离开Windows XP之后，我一直用系统自带防火墙，没觉得有什么问题。直到前阵子心血来潮，在Windows电脑上装了Portmaster这款第三方防火墙，想看看究竟哪些应用在联网、什么时候联网。

打开网易新闻 查看精彩图片

结果有点出乎意料：几分钟之内，联网应用的列表就炸开了。那些我以为完全闲置、甚至根本没开着的应用，其实都在自己找时间往外连。

Windows防火墙默认对入站威胁的防护做得不错，但对电脑上的应用往外跑这件事，基本管不住。Portmaster不一样，它让我看清了应用在干什么，也能轻松控制哪个应用能不能联网。换到第三方防火墙之后，我大概不会再跳回默认选项了。

它和系统自带防火墙不是一回事

Portmaster是一款免费、开源的防火墙，最初由Safing打造，现在归属IVPN团队。它通过内核驱动直接接入Windows网络栈，因此能直接看到电脑上每个应用和服务在任何时刻的动作。

免费档包含防火墙、网络监视器和可选的加密DNS。付费档提供网络历史记录和隐私网络，我目前还没付费——光是可见性和控制力，就已经够改变使用习惯了。

抓出那些不合适的“回家”连接

网络监视器是我最喜欢的功能之一。它显示哪些应用当前连着网，更关键的是，它们连到了哪里。每条连接的IP地址和所属国家都能看到。

每个应用都有自己的档案，列出它连过的所有域名和IP地址。想抓出偷偷联系分析域名、或者连到意料之外国家的软件，这个功能非常好用。选中某个应用打开档案，就能实时看到数据流向哪里。需要注意的是，免费版只显示近期活动，想要长期历史记录，得升级到Plus档。

不信任的应用，直接掐断

我经常试新软件，就算做足了常规防护，心里其实并不信任它们。Portmaster允许单独屏蔽某个应用或某个特定域名。所以每次试用一个压根没理由联网的新应用（比如文件转换工具），我直接把它封掉。

想更谨慎一点，可以把默认网络权限设成“询问”。这样每个新应用联网前都得先获得许可。我自己的网络就是这么跑的，但得提醒一句：这很折腾。你根本意识不到有多少不同的应用和服务需要联网才能正常工作。

对付更常见的骚扰，可以用全局过滤列表，在整个系统层面屏蔽追踪器甚至广告。基于域名的屏蔽能力要省着用——封错域名可能弄坏登录流程或某个核心功能，而且原因往往不明显。

挡住你不想要的更新

不止一次，我喜欢的应用自动更新后，情况反而变糟了。能选择性屏蔽应用的一个好处，就是可以阻止不想要的更新。只要这个应用不依赖外部连接工作，就可以放心封掉更新。

但千万别靠断网来阻止Windows Update。随便屏蔽微软的服务，很容易让电脑彻底连不上网——这事我自己干过不止一次。

看清应用往外发什么，会改变你对它们的信任程度。Portmaster是一个简单、免费的办法，让你了解电脑上所有应用的真实动作，可以封掉不信任的新应用，也可以阻止喜欢的应用升到新版本。

只是别封得太多。随手屏蔽一个不认识的“update.exe”，很容易把应用搞坏。基础程序免费，包含防火墙和短时历史；想要长期历史记录，大约每年5美元；包含SPN网络的Pro档每年90美元。