应通过组策略禁用移动热点、停用wlan autoconfig和icssvc服务、关闭ics共享入口，并辅以注册表锁死及驱动禁用等多层控制。具体包括：①启用“不允许使用移动热点”策略；②禁用wlan autoconfig与icssvc服务；③启用“禁止用户启用internet连接共享”策略；④设置注册表disablemobilehotspot为1；⑤禁用microsoft hosted network虚拟适配器。
要防止员工通过 windows 自身功能将公司内网共享为 wi-fi 热点（即“移动热点”或“internet 连接共享”），核心是禁用相关系统服务、关闭组策略中的热点启用入口，并限制依赖组件。这不是单个开关能解决的问题，需多层控制才能有效阻断。
禁用移动热点功能的组策略设置
Windows 10/11 提供了直接管控移动热点的组策略项：
- 打开组策略编辑器（gpedit.msc）→ 计算机配置 → 管理模板 → 网络 → WLAN 服务 → WLAN 设置
- 找到并双击“不允许使用移动热点”（策略名称可能显示为“Prevent the use of Mobile Hotspot”）
- 选择已启用 → 点击确定
- 该策略会隐藏“设置→网络→移动热点”界面，同时阻止通过命令行（如
netsh wlan set hostednetwork）或 PowerShell 启用承载网络
停用关键系统服务
移动热点依赖底层服务运行，禁用后即使策略被绕过也无法启动：
- 运行 services.msc → 找到以下两项服务并停止+设为“禁用”：
- WLAN AutoConfig：负责无线网络发现、连接与配置，禁用后无法扫描/连接 Wi-Fi，也彻底废止热点功能
- ICSSVC（Internet Connection Sharing）：提供 NAT 转发和 DHCP 分配，是热点共享的核心服务；禁用后即使开启热点，其他设备也无法获取 IP 或上网
关闭网络连接共享（ICS）入口
防止员工通过“网络连接”属性手动启用 ICS：
- 组策略路径：计算机配置 → 管理模板 → 网络 → 网络连接
- 启用策略：“禁止用户启用 Internet 连接共享”
- 该策略会灰掉网卡属性中“共享”选项卡，使用户无法右键网卡→属性→共享→勾选“允许其他网络用户通过此计算机的 Internet 连接来连接”
补充加固：限制承载网络驱动与注册表锁死
针对高级用户可能尝试的绕过方式，可进一步收紧：
- 在注册表中定位：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WcmSvc\wifinetworkmanager
- 新建 DWORD 值：DisableMobileHotspot，数值设为 1
- 禁用承载网络适配器驱动（可选）：设备管理器 → 查看 → 显示隐藏设备 → 网络适配器 → 找到“Microsoft Hosted Network Virtual Adapter”，右键禁用
- 若环境允许，还可配合防火墙规则：阻止出向 UDP 5355（LLMNR）、TCP/UDP 445（SMB）等热点常用端口，降低被探测和利用风险
