Windows system怎么创建入站规则阻止特定IP段攻击-Windows系列-PHP中文网

必须在高级安全防火墙中创建匹配IP段的入站阻止规则，选“自定义”类型、协议设为“任何”、作用域指定IP段（如192.168.50.0/24）、操作选“阻止连接”、配置文件全选，命名明确后完成；命令行可用netsh add rule配合remoteip参数批量封禁。

windows system怎么创建入站规则阻止特定ip段攻击

要阻止特定IP段对Windows系统的入站攻击，必须在高级安全防火墙中创建一条仅匹配该IP段的入站阻止规则，而不是关闭整个端口或服务；规则生效后，来自该网段的所有TCP/UDP入站连接请求将被立即丢弃，且不影响本机对外发起的任何连接。

图形界面创建精准IP段拦截规则

第一步：按下 Win + R 打开运行框，输入 wf.msc 并回车，直接启动“高级安全 Windows Defender 防火墙”控制台。这比从控制面板层层进入更快，且确保打开的是真正支持作用域配置的管理界面。

第二步：在左侧面板中右键点击【入站规则】 → 选择“新建规则…” → 在向导第一页选择【自定义】 → 点击“下一步”。选“自定义”是关键，只有它才允许你在后续步骤中精确指定远程IP段；若误选“端口”或“程序”，将无法设置IP范围。

第三步：在“程序”页保持默认“所有程序” → 点击“下一步”。这确保无论攻击者尝试连接哪个服务（SMB、RDP、HTTP等），只要源IP属于目标网段，一律拦截。

第四步：在“协议和端口”页，协议类型选“任何” → 点击“下一步”。不锁定协议可覆盖TCP/UDP/ICMP全类型攻击流量，比如扫描、暴力破解、ICMP Flood都一并阻断。

第五步：点击顶部标签页切换到【作用域】（不是“下一步”）→ 在“远程IP地址”区域选择“下列IP地址” → 点击“添加…” → 输入IP段格式：192.168.50.0/24（CIDR）、10.200.10.100-10.200.10.199（范围）或单个IP如203.0.113.45 → 点击“确定”返回向导 → “下一步”。

第六步：“操作”页必须选【阻止连接】 → “下一步”。这是唯一能实现主动丢包的选项；选“不允许连接”或留空会触发默认策略，不可控。

第七步：“配置文件”页建议【全选“域”“专用”“公用”】 → “下一步”。除非你100%确认该IP段只出现在某类网络（例如仅内网测试环境），否则漏选会导致规则在Wi-Fi或移动热点下失效。

第八步：在“名称”栏输入明确标识，例如Block-Attack-IP-192.168.50.0_24 → 可选填写描述“拦截192.168.50网段全部入站流量” → 点击“完成”。

命令行快速批量封禁多个IP段（管理员PowerShell）

方法一：单条命令封禁一个CIDR网段

Effector Ecosystem

用于设计、审查、生成或重构使用Effector、effector-react、Farfetched、AtomicRouter、@effector/next等库的React应用。

下载

执行：netsh advfirewall firewall add rule name="Block-172.16.0.0_12" dir=in action=block protocol=any remoteip=172.16.0.0/12。这条命令无需图形界面，适合远程维护或脚本集成；注意/12必须紧贴IP后，中间不能有空格，否则规则创建失败。

方法二：一次性封禁三个离散IP段

执行：netsh advfirewall firewall add rule name="Block-Multi-Subnets" dir=in action=block protocol=any remoteip=192.0.2.0/24,203.0.113.0/24,198.51.100.0/24。逗号分隔，无空格；每段独立匹配，任一命中即阻断；命名需唯一，重复名称会导致命令静默失败。

方法三：封禁但排除内部可信设备

执行：netsh advfirewall firewall add rule name="Block-Except-Admin" dir=in action=block protocol=any remoteip=192.168.1.0/24 remoteipexclusion=192.168.1.10,192.168.1.11。使用remoteipexclusion参数可在大网段中白名单个别管理IP，避免把自己锁在外面。