必须启用“windows 2000网络连接设置”策略以激活网络策略框架，再启用“禁止访问lan连接组件的属性”，并停用network connections服务、移除network configuration operators组成员、回收驱动加载权限，最后执行gpupdate /force并重启。
要让普通标准账户在Windows 10中完全无法修改TCP/IP协议的高级属性（如IP地址、DNS服务器、WINS、接口跃点数、TCP接收窗口大小等），必须绕过表面禁用，直击策略生效前提与服务依赖关系——仅启用“禁止访问LAN连接组件的属性”是无效的，因为该策略默认不激活，需先启用其底层开关。
前置条件：启用Windows 2000网络连接策略框架
这一步不可跳过。若未启用，后续所有网络连接类策略（包括禁用属性）均不会加载或生效，用户右键仍可正常打开IPv4属性页。
按 Win + R → 输入 gpedit.msc → 回车 → 依次展开：用户配置 → 管理模板 → 网络 → 网络连接 → 找到并双击“为管理员启用Windows 2000网络连接设置” → 选择“已启用” → 点击“确定”。
注意：该策略名称含“管理员”，但实际作用是开启整个网络连接策略引擎，与用户权限无关；不启用它，后面所有策略都形同虚设。
核心封锁：禁用LAN连接组件全部属性编辑能力
启用后，立即在同一路径下（用户配置 → 管理模板 → 网络 → 网络连接）找到“禁止访问LAN连接组件的属性” → 双击 → 设为“已启用” → 确定。
此策略生效后，用户右键任意有线/无线网卡 → “属性” → 所有选项卡（常规、高级、详细信息、卸载）全部置灰，IPv4/IPv6协议勾选框不可取消，点击“属性”按钮直接无响应。它不区分管理员或标准用户，只要登录即受控。
切断底层支撑：停用Network Connections服务并重设权限
图形界面被锁住后，标准用户仍可能通过命令行（如netsh interface ip set address）绕过。真正阻断需从系统服务层下手：
回到组策略编辑器 → 切换至计算机配置 → Windows设置 → 安全设置 → 系统服务 → 找到“Network Connections” → 双击 → 启动类型设为“手动” → 勾选“定义此策略设置” → 点击“编辑安全设置”。
在权限窗口中：
① 移除 Administrators、INTERACTIVE、Users、Everyone 组的所有权限（包括“启动”“停止”“暂停”“完全控制”）；
② 点击“添加”→输入 Domain Admins（或你指定的IT管理组名）→赋予“完全控制”；
③ 再次“添加”→输入 Everyone → 仅勾选“读取”权限。
【服务权限修改后若未重启，策略不会真正生效】
完成设置后，普通用户登录时会发现：网络托盘图标显示红叉、ncpa.cpl打开为空白窗口、“网络和Internet设置”中适配器列表消失、netsh命令执行报错“服务未运行”或“拒绝访问”。
清除隐性绕过通道：移出高危用户组并回收特权
方法一：检查并清空Network Configuration Operators组
按 Win + R → 输入 lusrmgr.msc → 左侧选“组” → 右键“Network Configuration Operators” → “属性” → 查看“成员”列表 → 若存在标准用户账户，全部选中 → 点击“删除”。该组成员默认拥有修改TCP/IP的完整权限，会直接覆盖组策略限制。
方法二：回收“加载和卸载设备驱动程序”权限
在组策略编辑器中 → 切换至计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配 → 找到“加载和卸载设备驱动程序” → 双击 → 移除所有非Domain Admins的账户或组（尤其是Users、Power Users）。此权限允许用户回滚/更新网卡驱动，从而绕过TCP/IP锁定。
做完以上全部操作后，运行命令 gpupdate /force 强制刷新策略，然后重启计算机。
