Windows防火墙是限制RDP源IP最直接稳妥的方式，通过高级安全防火墙创建基于3389端口的入站规则，设置远程IP作用域并禁用默认RDP规则，再结合云平台安全组完成双重防护。
Windows 防火墙是最直接、最稳妥的 RDP 源 IP 限制方式，无需组策略或第三方工具，图形化操作清晰，规则生效快，适合绝大多数生产环境。
用高级安全防火墙设入站规则（推荐）
这是当前最主流、最可靠的做法，适用于 Windows Server 2012 及以上、Win10/11 等系统：
直播间话术巡检-windows
下载
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
- 打开“高级安全 Windows 防火墙”（控制面板 → 系统和安全 → Windows Defender 防火墙 → 高级设置）
- 左侧点“入站规则”，右侧点“新建规则…”
- 规则类型选“端口”，协议选 TCP，本地端口填 3389（若改过端口则填实际值）
- 操作选“允许连接”，配置文件保持默认（域、专用、公用全勾）
- 关键一步：在“作用域”页，“远程IP地址”选“下列IP地址”，点击“添加”，输入允许的网段，例如：
• 单个IP：203.0.113.45
• C类子网：203.0.113.0/24
• 多个IP或网段可逐个添加 - 命名规则（如“RDP-仅办公网访问”），完成即可
- 确认防火墙处于“开启”状态（规则不会生效于关闭状态）
补充：禁用默认 RDP 规则避免冲突
系统自带的“远程桌面”入站规则默认允许所有 IP 访问，必须停用或删除，否则你的白名单规则会被绕过：
- 在“入站规则”列表中找到名称含“Remote Desktop”的规则（通常有两条：TCP 和 UDP）
- 右键 → “禁用规则”（不建议直接删除，便于回滚）
- 确保你新建的带 IP 限制的规则已启用且排在前面（规则顺序不影响优先级，但禁用原规则是硬性前提）
验证与常见问题
配置后务必验证是否真正生效：
- 从被允许的 IP 尝试 RDP 连接，应成功
- 从其他任意 IP（如手机热点）尝试连接，应立即失败（连接被拒绝，不是超时）
- 若仍能连上，检查：
• 是否禁用了系统默认 RDP 规则
• 防火墙是否全局开启（尤其注意“公用网络”配置文件）
• 云服务器还需同步检查云平台安全组（如阿里云、腾讯云的安全组），它在防火墙外层 - 若无法连接，先用
Test-NetConnection 服务器IP -Port 3389测试端口连通性，排除网络路径问题
