你家小区有门禁，快递员得登记才能进；公司前台要刷卡，陌生人根本摸不到办公区。防火墙，就是网络世界的这道门禁和前台——它不直接杀病毒，也不修漏洞，但它决定谁可以进来、谁该被挡在门外。
不是所有流量都欢迎
当你的电脑访问一个网站，或者手机连上远程服务器，数据包就像一辆辆小货车，在网上来回跑。防火墙就在网关位置（比如路由器、Windows 自带的防火墙、或者企业级的硬件设备），盯着每辆车的车牌（IP 地址）、货物单号（端口号）、装的是什么货（协议类型，比如 HTTP、FTP、RDP）。
比如有人用扫描工具疯狂试探你家路由器的 3389 端口（Windows 远程桌面默认端口），防火墙一看：没申请过这个服务，又来自陌生 IP，还高频连接——直接丢包，连回应都不给。对方只看到“连接超时”，根本不知道你开了还是关了服务。
防的是“动作”，不是“名字”
很多人以为装了防火墙就等于防住了勒索病毒。其实不然。如果用户自己点了钓鱼邮件里的 .exe 文件，病毒已经在本地运行了，防火墙很难干预——它管的是进出的“通道”，不是电脑肚子里的“行为”。但反过来，如果勒索软件想把加密后的文件偷偷传到境外服务器，防火墙若设置了出站规则（比如只允许浏览器走 443 端口），就可能卡住它的回传链路，拖慢甚至中断攻击流程。
举个日常例子
小张开了个个人博客，用的是 WordPress。他没关掉 xmlrpc.php 接口，黑客就用暴力破解脚本反复尝试管理员密码。服务器本身没报错，但防火墙日志里发现同一 IP 在 1 分钟内发了 200 多次 POST 请求到 /xmlrpc.php ——自动触发封禁规则，IP 被拉黑 24 小时。博客照常访问，攻击却断了。
别指望它单打独斗
家用路由器自带的防火墙，默认通常只开入站拦截（防外网主动连你），而出站几乎全放行。这意味着：你电脑中了木马，它照样能往外发数据。所以 Win10/Win11 的“高级安全 Windows Defender 防火墙”值得打开，并手动配几条出站规则，比如禁止非浏览器进程访问 443 端口，或限制某个可疑程序联网。
企业环境更典型：一台服务器只开放 80 和 443 端口给公网，SSH（22 端口）只允许公司内网 IP 访问，数据库端口（3306）干脆完全屏蔽外网——这些全靠防火墙策略一层层筛出来，而不是靠“等出事再补漏”。
简单看一条 iptables 规则长啥样
-A INPUT -s 192.168.1.100 -p tcp --dport 22 -j ACCEPT意思是：“允许来自 192.168.1.100 这台机器，通过 TCP 协议连我的 22 端口”。其他所有连 22 的请求，统统拒绝。没有这条，黑客扫到你的 SSH 端口，就能开始撞库。
防火墙不会让你高枕无忧，但它能让攻击者多绕三道弯、多试十次错、多花半小时——而这一小时，可能就是你发现异常、拔网线、查日志的黄金时间。