RDP协议本身不支持MAC地址过滤，因其工作在传输层（TCP 3389），无法获取或验证源MAC；跨子网时源MAC被替换为网关MAC，且Windows防火墙与组策略均无MAC字段配置项。
Windows 11 远程桌面协议（RDP）本身不支持按客户端 MAC 地址过滤连接请求，系统级 RDP 服务无法识别、验证或拦截基于源 MAC 的入站连接，因为 MAC 地址在跨子网通信时会被路由设备替换，仅在二层局域网内有效，而 RDP 连接建立于传输层（TCP 3389），不暴露或传递原始以太网帧头信息。
为什么不能直接配置“仅允许指定MAC地址”
远程桌面连接经过 TCP/IP 协议栈，当请求来自不同子网（如通过路由器、NAT 或公网）时，被控端收到的源 MAC 永远是最后一跳网关（如家用路由器 LAN 口）的 MAC，而非发起控制的笔记本或手机的真实网卡地址。这意味着：即使你在防火墙规则中尝试匹配 MAC，也只会匹配到本地网关的 MAC，且 Windows 内置防火墙根本不支持基于 MAC 地址的入站规则。
【关键限制】Windows 防火墙和 RDP 服务均无 MAC 地址字段可供策略配置，所有官方文档与组策略路径中均不存在“MAC allow list”“source MAC filter”等设置项。
可行的替代方案：用网络层手段实现等效控制
若你实际需求是在局域网内严格限定只有某台物理设备（如固定办公笔记本）能连接该 Win11 主机，可采用以下实操路径：
方法一：在本地路由器上设置 MAC+IP 绑定 + 防火墙规则
1. 登录路由器管理后台（通常为 192.168.1.1 或 192.168.0.1）→ 找到「DHCP 设置」或「地址分配」→ 将目标控制电脑的 MAC 地址与其固定 IP（如 192.168.1.105）手动绑定；
2. 进入「防火墙」或「访问控制」→ 新建一条入站规则：只允许源 IP 为 192.168.1.105 的设备访问本机 3389 端口 → 启用并保存；
3. 在被控 Win11 上仍需正常启用远程桌面，并确保其 IP 未被 DHCP 动态更改（建议也在 Win11 中设静态 IP，与路由器绑定一致）。
这一步生效的前提是：你的路由器固件支持基于源 IP 的端口级访问控制（主流品牌如华硕、TP-Link 企业版、Ubiquiti EdgeRouter 均支持；家用百元级路由器多数不支持）。
补充验证步骤
第一步：确认被控 Win11 的本地 IPv4 地址是否稳定
按 Win + R → 输入 cmd → 回车 → 输入 ipconfig → 查看「无线局域网适配器 WLAN」或「以太网适配器 以太网」下的 IPv4 地址；若显示为 169.254.x.x 或频繁变动，说明 DHCP 分配不稳定，必须先在 Win11 网络设置中改为手动 IP，或在路由器中完成 MAC 绑定。
第二步：检查 Windows 防火墙是否放行 3389 入站
Win11 设置 → 防火墙和网络保护 → 高级设置 → 入站规则 → 找到「远程桌面（TCP-In）」→ 确保状态为「已启用」且配置文件包含「专用」；若被禁用，右键启用。
第三步：测试连接前关闭无关服务
运行 services.msc → 找到「Remote Desktop Configuration」和「Remote Desktop Services」→ 确认二者状态均为「正在运行」；若为「已停止」，右键启动并设为「自动（延迟启动）」。
