必须在高级安全防火墙中创建匹配IP段的入站阻止规则，选“自定义”类型、协议设为“任何”、作用域指定IP段（如192.168.50.0/24）、操作选“阻止连接”、配置文件全选，命名明确后完成；命令行可用netsh add rule配合remoteip参数批量封禁。
要阻止特定IP段对Windows系统的入站攻击，必须在高级安全防火墙中创建一条仅匹配该IP段的入站阻止规则，而不是关闭整个端口或服务；规则生效后，来自该网段的所有TCP/UDP入站连接请求将被立即丢弃，且不影响本机对外发起的任何连接。
图形界面创建精准IP段拦截规则
第一步：按下 Win + R 打开运行框，输入 wf.msc 并回车，直接启动“高级安全 Windows Defender 防火墙”控制台。这比从控制面板层层进入更快，且确保打开的是真正支持作用域配置的管理界面。
第二步：在左侧面板中右键点击【入站规则】 → 选择“新建规则…” → 在向导第一页选择【自定义】 → 点击“下一步”。选“自定义”是关键，只有它才允许你在后续步骤中精确指定远程IP段；若误选“端口”或“程序”，将无法设置IP范围。
第三步：在“程序”页保持默认“所有程序” → 点击“下一步”。这确保无论攻击者尝试连接哪个服务（SMB、RDP、HTTP等），只要源IP属于目标网段，一律拦截。
第四步：在“协议和端口”页，协议类型选“任何” → 点击“下一步”。不锁定协议可覆盖TCP/UDP/ICMP全类型攻击流量，比如扫描、暴力破解、ICMP Flood都一并阻断。
第五步：点击顶部标签页切换到【作用域】（不是“下一步”）→ 在“远程IP地址”区域选择“下列IP地址” → 点击“添加…” → 输入IP段格式：192.168.50.0/24（CIDR）、10.200.10.100-10.200.10.199（范围）或单个IP如203.0.113.45 → 点击“确定”返回向导 → “下一步”。
第六步：“操作”页必须选【阻止连接】 → “下一步”。这是唯一能实现主动丢包的选项；选“不允许连接”或留空会触发默认策略，不可控。
第七步：“配置文件”页建议【全选“域”“专用”“公用”】 → “下一步”。除非你100%确认该IP段只出现在某类网络（例如仅内网测试环境），否则漏选会导致规则在Wi-Fi或移动热点下失效。
第八步：在“名称”栏输入明确标识，例如Block-Attack-IP-192.168.50.0_24 → 可选填写描述“拦截192.168.50网段全部入站流量” → 点击“完成”。
命令行快速批量封禁多个IP段（管理员PowerShell）
方法一：单条命令封禁一个CIDR网段
用于设计、审查、生成或重构使用Effector、effector-react、Farfetched、AtomicRouter、@effector/next等库的React应用。
执行：netsh advfirewall firewall add rule name="Block-172.16.0.0_12" dir=in action=block protocol=any remoteip=172.16.0.0/12。这条命令无需图形界面，适合远程维护或脚本集成；注意/12必须紧贴IP后，中间不能有空格，否则规则创建失败。
方法二：一次性封禁三个离散IP段
执行：netsh advfirewall firewall add rule name="Block-Multi-Subnets" dir=in action=block protocol=any remoteip=192.0.2.0/24,203.0.113.0/24,198.51.100.0/24。逗号分隔，无空格；每段独立匹配，任一命中即阻断；命名需唯一，重复名称会导致命令静默失败。
方法三：封禁但排除内部可信设备
执行：netsh advfirewall firewall add rule name="Block-Except-Admin" dir=in action=block protocol=any remoteip=192.168.1.0/24 remoteipexclusion=192.168.1.10,192.168.1.11。使用remoteipexclusion参数可在大网段中白名单个别管理IP，避免把自己锁在外面。
验证与即时生效检查
1. 回到“高级安全Windows Defender防火墙” → 左侧点“入站规则” → 在右侧列表中找到你刚建的规则，确认状态列为“已启用”。
2. 右键该规则 → 选择“属性” → 切换到“作用域”标签页 → 核对“远程IP地址”框中显示的是否为你输入的完整IP段，特别注意斜杠或短横是否被意外截断。
3. 若需临时放开测试，右键规则 → “禁用规则”；确认无误后再右键 → “启用规则”。禁用比删除更安全，避免误操作后无法快速恢复。
4. 在另一台属于该IP段的机器上尝试telnet本机任意开放端口（如telnet 192.168.50.10 445），连接应直接超时或拒绝；若通，则检查规则是否启用、作用域是否输错、或目标机器是否走的是IPv6（此时需额外建IPv6规则）。
