必须在高级安全防火墙中分别创建入站和出站拒绝规则才能完全阻断IP段双向通信；图形界面需在“作用域”中用“起始IP-结束IP”格式填写（如192.168.5.0-192.168.5.255），不可用CIDR；netsh命令支持批量添加，多个范围用英文逗号分隔且不可有空格。

要在Windows 10中屏蔽某个IP段（例如192.168.5.0/24或10.0.200.0-10.0.200.255），必须在高级安全防火墙中分别创建入站和出站拒绝规则，仅设其一无法完全阻断双向通信；规则需明确指定IP范围格式，填错将导致整条规则失效。

图形界面创建入站IP段屏蔽规则

该方法适合一次性屏蔽一个连续IP段，比如公司测试网段或已知攻击源网段，操作直观、可复核性强。

1、按 Win + R 输入 wf.msc 回车，以管理员身份打开高级安全 Windows Defender 防火墙。

2、左侧点击“入站规则”，右侧点击“新建规则…”启动向导。

3、选择“自定义”，点击“下一步”。

4、在“程序”页选“所有程序”，点击“下一步”。

5、在“协议和端口”页保持默认“任何”，点击“下一步”。

6、关键步骤：进入“作用域”页→勾选“下列IP地址”→点击“添加…”→在弹出窗口中选择“此IP地址范围”，【务必按“起始IP-结束IP”格式填写，不能写CIDR】，例如要封192.168.5.0/24，就填起始192.168.5.0、结束192.168.5.255，填完点“确定”→再点“下一步”。

7、在“操作”页选“阻止连接”，点击“下一步”。

8、配置文件页勾选“域”“专用”“公用”全部三项，确保全场景生效，点击“下一步”。

9、名称栏输入Block-In-192.168.5.0-255，描述可写“屏蔽测试网段全部入站流量”，点击“完成”。

命令行快速添加出站IP段拦截（支持批量）

当你需要同时封多个不连续IP段，或想把规则固化为脚本反复调用时，netsh命令比图形界面更高效，且避免鼠标误点跳过关键页。

方法一：单个IP段（如10.0.200.0/24）

以管理员身份运行 PowerShell，执行：

netsh advfirewall firewall add rule name="Block-Out-10.0.200.0-255" dir=out action=block protocol=any remoteip=10.0.200.0-10.0.200.255

方法二：多个离散IP段（如172.16.10.0/24 和 172.16.20.0/24）

执行：

netsh advfirewall firewall add rule name="Block-Out-Multi-Subnets" dir=out action=block protocol=any remoteip=172.16.10.0-172.16.10.255,172.16.20.0-172.16.20.255

注意：remoteip参数中多个范围用英文逗号分隔，【不能有空格，否则命令静默失败】。

验证与调试要点

第一步：确认规则已启用。在wf.msc中分别展开“入站规则”和“出站规则”，找到你命名的规则，检查“启用”列是否为“是”。若为灰色，右键该规则→“启用规则”。

第二步：测试连通性。从被屏蔽IP段内任一设备（如192.168.5.10）尝试ping本机、访问本机共享或HTTP服务，应全部超时或被拒。

第三步：排查误拦。若局域网正常设备也被阻断，立即检查“作用域”中是否误填了0.0.0.0-255.255.255.255或192.168.0.0-192.168.255.255这类宽泛范围——这种错误会导致整个局域网失联，且无提示。