在Windows Defender防火墙中通过创建入站/出站规则并正确配置作用域（远程IP）、操作（阻止连接）及网络配置文件，可精准拦截指定IP或网段；推荐用PowerShell批量添加规则。
直接在“高级安全windows defender防火墙”中创建入站或出站规则，把目标ip填进“作用域”的远程地址栏，并设为“阻止连接”，就能实现精准过滤。关键不在功能有没有，而在规则是否匹配流量方向、网络配置文件和实际ip范围。
明确规则方向：入站还是出站
入站规则控制别人连你——比如阻止黑客扫描你的服务器；出站规则控制你连别人——比如禁止本机访问已知恶意网站。多数IP过滤需求属于入站拦截，所以默认先点“入站规则”再新建。若要限制本机主动访问某IP（如广告域名的服务器），才选“出站规则”。
设置作用域：准确填写远程IP
在向导的“作用域”页，“远程IP地址”才是你要拦的对象：
- 单个IP：直接输入，如 203.0.113.100
- 多个离散IP：用英文逗号分隔，如 192.168.1.101,192.168.1.105,192.168.1.110
- IP段：推荐用CIDR格式，如 10.0.0.0/8（整个A类私网）或 192.168.5.0/24（常见局域网）
- 避免误填本地IP：这里填的是“对方”的地址，不是你自己的IP
确保规则真正生效的三个要点
很多用户设完规则却没效果，往往卡在这三项：
- 操作必须选“阻止连接”：不能选“允许连接”后靠默认策略兜底，那等于没设
- 配置文件要覆盖当前网络类型：比如你连的是Wi-Fi（属“专用”网络），但规则只勾了“域”，那它就不启动
- 规则优先级高于默认放行策略：自定义规则默认优先级足够高，只要不是手动调低，一般无需额外调整
批量操作更高效：用命令行一次加多个IP
图形界面适合拦1–3个IP；超过5个，建议用管理员权限运行PowerShell执行命令：
- 拦两个IP：netsh advfirewall firewall add rule name="Block-IPs-2026" dir=in action=block protocol=any remoteip=192.168.1.200,192.168.1.201
- 拦一个网段：netsh advfirewall firewall add rule name="Block-Subnet" dir=in action=block protocol=any remoteip=203.0.113.0/24
- 规则名带年份和用途，方便后续查找或删除
