現象：瀏覽器能正常開啟網頁，但千牛 (千牛工作台/賣家中心客戶端) 提示「計算機沒有連接到互聯網，你的計算機安裝了個人防火牆」，昨日仍正常。這是典型的**應用層防火牆誤判攔截**——防火牆允許瀏覽器 (系統信任進程) 通訊，卻攔截了千牛客戶端的非標準連接行為 (自定義協議/非常用埠/自簽憑證/行為特徵類似惡意軟體)。

快速止血：三步驗證與放行

1. 確認網路實際通斷：`Win+R` → `cmd` → `ping api.qianniu.com` / `ping www.taobao.com` / `ping 8.8.8.8`。若 Ping 通、DNS 解析正常，排除物理/路由/運營商故障。
2. 暫時關閉防火牆驗證：`控制台` → `Windows Defender 防火牆` → `開啟或關閉` → 三個配置檔暫選 `關閉` → 測試千牛登入。
    • 若關閉後即可登入 → **確定為防火牆攔截**。
    • **立即重新開啟防火牆**，切勿長期裸奔。
3. 精準放行千牛進程 (兩種方式二選一)：
    **方式 A：圖形介面**
    `Windows Defender 防火牆` → `允許應用程式通過` → `變更設定` → 找 `千牛`/`QianNiu`/`AliWorkbench` → 勾選 `專用`/`公用` → 確定。
    若列表無：`允許其他應用程式` → 瀏覽選擇 `QianNiu.exe` / `AliWorkbench.exe` (通常在 `C:\Program Files (x86)\QianNiu\` 或 `C:\Users\用戶名\AppData\Local\QianNiu\`) → 新增 → 勾選網路類型。
    **方式 B：進階安全性 (推薦，支援路徑通配/簽名/服務標籤)**
    `wf.msc` → `輸出規則` → `新增規則` → `程式` → `此程式路徑`：`%ProgramFiles(x86)%\QianNiu\QianNiu.exe` (或具體版本子目錄) → `允許連線` → `網域/專用/公用` 全選 → 名稱 `Out_QianNiu_Client_Auth`。
    同理建立 `入站規則` (若千牛需聽取本地埠回調/推送)。

深度排查：為何「昨天好今天壞」？

可能原因	檢查方法	應對
千牛自動更新更換了執行檔路徑/版本號	對比規則中路徑與實際啟動路徑 (`任務管理器` → `詳細資料` → 右鍵 `開啟檔案位置`)	規則改用環境變數/通配符 `%ProgramFiles(x86)%\QianNiu\*\QianNiu.exe` 或改用「服務標籤/封裝應用」匹配
Windows 更新/安全基線推送重置/覆蓋防火牆規則	事件檢視器 → `Windows Logs\Security` 事件 ID 2004/2005/2006 (防火牆規則變更)	建立 GPO/Intune/腳本自動化下發規則，實現基線漂移自動糾偏
第三方安全軟體 (360/火綢/騰訊電腦管家/微信電腦管家) 接管防火牆	檢查 `Windows 安全性` → `防火牆與網路保護` 是否顯示「由...管理」	在第三方軟體「防火牆/網絡防護/信任區」中添加千牛白名單，或暫時退出第三方軟體測試
千牛新版使用 QUIC (UDP 443) / HTTP/3 / 自定義 TCP 埠	Wireshark 捕獲 `udp.port==443` 或 `tcp.port==xxxx` 觀察被阻斷流量	防火牆新增 UDP 443 出站允許規則，或聯繫千牛技術支援獲取最新埠清單
系統時間嚴重偏移導致 TLS 握手失敗/憑證驗證失敗	`date /t` `time /t` 對比標準時間，或 `w32tm /query /status`	同步時間 `w32tm /resync`，檢查 CMOS 電池/網域時間同步來源

進階防護：不只是「放行」，更要「可視與可控」

• 啟用防火牆日誌：`wf.msc` → 屬性 → `記錄已捨棄的封包` / `記錄成功的連線` → 路徑 `%windir%\system32\LogFiles\Firewall\pfirewall.log`。
• 部署 Windows Defender for Endpoint / Microsoft Defender for Business：行為監控 (ASR 規則)、裝置控制、網絡保護 (SmartScreen/網路保護)、自動調查修復。
• 應用控制 (AppLocker/WDAC) 僅允許簽名受信應用運行，從源頭阻止未授權/竄改程式聯網。
• 網絡分段：辦公網/生產網/伺服器網/訪客網 VLAN 隔離，防火牆/ACL 控制橫向存取。

跨平台提示 (Mac 版千牛)

• macOS 防火牆：`系統設定` → `網路` → `防火牆` → `選項` → `+` 添加 `QianNiu.app` → `允許傳入連線`。
• Little Snitch / LuLu / Radio Silence 等第三方出站防火牆：規則列表中找到 QianNiu → 設為 `允許`/`詢問`。

---

核心原則：
1. **驗證網路通達性** → 2. **定位攔截點** (主機防火牆/第三方安全軟體/網關防火牆/運營商) → 3. **精準放行最小必要權限** (進程/埠/目的 IP/協議) → 4. **啟用日誌與審計** → 5. **自動化基線防漂移**。
不要因為「麻煩」就全關防火牆，那是把大門敞開讓小偷進屋。精細規則才是專業網管的標誌。