Windows防火墙可通过自定义入站规则同时限定端口与源IP，实现精准访问控制：在wf.msc中选“自定义”规则类型，协议页指定TCP/UDP及本地端口，作用域页设置远程IP地址或网段，操作页选“允许连接”，配置文件勾选适用网络类型，命名后完成；命令行可用New-NetFirewallRule一键创建，并需同步检查安全组、端口监听及外部连通性。
直接在 windows 防火墙里建一条“自定义入站规则”，把端口和 ip 同时限定住，就能实现只让指定来源访问特定端口。关键不是分开设，而是在同一条规则里完成两个条件的绑定。
用图形界面一步步操作
这是最稳妥、适合大多数人的方法：
- 按 Win + R 输入 wf.msc 回车，打开“高级安全 Windows Defender 防火墙”
- 左侧点“入站规则”，右侧点“新建规则…”启动向导
- 第一步选“自定义”，下一步
- 协议和端口页：选“TCP”（或 UDP），勾选“特定本地端口”，填入你要开放的端口号，比如 3389 或 80,443
- 作用域页：在“远程IP地址”区域选“下列IP地址”，点击“添加”，输入单个 IP（如 203.0.113.5）或 CIDR 网段（如 192.168.10.0/24）
- 操作页选“允许连接”，配置文件建议至少勾选“专用”，公网环境慎选“公用”
- 最后起个清晰的名字，例如“仅允许可信IP访问RDP_3389”，完成
用命令行快速配置（适合批量或远程部署）
管理员身份运行 PowerShell，一条命令搞定：
New-NetFirewallRule -DisplayName "Allow SSH from 192.168.5.10" -Direction Inbound -Protocol TCP -LocalPort 22 -RemoteAddress 192.168.5.10 -Action Allow -Profile Private
直播间话术巡检-windows
下载
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
说明：
- -RemoteAddress 支持单 IP、网段（如 192.168.5.0/24）或预定义组（如 LocalSubnet）
- -Profile 指定生效的网络类型，Private 最常用；如需多类型，可写成 -Profile Private,Domain
- 想删掉这条规则？运行：Remove-NetFirewallRule -DisplayName "Allow SSH from 192.168.5.10"
必须检查的三件事
规则建完不等于生效，务必验证：
- 确认当前管理 IP 没被拦：如果你是远程操作，先确保自己正在用的 IP 已加进白名单，否则可能断连
- 查端口监听状态：在服务器上运行 netstat -ano | findstr :3389，确认端口确实在监听
- 从外部测试连通性：用另一台电脑执行 telnet 服务器IP 3389，应能通；再换一个不在白名单里的 IP 尝试，应超时或被拒
常见误区提醒
这些细节容易忽略，但直接影响效果：
- 不要用“允许应用通过防火墙”界面设置——它不支持限定源 IP，只能放开整个程序的所有流量
- 规则顺序不重要，Windows 防火墙按匹配优先级处理，不是按列表上下顺序
- 如果开了云服务器（如阿里云、腾讯云），安全组也要同步放行相同端口+IP，否则流量在进系统前就被拦截了
- 修改后不用重启服务或系统，规则即时生效，但建议重载一次策略：netsh advfirewall firewall set rule all new enable=yes
