windows dhcp服务器无原生黑名单功能，但可通过启用mac筛选器实现等效效果：先启用全局过滤（netsh dhcp server set filterstatus 1），再配置“仅允许”白名单并添加deny规则，配合网络层控制才能真正阻断访问。

windows dhcp 服务器本身不提供“客户端黑名单”这一独立功能，但可通过内置的mac 地址筛选器实现等效效果：对指定 mac 地址拒绝分配 ip，使其无法完成 dhcp 租约流程。

筛选器必须启用才生效

DHCP 服务默认不启用任何 MAC 级过滤。即使添加了黑名单条目，若未全局启用筛选器，所有设备仍能正常获取地址。关键操作是执行启用命令：

• 在管理员权限的命令提示符中运行：netsh dhcp server set filterstatus 1
• 对应禁用命令为：netsh dhcp server set filterstatus 0
• 该设置作用于整个 DHCP 服务器，影响所有作用域

黑名单需配合白名单逻辑使用

Windows Server 的 DHCP 筛选机制采用“允许优先”原则。单独添加拒绝规则（Deny）不会自动生效——必须同时启用“仅允许列表中的客户端”模式，再把黑名单作为补充规则加入。

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 先添加白名单条目（如可信办公设备），启用“仅允许”模式
• 再用 netsh dhcp server add filter 00-1A-2B-3C-4D-5E 1 "离职员工手机" 添加拒绝项
• 最终效果：白名单设备可获地址；黑名单设备被明确拒绝；其余设备一律无响应

MAC 地址格式与常见陷阱

输入错误的 MAC 格式会导致规则无效，且不易排查。务必注意：

• 使用大写字母与短横线分隔，如：AA-BB-CC-DD-EE-FF（不是冒号、小写或无分隔）
• 不支持通配符模糊匹配（如 AA-BB-CC-*-*-*），旧版文档提及的功能在 Server 2016+ 已不可靠
• 每条规则只能对应一个 MAC；批量导入需逐行执行批处理脚本
• 添加后可用 netsh dhcp server show filter 验证是否成功载入

真正阻断依赖网络协同

DHCP 黑名单只是让设备拿不到 IP，不能阻止其接入二层网络。要实现实际访问控制，还需配合：

• 交换机端口安全（Port Security）绑定 MAC + 关闭违规端口
• 802.1X 认证强制接入前身份校验
• 防火墙基于 IP 或 MAC 的后续会话拦截（DHCP 分配后生效）
• 单纯靠 DHCP 屏蔽，设备仍可能手动配置静态 IP 绕过