必须先启用win11远程桌面并监听3389端口，再通过高级安全防火墙创建仅允许指定ip访问的入站规则，并禁用系统默认的全开放远程桌面规则，方可实现ip白名单防护。
要让只有你信任的固定IP地址（比如公司出口IP或家里宽带公网IP）能连上你的Win11电脑远程桌面，必须在防火墙入站规则中精确限定源IP范围，否则任何知道你IP和端口的人都可能尝试暴力破解。
确认远程桌面已启用并监听3389端口
按下 Win + I 打开设置 → 系统 → 远程桌面 → 将“远程桌面”开关设为开启状态。系统会自动启用Windows Defender防火墙中的“远程桌面”预设规则，但该规则默认允许所有IP访问，必须后续手动收紧。
这一步不做，后续防火墙规则无效——因为服务根本没在监听。
用高级安全防火墙创建带IP限制的入站规则
方法一：图形界面新建规则（推荐新手）
1、按 Win + R 输入 wf.msc 回车，打开“高级安全 Windows Defender 防火墙”。
2、左侧点击“入站规则”，右侧点击“新建规则…”启动向导。
3、选择“端口” → 下一步。
4、选择“TCP”，在“特定本地端口”中填入 3389 → 下一步。
5、选择“允许连接” → 下一步。
6、在“配置文件”页，勾选你实际使用的网络类型（如家用选“专用”，路由器设为公用网络则勾“公用”）→ 下一步。
7、在“名称”页输入规则名，例如 仅允许112.65.33.102访问RDP，可加描述说明用途 → 完成。
8、刚建好的规则默认对所有IP开放。双击该规则 → 切换到“作用域”选项卡 → 在“远程IP地址”区域，选择“下列IP地址” → 点击“添加…” → 输入你允许连接的单个IP地址（如112.65.33.102）或IP段（如112.65.33.100-112.65.33.105） → 确定保存。
【关键操作】必须关闭原系统自带的“远程桌面”入站规则，否则它仍会放行其他IP。回到入站规则列表，找到名称含“远程桌面”的默认规则（通常有两条：TCP和UDP），右键→禁用。
用netsh命令快速锁定单一IP（适合批量或脚本场景）
以管理员身份运行CMD或PowerShell：
执行以下命令，将 112.65.33.102 替换为你自己的可信IP：
netsh advfirewall firewall add rule name="RDP-Whitelist-112.65.33.102" dir=in action=allow protocol=TCP localport=3389 remoteip=112.65.33.102 enable=yes
这条命令一次性完成规则创建+IP限定+启用，无需图形界面操作。如果要允许多个IP，需重复执行该命令，每次改remoteip参数值。
执行后立即生效，无需重启服务或电脑。
验证IP限制是否生效
从一台不在白名单内的设备上，用mstsc连接你的电脑IP，应直接显示“连接被拒绝”或超时；从白名单IP设备连接，应能正常弹出凭据框。
若连接失败且确认IP无误，检查是否误启用了“远程协助”规则（它不走3389端口，也不受本规则约束）。
