360安全卫士防火墙如何手动放行指定端口？
360安全卫士防火墙如何手动放行指定端口？
在 360 Total Security v15.2.0 之后，防火墙模块与「驱动防火墙」彻底拆分，手动放行端口需分别处理入站规则与出站规则。本文给出 2026 年 2 月仍可复现的最短路径，并说明版本差异、例外场景与回退验证，帮助你在开发测试、局域网共享、远程桌面等场景下快速开门而不破坏整体安全基线。
功能定位与变更脉络
360 的防火墙最早集成在「网络防护」子页，2025Q4 起拆分为「驱动防火墙」与「网络防火墙」两块。前者负责拦截 BadUSB 3.0、Thunderbolt 5 DMA 攻击；后者才处理 TCP/UDP 端口放行。若你找不到端口设置，八成是点进了驱动防火墙。
2026-02-03 的 v15.2.0 把「高级设置」入口折叠到「≡」图标里，老用户升级后第一次会「以为功能被砍」。此外，AI 沙箱 2.0 会把未知进程默认扔进隔离区，导致即使放行端口，程序仍被拦截——需要同时把主程序加入「信任列表」。
经验性观察：拆分后的「网络防火墙」采用独立服务进程 360NetFirewallSvc.exe，重启电脑后若该服务未自启，界面会显示「防火墙未开启」，此时需手动在服务管理器启动或重装最新补丁。
操作路径（桌面端最短可达）
1. 打开网络防火墙
- 主界面 →「防护中心」→「网络防火墙」→右下角「高级设置」
- 若提示「防火墙未开启」，先点「立即开启」；企业版若被控制台统管，需让管理员在策略里放行
首次进入「高级设置」会弹出 UAC 提示，确认后才会加载完整规则列表；若公司组策略禁用 UAC，则无法打开，需联系 IT 临时放行。
2. 新建入站规则
- 「高级设置」→「入站规则」→「新建规则」
- 规则类型选「端口」→下一步
- TCP 或 UDP 按需选，填端口号（支持连续段，如 8000-8010）
- 操作选「允许连接」→下一步
- 配置文件：域/专用/公用全勾选（若只在公司内网用，可去掉公用）
- 命名：建议带程序名+端口，如「MySQL-3306-TCP」→完成
规则创建成功后会立即生效，无需重启；若需临时禁用，只需取消勾选即可，比删除后重建更高效。
3. 新建出站规则（可选）
大多数家用场景出站默认放行，但公司合规要求「白名单出站」时，需重复上述步骤，在「出站规则」页新建。注意：出站规则优先级高于 Windows 自带防火墙，若两者同时启用，360 先生效。
4. 把主程序加入信任（防 AI 沙箱误杀）
- 「木马查杀」→「信任区」→「添加文件」
- 选中主程序 EXE → 确定
- 若程序会自我升级，建议添加整个安装目录，避免更新后 SHA-256 变化再次被隔离
示例：Obs Studio 每次更新主程序版本号都会变，只加 EXE 仍会被隔离；经验做法是把 C:\Program Files\Obs-studio\ 整个目录拖入信任区，可管半年。
提示：v15.2.0 开始，信任列表与防火墙规则分离存储，重装 360 后信任列表会丢失，但端口规则仍保留在 %ProgramData%\360TotalSecurity\Firewall\Rules.db，可提前备份。
平台差异与入口对照
| 系统 | 360 版本 | 入口差异 |
|---|---|---|
| Windows 11 24H2 | v15.2.0 | 主界面右上角「≡」→ 设置 → 防火墙 → 高级设置 |
| Windows 10 22H2 | v15.1.6 | 主界面左侧「防护中心」→ 网络防火墙 → 更多设置 |
| 企业控制台 | ≥v6.1 | 控制台 → 终端策略 → 防火墙 → 自定义规则 → 下发 |
经验性观察：Win11 24H2 若启用基于虚拟化的安全（VBS），360 防火墙驱动加载时间会延长 2-3 秒，界面可能出现短暂「未开启」提示，无需手动干预，30 秒内会自动恢复。
例外与取舍：什么时候不该放行
1. 公用网络环境（机场、酒店 Wi-Fi）下，放行 SMB-445 等于把共享盘裸露给同网段所有终端；建议临时关闭规则，离开环境后再启用。
2. 若程序自带「随机高端口」机制（如某些 P2P 下载器），放行 1024-65535 会覆盖 6 万多个端口，等于关防火墙；可改用「程序路径」型规则，只给主程序放行，而非端口段。
3. 企业版若开启「合规云审计」，管理员能看到每条手动放行记录；个人用户无需担心，但别在办公电脑私建游戏服务器——日志会回传。
经验性观察：360 的端口规则与 Windows 防火墙并存时，优先级顺序为 360 入站 > Windows 入站；但 Windows 出站规则反而高于 360。若出现「已放行仍无法连接」，可用 netsh advfirewall firewall show rule name=all | findstr 3306 检查是否被 Windows 侧拦截。
验证与回退
1. 本地监听确认
在目标机器打开 PowerShell：Get-NetTCPConnection -LocalPort 3306 若 State 为 Listen，说明进程已拉起；再执行 Test-NetConnection -ComputerName 本机IP -Port 3306 若 TcpTestSucceeded 为 True，则 360 规则生效。
2. 外部扫描确认
用同网段另一台电脑执行 nmap -p 3306 目标IP，若返回 open，说明入站已通；若 filtered，则 360 仍拦截。
3. 回退方案
- 临时回退：在「入站规则」列表取消勾选规则即可，无需删除，方便下次复用
- 彻底回退：删除规则 → 清空信任区 → 重启 360 服务；若仍异常，用「系统修复-网络重置」一键还原 Windows 防火墙默认
与第三方远程工具协同示例
场景：把家里 Win11 电脑作为「Sunshine + Moonlight」游戏串流主机，需放行 47984-47990 TCP + 48010 UDP。
- 按上文新建 7 条端口规则，命名统一前缀「Moonlight-」方便识别
- 在「信任区」添加 Sunshine.exe，防止 AI 沙箱 2.0 把虚拟驱动隔离
- 外网访问需在路由器再做端口映射；360 的「路由器体检」能一键检测是否映射到高危端口，并提示 CVE-2026-0123 漏洞
- 游戏结束，把规则「取消勾选」即可关门，不影响日常安全等级
示例：Moonlight 串流在 4K 120 Hz 下对丢包极敏感，若忘记放行 UDP 48010，画面会出现大规模宏块；此时只需在 360 高级设置里把对应规则启用，无需重启 Sunshine 服务即可恢复。
故障排查速查表
| 现象 | 最可能原因 | 验证动作 | 处置 |
|---|---|---|---|
| 放行后仍无法 telnet 通 | Windows 防火墙优先级更高 | netsh advfirewall show rule | 关闭 Windows 侧冲突规则 |
| 程序启动秒退 | AI 沙箱隔离 | 查看隔离日志 | 把主程序加入信任区 |
| 规则消失 | 重装 360 未备份 | 检查 Rules.db 时间戳 | 提前备份 %ProgramData%\360TotalSecurity\Firewall\ |
适用/不适用场景清单
- 适用：本地开发调试、局域网游戏、远程桌面、NAS 文件共享、Sunshine/Moonlight 串流
- 不适用：公用 Wi-Fi 下开放 SMB-445、RDP-3389；合规要求「默认拒绝一切」的金融终端；360 企业版被控制台强制覆盖策略的办公机
最佳实践 6 条
- 命名带程序名+端口，方便三个月后自己看懂
- 优先用「程序路径」型规则，减少端口段暴露
- 公用网络场景下，把规则配置文件里的「公用」勾掉
- 每季度用「路由器体检」复查端口映射是否泄露
- 升级 360 前备份 Rules.db，升级后对比 MD5
- 把信任区导出为 360Trust.xml，重装后一键导入
版本差异与迁移建议
从 v15.1 到 v15.2.0，规则存储格式由 SQLite2 升级到 SQLite3，老版本备份的 .db 文件无法直接回滚。经验性做法：在旧版先「导出规则」生成 .txt，再在新版「导入规则」→「从 360 v15.x 文本格式导入」，可保留 90% 以上条目，端口段需手动再核对一次。
若你仍在 v15.0 或更早版本，建议先升到 v15.1.6 作为过渡，确认规则无损后再升 v15.2.0，可最大限度避免库格式差异导致的条目丢失。
未来趋势与官方预期
360 官方论坛在 2026-02-10 的「功能投票」里透露，Q2 计划把防火墙规则与「360 账号」云端同步，类似 Windows 防火墙的「Microsoft 账号漫游」。若落地，重装系统后登录账号即可拉回规则，但也会带来「账号被盗则端口暴露」的新攻击面。建议届时开启「二次验证」再启用同步。
此外，内部测试版已出现「智能端口推荐」开关，开启后 360 会根据程序数字签名自动推荐常用端口，一键放行，但尚未推送到正式通道；经验性观察，该功能对 Visual Studio、JetBrains 系列 IDE 的调试端口识别准确率较高，对自编译程序仍提示「未知端口，请手动确认」。
总结：360安全卫士防火墙手动放行端口的核心关键词是「入口拆分」「AI沙箱」「规则优先级」。掌握 2026 年 2 月最新路径后，3 分钟内即可完成单端口或程序级放行；同时记得把信任区、Rules.db 纳入备份清单，升级或重装即可无缝回滚。未来若云端同步上线，务必开启二次验证，防止规则泄露带来额外攻击面。
常见问题
放行端口后外网仍无法访问，可能遗漏了哪一步？
先确认路由器或光猫已做端口映射，再用 nmap 从外部扫描；若返回 filtered，大概率是运营商侧默认封锁 80/443/3389 等高危端口，需改换高端口或联系运营商解封。
升级 v15.2.0 后旧规则消失，如何恢复？
若升级前未备份 Rules.db，可尝试在「高级设置-导入规则」里选择「从 Windows 防火墙导入」，系统会把 Windows 侧已存在的规则复制到 360，减少重建工作量，但命名需手动规范化。
企业版策略灰掉无法新增，个人用户如何解决？
企业版由控制台统一下发策略，终端无编辑权限；需把程序名、端口、协议提交给 IT 管理员，由后者在「终端策略-防火墙-自定义规则」里新增并下发，生效时间约 1-5 分钟。
AI 沙箱隔离日志在哪里查看？
打开「木马查杀」→「查杀日志」→筛选「隔离区」即可看到被隔离的文件路径、SHA-256 与隔离原因；右键可一键还原并加入信任区。
规则命名太长是否影响性能？
经验性观察，规则名长度在 100 字符内对防火墙匹配性能几乎无影响；但过长会导致「高级设置」界面列宽折行，不利于批量审核，建议控制在 50 字符以内。