windows defender 防火墙不支持基于mac地址的规则，因其工作在osi网络层和传输层，而mac地址属于数据链路层；替代方案是通过路由器mac过滤或windows内ip+端口+用户组合限制。
Windows 11 防火墙高级安全控制台（wf.msc）不支持基于 MAC 地址创建入站或出站规则，所有官方文档与技术规范均未提供 MAC 层过滤能力，尝试在“作用域”或“自定义”向导中寻找 MAC 输入框将徒劳无功。
为什么防火墙无法按 MAC 地址放行
Windows Defender 防火墙工作在 OSI 模型的网络层（IP）和传输层（TCP/UDP），而 MAC 地址属于数据链路层，由网卡驱动和交换机处理。防火墙引擎本身不具备解析、匹配或决策 MAC 地址的能力——【这是系统底层架构限制，非操作疏漏】。即使使用 netsh advfirewall 或 PowerShell cmdlet，也无法通过任何参数注入 MAC 条件。
试图用第三方工具或注册表硬改实现 MAC 过滤，会导致防火墙策略加载失败、规则不可见或系统策略服务崩溃。
替代方案：用网络设备实现 MAC 白名单
若需强制只允许特定设备（如某台笔记本、某部手机）访问本机服务，必须将控制点前移至网络基础设施：
第一步：登录您所用路由器或企业级交换机的管理后台（通常地址为 192.168.1.1 或 192.168.0.1）→ 第二步：找到“MAC 地址过滤”“接入控制”或“客户端白名单”功能模块 → 第三步：启用“仅允许列表中的 MAC 地址联网”，然后手动添加目标设备的物理地址（格式如 00-1A-7D-DA-71-13 或 00:1a:7d:da:71:13）→ 第四步：保存配置并重启网络设备使策略生效。
该方式对所有经过该设备的流量生效，且 Windows 防火墙无需额外配置；但要求目标设备每次连接都使用同一网卡（USB 网卡、蓝牙共享等会变更 MAC）。
Windows 侧可做的精准替代：IP + 端口 + 用户组合限制
当无法控制物理层时，可在 wf.msc 中构建接近效果的逻辑白名单：
方法一：基于固定 IP 的入站规则
确保目标设备在局域网中使用静态 IP（如 192.168.1.105）→ 打开 wf.msc → 右键“入站规则”→“新建规则…”→ 选择“自定义”→ “程序”页选“所有程序”→ “协议和端口”页设 TCP/UDP + 目标端口（如 3389）→ “作用域”页点击“下列 IP 地址”，在“远程 IP 地址”中仅添加 192.168.1.105 → 后续步骤照常完成。
方法二：叠加用户账户条件（仅限入站）
若目标设备通过 Windows 域或 Microsoft 账户与本机建立信任关系，可在同一自定义规则的“用户”页勾选“只有这些用户”→ 点击“添加”→ 输入对方的完整 UPN（如 user@contoso.com）→ 此规则将同时校验来源 IP 和身份凭证，双重收紧访问面。
