启用Windows防火墙并设默认入站为阻止是拦截恶意连接的核心；需启动MpsSvc服务、用PowerShell或图形界面配置默认策略、封禁135/137-139/445/3389等高危端口，并禁用非必要入站规则。
要让Windows系统主动拦截恶意连接，核心是启用防火墙并配置为默认拒绝入站流量——这能阻断扫描、爆破、勒索软件回连等绝大多数未授权通信，而不是等攻击发生后再补救。
确认并开启Windows防火墙服务
按下 Win + R，输入 services.msc 回车→在服务列表中找到 Windows Defender 防火墙（服务名称：MpsSvc）→右键→属性→启动类型设为【自动】→若状态为“已停止”，点击【启动】→确定。
⚠️ 注意：绝不能通过“停止此服务”来禁用防火墙，这会导致IPsec策略失效、远程桌面异常、甚至开始菜单崩溃。
设置默认入站操作为“阻止”
方法一：PowerShell 一键生效（推荐）
以管理员身份运行 PowerShell，执行：
Set-NetFirewallProfile -DefaultInboundAction Block -DefaultOutboundAction Allow
方法二：图形界面手动设置
控制面板 → Windows 防火墙 → 左侧“高级设置” → 右键“域配置文件”→属性 → “入站连接”选【阻止】→同样操作对“专用配置文件”和“公用配置文件”逐一设置。
这一步是拦截恶意连接的基石。不设此项，防火墙只是“半开”状态，大量扫描包仍可直达系统服务。
立即封禁高危端口的公网访问
第一步：打开“高级安全 Windows 防火墙”→左侧点“入站规则”→右侧点“新建规则…”→选择【端口】→下一步；
第二步：选【TCP】→特定本地端口填 135,137-139,445,3389,21,23,1433→下一步；
第三步：选【阻止连接】→下一步；
第四步：勾选【域】【专用】【公用】三个配置文件→完成。
这些端口对应SMB共享、远程桌面、FTP、Telnet、SQL Server等最常被利用的服务。公网直接暴露等于敞开大门，必须无条件封死。
禁止所有未知程序监听入站连接
在“高级安全 Windows 防火墙”中→左侧“入站规则”→右侧“启用规则”→找到并启用以下三条规则：
• Core Networking - ICMPv4-In（允许ping诊断，可选）
• Core Networking - DHCP Client (UDP-In)
• Core Networking - DNS Client (UDP-In)
其余所有带“(In)”后缀的规则，只要不是你明确需要对外提供服务的（如IIS、MySQL），一律保持【已禁用】状态。Windows 默认会为新安装程序自动添加放行规则，必须人工审查关闭。
