彻底禁止局域网其他电脑访问本机需三步：关闭网络发现与文件共享；禁用Server和Workstation服务；新建入站规则阻断135、137-139、445端口。
彻底禁止局域网其他电脑访问本机
你的电脑连入公司或家庭局域网后，别人可能通过IP扫描、共享探测甚至SMB爆破尝试进入，只要没做隔离，就存在被读取文档、窥探桌面、植入恶意脚本的风险。必须从网络层和系统服务两个维度切断所有入口。
第一步：关闭网络发现与文件共享
右键任务栏右下角网络图标 → 【打开网络和Internet设置】→ 【网络和共享中心】→ 【更改高级共享设置】→ 在【专用】和【公用】两个配置下，全部关闭【启用网络发现】和【启用文件和打印机共享】→ 点击【保存更改】。
第二步：禁用关键SMB服务
按下 Win + R 输入 services.msc → 找到并双击【Server】服务 → 将启动类型改为【禁用】→ 点击【停止】→ 同样操作处理【Workstation】服务 → 重启电脑生效。这一步比单纯关共享更彻底，【Server服务一停，本机将完全不响应任何SMB连接请求，包括IPC$、ADMIN$等隐藏共享】。
第三步：阻止所有入站SMB端口
打开【控制面板】→ 【系统和安全】→ 【Windows Defender 防火墙】→ 【高级设置】→ 左侧选【入站规则】→ 右侧点【新建规则】→ 选择【端口】→ 下一步 → 选择【TCP】→ 特定本地端口填入 135,137-139,445 → 下一步 → 选择【阻止连接】→ 下一步 → 名称填“阻断SMB全端口” → 完成。
按IP段精准拦截指定设备
你不需要一刀切封死整个局域网，比如只想拦住隔壁工位那台总在扫描的测试机，或者屏蔽某台已感染病毒的旧电脑，这时要用IP安全策略做白名单式过滤。
方法一：用本地安全策略创建IP筛选器
按下 Win + R 输入 secpol.msc → 展开左侧【IP安全策略，在本地机器】→ 右键空白处 → 【创建IP安全策略】→ 下一步 → 名称填“拦截可疑IP” → 勾掉【激活默认响应规则】→ 下一步→完成。此时策略未指派，不会生效。
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
方法二：添加具体IP段拦截规则
右键刚建的“拦截可疑IP” → 【管理IP筛选器表和筛选器操作】→ 【添加】→ 名称填“封75.156.25网段” → 【添加】→ 源地址选【一个特定的IP子网】→ IP地址填 75.156.25.0 → 子网掩码填 255.255.255.0 → 目标地址选【我的IP地址】→ 协议类型选【任何】→ 完成。
方法三：将筛选器绑定到策略并启用
右键“拦截可疑IP” → 【属性】→ 【添加】→ 下一步 → 下一步 → 网络类型选【所有网络连接】→ 下一步 → 在IP筛选器列表中勾选刚才建的“封75.156.25网段” → 下一步 → 选择【阻止】→ 下一步→完成 → 关闭窗口 → 再次右键该策略 → 【指派】。现在该网段所有设备发往你电脑的任何数据包都会被丢弃。
只允许特定电脑访问，其余一律拒绝
如果你的NAS或开发服务器必须对某些同事开放，但又不能让整栋楼的人都能连进来，就得把防火墙规则做成“仅放行白名单IP”的模式，这是最稳妥的防御姿态。
打开【高级安全Windows Defender防火墙】→ 左侧选【入站规则】→ 右侧点【新建规则】→ 选择【自定义】→ 下一步 → 程序选【所有程序】→ 下一步 → 协议和端口选【任何】→ 下一步 → 作用域 → 在【哪些IP地址可连接到此计算机】下方点【下列IP地址】→ 【添加】→ 输入允许访问的IP，例如 192.168.1.105 和 192.168.1.108 → 下一步 → 动作选【允许连接】→ 下一步 → 配置文件勾选【域】【专用】【公用】→ 下一步 → 名称填“仅允许可信设备” → 完成。
紧接着再建一条兜底规则：同样走【新建规则】→ 【自定义】→ 【所有程序】→ 【任何】→ 作用域保持默认（即“任何IP”）→ 动作选【阻止连接】→ 名称填“阻断所有其他入站” → 完成。注意：这条规则的顺序必须排在上一条之后，【Windows防火墙按自上而下匹配，白名单规则必须在前，否则会被后面的“全阻断”直接截住】。
