应创建仅针对局域网IP段的445端口入站阻止规则，如“Block SMB from LAN”，作用域限定为实际内网网段（如192.168.1.0/24），并禁用高危SMBv1协议，以精准阻断横向攻击且不影响合法共享。
要防止局域网内其他电脑通过445端口入侵本机，必须精准拦截来自特定IP或整个局域网的入站SMB连接，而不是粗暴禁用共享功能或关闭防火墙——否则会影响合法的文件协作，且无法应对已知漏洞（如永恒之蓝）的定向攻击。
创建仅针对局域网IP段的445端口阻止规则
这一步直接切断攻击源与本机SMB服务的通信链路，是防御蠕虫式横向移动最有效的手段。
按 Win + R 输入 wf.msc → 回车打开高级安全 Windows Defender 防火墙。
在左侧面板右键“入站规则” → 选择“新建规则…” → 在向导中选择“端口” → 点击“下一步”。
协议类型选“TCP”，本地端口填“445” → 下一步。
动作为“阻止连接” → 下一步。
在“作用域”页签中，不点击“下一步”，先切换到顶部“作用域”标签 → 在“远程IP地址”区域选择“下列IP地址” → 点击“添加…” → 输入你的局域网网段，例如：192.168.1.0/24 或 10.0.0.0/16（务必确认该网段与你实际网络一致，填错会导致规则失效）→ 点击“确定”返回向导。
勾选“域”“专用”“公用”三个配置文件 → 下一步 → 命名规则为“Block SMB from LAN” → 完成。
禁用SMBv1协议（高危协议源头）
SMBv1是永恒之蓝漏洞的载体，现代Windows默认已禁用，但若曾手动启用或域环境遗留配置，它仍可能被激活并监听445端口。
以管理员身份运行 PowerShell → 执行命令：Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart。
执行后无需重启，系统立即停用SMBv1服务组件；若提示“功能已禁用”，说明当前未启用，可跳过此步。
【注意：不要使用“dism /online /disable-feature /featurename:SMB1Protocol”命令，该命令在Win11 22H2+版本中已弃用，强制执行会报错且无效果】
验证445端口是否真正受控
方法一：本地自查
管理员权限运行CMD → 输入 netstat -ano | findstr :445 → 若返回结果中仅有 LISTENING 状态且 PID 对应的是 svchost.exe，说明SMB服务仍在监听；但此时防火墙规则已生效，外部连接会被静默丢弃。
方法二：请局域网另一台Windows设备协助测试
在对方机器上打开CMD → 执行 telnet 本机IP 445（需先启用Telnet客户端）→ 若连接超时或被拒绝，证明规则生效；若成功建立连接，则说明规则未命中，需检查作用域IP是否填写错误或规则未启用。
方法三：检查规则状态
回到 wf.msc → 左侧“入站规则”列表中找到刚创建的“Block SMB from LAN” → 查看右侧“状态”列是否为“已启用”；右键→“属性”→切换到“作用域”页签，确认“远程IP地址”显示为你填写的网段，且未被意外修改为“任何IP”。
