需通过Windows防火墙的入站与出站规则精确控制程序联网：一、图形界面创建出站阻止规则；二、同步配置入站阻止规则；三、用netsh命令行批量部署双向规则；四、通过“允许应用”界面快速开关权限；五、按端口创建全局出站拦截规则。
如果您希望精确控制某个程序能否访问网络，或防止其在后台偷偷上传数据、接收远程指令，则需通过Windows防火墙的入站与出站规则进行定向干预。以下是实现该目标的具体操作步骤：
一、使用图形界面创建出站阻止规则
出站规则用于拦截程序主动向外发起的所有网络连接请求，是阻断软件联网最基础且有效的手段。该方法无需命令行，所有Windows 10/11专业版及以上系统均原生支持，规则持久生效且覆盖全部网络环境。
1、按下Win + S组合键，在搜索栏中输入“高级安全Windows Defender防火墙”，点击进入管理控制台。
2、在左侧导航栏中，点击“出站规则”。
3、在右侧操作面板中，点击“新建规则”启动向导。
4、在“规则类型”页面，选择“程序”，点击“下一步”。
5、选择“此程序路径”，点击“浏览”，精确定位并选中目标程序的主执行文件（.exe），例如C:\Program Files\WeChat\WeChat.exe，确认后点击“下一步”。
6、在“操作”页面，明确选择“阻止连接”，点击“下一步”。
7、在“配置文件”页面，务必勾选域、专用、公用三项，确保规则在所有网络场景下均生效，点击“下一步”。
8、在“名称”页面，输入具有辨识度的规则名，例如禁止微信联网_出站，可填写简要描述后点击“完成”。
二、同步配置入站阻止规则以拦截被动通信
部分程序虽不主动联网，但会监听本地端口等待外部连接（如盗版验证服务、远程更新探测、云同步心跳包等）。仅设出站规则无法完全切断此类行为，必须补充入站规则，实现双向通信阻断。
1、回到“高级安全Windows Defender防火墙”界面，点击左侧“入站规则”。
2、右侧点击“新建规则”，在向导中同样选择“程序”类型。
3、点击“浏览”，定位至与出站规则完全相同的程序完整路径，例如C:\Program Files\Tencent\QQ\Bin\QQ.exe，确认后点击“下一步”。
4、在“操作”页面仍选择“阻止连接”，“配置文件”页保持域、专用、公用全选状态，点击“下一步”。
5、命名为禁止QQ接收连接_入站，点击“完成”。
三、使用netsh命令行一次性部署双向拦截规则
该方式适用于批量处理多个程序、脚本自动化部署或管理员远程维护场景，执行效率高，规则与图形界面完全兼容，且支持立即验证。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
1、以管理员身份运行Windows PowerShell或命令提示符。
2、执行以下命令添加出站拦截规则（请将路径替换为实际程序绝对路径）：
netsh advfirewall firewall add rule name="禁止某程序联网_出站" dir=out action=block program="C:\Program Files\XXX\app.exe" enable=yes
3、执行以下命令添加入站拦截规则：
netsh advfirewall firewall add rule name="禁止某程序联网_入站" dir=in action=block program="C:\Program Files\XXX\app.exe" enable=yes
4、如需验证规则是否成功创建，可运行：
netsh advfirewall firewall show rule name="禁止某程序联网_出站"
四、通过“允许应用通过防火墙”界面快速开关联网权限
该方式基于系统预设的应用白名单机制，操作快捷，适合临时启用或禁用常规已签名桌面程序，但对未识别程序或子进程衍生的联网行为控制力有限。
1、打开“设置”→“隐私和安全性”→“Windows 安全中心”→“防火墙和网络保护”。
2、点击“允许应用通过防火墙”，再点击右上角“更改设置”按钮（需管理员权限确认）。
3、在应用列表中查找目标软件名称；若未显示，点击“允许其他应用”→“浏览”，定位其主程序.exe文件，例如C:\Program Files\Google\Chrome\Application\chrome.exe，添加后点击“添加”。
4、在列表中找到该程序，取消勾选专用列或公用列复选框——仅取消“公用”保留局域网通信，两者全取消则彻底切断所有出站通道。
五、按端口创建全局出站拦截规则应对多进程软件
当目标软件使用固定端口且存在多个动态子进程（如迅雷、TeamViewer、某些游戏平台），难以逐个定位.exe文件时，封锁其通信端口可实现批量阻断，不影响其他程序正常联网。
1、进入“高级安全Windows Defender防火墙”，点击左侧“出站规则”，右侧点击“新建规则”。
2、在“规则类型”页选择“端口”，点击“下一步”。
3、选择协议类型（TCP或UDP），在“特定本地端口”或“特定远程端口”栏中填入目标端口号，例如UDP 8000（QQ语音常用）或TCP 443（部分云同步服务），点击“下一步”。
4、在“操作”页选择“阻止连接”，点击“下一步”。
5、在“配置文件”页勾选域、专用、公用全部三项，点击“下一步”。
6、命名为封锁UDP8000出站，点击“完成”。
