如果你的浏览器、终端和音乐播放器同时尝试访问互联网，它们应该被同等对待吗？

传统防火墙通常关注网络连接本身。而应用级防火墙会问一个不同的问题：哪个应用正在发起这个连接，它应该被允许吗？

这一视角的微小转变会改变你对防火墙规则的思考方式，并让你对系统拥有更精细的控制。

通过本指南，你将了解：

  • 什么是应用级防火墙，它与网络防火墙有何不同。
  • 入站和出站应用防火墙的区别。
  • 默认操作和规则粒度如何影响防火墙行为。
  • 为什么 FireWally、Little Snitch 和 OpenSnitch 等工具采用不同的方法。
  • 哪种类型的应用防火墙可能适合你的需求。

什么是应用级防火墙？

应用级防火墙（https://ostechnix.com/tag/application-level-firewall/）是一种分别控制每个应用互联网访问的工具。它不是通过端口或 IP 地址来管理流量，而是通过生成流量的应用来管理。

这通常被称为出站过滤，因为它处理的是离开你设备的流量。出站意味着流量离开你的计算机，与从外部到达的入站流量相对。应用级防火墙主要关注出站流量，因为这是单个应用变得可见的地方。

以下是它的实际工作原理。当应用尝试连接到互联网时，防火墙会通过名称识别该应用。然后你可以选择允许或阻止该特定应用。其他应用不受此选择的影响。你的浏览器可以保持连接，而你的音乐播放器被阻止，反之亦然。

这也为你提供了可见性。许多应用级防火墙会显示哪些应用正在连接、连接频率以及它们发送了多少数据。你可以发现意外活动，比如某个应用联系你不认识的服务器，或者发送的数据超出预期。

范围说明：

“应用级防火墙”这个术语可能令人困惑。它用于不同的技术。

在本指南中，它指的是基于主机的应用防火墙（https://ostechnix.com/tag/host-based-application-firewall/）。这是一种监控和控制设备上单个应用发起的网络连接的工具。

它不指 Web 应用防火墙（WAF），后者用于保护服务器免受 SQL 注入等攻击。它也不指应用层检查，后者检查网络流量中的 HTTP 等协议。这些是不同的工具，用于不同的目的。

网络防火墙评估连接本身：IP 地址、端口、协议。基于主机的应用防火墙还会考虑哪个应用发起了该连接，并据此应用其规则。

入站与出站防火墙

每个网络连接都有一个方向。入站意味着从外部到达你设备的流量。出站意味着从你的设备发往互联网的流量。

大多数内置防火墙专注于入站流量。它们决定允许什么到达你的设备。这可以在许多不需要的连接到达之前阻止它们。

出站流量则不同。这是你自己的应用发送出去的数据，例如更新检查、后台同步或分析。过滤出站流量的防火墙（https://ostechnix.com/tag/outbound-firewall/）会问一个不同的问题：这个应用是否应该被允许发送数据？

以下是一个简单的比较：

大多数计算机已经具备入站保护（https://ostechnix.com/tag/inbound-application-firewall/）。配置或启用出站保护（https://ostechnix.com/tag/outbound-application-firewall/）的计算机要少得多。这正是应用级防火墙旨在处理的部分（参见 https://ostechnix.com/tag/inbound-vs-outbound-firewall/）。

比较任何防火墙工具的两种方法

每个应用级防火墙都可以通过两个简单的问题来理解。

第一个问题是关于默认行为。当新应用尝试连接时，防火墙是阻止它直到你批准，还是自动允许它？有些工具每次都会询问你。其他工具则保持沉默，除非你更改设置。

第二个问题是关于粒度。你能否仅在整个应用级别控制访问，还是可以更进一步，阻止该应用内的特定域名、端口或进程？

这两个问题很重要，因为它们解释了为什么解决相同问题的工具使用起来感觉完全不同。默认阻止并在每次新连接前询问的工具感觉更像一个检查点。默认允许并保持沉默的工具感觉更像一个你随时查看的仪表板。

两种方法本身没有优劣之分。检查点给你更多控制权，但也会带来更多中断。仪表板提供便利，但需要你自己检查。

一旦你知道一个工具在这两个问题上的位置，你就已经理解了它的大部分功能。

macOS 和 Linux 的应用级防火墙

FireWally (macOS)

FireWally（https://ostechnix.com/tag/firewally/）是 macOS（https://ostechnix.com/tag/macos/）的免费应用防火墙。它显示哪些应用正在连接互联网，并可以一键阻止其中任何一个。

你需要先在系统设置中启用其网络扩展，然后它才能监控任何内容。新应用默认允许连接，因此如果你希望它先询问，必须更改设置。

它还使用 Apple Intelligence 以通俗语言解释应用可能连接的原因。这仅在 macOS Tahoe 且配备 M1 芯片或更新版本的设备上有效。

Little Snitch (macOS)

Little Snitch（https://ostechnix.com/tag/little-snitch/）已经保护 Mac 用户超过二十年。与 FireWally（https://ostechnix.com/tag/firewally-vs-little-snitch/）不同，它默认阻止新连接并在允许前询问。它还支持按域名、端口和网络配置文件设置规则，因此你可以为家庭、工作或公共网络设置不同的规则。

它是一个付费工具，其深度使其比更简单的替代品更难学习。

OpenSnitch (Linux)

OpenSnitch（https://ostechnix.com/tag/opensnitch/）将相同的理念带到了 Linux（https://ostechnix.com/tag/linux/），完全开源（https://ostechnix.com/tag/open-source/）。与 Little Snitch 类似，它会在应用首次尝试连接时提示你。

规则可以很深入：你可以将连接限制到特定端口、使用模式匹配域名，或按用户帐户限制访问。每条规则都存储为 JSON 文件，因此你可以直接编辑防火墙配置，而无需打开应用。它属于 Linux 防火墙（https://ostechnix.com/tag/linux-firewall/）和 Linux 安全（https://ostechnix.com/tag/linux-security/）领域。

Little Snitch (Linux)

Little Snitch（Little Snitch for Linux，https://ostechnix.com/tag/little-snitch-for-linux/）也在 Linux 上运行，于 2026 发布，此前仅在 macOS 上存在了二十年。

它在 Linux 上的工作方式不同：不是桌面应用，而是作为后台服务运行，并在 Web 浏览器中提供仪表板。

这让你可以监控网络上的另一台计算机，而不仅仅是你面前的这台。开发者将其描述为隐私工具而非安全工具（https://ostechnix.com/tag/security/），因为它无法完全保证一个坚定的应用永远不会绕过它。

请注意，没有单一的应用防火墙适合所有用户。有些优先考虑易用性。其他则优先考虑可见性和精细控制。前面的部分可以通过询问两个问题来帮助你比较它们：默认操作是什么，规则可以有多具体？

常见初学者误解

误解 1：“它默认保护我。”

不总是如此。有些工具，如 FireWally，允许新应用自动连接，直到你更改该设置。在假设你受到保护之前，始终检查默认行为。

误解 2：“它取代了我的内置防火墙。”

不会。应用级防火墙处理出站流量。你的内置防火墙仍然处理入站流量。你需要两者，而不是一个代替另一个。

误解 3：“阻止应用会阻止它运行。”

阻止仅移除网络访问。应用在你的设备上继续正常运行。它只是不能再发送或接收数据。

误解 4：“更多规则总是意味着更好的保护。”

不一定。一个具有深度、精细规则的工具只有在你知道每条规则的作用时才有用。一个你实际正确配置的简单工具可能比一个保持默认设置的复杂工具更好地保护你。

误解 5：“每个应用都需要互联网访问。”

许多应用在没有网络连接的情况下也能完美运行。应用防火墙让你决定哪些应用应该通过网络通信。

误解 6：“应用防火墙可以阻止所有网络攻击。”

应用防火墙控制网络访问。它不能阻止所有攻击，也不能取代其他安全措施，如软件更新、防病毒软件或安全浏览习惯。

常见问题解答

问：什么是应用级防火墙？

答：应用级防火墙监控和控制设备上单个应用发起的网络连接。它可以根据发起请求的应用允许或阻止连接，而不仅仅是基于网络连接本身。在本指南中，该术语指的是基于主机的应用防火墙，而不是Web 应用防火墙（WAF）。

问：应用级防火墙如何工作？

答：当应用尝试通过网络通信时，防火墙识别该应用并将请求与其配置的规则进行比较。根据这些规则，它允许或阻止连接。

问：应用级防火墙和网络防火墙（https://ostechnix.com/tag/application-firewall-vs-network-firewall/）有什么区别？

答：网络防火墙使用 IP 地址、端口和协议等信息评估网络流量。基于主机的应用防火墙还会考虑哪个应用正在发起连接，并可以对不同应用应用不同的规则。

问：入站和出站应用防火墙有什么区别？

答：入站应用防火墙控制对设备上运行的应用的传入连接。出站应用防火墙控制设备上的应用是否可以发起出站网络连接。有些产品同时支持两者。

问：我需要应用级防火墙吗？

答：这取决于你的需求。如果你想控制哪些应用可以访问网络、监控应用网络活动或减少不必要的出站连接，应用级防火墙可以提供比传统网络防火墙更多的控制。

问：应用级防火墙能阻止恶意软件吗？

答：不能。应用级防火墙控制网络访问。它不检测或移除恶意软件，不取代防病毒软件，也不能阻止所有类型的网络攻击。它是更广泛安全策略中的一个层面。

自己尝试

阅读这些工具只能让你了解这么多。理解它们最快的方法是安装一个并观察。

选择与你的平台匹配的工具，从上面的部分中选择。安装它，但暂时不要阻止任何东西。在接下来的 24 hours 里，只需观察。观察哪些应用连接、连接频率以及连接到哪里。

你可能会注意到一些意外的事情。一个你很少打开的应用可能仍在后台发送数据。一旦你亲眼看到这一点，本指南前面的部分将更具实际意义。

之后，慢慢开始。阻止一个你不认识或不信任的应用。看看有什么变化。只有在你理解规则的作用时才添加规则。

应用级防火墙不是一次设置就忘记的东西。它是一个通过使用来学习的工具。