必须使用Windows Defender防火墙高级安全控制台实施精细化流量控制，包括按端口、协议、IP范围等创建入站/出站规则，支持图形界面、netsh命令行及组策略三种配置方式。
如果您需要对网络流量实施精细化控制，例如按端口、协议、IP地址范围或特定服务进行放行或拦截，则必须使用Windows Defender防火墙的高级安全控制台。以下是配置高级规则的具体步骤：
一、通过高级安全 Windows Defender 防火墙创建自定义入站规则
该方法适用于需精确允许外部设备访问本机特定服务（如远程桌面、Web服务器、游戏服务器）的场景，支持按端口、协议、IP范围及用户账户条件设定规则，确保仅目标流量可进入系统。
1、按下Win + R组合键打开“运行”对话框，输入wf.msc并回车，启动高级安全 Windows Defender 防火墙控制台。
2、在左侧面板中右键点击入站规则，选择“新建规则…”。
3、在“规则类型”页选择端口，点击“下一步”。
4、在“协议和端口”页选择TCP或UDP，并在“特定本地端口”栏输入目标端口号（如3389用于远程桌面），点击“下一步”。
5、在“操作”页选择允许连接，点击“下一步”。
6、在“配置文件”页勾选适用的网络类型（域、专用、公用），点击“下一步”。
7、在“名称”页输入规则名称（如允许TCP 3389入站），可选填写描述，点击“完成”。
二、通过高级安全 Windows Defender 防火墙创建自定义出站规则
该方法用于主动限制本机程序对外发起的特定类型连接，例如禁止某应用使用UDP协议上传数据，或仅允许某工具向指定IP段发送请求，实现更严格的出口流量管控。
1、按下Win + R，输入wf.msc并回车，进入高级安全控制台。
2、在左侧面板中右键点击出站规则，选择“新建规则…”。
3、在“规则类型”页选择自定义，点击“下一步”。
4、在“程序”页选择此程序路径，点击“浏览”，定位并选中目标程序的.exe文件（如C:\Windows\System32\svchost.exe），点击“下一步”。
5、在“协议和端口”页选择UDP，并在“特定远程端口”栏输入53（DNS查询端口），点击“下一步”。
6、在“作用域”页，在“远程IP地址”区域选择下列IP地址，点击“添加”，输入目标DNS服务器IP（如8.8.8.8），点击“确定”，再点击“下一步”。
7、在“操作”页选择允许连接，点击“下一步”。
8、在“配置文件”页勾选全部三项（域、专用、公用），点击“下一步”。
9、在“名称”页输入规则名称（如仅允许svchost向8.8.8.8发UDP 53），点击“完成”。
三、使用netsh命令行创建带IP作用域的双向高级规则
该方法绕过图形界面限制，直接在命令行中定义含源/目的IP地址、端口、协议及方向的完整规则，适用于批量部署、脚本集成或图形界面无法识别的特殊服务进程。
1、以管理员身份运行Windows PowerShell。
2、执行以下命令创建一条仅允许来自192.168.1.0/24网段的TCP 22连接入站的规则：
netsh advfirewall firewall add rule name="SSH_Only_From_LAN" dir=in action=allow protocol=TCP localport=22 remoteip=192.168.1.0/24
3、执行以下命令创建一条禁止本机向10.0.0.0/8私有网段发起ICMP请求的出站规则：
netsh advfirewall firewall add rule name="Block_ICMP_To_Private_Net" dir=out action=block protocol=ICMPv4 remoteip=10.0.0.0/8
4、执行以下命令启用一条已存在但被禁用的规则：
netsh advfirewall firewall set rule name="SSH_Only_From_LAN" newenable=yes
5、执行以下命令查看规则详细状态：
netsh advfirewall firewall show rule name="SSH_Only_From_LAN"
四、通过高级安全控制台配置ICMPv4/v6响应规则
该方法用于显式控制本机是否响应Ping请求或路径MTU发现等ICMP报文，避免因默认策略屏蔽导致网络诊断失败，同时防止暴露主机活跃状态。
1、按下Win + R，输入wf.msc并回车，打开高级安全控制台。
2、在左侧面板中展开入站规则，在右侧列表中查找名称含File and Printer Sharing (Echo Request - ICMPv4-In)的规则。
3、若该规则处于已禁用状态，右键点击它，选择“启用规则”。
4、若需为IPv6启用类似功能，查找并启用名称含ICMPv6-In的对应规则。
5、如需创建仅允许特定IP发起ICMP请求的规则：右键入站规则 → “新建规则…” → 选择“自定义” → 在“协议和端口”页选择“ICMPv4” → 在“作用域”页设置“远程IP地址”为指定IP或范围 → 后续步骤同常规规则创建流程。
五、使用组策略对象编辑器配置跨域高级防火墙策略
该方法适用于企业域环境，通过组策略统一部署含用户上下文、证书验证、安全标识符（SID）匹配等条件的防火墙规则，确保策略强制生效且不可被本地用户修改。
1、按下Win + R，输入gpedit.msc并回车，打开本地组策略编辑器（专业版/企业版可用）。
2、依次展开路径：计算机配置 → 管理模板 → 网络 → 网络连接 → Windows Defender 防火墙 → Windows Defender 防火墙：高级安全。
3、双击右侧策略项Windows Defender 防火墙：定义入站连接的默认筛选器操作，设置为“已启用”，并选择“阻止”或“允许”。
4、双击Windows Defender 防火墙：定义出站连接的默认筛选器操作，同样设为“已启用”并指定动作。
5、双击Windows Defender 防火墙：定义连接安全规则，启用后可配置IPsec加密、证书认证等连接级安全策略。
6、双击Windows Defender 防火墙：定义入站程序规则，启用后可在“选项”页指定允许或阻止的程序路径列表，支持通配符与哈希校验。
