企业官网建设流程全解析

Fort Firewall 防火墙配置教程：5分钟配出第一条拦截规则，附排错清单

【免费下载链接】fortFort Firewall for Windows项目地址: https://gitcode.com/GitHub_Trending/fo/fort

一次凌晨的境外异常外联，在 Windows 防火墙日志里几乎没留下线索；换上 Fort Firewall，5分钟配出第一条按程序拦截的规则，还能当场验证命中。这篇 Fort Firewall 配置教程覆盖首条规则、场景配方与排错，按步骤即可操作。

能力速览：先看它解决什么问题

先别急着看原理。装完软件，5分钟内让一条规则真正生效，后面才有手感。

五分钟配出第一条拦截规则

1. 备环境：安装 VC++ 运行库；Windows 10 及以上先关闭HVCI（Windows 安全中心 → 内核隔离 → 内存完整性，它会挡住第三方内核驱动），重启后运行安装程序
2. 定过滤模式：默认Auto-Learn（新程序先放行并学习）；从严改Block, if not allowed（未列出的一律封禁）；怕误伤选Ask to Connect（新程序逐个弹窗询问）
3. 加程序并设动作：在 Programs 窗口把要管的程序加进来，编辑条目，把终止动作（Terminating）设为 Block
4. 验证：运行该程序访问外网，Connections 窗口应立刻出现被拒（Deny）的连接条目；也可用Filter Simulator手动填一条连接，直接看驱动判定

规则能拦了，但它凭什么拦得住？

🛡️ 它凭什么拦得住：WFP 内核驱动的两个检查点

Fort 不借用 Windows 防火墙的规则引擎，随包安装自己的内核驱动fortfw.sys，在WFP（Windows Filtering Platform，Windows 内核暴露给网络过滤器的框架，可理解为数据管线上的一排检查站）注册两个检查点：

• ALE层（应用层）：连接建立时逐条连接判定，决定这个程序能不能连、能去哪些地址
• 数据包层：每个包都过检，承担限速、流量统计和待询问包的暂存

程序靠什么被认出来？三种方式：可执行文件路径（支持通配符）、父进程、以及SvcHost.exe的服务名——Windows 服务都跑在同一个 svchost.exe 里，只有按服务名才分得清。

配置链路不绕：界面把规则写进 SQLite，打包成二进制经 IOCTL 推给驱动；UI 与驱动共享同一份判定代码（见 src/driver/common/），Filter Simulator 的结论因此和驱动真实裁决一致，不发流量也能预演。

机制看懂了，怎么落到具体环境？下面四个场景，每个都按 判断条件 → 配置 → 验证 给全。

四个场景配方：家用、公共网络、企业内网、服务器

• 公共网络（咖啡馆、酒店 Wi-Fi）
  • 判断：网络不可信，只让必要程序上线
  • 配置：过滤模式切到Block, if not allowed，程序表只留白名单；回可靠网络再切回Auto-Learn
  • 验证：跑一个没登记过的小工具，应被拦截并记入日志
• 家用（给设备定时）
  • 判断：某个程序只允许在特定时段使用
  • 配置：建Time Period（如工作日 18:00–21:00）和Group，程序入组并绑定该时段，时段外从托盘关闭该组
  • 验证：时段结束后该程序的连接被拒，日志出现 Deny 条目
• 企业内网（程序只准连指定网段）
  • 判断：业务程序禁止外联，只准连内网某段
  • 配置：程序Network Filters里放行一行内网网段（如IP(192.168.0.0/16):Act(Allow)），终止动作设Act(Block)
  • 验证：Filter Simulator分别填内网、外网目标，判定应一 Allow 一 Block
• 服务器加固
  • 判断：这台机器只该提供固定服务，主动外联大多是风险
  • 配置：整体Block, if not allowed，只放行业务服务与必要回调程序；大流量程序挂Speed Limits（按程序上下行限速）
  • 验证：跑一个未知外联程序确认被拦；流量图对比限速前后曲线

规则配好了，怎么确认它真在工作？别靠感觉，看三个可观测的点。

用日志和流量图确认规则生效

• 连接日志的 Deny 条目：规则生效后 1 分钟内，测试流量就该出现拒绝记录；长期零 Deny 说明规则从没被命中，先查程序路径
• 流量图：被封程序的上传/下载应几秒内归零；不归零多半是同一程序的另一份副本在别的路径运行
• Filter Simulator：最快的事前验证，任意一条连接都能看出放行还是拦截、命中哪条规则（实现在 src/ui/form/filtersim/）

另外盯住弹窗频率：新程序提醒如果天天弹，说明程序表没补齐，先切回Auto-Learn跑几天补全，再转严格模式。

🔧 五个高频现象的排法

1. 装完驱动起不来 →HVCI（内存完整性）拦了第三方内核驱动 → 在 Windows 安全中心内核隔离里关掉内存完整性并重启
2. 规则配了，程序照样上线 → 实际可执行路径和登记的不一致（多版本共存、更新器换了 exe 名）→ 到 Connections 窗口看真实路径，改加通配符路径或按父进程登记
3. 进程全是 svchost.exe 分不清谁是谁 → Windows 服务共享同一个 svchost.exe → 程序条目里改用服务名匹配
4. 一切严格模式，内网和 RDP 先断了 →Block, if not allowed拦掉了未登记的内网管理流量 → 先给内网网段和管理程序加 Allow 再切严格
5. 第三方软件流量统计缺失 → 有的工具把包重注入回网络栈，默认不统计 → 在选项统计页打开 Collect Traffic re-injected by other drivers

✅ 三件可以马上做的事

1. 过滤模式切到Block, if not allowed，程序表只留必要白名单
2. 给最敏感的程序加一条终止 Block 的规则，用Filter Simulator验证一次
3. 每周扫一眼连接日志与流量图，异常外联当天处理

【免费下载链接】fortFort Firewall for Windows项目地址: https://gitcode.com/GitHub_Trending/fo/fort