核心是分层设防：默认出站阻止（计算机配置→Windows设置→安全设置→Windows Defender防火墙与高级安全→出站规则→属性，三配置文件均设“阻止连接”），禁用控制面板网络项，移除用户网络配置权限，自动部署可信WiFi，统一代理设置并例外内网地址。
通过 gpo 控制终端网络访问权限，核心是分层设防：既限制用户界面操作，又收紧底层通信能力，还要管控流量出口。不能只靠“禁用控制面板”这类表面限制，必须结合防火墙策略、网络配置权限、无线部署和代理控制等多点协同。
统一强制出站流量默认拒绝
这是最根本的网络访问控制手段。所有终端必须在域策略中启用默认出站阻止：
- 路径为：计算机配置 → 策略 → Windows 设置 → 安全设置 → Windows Defender 防火墙与高级安全 → 出站规则 → 属性
- 将“域”“专用”“公用”三个配置文件的默认出站行为全部设为“阻止连接”
- 之后按需添加白名单规则，例如允许 svchost.exe、msedge.exe、内部DNS（10.1.5.10:UDP/53）、WSUS服务器（10.1.20.100:HTTP/HTTPS）等
- 切勿使用“管理模板”路径下的防火墙开关策略——它无法定义具体规则，仅能启停整体防火墙
禁止用户修改网络底层配置
防止普通用户绕过策略，需从界面、权限、命令三方面封堵：
- 用户配置 → 管理模板 → 控制面板 → 启用“禁止访问‘网络连接’文件夹”，使 ncpa.cpl 失效
- 用户配置 → 管理模板 → 网络 → 网络连接 → 启用“删除‘网络连接’图标”和“删除‘网络连接’任务”
- 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配 → 移除普通用户对“更改系统时间”“加载和卸载设备驱动程序”的权限
- 确保用户不在 Network Configuration Operators 组中（该组可直接改IP、网关、DNS）
自动部署可信网络接入方式
让终端“只能连对的网”，比“禁止连错的网”更可靠：
- 在已连入公司WiFi的设备上，用管理员命令导出带密码的配置：netsh wlan export profile name="Corp_WiFi" key=clear
- 检查XML中
存在明文密码，且 false - GPO路径：计算机配置 → Windows 设置 → 安全设置 → 无线网络（IEEE 802.11）策略 → 新建策略并导入该XML
- 客户端需满足：Windows 7+、已加入域、WlanSvc服务启用、无线驱动支持所配加密方式（如WPA2-AES）
集中管控上网通道与出口
把流量引向可控节点，实现审计与过滤：
- 用户配置 → Windows 设置 → Internet Explorer 维护 → 连接 → 代理设置 → 启用并填入公司代理地址（如 proxy.internal:8080）
- 在“例外”栏填写内网地址（如 10.*;192.168.*;portal.internal.company.com），避免代理干扰本地业务
- 若终端主要用 Edge 或 Chrome，需额外部署对应 ADMX 模板，统一主页、禁用扩展安装、锁定新标签页跳转逻辑，防止浏览器侧绕过
- 对高敏感终端，可配合 AppLocker 禁用 netsh.exe、ipconfig.exe /renew 等网络诊断工具（需评估运维影响）
