可通过Windows Defender防火墙五种原生方法精准阻止程序联网：一、高级安全防火墙建出站阻止规则；二、同步配置入站规则防被动通信；三、用netsh命令行快速部署双向规则；四、修改hosts文件屏蔽关联域名；五、先在安全中心撤销历史放行权限。
如果您希望在 Windows 11 中阻止某个特定程序访问互联网，以防止后台数据上传、节省带宽或降低隐私泄露风险，则可通过系统原生防火墙机制实施精准联网限制。以下是五种彼此独立、无需依赖第三方工具、全部基于 Windows Defender 防火墙的实操方法：
一、通过高级安全 Windows 防火墙创建出站阻止规则
该方法直接拦截目标程序主动发起的所有外网连接请求，规则在系统内核层生效，优先级高于应用自身网络设置，且对所有网络类型（域、专用、公用）统一生效。
1、按下 Win + R 键打开“运行”对话框，输入 wf.msc 并回车，启动“高级安全 Windows 防火墙”。
2、在左侧面板中右键点击“出站规则”，选择“新建规则”。
3、在向导中选择“程序”，点击“下一步”。
4、选择“此程序路径”，点击“浏览”，定位并选中该程序的主执行文件（如 C:\Program Files\QQ\Bin\QQ.exe），点击“下一步”。
5、选择“阻止连接”，点击“下一步”。
6、在“配置文件”页面，务必勾选“域”、“专用”、“公用”三项，确保全场景拦截，点击“下一步”。
7、为规则命名，例如“阻止QQ外连”，可添加描述后点击“完成”。
二、同步配置入站阻止规则以防被动通信
部分程序虽不主动联网，但会监听本地端口等待外部请求（如更新服务、遥测接口、远程验证），仅设出站规则无法完全阻断其网络行为，必须补充入站拦截以覆盖双向通信路径。
1、在“高级安全 Windows 防火墙”界面，左侧面板中右键点击“入站规则”，选择“新建规则”。
2、向导中同样选择“程序”，点击“下一步”。
3、选择“此程序路径”，点击“浏览”，定位到与出站规则相同的程序完整路径（如 C:\Program Files\WeChat\WeChat.exe），确认后点击“下一步”。
4、操作环节仍选择“阻止连接”，配置文件页保持“域、专用、公用”全选，点击“下一步”。
5、命名为“禁止某程序接收连接”，点击“完成”。
三、使用 netsh 命令行快速部署双向阻止规则
该方法通过管理员权限终端直接调用系统内置 netsh 工具添加防火墙规则，执行高效、支持脚本复用，适用于批量处理或需自动化部署的场景，所建规则与图形界面规则完全兼容且立即生效。
1、以管理员身份运行 Windows 终端（PowerShell 或 CMD）。
2、执行以下命令添加出站拦截（请将路径替换为实际程序绝对路径）：netsh advfirewall firewall add rule name="禁止某程序联网_出站" dir=out action=block program="C:\Program Files\XXX\app.exe" enable=yes。
3、执行以下命令添加入站拦截：netsh advfirewall firewall add rule name="禁止某程序联网_入站" dir=in action=block program="C:\Program Files\XXX\app.exe" enable=yes。
4、执行 netsh advfirewall firewall show rule name="禁止某程序联网_出站" 验证规则已存在且状态为“启用”。
四、修改 hosts 文件屏蔽程序关联域名
该方法针对依赖固定域名通信的程序（如自动更新服务器、用户行为上报接口），通过劫持本地 DNS 解析实现软性阻断，不干扰程序本体运行，也不影响其他程序联网，属于轻量级补充手段。
1、以管理员身份运行 记事本，点击“文件”→“打开”，路径栏输入 C:\Windows\System32\drivers\etc\hosts，文件类型选“所有文件”，点击打开。
2、在文件末尾另起一行，输入 127.0.0.1 update.example.com（将 update.example.com 替换为该程序实际连接的域名；可通过资源监视器或 Process Explorer 获取真实请求域名）。
3、点击“文件”→“另存为”，编码选择 UTF-8，确认覆盖保存。
4、重启目标程序，观察其是否无法完成更新检查或遥测上报等依赖域名的操作。
五、在 Windows 安全中心撤销已有放行权限
若该程序此前已被手动添加至防火墙允许列表，其显式放行权限将覆盖后续阻止规则，导致拦截失效；因此必须先清除历史放行记录，再部署阻止规则，避免策略冲突。
1、打开“设置”，进入“隐私和安全性”→“Windows 安全中心”。
2、点击“防火墙和网络保护”，再点击“允许应用通过防火墙”。
3、点击右上角“更改设置”，确认 UAC 提示获取管理员权限。
4、在应用列表中找到目标程序，取消勾选其“专用”与“公用”两个复选框。
5、若该程序未显示在列表中，说明尚未被显式放行，此步骤可跳过。
