防火墙不是电脑一堵墙，更像小区门禁。翻防你正常走大门刷卡，火墙它放行；你想翻墙，电脑它拦你。翻防电脑上翻防火墙，火墙说白了就是电脑绕过系统或网络层面的访问控制。这事儿分两层：一层是翻防你自己电脑上的软件防火墙，另一层是火墙路由器或公司网络里的硬件防火墙。大多数人问的电脑其实是第一种。

Windows自带防火墙默认拦入站、翻防放行出站。火墙你装个软件，电脑它要联网，翻防系统弹窗问“允许还是火墙阻止”，你点允许，就相当于给这个程序开了张通行证。想“翻”过去，最直接的办法就是给特定程序或端口开例外。控制面板里找到“Windows Defender 防火墙”，点“允许应用或功能通过防火墙”，把你要放行的程序勾上。就这么简单。但有些程序不在列表里，你得手动“添加应用”。还有更粗暴的：直接关掉防火墙。我不建议这么干，除非你清楚自己在做什么。关掉之后，局域网里随便谁都能扫你的端口。

有个细节很多人没注意：Windows防火墙分“专用网络”和“公用网络”两套配置。你在家连WiFi，网络类型设成“专用”，防火墙规则松一些；在咖啡馆连WiFi，设成“公用”，规则紧。有人抱怨“同一个软件在家能用，到公司就不行”，八成是网络类型变了，防火墙换了套规则。

再往上走一层，是路由器防火墙。你电脑能上网，是因为路由器做了NAT转发。外部想主动连你电脑的某个端口，默认被路由器拦掉。想让外面能连进来，得在路由器管理页面做“端口映射”或“DMZ主机”。端口映射就是把外网某个端口转发到你内网某台电脑的某个端口。DMZ更狠，直接把一台电脑完全暴露在外网。做端口映射之前，先确认你电脑的软件防火墙也放行了对应端口，不然两层都拦着，你只开一层没用。

公司网络里的防火墙又是另一回事。它可能做深度包检测，识别你访问的是什么服务，不只是看端口。你用非标准端口跑HTTP，它照样能认出来。这种环境下想“翻”，技术门槛高得多，而且大概率违反公司规定。我见过有人用SSH隧道把流量封装成加密连接，防火墙看不懂内容，只能放行。但网管也不傻，看到持续的大流量加密连接，直接封IP。猫鼠游戏。

说个具体案例。去年帮朋友处理一个远程桌面连不上的问题。他家里电脑开了远程桌面，端口3389，Windows防火墙也放行了。但在外面就是连不上。我让他查路由器，发现他光猫是路由模式，下面还接了个自己的路由器，两层NAT。他在自己路由器上做了端口映射，但光猫那层没做。外网请求到光猫就被拦了，根本到不了他路由器。解决办法是把光猫改桥接，或者光猫上也做映射。他嫌麻烦，最后用了TeamViewer。你看，防火墙不是唯一障碍，NAT同样能把你挡在外面。

还有人问Linux上的iptables。那玩意儿规则链更底层，默认策略通常是DROP。你想放行某个端口，得写规则插到链里。命令记不住没关系，装个ufw，前端工具，几条命令搞定。但底层逻辑不变：匹配规则、执行动作。懂了这个，图形界面还是命令行，都一样。

翻防火墙这事，本质是理解数据包从你的程序到目标服务器之间，经过哪些关卡，每道关卡按什么规则放行或拦截。你搞清楚路径，就知道该在哪一层动手。最怕的是瞎试，关了防火墙发现还不行，又去折腾路由器，最后发现是运营商封了80端口。这种事儿，我遇到过不止一次。

(责任编辑：知识)