你会学到：拿到官方原版并核对文件指纹、用一次拖放切断某个程序的联网、把界面切换成简体中文、靠白名单模式只给少数程序放行，以及在命令行里一次配好一批规则。
你需要准备：一台 Windows 10 或 11 的机器（官方说明里也覆盖 8.1 到 Vista），一次管理员权限确认，以及要拦的程序的可执行文件路径。
它替你省掉了什么
Windows 防火墙本身就能拦程序联网，只是入口藏得深：控制面板 → 系统和安全 → Windows Defender 防火墙，再点进「允许应用通过防火墙」和「更改设置」，才能把一个 exe 加进列表。
FAB（Firewall App Blocker 的官方简称）把这一长串点击压成一个动作——把 exe 拖进它的窗口。它本身不是新的防火墙，只是给系统防火墙套了一层好用的操作界面，规则最终仍然落在 Windows 防火墙里。
下面这几类场景值得用它：
- 某个软件开机就偷偷联网，你想让它彻底安静
- 装驱动或小工具时，想临时断开它的更新检查
- 测试程序在断网状态下的表现，又不想真的拔网线
⚠️ 注意：它不改动系统防火墙的默认规则，也不替代杀毒软件。一旦 Windows 防火墙被关掉、或者被杀毒软件接管，FAB 里的操作不会有实际效果。
| 你想要的 | 用它合适吗 |
|---|---|
| 精确控制某个 exe 的出站与入站 | 合适 |
| 按端口、按网址做拦截 | 不合适，这类规则要在防火墙高级设置里手写 |
| 替代杀毒软件 | 不合适 |
拿到原版文件，先核对指纹
官方站点是 Sordum，最新版本为 1.9，更新日期 2022-09-28，压缩包只有 2 MB 左右；解压即用，不需要安装，也不需要付费。详细说明在 FAB 官方说明页。
解压后有两个主程序：64 位系统用 Fab_x64.exe，32 位系统用 Fab.exe。官方在同一页面公布了它们的指纹，正好用来确认自己拿到的是原版：
Fab_x64.exe SHA1 b22d955115f4142198a288550d3592927b1b9460
Fab.exe SHA1 d11b74adf1ad35dd6df0f57004e287859f021a29在本机算一遍做对比：
Get-FileHash .\Fab_x64.exe -Algorithm SHA1✅ 输出的字符串与上面完全一致，说明文件没有被改动过。
🕳 常见坑：网上流传的「单文件版」「精简版」多是第三方重新打包的，它们的版本号（例如 2.0.x 这种）与官方对不上，哈希自然也没法用官方值核对。核对不了指纹的安装包，等于把系统防火墙的控制权交给一个来源不明的文件，不建议直接在自己的工作机上运行。
第一次拦截：拖进去就完事
先把整个目录放到一个固定位置，比如 D:\Tools\FAB，再运行 Fab_x64.exe；UAC 会问一次管理员权限，允许即可。
接着在资源管理器里找到要拦的程序，把它拖进 FAB 的主窗口。
窗口里的按钮各管一件事：
| 按钮 | 它做的事 |
|---|---|
| 拖入程序 / 加进程 | 添加一条阻止联网的规则 |
| Allow | 把选中的程序放行 |
| Delete | 删掉选中程序的规则 |
✅ 打开刚被拦的程序，需要联网的功能一直连不上，说明规则已经生效。想再确认一层，可以按 Win + R 敲 wf.msc 打开防火墙高级设置，在出站规则里能看到刚加进去的条目。
💡 提示：规则绑定的是文件路径。程序挪了位置或换了安装目录，需要重新添加一次。
把界面和右键菜单调顺手
界面语言在 Options → Languages 里切换，官方支持的语言包含简体中文，不用另找别的版本。同一个菜单里还有一项「Add to exe context menu」：打开之后，在任意 exe 上右键就能直接加入拦截列表。嫌右键菜单太长，可以再选「Use Shift Key to Display」，改成按住 Shift 才显示。
条目一多，默认顺序就不好找人。做法是先点一下 enabled 或 action 列头，让 # 列出现，再点 # 列头，最新添加的条目就会排到最上面。
✅ 在任意 .exe 上右键能看到 FAB 的菜单项，界面文字也已经是简体中文。
白名单模式：默认全断，只放行你要的
反过来——想让电脑默认断网、只给少数程序放行——就勾上主界面右下角的 Enable WhiteList。这个模式会拒绝所有网络接口，只有在列表里的程序能通。
勾选之前先做一件事：把浏览器、常用的更新工具、邮件客户端先加进列表，否则勾上的瞬间它们会一起断网。
⚠️ 注意：白名单模式下，局域网里的设备也会一起失联，最典型的是网络打印机和共享文件夹。到 File → Netsh Commands 里执行一次「Allow Local Subnet」，把本机所在网段放行，打印和共享就回来了。
✅ 打开一个不在列表里的程序，联网失败；再打开列表里的程序，网络正常。
规则一多，就交给命令行
FAB 支持命令行参数。官方给了两条示例，专门用来处理商店应用这种路径里带通配符的目标：
fab_x64.exe /a /allow /in /out %ProgramFiles%\WindowsApps\*WhatsAppDesktop*
fab_x64.exe /d /in /out %ProgramFiles%\WindowsApps\*WhatsAppDesktop?*按官方示例的写法，/a 与 /d 分别对应添加和删除，/allow 表示这条是放行，/in 和 /out 指明入站与出站，末尾是可带通配符的路径。参数细节请以你手上版本自带的说明为准，动手之前先用一个无关紧要的程序试一条。
这套写法适合两类场景：写进批处理，新机器开箱就配好拦截清单；或者交给任务计划程序，在指定时间批量调整规则。
⚠️ 注意：命令要在 FAB 所在目录里执行，或者把程序路径写全，否则会提示找不到文件。
✅ 命令执行完没有报错，回到主界面能看到新加的条目。
常见问题
白名单模式一开，打印机和共享盘打不开了？ 不是坏了，是本地网段被一起拦掉了。用 File → Netsh Commands 里的「Allow Local Subnet」把本机网段放行即可。
白名单模式下，Edge 这类系统程序怎么还能联网？ 它们在开启白名单之前就已经有放行规则，白名单不会替你收走。官方给的建议是到防火墙高级设置里手动禁用这些程序对应的规则。
装了第三方安全软件之后它就不管用了？ 这类软件通常会接管系统防火墙，而 FAB 依赖系统防火墙工作，被接管后规则自然不生效。两者之间要选一个作为防火墙的管理方。
想临时放行某个程序，又不想删掉规则？ 在主界面右键选 Allow，或者选中后点 Allow 按钮；要彻底删掉规则，选中按 Delete。
FAB 的价值不在功能多，而在于把「禁止某个程序联网」这件事从五六步点击压成一个拖放动作。真正要花心思的地方是想清楚哪些程序该断，断掉之后会不会连累本地网络。
先拿一个无关紧要的程序试一次，确认拦截和放行都能来去自如，再动手收拾那些天天在后台联网的软件。
管理员 
