Windows防火墙可通过自定义入站规则同时限定端口与源IP，实现精准访问控制：在wf.msc中选“自定义”规则类型，协议页指定TCP/UDP及本地端口，作用域页设置远程IP地址或网段，操作页选“允许连接”，配置文件勾选适用网络类型，命名后完成；命令行可用New-NetFirewallRule一键创建，并需同步检查安全组、端口监听及外部连通性。

直接在 windows 防火墙里建一条“自定义入站规则”，把端口和 ip 同时限定住，就能实现只让指定来源访问特定端口。关键不是分开设，而是在同一条规则里完成两个条件的绑定。

用图形界面一步步操作

这是最稳妥、适合大多数人的方法：

• 按 Win + R 输入 wf.msc 回车，打开“高级安全 Windows Defender 防火墙”
• 左侧点“入站规则”，右侧点“新建规则…”启动向导
• 第一步选“自定义”，下一步
• 协议和端口页：选“TCP”（或 UDP），勾选“特定本地端口”，填入你要开放的端口号，比如 3389 或 80,443
• 作用域页：在“远程IP地址”区域选“下列IP地址”，点击“添加”，输入单个 IP（如 203.0.113.5）或 CIDR 网段（如 192.168.10.0/24）
• 操作页选“允许连接”，配置文件建议至少勾选“专用”，公网环境慎选“公用”
• 最后起个清晰的名字，例如“仅允许可信IP访问RDP_3389”，完成

用命令行快速配置（适合批量或远程部署）

管理员身份运行 PowerShell，一条命令搞定：

New-NetFirewallRule -DisplayName "Allow SSH from 192.168.5.10" -Direction Inbound -Protocol TCP -LocalPort 22 -RemoteAddress 192.168.5.10 -Action Allow -Profile Private

说明：

Handsfree Windows Control

通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载

• -RemoteAddress 支持单 IP、网段（如 192.168.5.0/24）或预定义组（如 LocalSubnet）
• -Profile 指定生效的网络类型，Private 最常用；如需多类型，可写成 -Profile Private,Domain
• 想删掉这条规则？运行：Remove-NetFirewallRule -DisplayName "Allow SSH from 192.168.5.10"

必须检查的三件事

规则建完不等于生效，务必验证：

• 确认当前管理 IP 没被拦：如果你是远程操作，先确保自己正在用的 IP 已加进白名单，否则可能断连
• 查端口监听状态：在服务器上运行 netstat -ano | findstr :3389，确认端口确实在监听
• 从外部测试连通性：用另一台电脑执行 telnet 服务器IP 3389，应能通；再换一个不在白名单里的 IP 尝试，应超时或被拒

常见误区提醒

这些细节容易忽略，但直接影响效果：

• 不要用“允许应用通过防火墙”界面设置——它不支持限定源 IP，只能放开整个程序的所有流量
• 规则顺序不重要，Windows 防火墙按匹配优先级处理，不是按列表上下顺序
• 如果开了云服务器（如阿里云、腾讯云），安全组也要同步放行相同端口+IP，否则流量在进系统前就被拦截了
• 修改后不用重启服务或系统，规则即时生效，但建议重载一次策略：netsh advfirewall firewall set rule all new enable=yes