Portmaster 适合先看清楚再动手。 它在 Windows 上通过 WFP 内核驱动挂进网络栈，每个数据包都看得见、拦得住。主界面就是一份按应用滚动的实时连接清单，谁在连什么地址一目了然——这正是 Defender 不强调的部分。它还能把系统里乱跑的 DNS 查询截下来，改走你指定的 DoT 或 DoH 解析器，套上维护中的过滤名单，把广告、追踪器和钓鱼域名挡在浏览器之外。代价是明显比系统防火墙重，老机器和低功耗机器能感觉到。Pro 版收费，核心的防火墙与过滤功能免费。

Fort Firewall 专治 svchost。 它直接建在 Windows 过滤平台上，支持应用分组、通配符路径和限速。最实用的一点是能区分共用 svchost.exe 的各个服务：想拦掉某个 Windows 组件时，按程序封 svchost 往往等于整机断网，而 Fort 可以只掐其中一个服务。通配符路径还能避免软件升级换了版本号文件夹后规则集体失效。缺点是界面密集、上手劝退，只有 Windows 版，社区也比 Portmaster 小。

我的判断是，这类工具真正的价值不是”更安全”，而是让你第一次看清后台到底有多少程序在联网。只装一个就从 Portmaster 起步；专门跟 Windows 服务较劲的，直接上 Fort Firewall。

来源：How-To Geek