windows防火墙需启用单播响应多播并配置专用入站规则以支持多播通信：执行set-netfirewallprofile -allowunicastresponsetomulticast $true，再创建udp协议、作用域为224.0.0.0/4的入站规则；广播流量应按具体地址和端口精细控制，避免宽泛放行。
windows 防火墙默认会拦截未经明确允许的多播与广播入站流量，但通过合理配置规则和全局设置，可以实现对这两类流量的精细化控制——既保障通信可用性，又不牺牲安全性。
启用对多播响应的单播支持
这是组播通信能正常工作的基础设置。Windows 防火墙默认禁止对多播/广播请求返回单播响应（例如 IGMP Report、DHCP Offer），导致设备“加入组播组”的动作无法被网络识别。
- 打开 PowerShell（管理员权限），执行：
Set-NetFirewallProfile -AllowUnicastResponseToMulticast $true - 该设置需对所有配置文件生效（域、专用、公用），建议一并启用：
Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True - 此选项不影响多播数据本身，只允许系统用单播方式回应多播探测，是底层网络发现机制的关键环节
创建专用的入站多播规则
仅靠全局设置不够，必须显式放行目标多播地址段和端口。推荐使用“高级安全 Windows 防火墙”（wf.msc）图形界面或 PowerShell 精确配置。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 在“入站规则”中新建自定义规则 → 协议类型选“UDP” → 在“协议和端口”页勾选“特定本地端口”，填入你的应用端口（如 5004）
- 在“作用域”页，“远程 IP 地址”设为“下列 IP 地址”，添加多播地址范围：
224.0.0.0/4（即 224.0.0.0 到 239.255.255.255） - “配置文件”中根据实际网络环境勾选（通常至少勾选“专用”），规则名称建议包含“Multicast-UDP-5004”便于识别
- 若需支持 IPv6 多播（ff00::/8），需单独建一条 ICMPv6 或 UDP 规则，IPv4 与 IPv6 规则不互通
区分广播与多播，按需限制广播流量
广播（如 255.255.255.255 或子网广播地址）比多播更易被滥用，应更谨慎对待。防火墙不提供“广播地址类型”筛选项，需靠作用域+端口组合控制。
- 避免使用“允许所有广播”的宽泛规则。应限定到具体协议和端口，例如 DHCP（UDP 67/68）、NetBIOS（UDP 137/138）
- 新建入站规则时，在“作用域”页的“远程 IP 地址”中填写精确广播地址（如 192.168.1.255）或子网（192.168.1.0/24），而非全网段
- 对非必要广播服务（如 SSDP、UPnP 的 239.255.255.250），可创建明确拒绝规则置于允许规则之前，利用“拒绝优先于允许”的优先级逻辑进行阻断
验证与调试要点
配置后务必验证是否真正生效，常见失效原因不是规则没建，而是被更高优先级规则覆盖或绑定错网卡。
- 检查规则是否启用：在 wf.msc 中确认规则状态为“已启用”，且“配置文件”列显示对应网络类型打钩
- 用 Get-NetFirewallRule -DisplayName "*Multicast*" 查看规则是否加载成功
- Wireshark 抓包时，重点观察本机是否发出 IGMPv2/v3 Report（目的地址为组播地址），若无此报文，说明应用未正确绑定物理网卡，需在代码或配置中指定接口索引（如 setsockopt(...IP_MULTICAST_IF...)
- 临时关闭防火墙测试（Set-NetFirewallProfile -Enabled False）仅用于快速定位，切勿长期保留
