在公司网络或防火墙后通过邮件程序使用 Gmail

如果邮件程序（Outlook、Thunderbird、手机邮件应用）在一个网络中能正常连接 Gmail，在另一个网络中却不行，问题几乎可以肯定不在账号，而在网络或电脑上运行的安全软件。通过几个简单的测试就能找出原因，并明确应该向 IT 管理员提出什么请求。

邮件程序需要访问什么？

在邮件程序中使用 Gmail 需要两个通道：通过 IMAP 接收和同步邮件，通过 SMTP 发送邮件。自 2025 年起，登录几乎总是通过“使用 Google 账号登录”窗口进行，这个窗口是 Google 服务器上的一个网页。只要其中任何一项无法访问，程序就会报错，而且错误提示常常具有误导性（“密码错误”“超时”“服务器没有响应”）。

• 接收邮件（IMAP）：imap.gmail.com，993 端口，SSL/TLS 加密。
• 发送邮件（SMTP）：smtp.gmail.com，587 端口配合 STARTTLS，或 465 端口配合 SSL/TLS。发件服务器需要身份验证。
• 登录：“使用 Google 账号登录”窗口会打开 accounts.google.com，为此需要 HTTPS（443 端口）连接。
• 不要用 25 端口：很多网络服务提供商和公司一律封锁出站的 25 端口，因此在邮件程序中 SMTP 应设置为 465 或 587 端口。
• 如果在同一个程序中还使用 Outlook.com 账号，其设置另有专门说明：在其他邮件程序中设置 Outlook.com 帐户（IMAP、SMTP）。

1. 网络封锁了 IMAP 或 SMTP 端口

症状：程序长时间尝试连接，然后以超时或“无法连接”的提示停止。与此同时，在同一网络中，浏览器里的网页版 Gmail 可以正常使用。原因：公司、学校、酒店或公共网络的防火墙只放行网页流量（80 和 443 端口），不放行邮件协议的流量。很多公司有意禁止员工电脑连接外部邮件服务器。

1. 在 Windows 上，可以在 PowerShell 中用 Test-NetConnection imap.gmail.com -Port 993 命令检查接收端口。如果结果末尾显示“TcpTestSucceeded : True”，说明端口是开放的。
2. 用同样的方法测试 smtp.gmail.com 的 587 和 465 端口。
3. 在 macOS 和 Linux 上，在终端中运行 nc -vz imap.gmail.com 993 命令可以得到类似结果。
4. 如果命令显示超时或连接被拒绝，说明该端口在这个网络中是关闭的。这时修改设置也没有用，需要联系网络运营方。

2. 杀毒软件或防火墙检查加密连接

症状：能建立连接，但程序提示证书错误（“服务器的证书不可信”），或者登录后立即断开。这种情况往往只出现在一台电脑上，同一网络中的其他电脑没有问题。原因：一些杀毒软件的邮件保护功能和很多公司防火墙在检查加密流量时，会把 Google 的证书替换成自己的证书。有些邮件程序不接受这种证书。

• 测试：暂时关闭杀毒软件的邮件过滤或 SSL/TLS 扫描功能，然后重新尝试连接。如果这样能用，就在杀毒软件中把邮件程序或 Gmail 服务器添加为例外，然后重新开启保护。
• 检查证书：openssl s_client -connect imap.gmail.com:993 命令会显示收到的证书由谁颁发。Gmail 的证书由 Google 自己的证书颁发机构（Google Trust Services）颁发；如果显示的是其他名称（例如某个杀毒软件或防火墙厂商），说明流量正在被中间设备检查。
• 在公司电脑上：用户往往无权修改杀毒软件和防火墙的设置。这时需要请 IT 管理员把 Gmail 服务器排除在加密流量检查之外。
• 不要在邮件程序中永久接受证书错误或关闭证书验证，否则程序连真正的攻击也不会提示。

3. 登录窗口无法加载或出错

症状：添加账号时，邮件程序显示空白或出错的窗口，或者一再要求输入密码。原因：“使用 Google 账号登录”窗口无法访问 accounts.google.com，因为被代理或网页过滤器封锁了；或者程序太旧，只会尝试用用户名和密码登录。

• 旧程序：自 2025 年 3 月 14 日起，Google 在个人账号中也取消了“安全性较低的应用”的密码访问方式：IMAP、SMTP 和 POP 只能通过 Google 登录（OAuth）或应用专用密码使用。根据 Google 帮助的说明，例如 Outlook 2016 的较旧版本不符合现在的要求；这时的解决方法是更新程序。
• 应用专用密码：只有在开启两步验证后，才能在 myaccount.google.com/apppasswords 页面上创建；如果程序支持 Google 登录，Google 不建议使用应用专用密码。在工作或学校账号中、只使用安全密钥进行两步验证时，以及启用了高级保护时，无法使用应用专用密码。更改密码时，Google 会删除所有应用专用密码。
• 网页过滤器：如果登录窗口显示的是公司的拦截页面，需要请 IT 管理员放行 accounts.google.com。
• 连接过多：“同时连接数过多”的错误提示并不是网络问题：一个 Gmail 账号最多只能同时添加到 15 个邮件程序中，因此需要在不再使用的旧设备上退出登录。

4. 工作用 Google 账号：管理员没有允许

如果地址不是以 @gmail.com 结尾，而是公司或学校自己的域名（Google Workspace 账号），邮件程序的访问权限由组织的管理员控制。管理员需要在管理控制台中允许 IMAP，也可以禁止使用外部邮件程序。对于这类账号，Gmail 设置中的“转发和 POP/IMAP”标签页也不一定会显示。对于个人 @gmail.com 账号，自 2025 年 1 月起 IMAP 无法开启或关闭，始终处于启用状态。

应该向 IT 管理员提出什么请求？

请求要具体：IT 管理员需要确切知道应该放行哪些流量。事先最好阅读一下公司的 IT 政策，因为很多公司禁止在公司电脑上使用私人邮箱。这时的解决方法是在自己的手机上使用移动数据，而不是用 VPN 或其他手段绕过防火墙。

• 允许连接 imap.gmail.com 993 端口的出站 TCP 连接。
• 允许连接 smtp.gmail.com 587 和/或 465 端口的出站 TCP 连接。
• 允许从浏览器和邮件程序的登录窗口访问 accounts.google.com（443 端口）。
• 如果防火墙或杀毒软件会检查加密流量：把 Gmail 服务器排除在检查之外。
• 报告问题时，建议附上确切的错误消息、发生时间和端口测试结果。

不违反规定的临时解决方法

• 网页版 Gmail：如果浏览器能打开 mail.google.com，不用邮件程序也可以在那里阅读和发送邮件。
• 手机上的 Gmail 应用：使用移动数据时，不受公司 Wi-Fi 的限制。
• 访客网络或酒店网络：如果邮件程序无法连接，可以向网络运营方咨询；在此之前可以使用网页版或移动数据。