使用软件限制策略（srp）或applocker可底层拦截软件联网：srp通过路径规则在加载阶段阻止winsock初始化；applocker支持哈希/发布者规则彻底封杀，需启用强制执行；协议层禁用需重启生效。
你想用本地组策略直接切断某个软件的联网能力，不依赖图形化防火墙界面，也不靠第三方工具，而是让系统在进程启动前就拒绝其网络初始化请求——这需要绕过常规出站规则，改用更底层的哈希或路径级封锁机制。
通过软件限制策略（SRP）配置联网拦截
该方法适用于Windows家庭版，无需AppLocker，利用已弃用但仍在系统中完整保留的软件限制策略，在程序加载阶段即阻止其调用Winsock或WSAStartup，比防火墙规则更早生效。
第一步：按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。
第二步：依次展开路径：计算机配置 → Windows 设置 → 安全设置 → 软件限制策略。
第三步：若右侧显示“未定义”，右键空白处 → “新建软件限制策略”，此时会自动生成默认规则容器和“其他规则”节点。
第四步：右键“其他规则” → “新建路径规则”，在路径栏中输入目标程序完整路径，例如：C:\Program Files\WeChat\WeChat.exe；安全级别选“不允许”；点击“确定”。
注意：路径必须是绝对路径，且不能包含通配符或环境变量；若程序以服务方式运行（如微信的WeChatService.exe），需额外为该服务文件单独建一条路径规则。
用AppLocker哈希规则彻底封死联网行为
AppLocker能基于文件数字签名或SHA256哈希值锁定程序，即使程序被重命名、复制到其他目录，只要内容未变，规则依然生效——这对防绕过更新模块特别有效。
方法一：基于发布者创建白名单式阻断
1. 打开gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker。
2. 右键“可执行规则” → “创建新规则”。向导中选择“拒绝”，再点“下一步”→“发布者”→“浏览”，定位到目标程序exe并选中。
3. 在“发布者条件”页，点击“高级”→“单击此处以选择一个值”，确认证书指纹与当前程序一致后继续。
4. 勾选“应用于所有用户”，名称填“拒绝对WeChat.exe的网络调用”，完成。
方法二：直接导入预计算哈希值（推荐用于静默更新频繁的软件）
先用PowerShell获取哈希：Get-FileHash "C:\Program Files\WeChat\WeChat.exe" -Algorithm SHA256 | Format-List，复制Hash值；
在AppLocker规则向导中选择“哈希”条件，粘贴该值，操作设为“拒绝”，其余保持默认即可。
【关键前提】 必须确保AppLocker策略本身已启用：在AppLocker根节点右键 → “属性” → 勾选“强制执行下列规则”，否则所有规则均不生效。
禁用特定协议栈防止绕过
某些软件（如迅雷、百度网盘）会尝试加载WinDivert、NDIS驱动或直接调用Raw Socket绕过防火墙，此时需从协议层掐断其基础通信能力。
1. 打开gpedit.msc → 计算机配置 → 管理模板 → 网络 → TCPIP设置 → 接口。
2. 双击“禁止IPv4协议”或“禁止IPv6协议”，设为“已启用”——但这会影响整机网络，慎用。
3. 更精准的做法：进入“网络 → 网络连接”分支 → 启用“阻止L2TP/IPSec连接”和“禁用TCP/IP筛选”，后者可关闭TCP/UDP端口白名单功能，使所有非显式放行的协议请求失败。
4. 修改完成后，必须重启电脑，因为TCPIP相关策略属于内核级驱动配置，注销无效。
