要阻止软件访问局域网资源，必须同时配置出站和入站防火墙规则以拦截其对本地子网的通信；可使用图形界面或netsh命令精准限制内网ip段；必要时通过组策略禁用网络服务权限及应用程序运行。
要阻止某款软件在本机访问局域网资源（如共享文件夹、内网打印机、NAS设备等），不能只靠禁止互联网连接，必须切断其对本地子网的通信能力，否则它仍可能扫描192.168.x.x或10.x.x.x段并发起SMB、HTTP、RDP等内网协议请求。
创建精准匹配的出站+入站防火墙规则
这一步直接拦截软件对本地网络的所有主动连接与响应行为，是阻断内网访问最可靠的方式。
按下Win + S，搜索“高级安全Windows Defender防火墙”，以管理员身份打开。
左侧点击“出站规则”→右侧点击“新建规则”→选择“程序”→点击“下一步”→勾选“此程序路径”，点击“浏览”，【务必定位到软件主进程的.exe文件，而非快捷方式或安装目录】，例如C:\Program Files\TeamViewer\TeamViewer.exe。
操作设为“阻止连接”，配置文件全选“域、专用、公用”，命名如“禁TeamViewer访问本地网络_出站”，点击“完成”。
回到左侧，点击“入站规则”→同样新建规则→类型选“程序”→路径与上一步完全一致→操作仍选“阻止连接”→配置文件全选→命名改为“禁TeamViewer访问本地网络_入站”。
注意：仅设出站规则无法阻止该软件监听本地端口等待内网其他设备连接，入站规则必须同步启用。
用netsh命令批量添加内网IP段拦截规则
当需封锁软件访问整个192.168.1.0/24或10.0.0.0/8等常见内网段时，图形界面逐条添加效率低，命令行可一次性覆盖所有目标地址。
以管理员身份运行Windows PowerShell。
执行以下命令（将路径替换为实际软件路径，并按需修改IP段）：
netsh advfirewall firewall add rule name="Block_CLO3D_LAN_Out" dir=out program="C:\Program Files\CLO3D\CLO3D.exe" action=block remoteip=192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
再执行入站规则命令：
netsh advfirewall firewall add rule name="Block_CLO3D_LAN_In" dir=in program="C:\Program Files\CLO3D\CLO3D.exe" action=block remoteip=192.168.0.0/16,10.0.0.0/8,172.16.0.0/12
这条命令中的remoteip参数明确限定了只对内网地址生效，不影响软件访问localhost或127.0.0.1，避免误杀本地调试功能。
通过组策略禁用软件调用网络API的底层权限
部分软件会绕过防火墙，直接调用WinINet、WinHTTP或Sockets API发起内网请求。此时需从系统服务层收紧控制。
第一步：按Win+R输入gpedit.msc打开本地组策略编辑器。
第二步：导航至计算机配置 → Windows设置 → 安全设置 → 系统服务 → 找到“Network Connections”服务。
第三步：双击该服务，启动类型设为“手动”，点击“编辑安全设置”→移除Users组和INTERACTIVE组的“启动、停止和暂停服务”权限→仅保留Domain Admins或指定IT管理组的“完全控制”。
第四步：导航至计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配 → 找到“加载和卸载设备驱动程序”，确认目标用户不在该权限列表中。
第五步：导航至用户配置 → 管理模板 → 系统 → “不要运行指定的Windows应用程序”，启用后添加该软件完整路径——这是最后一道防线，防止用户通过双击.exe强行启动后绕过防火墙规则。
