防火墙、杀软与 Tor 的冲突处理
核心原则
Tor Browser 是合法的开源安全工具，但：
- Tor.exe（Tor 守护进程）的行为模式（加密通信、端口变更、自更新）容易被某些杀软误报
- 现代防火墙默认拦截非标准出站端口
目标：让杀软和防火墙放行 Tor Browser 的全部组件，不干扰其 SOCKS 代理和电路构建。
Windows Defender 系列
Windows 10/11 内置的 Defender 对 Tor Browser 通常兼容良好，但偶尔也会误报。
Defender 病毒防护白名单
设置 → 隐私和安全性 → Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 排除项 → 添加排除项：
推荐排除整个 Tor Browser 安装目录（Tor Browser 是自包含的，排除整个目录最省事）。
Defender 防火墙放通
控制面板 → Windows Defender 防火墙 → 允许应用通过防火墙 → 更改设置 → 勾选 Tor Browser 和 Tor.exe 都允许"专用网络"和"公用网络"。
如果列表里没有 Tor Browser，点"允许其他应用"，手动浏览到 Tor Browser 目录下的 start-tor-browser.exe 和 Browser\TorBrowser\Tor\tor.exe。
主流第三方杀软
360 安全卫士 / 360 杀毒
- 打开 360 → 病毒查杀 → 信任区 → 添加信任目录 → 选择 Tor Browser 安装目录
- 360 的"流量防火墙"默认可能拦截 Tor 的出站连接 → 流量防火墙 → 程序网络管理 → 找到 Tor.exe → 改为"允许"
腾讯电脑管家 / 火绒
- 火绒：弹窗拦截里把 Tor.exe 加白名单 → 流量监控里放通出站连接
- 电脑管家：病毒查杀 → 信任区 → 添加信任目录
Kaspersky / ESET / BitDefender
国际大牌杀软对 Tor Browser 的误报率较低，通常不需要额外操作。但如果遇到连接失败：
- 打开杀软 → 隔离区/信任区 → 添加 Tor.exe 和安装目录到白名单
- 防火墙模块里放通 Tor 的出站连接（通常是 TCP 9000+ 端口范围）
企业级杀软
企业/学校电脑上的杀软通常由 IT 管理员统一管理：
- 个人无法修改 → 联系管理员申请白名单
- 或者临时改用手机热点绕过企业网络测试
常见的杀软拦截行为
| 拦截行为 | 现象 | 解决 |
|---|---|---|
| Tor.exe 被隔离 | 启动 Tor Browser 后立刻被关，杀软提示发现病毒 | 从隔离区恢复 → 加白名单 |
| 流量拦截 | Tor Launcher 连接进度在某个百分比卡住 | 流量防火墙里放通 Tor.exe |
| 自更新拦截 | Tor Browser 无法自动更新 | 加白名单后更新 |
| SOCKS 端口被占用 | Tor Launcher 报 "Proxy server is refusing connection" | 杀掉残留进程后重启 |
个人防火墙（非杀软自带）
SimpleWall（Windows 免费开源防火墙）
- 第一次 Tor.exe 启动时会弹出请求 → 选"允许连接" → "永久记住"
- 如果已经误点了拒绝：SimpleWall → 应用程序列表 → 找到 Tor.exe → 右键 → 允许连接
Little Snitch（macOS 付费防火墙）
- Tor.exe 启动时会触发多个出站请求 → 选"允许所有连接到 Internet" → 创建规则
- Little Snitch 对 Tor 的 SOCKS 连接需要特别放通，否则电路构建会卡住
防火墙调试技巧
临时关闭防火墙测试
这是快速定位防火墙是否是问题根源的最简单方法：
- 临时关闭所有防火墙（Windows Defender 防火墙 + 第三方杀软防火墙）
- 重启 Tor Browser
- 能连上 → 说明是防火墙问题，回头逐步加回找出具体拦截者
- 还是连不上 → 排除防火墙，查其他原因
不要长期关闭防火墙
确认是防火墙问题后，正确做法是加白名单/规则，而不是长期关闭防火墙。
企业/学校网络特殊情况
如果你在公司或学校网络里用 Tor：
问题一：出站端口被封
很多企业防火墙只允许 80（HTTP）、443（HTTPS）、53（DNS）端口出去。Tor 默认的中继端口范围更大。
解决：用可插拔传输（obfs4、Snowflake、meek）+ 网桥，因为这些传输会把流量伪装成 443 端口的 HTTPS。
问题二：代理强制
某些企业网络强制 HTTP 代理（必须通过指定代理才能上网）。Tor Launcher 的"配置"里第二问就是"你的网络是否需要代理"——如果勾选并填入代理地址，Tor 会通过企业代理出去。
问题三：DNS 被强制接管
企业网络经常强制 DNS 解析走内部服务器。Tor 自带 DNS 功能，但出口节点的解析仍依赖标准 DNS。遇到 DNS 问题时，在 Tor Launcher 里检查是否需要指定代理。
正确操作清单
- 优先试临时关闭防火墙 → 快速定位是否是杀软防火墙问题
- 加 Tor Browser 整个目录到白名单（而不是逐个文件）
- 加 Tor.exe 到防火墙出站规则（允许所有连接）
- 重启 Tor Browser（不要只点"重新连接"，完全关掉再打开）
- 换网络测试（手机热点最方便）——如果手机热点下能连上，确定是原网络环境问题