必须通过组策略禁用ipv4属性编辑、注册表锁定tcp/ip协议栈写入权限、移除用户network configuration operators组成员身份三重防护，缺一不可；否则普通用户仍可绕过限制修改ip等网络参数。
您需要在Windows 11中防止其他用户（包括标准账户或临时使用者）擅自更改本机IP地址、子网掩码、网关或DNS设置，确保网络参数始终固定且不可被覆盖。组策略、注册表和权限三重手段缺一不可，单用任一方法都可能被绕过。
通过组策略禁用IPv4属性编辑权限
此方法适用于专业版、企业版或教育版Win11，能从根本上阻止非管理员用户打开“Internet 协议版本 4 (TCP/IPv4) 属性”窗口——只要策略生效，双击该协议项将直接灰显或报错，连填写框都不会出现。
按 Win + R 输入 gpedit.msc → 回车打开本地组策略编辑器。
依次展开路径：计算机配置 → 管理模板 → 网络 → 网络连接 → Windows 连接管理器。
在右侧找到并双击“禁止访问‘网络连接’文件夹”→ 选择“已启用”→ 点击“确定”。【此操作会隐藏整个“网络连接”窗口，但不影响当前联网状态】
再次展开：计算机配置 → 管理模板 → 网络 → 网络连接 → “禁止修改‘Internet 协议版本 4 (TCP/IPv4)’设置”→ 启用该策略→ 点击“确定”。
以管理员身份打开命令提示符，执行 gpupdate /force 强制刷新策略。重启后，普通用户右键点击“以太网”或“WLAN”属性时，“Internet 协议版本 4 (TCP/IPv4)”条目将不可选，也无法双击进入配置界面。
通过注册表锁定TCP/IP协议栈写入权限
该方法绕过组策略限制，适用于家庭版Win11，直接禁止对关键网络配置键值的写入操作。一旦设置，即使用户拥有管理员权限，也无法通过图形界面或netsh命令修改IPv4参数，除非先还原注册表权限。
方法一：使用regini工具批量锁定（推荐）
新建一个文本文件，命名为lockip.regini，内容如下：
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces [1 5 7]
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters [1 5 7]
保存后，以管理员身份运行命令提示符，执行：regini lockip.regini。
方法二：手动接管注册表项所有权并设为只读
按 Win + R 输入 regedit → 导航至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces。
右键 Interfaces 项 → 权限 → 高级 → 更改所有者为 Administrators → 勾选“替换子容器和对象的所有者”→ 确定。
返回权限窗口 → 取消勾选“包括可从该对象的父项继承的权限”→ 在弹出提示中点“复制”→ 找到“Users”或标准用户组 → 将其“写入”权限设为“拒绝”→ 应用并确认。
【必须同步对 Tcpip\Parameters 主键也执行相同操作，否则仍可通过修改默认网关等字段绕过】
移除标准用户对网络适配器的控制权
这是最容易被忽略但最关键的一环：即使组策略和注册表都锁死了，只要用户属于 Network Configuration Operators 组，就能通过 netsh interface ip set address 等命令强行改写IP。
第一步：按 Win + R 输入 lusrmgr.msc → 回车打开本地用户和组管理器。
第二步：展开“组”→ 双击“Network Configuration Operators”→ 移除所有非管理员账户（尤其是“Users”组成员）。
第三步：检查当前用户是否意外保留在该组中——若存在，立即删除，否则策略形同虚设。
第四步：重启系统使组成员变更生效。此后，标准用户执行任何 netsh、powershell 或第三方工具的IP修改指令，均会返回“拒绝访问”错误。
