公司内网被钓鱼邮件攻破那天，网址运维老张在机房蹲了一整夜。白名攻击者没用什么高级漏洞，单设只是网址让财务部的小李点开了一个伪装成“发票查询”的链接。事后复盘，白名老张拍着桌子说：“早该把那些乱七八糟的单设域名全拦了。”这就是网址网址白名单最直接的用处——只放行你信得过的站点，其余一律挡在门外。白名

白名单和黑名单是单设两码事。黑名单是网址“我知道你坏，所以封你”，白名可新恶意域名每天冒出成千上万，单设你根本追不过来。网址白名单反过来：我只认自己列出来的白名，没列的单设一概拒绝。听起来很霸道，但对付勒索软件和钓鱼站，这招最省心。

路由器上怎么设

多数企业级路由器或防火墙自带URL过滤功能。登录后台，找“访问控制”或“URL过滤”菜单，选“白名单模式”。接着把允许访问的域名一条条加进去。比如公司只允许用企业微信、钉钉、百度网盘和几个行业数据库，那就填上 *.qq.com、*.dingtalk.com、*.baidu.com。注意通配符的写法，不同设备语法不一样。有些路由器支持导入CSV文件，几百个域名批量上传比手动敲快得多。

有个细节容易翻车：白名单一旦启用，所有不在列表里的域名全被拦截，包括Windows更新、杀毒软件升级、甚至系统时间同步。老张那次就忘了放行 time.windows.com，结果域控服务器时间漂移，一堆认证失败。所以上线前先抓包看看内网正常流量都去了哪些域名，或者先开一周“仅记录不拦截”模式，把日志里的域名导出来筛一遍。

浏览器和终端上的做法

如果不想动网络设备，也可以在每台电脑上装浏览器扩展。Chrome有个叫“BlockSite”的插件，能设白名单模式，只允许访问指定网站。但用户能自己禁用扩展，防不住故意捣乱的人。更硬核的办法是改hosts文件，把允许的域名解析到正确IP，其他域名统统指向 127.0.0.1。这招在几台固定用途的机器上很好使，比如车间里的工控机，只允许访问生产管理系统。缺点是维护麻烦，每加一个域名就得挨个机器改。

我见过一个做外贸的小团队，他们用OpenDNS的家庭防护功能做白名单。在OpenDNS后台把公司出口IP绑上，然后只放行阿里云、腾讯云和几个货代网站。员工想上淘宝？解析直接失败。老板说：“不是不信任人，是钓鱼邮件太真了，点一下全公司数据就没了。”

几个实在的坑

白名单最怕“漏网之鱼”。比如你允许了 *.weixin.qq.com，但微信图片实际走的是 *.qpic.cn，没加进去图片就全裂了。再比如CDN域名，同一个网站可能从几十个不同域名加载资源。解决办法是先用“学习模式”跑三天，让系统自动收集所有请求过的域名，再人工筛掉明显可疑的。

还有HTTPS的问题。传统防火墙看不到加密流量里的SNI字段，只能靠IP或证书做白名单，误杀率很高。现在新一点的防火墙支持“SSL解密”，但会带来性能和隐私争议。小公司没那预算，干脆在终端装个轻量级代理，所有流量走代理出去，代理上做白名单——虽然多一层，但可控性强。

最后说个反直觉的：白名单不适合所有人。家里给小孩平板设白名单，只放行几个学习APP，这没问题。但如果你自己是个开发者，天天要访问GitHub、Stack Overflow、各种npm源，设白名单等于自断双臂。工具是死的，场景是活的。先想清楚你要防谁、防什么，再决定要不要把门焊死。