一句话简介
Portmaster 是一款免费开源的应用级网络防火墙，用大白话说，它能让你看到电脑上每个软件在偷偷连什么网站、用了多少流量，还能一键掐断任何程序的网络连接——比如发现某个本地看图软件居然在后台传数据，点一下就让它永远断网。由欧洲 Safing 团队开发，基于内核级 WFP 驱动，属于 网络防火墙/隐私防护工具类软件。
它与 GlassWire 类似但定位不同：GlassWire 侧重"好看地监控"并以防火墙为辅；Portmaster 的防火墙主动性更强、开源更彻底、支持自定义 DNS 加密和 SPN 隐私网络（类似 Tor 但更快）。如果你想要一个免费开源的、能细致控制每一个程序联网行为的防火墙，Portmaster 是开源社区里最佳选择。
核心亮点
应用级联网管控：列出每个程序的每一个网络连接，一键允许/阻止，颗粒度精确到域名
内核级拦截：基于 WFP 驱动在内核层拦截数据包，应用程序绕不过
加密 DNS（DoT/DoH）：防止 ISP 偷窥你的 DNS 查询，屏蔽恶意域名和跟踪器
智能隐私防护：内置海量过滤规则，自动拦截广告追踪、恶意域名、木马连接
完全开源：GPL 协议，代码全在 GitHub 上，隐私承诺可信
SPN 隐私网络：可选功能，洋葱多层加密路由，介于 VPN 和 Tor 之间，保护上网溯源隐私
适合谁用
在意隐私的人：想知道每个软件在后台连了什么、阻止它们偷偷上传数据
怀疑软件有后门的人：小厂/来路不明的软件一键断网隔离，不给它联网的机会
开发者/极客：开源可审计、内核级控制、高度自定义，符合极客口味
与 GlassWire 互补使用的人：GlassWire 看全景、Portmaster 做精细控制
解决的痛点
痛点 1：不知道哪些软件在偷偷联网传数据
你以为破解软件只在本地用，结果它在后台连 P2P 网络疯狂上传；你装了个看图软件，它居然在连广告服务器。你对此一无所知。
Portmaster 怎么解决：打开控制面板，所有程序的所有活跃连接全部列出。每个程序连了哪些域名/IP、上传下载了多少数据，一目了然。发现可疑的，一键阻断。
痛点 2：想断网只能拔网线，没法只让某个程序断网
你有个软件想用但不想让它联网——Windows 防火墙理论上能做，但配置复杂到普通人根本看不懂。
Portmaster 怎么解决：在程序列表里找到它，点一下红色"Block Internet Access"开关——该程序瞬间被内核隔离，正常打开正常用，但发出的任何一个网络包都被底层掐死。
痛点 3：DNS 被劫持/窥探，运营商知道你上过什么网站
你用的默认 DNS（运营商的），它们能看到你解析了哪些域名——等于知道你去过哪些网站，还可能做域名劫持给你推广告。
Portmaster 怎么解决：内置 DoT/DoH 加密 DNS 功能，DNS 查询通过加密通道走，运营商看不到。配合内置的恶意域名拦截列表，还能挡住广告和跟踪器。
使用场景
监控程序联网行为：发现后台偷传数据的"内鬼"
隔离可疑软件：来路不明的软件一键断网，当单机版用
屏蔽广告追踪：自动拦截广告/追踪域名，从网络层减少广告
DNS 加密：防偷窥、防劫持
SPN 隐私上网：通过多层洋葱路由隐藏真实 IP
下载与安装
官方网站：https://safing.io/
GitHub：github.com/safing/portmaster
最新版本：v2.1.19（2026 年 5 月）
体积：约 93MB
支持平台：Windows、Linux
安装过程会安装内核驱动（WFP），这是它实现底层拦截的必要步骤，属正常行为。完全开源，从 GitHub 可验证源码。
最佳实践
1. 先观察几天再动手拦截
刚装上先别一顿乱断网，花几天时间看哪些程序正常联网、哪些可疑。建立"正常基线"后再对异常程序下手。
2. 善用"域名级"精细管控
不只是"允许/阻止程序联网"，可以精细到"允许 A 域名、阻止 B 域名"。比如允许微信正常聊天、但阻止它连某些广告/统计域名。
3. 开启加密 DNS 防窥探
在设置里开启 DoT/DoH，选一个信任的 DNS 提供商（如 Quad9 防恶意域名、Cloudflare 速度快），加密你的 DNS 查询。
4. SPN 按需开启
SPN 隐私网络类似轻量版 Tor，速度比 Tor 快但比 VPN 慢。需要高度匿名时开启，日常上网不需要——会增加延迟。
替代方案对比
几句实在话：GlassWire 更好看更易懂，适合日常"看清楚网络在干嘛+简单管控"。Portmaster 更 Geek——内核级、开源可审计、管控粒度更细、有 SPN 和加密 DNS。如果你既想"看得见"又想"管得细"，Portmaster 是更 Geek 的选择。
常见问题
Q1：Portmaster 和 GlassWire 有什么区别？该用哪个？ A：GlassWire = 漂亮的流量监控 + 基础防火墙。Portmaster = 开源 + 内核级防火墙 + DNS 加密 + SPN。GlassWire 对普通用户更友好，Portmaster 对要深度控制的极客更强。两者可以共存（Portmaster 做控制，GlassWire 做监控）。
Q2：会影响网速吗？ A：防火墙核心处理增加约 1-3ms 延迟，日常感知不到。SPN 因为多层加密路由会降低速度（但保持 >100Mbps），日常上网不需要开 SPN。
Q3：能和 VPN 一起用吗？ A：可以，但需要正确配置。VPN 设为"Allow All"，然后用 Portmaster 做最终决定（每应用规则）。
小结
如果你想用免费开源的方式精确掌控电脑上每个程序的联网行为，Portmaster 是目前最 Geek 的选择——内核级拦截、应用级细控、加密 DNS、SPN 隐私网络，代码全在 GitHub 上。它不像 GlassWire 那样"好看好懂"，但在"管得细、控得死"这件事上，它是开源社区里的最佳答案。