必须从系统底层切断非管理员用户的网络权限：先在设备管理器安全选项卡中拒绝标准用户“启用设备”权限；再通过组策略移除其网络访问权限、禁用网络连接修改权，并限制winsock目录写入权。
要让普通用户登录电脑后完全无法访问互联网，只允许管理员账户联网，必须从系统底层切断非管理员用户的网络权限，而不是仅靠浏览器限制或软件屏蔽——因为那些方法容易被绕过。
禁用非管理员账户的网络适配器权限
第一步：以管理员身份登录，右键“此电脑”→“管理”→“设备管理器”→展开“网络适配器”。
找到当前启用的网卡（如 Realtek PCIe GbE Family Controller），右键→“属性”→切换到“安全”选项卡。
注意：该选项卡仅在启用“网络访问控制策略”且使用NTFS分区时可见；若没有“安全”选项卡，请先确认系统为专业版/企业版，并已关闭“快速启动”。
点击“编辑”，在用户列表中找到目标标准用户（如 User01），勾选“拒绝”下的“启用设备”和“禁用设备”两项。【拒绝“启用设备”是关键，否则用户仍可手动启用网卡】
点击“确定”保存。该用户下次登录时，网络图标会显示“未识别的网络”，且无法通过设置启用适配器。
通过组策略彻底隔离标准用户网络栈
方法一：限制 WinHTTP 与 WinINET API 访问
按 Win+R 输入 gpedit.msc → 依次展开“计算机配置”→“Windows 设置”→“安全设置”→“本地策略”→“用户权限分配”。
双击“访问此计算机从网络”，移除所有标准用户组（如 Users、Everyone），仅保留 Administrators 和本地登录所需的必要账户。
方法二：禁用标准用户对 TCP/IP 协议栈的调用权
在相同组策略编辑器中，进入“计算机配置”→“管理模板”→“网络”→“网络连接”。
启用“禁止访问‘网络连接’文件夹”和“阻止用户更改 IP 地址设置”。这两项能防止用户通过图形界面修改网络参数或重置网络状态。
方法三：切断 Winsock 目录写入权限（高阶防护）
打开资源管理器，导航至 C:\Windows\System32\Winsock（若不存在则为 C:\Windows\System32\drivers\etc 下的 winsock 相关注册表路径）。
右键该目录→“属性”→“安全”→“编辑”→选中标准用户→取消勾选“写入”和“修改”，仅保留“读取和执行”。【此操作会导致标准用户无法建立任何套接字连接，包括 HTTP、DNS、UDP 广播等，效果彻底但不可逆，务必提前备份】
验证限制是否生效
新建一个标准用户账户（如 testuser），登录该账户。
尝试打开浏览器、ping www.baidu.com、查看网络图标状态、运行 cmd 并输入 ipconfig。
若命令行返回“请求超时”或“找不到主机”，且网络图标显示黄色感叹号或“无 Internet 访问”，说明限制已起效。
切换回管理员账户，在“事件查看器”→“Windows 日志”→“系统”中筛选事件 ID 为 4201 的条目，可看到系统记录的“网络适配器被拒绝启用”的审计日志。
