必须用Windows高级安全防火墙创建出站规则才能精准控制程序外连，因系统默认放行所有出站连接；图形界面适用于单应用限制，命令行适合批量部署，自定义规则可实现内网隔离，补充入站规则可彻底阻断程序网络通信。
要精准控制某个程序能否向外发送网络请求，必须使用Windows高级安全防火墙创建出站规则，因为系统默认允许所有出站连接，不手动配置就等于放行全部外连行为。
图形界面创建程序级出站阻止规则
这是最常用、最直观的方法，适合单个应用的联网限制，比如禁止微信自动上传日志或后台同步。
按下 Win + R，输入 wf.msc 回车，打开高级安全 Windows Defender 防火墙控制台。
左侧导航栏点击“出站规则”，右侧点击“新建规则…”启动向导。
在“规则类型”页选择“程序”，点击“下一步”。
选择“此程序路径”，点击“浏览”，定位到目标程序的主 .exe 文件——【务必选中实际运行的主程序，不是快捷方式或安装包】，例如：C:\Program Files\WeChat\WeChat.exe。
操作设为“阻止连接”，这一步不可选“允许”，否则规则失效。
配置文件必须全选：域、专用、公用——【漏选任一类型，该网络环境下规则即不生效】。
命名建议用“阻止_程序名_出站”，如“阻止_WeChat_出站”，完成后点击“完成”。
命令行快速部署多个出站规则
适用于IT管理员批量封禁工具，或需脚本化部署的场景，无需图形界面，响应更快。
方法一：以管理员身份运行 PowerShell，执行：
netsh advfirewall firewall add rule name="禁止迅雷出站" dir=out program="C:\Program Files\Thunder Network\Thunder\Program\Thunder.exe" action=block
方法二：若路径含空格或中文，必须用英文双引号包裹完整路径，否则命令报错并静默失败。
执行后终端返回 Ok. 表示成功；返回错误提示时，请检查路径是否拼写正确、是否存在、是否有管理员权限。
自定义规则实现内网隔离
当设备仅允许访问公司内网（如192.168.10.0/24），其他所有互联网连接都需切断时，必须用“自定义”类型配合作用域精确控制。
第一步：打开 wf.msc → 出站规则 → 新建规则 → 选择“自定义” → 下一步。
第二步：“程序”页选“所有程序” → 下一步。
第三步：“协议和端口”页选“任何” → 下一步。
第四步：“作用域”页是关键：本地IP地址选“任何”；远程IP地址选“下列IP地址”，点击“添加”，填入内网网段，如 192.168.10.0/24、10.5.0.0/16，多个网段逐个添加 → 下一步。
第五步：操作选“阻止连接” → 下一步。
第六步：配置文件全选 → 下一步。
第七步：命名为“Block_Internet_Access”，描述可写“仅允出站至指定内网段，其余全阻” → 完成。
注意：该规则生效后，浏览器、微信、邮件客户端等所有程序将无法访问公网，但OA、ERP等内网系统仍可正常使用。
补充入站规则防止被动通信
有些程序虽不主动外连，却会监听本地端口等待外部调用（如软件更新服务、P2P响应、远程调试端口），仅设出站规则无法拦截这类行为。
返回 wf.msc 控制台，左侧点“入站规则”，右侧点“新建规则…”。
规则类型同样选“程序”，浏览定位同一 .exe 文件。
操作选“阻止连接”，配置文件全选，命名如“阻止_WeChat_入站”。
这一步做完，目标程序在网络层面将彻底“失联”，既不能打电话，也不能接电话。
