应禁止非加密远程控制流量，核心是阻断Telnet（23）、FTP（21/20）、HTTP管理端口（80/8080等）、未加密VNC（5900–5999）、SNMPv1/v2c（161/162）等明文协议端口，强制RDP启用NLA，并同步配置出站规则与防火墙日志监控。
要禁止任何非加密的远程控制流量，核心思路是识别并阻断常见明文协议（如 telnet、ftp、http 管理界面、未加密的 vnc、rdp 未启用网络级身份验证等）所依赖的端口和协议，同时保留或仅允许 tls/ssl 加密通道（如 https、rdp with nla、ssh）。这不是简单“关掉远程桌面”就能解决的问题，而是需要分层拦截明文通信路径。
识别并封禁典型明文远程协议端口
非加密远程工具普遍使用固定端口且不加密传输凭证或会话内容。需在入站规则中明确阻止以下端口（TCP/UDP）：
- Telnet（23）：纯文本远程登录，无加密，应直接阻断
- FTP（21 控制端口 + 20 数据端口）：用户密码明文传输
- HTTP 管理服务（80、8080、8000 等）：若设备 Web 管理页未启用 HTTPS，即属高风险明文通道
- 未加密 VNC（5900–5999 默认范围）：传统 RealVNC/TightVNC 若未配置 SSL 隧道或 VeNCrypt，流量全明文
- SNMP v1/v2c（161/162）：社区字符串明文传输，常被用于设备远程配置
创建统一的“明文远程阻断”入站规则组
推荐使用 wf.msc（高级安全 Windows Defender 防火墙）批量创建规则，避免逐个添加。操作要点：
- 打开 wf.msc → 左侧选“入站规则” → 右键“新建规则…”
- 规则类型选“端口”，协议选“TCP”，本地端口填具体数字（如 23），操作选“阻止连接”
- 作用域页中，“远程 IP 地址”建议选“任何 IP 地址”（即全局生效），配置文件全选（域/专用/公用）
- 名称统一格式，例如：Block-Telnet-23-In，便于后期审计与批量启用/禁用
- 对 UDP 端口（如 SNMP 的 161）重复相同流程，注意协议类型切换
特别处理 RDP 和远程管理服务
RDP（3389）本身支持加密，但若未启用网络级身份验证（NLA），登录前阶段仍存在凭证泄露风险。因此不能只放行 3389，而要强制要求 NLA：
- 组策略中启用：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全 → 要求使用网络级别身份验证对远程连接进行用户身份验证（设为已启用）
- 防火墙层面，可额外添加一条“仅允许带 NLA 的 RDP 流量”规则（需结合连接安全规则或 IPSec 策略，但普通环境建议优先靠组策略+证书保障）
- 若完全不需要 RDP，直接禁用远程桌面功能（系统属性 → 远程设置 → 取消勾选），比仅封端口更彻底
补充：出站规则与日志监控不可省略
仅控入站不够——内网主机可能主动外连明文远程服务（如员工私自运行 FTP 客户端上传数据）。需同步配置出站规则：
- 新建出站规则，同样按端口（21、23、161 等）设置“阻止连接”
- 启用防火墙日志：wf.msc → 属性 → 域配置文件/专用配置文件/公用配置文件 → 日志 → 自定义 → 记录丢弃的数据包，日志路径默认
%systemroot%\System32\LogFiles\Firewall\pfirewall.log - 定期检查日志中是否有大量
Deny TCP记录，确认规则实际生效，也便于发现异常外联行为
