN 应用，勾选你需要的类型。
3. 如果应用不在列表里，选“允许其他应用”，浏览到它的可执行文件并添加。
4. 重新连接 VPN。

一定要用应用自己的可执行文件来添加。千万不要添加允许“所有程序”或者整个 Program Files 之类大文件夹的规则。

看看防火墙到底在做什么

靠猜会浪费数小时，Windows 可以直接告诉你。

1. 查看每种类型的状态。 运行 Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction。正常的默认值是入站 Block、出站 Allow。如果出站显示 Block，说明有人改变了防火墙的立场，VPN 客户端就需要一条规则。
2. 打开规则列表。 按 Windows 键加 R，输入 wf.msc，回车。“高级安全 Windows Defender 防火墙”控制台会列出入站和出站规则，可以按程序名称搜索。
3. 开启丢弃数据包的日志。 在 wf.msc 中右键点击“高级安全 Windows Defender 防火墙”，选“属性”，进入对应类型的选项卡，点日志里的“自定义”，把“记录被丢弃的数据包”设为“是”。默认情况下，日志文件 pfirewall.log 位于 Windows 的 system32 下的 LogFiles Firewall 文件夹。
4. 重现问题。 尝试连接一次 VPN，然后打开日志。找与你尝试时间吻合、且带有 VPN 服务器地址的 DROP 行。该行会显示动作、协议、源地址和目的地址。
5. 只修日志所指的问题。 如果日志里有针对你 VPN 程序的 DROP，就为该程序创建或更正规则。如果没有 DROP，防火墙大概就不是问题所在。

用完后请把日志再关掉，因为文件会不断变大。结果是你拿到了证据，而不是猜测。

安全的规则与不安全的规则

添加规则是大多数损害发生的地方。那种建议“在所有端口上允许所有入站”的窍门，是靠移除保护来消除症状。

应该这样做	不要这样做
只对一个指定名称的程序放行，并限定在需要的类型上	对任意端口放行“任意程序”
知道远程地址时，把规则限定到该地址	为了“测试一下”把规则对所有地址开放
家用电脑保持出站默认为允许	在没有时间建立规则的情况下把出站改为拦截
删除已卸载软件留下的规则	为已经不存在的程序保留过期的放行规则
大改之前先导出规则	凭记忆修改规则却不留备份
在“公用”类型上保持远程桌面和文件共享关闭	为图方便，把远程桌面（端口 3389）或文件共享（端口 445）暴露给 VPN 或互联网

通过 VPN 的入站访问需要特别小心。如果你读到过从外部访问家里电脑的做法，请记住，对网络开放一个服务就会增加风险。VPN 端口转发详解详细说明了其中的取舍。一般来说，选择能完成任务的最小访问权限，任务结束就把它去掉。

要从命令行删除遗留的规则：Remove-NetFirewallRule -DisplayName "规则名称"。请小心操作，因为这条命令会删除所有名称匹配的规则。

VPN 与 Wi-Fi 上的共享和发现设置

使你的电脑在网络上暴露的，不只有防火墙。文件和打印机共享以及网络发现都是设置项，而且它们遵循网络类型。

1. 打开“设置 > 网络和 Internet > 高级网络设置 > 高级共享设置”（Windows 11），或者在 Windows 10 的“网络和共享中心”里找对应项。
2. 对“公用”类型，关闭网络发现和文件与打印机共享。
3. 对“专用”类型，只有在家里确实需要时才开启。
4. 保持密码保护共享为开启。

在使用 VPN 时这为什么重要：隧道会改变你的地址和路径，却不会阻止同一虚拟网络中的其他设备访问你没关的共享。在启用共享的情况下，在酒店网络上使用 VPN，是个糟糕的组合。先把门关好。

如果连上 VPN 后打印机消失了，原因是路由，而不是防火墙。路由问题在什么是分流（Split Tunneling）里有说明。不要为了解决路由问题而削弱防火墙规则。

第三方安全软件与“双防火墙”问题

很多电脑运行着自带防火墙的安全软件。这种情况下，Windows Defender 防火墙可能被关闭，或设为听从另一个产品。风险不在于两个防火墙比一个好，而在于搞不清谁在负责，导致规则建在了错误的地方。

• 先弄清是哪个产品在管理防火墙。在 Windows 安全中心打开“防火墙和网络保护”，会告诉你是否有其他提供商在运行。
• 在负责的那个产品里建立 VPN 应用的放行规则。如果决策由另一个防火墙做出，Windows 防火墙里的规则不起作用。
• 有些安全套件包含会检查加密流量的网页防护。如果只有在该功能开启时 VPN 应用才连不上，请在套件设置中为该应用找例外，而不是把防护整个关掉。
• 不要同时运行两个活动的防火墙。如果你安装了新套件，确认 Windows 已经听从它，而不是两个都没在工作。

如果症状是 809 或 691 之类的 Windows 连接错误，修复常见的 Windows VPN 错误这篇指南按顺序介绍了这些代码和检查步骤。

一套永远不关闭保护的排错流程

当 VPN 连不上，而你怀疑是防火墙时，按下面的顺序来。

1. 先确认不是更简单的原因。 检查网络连接、My Pass 上的用户名和密码，以及通行证是否有效。VPN 连接不上这篇指南先讲了这些基础。
2. 检查网络类型。 运行 Get-NetConnectionProfile，确认网络和你预期的一致。
3. 检查程序规则。 在“允许应用通过防火墙”里，确认 VPN 应用在当前使用的类型上已被勾选。
4. 读日志。 启用丢弃数据包日志，尝试连接，然后读 DROP 行。
5. 必要时恢复干净状态。 如果规则乱成一团，先用 netsh advfirewall export "C:\Temp\firewall-backup.wfw" 导出，再用 netsh advfirewall reset 重置。这会恢复 Windows 默认值并删除所有自定义规则，所以你可能需要为其他程序重新添加规则。工作电脑未经 IT 批准不要重置。
6. 只加回需要的。 打开 VPN 应用，谨慎回答弹窗，然后重新连接。
7. 如果仍然失败，停下来求助。 保留日志行，询问支持团队，而不是关闭保护。

微软关于在 Windows 中连接 VPN 的指南值得放在手边，如果下一步是干净重装，下载页提供官方安装包链接。

三个场景、常见错误与局限

点了“取消”的学生。 小凯安装了 VPN 应用，却把防火墙弹窗关掉了。应用能打开，却从未连上。她不需要重装：打开“允许应用通过防火墙”，在应用旁勾选“专用”和“公用”两个框，重新连接即可。

在咖啡馆 Wi-Fi 上办公的人。 小锐的笔记本前一天把这家咖啡馆的网络标成了“专用”，所以网络发现是开着的。他把这个连接改回“公用”，关掉发现，再连接 VPN。咖啡馆网络上的其他设备就看不到他的共享了。

装了安全套件之后的家用电脑。 一个新的安全套件接管了防火墙，VPN 应用不再能连接。Windows 防火墙里的规则本身没问题，但做决定的是那个套件。在套件里添加一条例外就解决了。

常见错误：

• 关闭防火墙做测试，然后忘了再打开。
• 出于习惯，给每个程序都勾选两种类型。
• 允许整个文件夹，而不是单个程序。
• 让远程桌面在 VPN 网卡上一直开着。
• 照搬自己看不懂的论坛脚本。
• 没有告知 IT 就重置由公司管理的工作电脑。

局限：防火墙看不到加密流量的内部，VPN 也不能取代它，两者都不能阻止钓鱼、弱密码或者你自己运行的恶意软件。这里描述的防火墙操作还取决于你的 Windows 版本，措辞和菜单名称可能不同。如果你要为团队管理这类事务，NIST 的 VPN 指南是更深入的参考。

总结

对于 Windows 防火墙与 VPN 的配置：让 Windows Defender 防火墙保持开启，把共享网络和 VPN 网络当作“公用”，有意识地回应首次弹窗，并且只通过 VPN 应用自己的可执行文件来放行。改动任何东西之前，先查看状态和丢弃数据包日志；避免宽泛的规则；在公共网络上保持共享关闭；确保只有一个防火墙在负责；把导出和重置当作最后手段，而不是关闭保护。

如果简单的预付通行证适合你的使用方式，可以在价格页看看有哪些选择。