Windows 用户常把三类拦截混在一起：SmartScreen 拦安装包、防火墙拦运行中的隧道、浏览器插件叠代理。SmartScreen 发生在双击 exe 时，走电脑版安装篇的「更多信息 → 仍要运行」；代理冲突发生在已连接却打不开网页，见系统代理篇。这页只讲防火墙层——客户端进程被 Windows 安全中心挡在网卡之外，托盘可能仍显示 Connected，实际 SYN 包出不去。
怎么判断是防火墙而不是别的问题
典型顺序：从下载页取 exe → 安装无报错 → 托盘图标正常 → 点连接后长时间转圈或立刻失败。此时若 Edge InPrivate 无扩展仍不通，且系统代理已关、没有 Clash 残留，优先查防火墙。反之，若安装器都打不开，先别动防火墙，回 SmartScreen 与管理员 UAC。
Win11 与 Win10 路径相同：设置 → 隐私和安全性 → Windows 安全中心 → 防火墙和网络保护 → 允许应用通过防火墙。Win11 新装用户若找不到入口，可对照Win11 安装确认装的是本站 Windows 卡片 exe，不是商店同名应用——商店版路径不同，手动加规则时会加错文件。
手动放行 LetsVPN 客户端
- 打开「允许应用通过防火墙」，点「更改设置」（需管理员或 UAC 确认）。
- 若列表里已有 LetsVPN 或安装目录同名项，勾选专用与公用两列。很多用户只勾专用，换到手机热点（公用网络）就断。
- 列表没有时，点「允许其他应用」→ 浏览，定位到安装目录下的客户端 exe（通常在 Program Files 或你自定义的路径）。
- 保存后断开客户端，等五秒，选邻近节点重连，用实际要访问的外站实测。
Microsoft 对防火墙应用规则的说明见 允许应用通过防火墙的风险与做法。只放行你亲手从本站下载页保存的 exe，不要对未知来源批量开洞。
首次弹窗误点「取消」之后
连接时弹出的「Windows 安全中心已阻止此应用的某些功能」若被点取消，客户端不会再次自动询问。必须按上一节手动加规则，或卸载后重装并在下次弹窗点允许——但重装前建议先按本文加规则，比反复卸载省时间。远程桌面场景下，弹窗出现在远程会话里，见电脑版远程，不要在你本机显示器上找对话框。
和「关杀毒」的分界线
家用机有人图省事，在 Windows 安全中心关「实时保护」或关整个防火墙。短期可能看似能连，长期留下空白攻击面，且 Windows Update 或 OEM 管家会把保护开回来，问题复发更难查。正确做法是：实时保护保持开，仅给 LetsVPN 安装目录加防火墙例外；若杀毒把 exe 隔离，在下载记录里「保留」并恢复文件，而不是关实时保护。公司域机器通常不能本地改防火墙，把 exe 路径与进程名交给 IT，与没管理员篇同一套工单话术。
姊妹站快连 Windows 文档同样强调「允许防火墙访问」而不是关 Defender。LetsVPN 与快连不要装在同一台 PC 上对比测速——两个客户端都会改路由与防火墙规则，排障时无法判断是哪一份进程被拦。
公用 Wi‑Fi、热点与网络配置文件
Windows 把网络分成「专用」与「公用」。咖啡馆、机场、手机热点常被识别为公用；家里路由器多为专用。只放行专用网络的规则，带到公用热点后会表现为「家里能连、外面不能」。手动加规则时两列都勾，或在连接热点后当次弹窗点允许。换网络后若从 Wi‑Fi 切到 docking 有线，先断开客户端等网卡稳定再连，逻辑与睡眠唤醒后的重连类似，但根因是配置文件而非睡眠。
第三方安全软件叠一层
笔记本预装的管家、或自装的 360、火绒等，可能在 Windows 防火墙之外再拦一次 outbound。症状仍是客户端假连接。处理顺序：先在 Windows 自带防火墙按本文放行 → 仍不行，打开第三方管家查「网络防护 / 联网控制」，给 LetsVPN exe 设允许 → 改一项测一项，不要同时关 Windows 防火墙与管家。游戏本上的「游戏模式」有时也会临时改防火墙策略，退出游戏后若 VPN 异常，重启客户端比在游戏里点修复更快。
记录环境，避免下次从零猜
排障成功后记一笔：exe 版本号、安装路径、专用/公用是否都勾、有没有第三方管家。下次换节点或换网络按快照对照。账号与节点以客户端内为准，网页不能代替连接开关。更多现象汇总在FAQ，逐步操作在教程，入口在首页。exe 只从本站下载页取，不要从论坛网盘补「绿色版」，路径不对时防火墙规则加不到真进程上。