Windows 11防止非授权修改IP有四种方法：一、组策略禁用LAN连接属性；二、注册表锁定TCP/IP配置；三、终端安全软件驱动级拦截；四、交换机侧MAC-IP绑定。
如果您希望在Windows 11环境中防止非授权用户更改网络配置，尤其是IP地址、子网掩码或默认网关，则需对网络适配器的修改权限实施有效限制。以下是实现该目标的多种技术路径：
一、通过组策略禁用LAN连接属性
该方法利用Windows系统内置的组策略编辑器，直接屏蔽图形界面下对网络适配器属性的访问权限，使右键“属性”选项中的所有配置项（包括IPv4设置）变为不可点击状态。适用于Windows 11专业版、企业版及教育版。
1、按 Win + R 打开运行窗口，输入 gpedit.msc 并回车。
2、依次展开：计算机配置 → 管理模板 → 网络 → 网络连接。
3、在右侧列表中找到并双击 禁止访问LAN连接属性。
4、选择“已启用”，点击“确定”保存设置。
5、重启计算机后，用户在“网络连接”窗口中右键任一适配器并选择“属性”，所有标签页内容将呈灰色且无法编辑。
二、通过注册表锁定网络配置功能
该方式作用于系统底层注册表键值，可彻底禁用通过“网络连接”界面修改TCP/IP设置的能力，即使组策略被绕过，此注册表项仍能生效。操作前请务必导出并备份当前注册表分支。
1、按 Win + R，输入 regedit 并以管理员身份运行。
2、导航至路径：HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Network Connections。
3、若该路径不存在，需逐级新建对应项：右键“Windows”→新建“项”，命名为 Network Connections。
4、在右侧空白处右键→新建→DWORD (32位) 值，命名为 NC_AllowNetConfig_RAS。
5、双击该值，将其数值数据设为 0，基数选“十进制”。
在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……
6、关闭注册表编辑器并重启系统，网络适配器属性窗口中所有配置按钮将失效。
三、部署终端安全管理软件实施强制锁定
该方案不依赖操作系统版本限制，也不受用户权限提升影响，通过驱动级管控实时拦截IP修改行为，同时支持白名单IP段控制、修改行为告警与日志审计，适用于企业级统一管理场景。
1、下载并安装如 中科安企 或 域智盾 类终端安全软件。
2、使用管理员账号登录管理后台，进入“终端安全”或“网络管控”策略模块。
3、启用 禁止修改网络配置 策略，并勾选子项：禁止修改IP地址、子网掩码、默认网关、DNS服务器。
4、设置允许使用的IP地址范围（如仅允许 192.168.1.100-192.168.1.199），超出范围的配置尝试将被自动拒绝。
5、推送策略至目标终端，软件服务启动后，用户打开“网络和共享中心”或执行 netsh interface ip set address 命令时，操作将立即失败并触发管理员告警。
四、在交换机侧实施MAC-IP绑定
该方法属于网络基础设施层防护，通过将终端设备的物理地址（MAC）与其分配的IP地址进行静态绑定，使得任何未经交换机许可的IP变更均无法通过三层转发，从根本上阻断非法IP使用。
1、在目标Windows 11终端上以管理员身份运行命令提示符，执行：ipconfig /all，记录“物理地址”字段值（即MAC地址）。
2、登录接入该终端的交换机Web管理界面或通过Console线进入CLI模式。
3、进入VLAN或接口配置视图，执行绑定指令（以常见厂商为例）：arp static 192.168.1.100 00-11-22-33-44-55（IP与MAC需一一对应）。
4、启用端口安全策略，限制该接口仅允许绑定的MAC地址通信，其他MAC帧将被丢弃。
5、保存交换机配置并重启相关端口，此后该终端即使手动修改IP，也无法与其他设备正常通信。
