要让Windows防火墙真正按需拦截特定流量，必须通过wf.msc进入高级安全控制台创建自定义规则：入站封端口（如135,445）、出站锁程序（图形化或netsh批量）、ICMP全禁用防探测。
要让Windows防火墙真正按需拦截特定网络流量，而不是依赖默认放行策略被动防御，必须进入高级安全控制台手工创建带作用域、协议和端口条件的自定义规则。这一步绕不开wf.msc，也不能用普通防火墙界面凑合。
打开高级安全防火墙控制台
按 Win + R 键呼出运行框，输入 wf.msc 后回车。这是唯一能访问完整规则引擎的入口，控制面板里的“Windows Defender 防火墙”设置页无法创建自定义协议或IP作用域规则。
如果提示“拒绝访问”，说明当前账户没有管理员权限——必须以管理员身份运行，否则后续所有新建规则操作都会静默失败。
创建精准入站拦截规则（封端口）
适用场景：你发现某台Win11设备正被扫描135、445等高危端口，想立刻切断所有外部连接尝试，又不想影响本机其他服务。
在左侧面板右键“入站规则”→选择“新建规则…”→类型选“端口”→下一步。
协议选TCP，本地端口填135,445,593,1025-1030（注意用英文逗号分隔，不要空格）→下一步。
操作选“阻止连接”→下一步→配置文件全选（域、专用、公用）→命名如“阻断SMB/DCOM高危端口_入站”。
这一步完成后，外部主机对这些端口的TCP连接请求将直接被丢弃，不会触发任何响应包，比单纯关闭服务更隐蔽、更彻底。
创建程序级出站拦截规则（锁软件）
方法一：图形化逐个添加
右键“出站规则”→“新建规则…”→类型选“程序”→浏览定位到目标exe（例如：C:\Program Files\XXOptimizer\clean.exe）→操作选“阻止连接”→配置文件全选→命名如“禁用XXOptimizer_出站”。
方法二：命令行批量处理（适合封杀整个文件夹）
以管理员身份打开CMD，执行：
netsh advfirewall firewall add rule name="Block All EXEs in Tools" dir=out program="C:\Tools\*.exe" action=block
⚠️注意：该语法仅在Windows 10 20H1及更新版本、Windows 11中生效；旧系统不支持通配符路径，必须单个指定。
用ICMP规则阻断全部内核探测
第一步：右键“入站规则”→“新建规则…”→类型选“自定义”→下一步。
第二步：程序页选“所有程序”→下一步。
第三步：协议和端口页选“ICMPv4”→点击“自定义ICMP设置”→勾选“无”→确定→下一步。
第四步：作用域页源地址设为“任何IP地址”，目标地址保持默认→下一步。
第五步：操作选“阻止连接”→配置文件全选→命名如“全面禁用ICMP入站_防内核探测”。
这一步会同时屏蔽Echo Request（ping）、Timestamp、Address Mask等全部ICMP类型，攻击者无法通过基础探测判断系统是否在线，也难以触发内核级响应漏洞。
