Windows防火墙白名单需逐条创建规则，无总开关：程序白名单在“允许应用通过防火墙”中勾选或浏览添加主程序.exe；端口+IP白名单须通过wf.msc高级设置，在入站规则中指定端口、协议、作用域IP；PowerShell可用New-NetFirewallRule命令批量配置出站规则。
Windows系统中开启防火墙白名单，不是打开一个总开关，而是根据实际需求为特定程序、端口或IP地址逐条创建放行规则。若直接在“防火墙设置”里找“开启白名单”选项，将找不到入口，因为白名单功能隐含在规则配置流程中，必须通过明确指定信任对象才能生效。
为程序添加白名单（图形界面最快）
打开“设置→隐私和安全性→Windows 安全中心→防火墙和网络保护→允许应用通过防火墙”，点击右上角“更改设置”。
在列表中找到目标程序（如微信、VS Code），勾选其对应“专用”列；若未列出，点“允许其他应用→浏览”，【必须选中主程序.exe文件，不能选快捷方式或.bat脚本】。
添加后立即生效，无需重启。这一步只控制该程序联网权限，不涉及端口或IP限制。
为端口+IP组合添加白名单（精准控制访问来源）
按 Win+R 输入 wf.msc 打开高级安全防火墙→左侧选“入站规则”→右键“新建规则…”→选择“端口”→下一步。
协议选 TCP，本地端口填目标值（如 8080）→操作页务必选“允许连接”→配置文件页按需勾选“专用”或“域”→命名规则（建议含用途，如“AI-API-8080-Inbound”）→完成。
双击刚建的规则→切换到“作用域”选项卡→在“远程IP地址”中选“下列IP地址”→点击“添加”填入可信IP（如 192.168.5.10）或CIDR网段（如 10.20.0.0/16）→确定保存。
这一步完成后，只有指定IP能访问该端口，其他所有来源均被拦截，【若当前管理电脑IP不在白名单内，将立刻失去远程连接能力】。
用PowerShell批量添加出站白名单（适合部署脚本）
以管理员身份运行 PowerShell，执行命令：
New-NetFirewallRule -DisplayName "MyTool-Outbound" -Direction Outbound -Program "C:\Tools\launcher.exe" -Action Allow -Profile Private
其中 -Profile Private 表示仅在专用网络生效；若需同时开放公用网络，改为 -Profile Private,Public。
执行后无报错即写入成功，可用 Get-NetFirewallRule -DisplayName "MyTool-Outbound" 验证状态。
