必须通过防火墙入站规则精确限定仅允许特定IP访问3389端口：先启用系统预置远程桌面规则确保通道畅通，再新建带源IP约束的专用规则并禁用默认宽松规则，最后验证连接有效性。
Windows电脑开启远程桌面后，默认允许任意IP发起连接，存在安全风险；必须通过防火墙入站规则精确限定仅允许特定IP地址访问3389端口，其他所有来源的RDP请求将被直接丢弃。
启用系统预置的远程桌面规则
先确保基础通道已打开，否则后续IP限制无从生效。按 Win + R 输入 wf.msc 回车，打开高级安全 Windows Defender 防火墙。
左侧点击“入站规则”，在右侧规则列表中找到“远程桌面 - 用户模式 (TCP-In)”和“远程桌面 - 核心模式 (TCP-In)”，分别右键→启用规则。
若这两项呈灰色不可用，说明远程桌面服务未启用或组策略禁用了该功能，需先执行 sysdm.cpl → 远程选项卡 → 勾选“允许远程连接到此计算机”并确认用户权限。
新建仅允许指定IP的RDP入站规则
这是实现IP白名单的核心步骤。必须删除或禁用原有宽松规则，单独创建一条带源IP约束的新规则。
在“入站规则”右侧面板，右键→新建规则…→选择“端口”→下一步。
协议类型选 TCP，特定本地端口填 【3389】 → 下一步。
选择“允许连接”→下一步。
在“配置文件”页，**只勾选“专用”和/或“域”**（切勿勾选“公用”，否则会暴露给不可信网络）→下一步。
名称输入“RDP-仅限192.168.1.100”，描述可写“生产服务器管理专用IP”→完成。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
规则创建后，双击刚建的规则→切换到“作用域”选项卡→在“远程IP地址”区域点“下列IP地址”→点“添加…”→输入你要放行的单个IP（如 192.168.1.100）→确定。
【关键操作：必须取消勾选“对远程IP地址使用镜像”】——否则规则会错误匹配回程流量，导致连接建立后立即中断。
禁用默认远程桌面规则防止冲突
回到入站规则列表，找到之前启用的“远程桌面 - 用户模式 (TCP-In)”和“远程桌面 - 核心模式 (TCP-In)”，逐个右键→禁用规则。
这一步不可跳过。若保留它们，防火墙会按优先级顺序匹配——宽松规则在前，白名单规则永远不生效。
此时只有你新建的、带明确源IP限制的规则起作用。
验证与故障排查
方法一：从被允许的IP机器上运行 mstsc 连接目标电脑，应能正常弹出登录界面。
方法二：从其他任意IP机器尝试连接，会直接提示“远程计算机不可用”或连接超时。
若允许IP也无法连接，打开命令提示符（管理员），执行：
netsh advfirewall firewall show rule name="RDP-仅限192.168.1.100"
检查输出中“Enabled”是否为 Yes，“RemoteIPs”是否为你设置的IP，“Direction”是否为 In，“Action”是否为 Allow。
若显示“Active: No”，说明规则未应用，右键该规则→启用规则。
