金宇澄1. 为什么需要断开互联网只保留局域网访问？
在企业办公环境中，我们经常会遇到需要隔离互联网访问的特殊场景。作为有着15年企业IT管理经验的从业者，我遇到过以下几种典型情况：
- 安全合规要求：某些金融、政务类企业的开发测试环境，根据等级保护要求必须物理隔离互联网
- 数据防泄露：处理敏感数据时临时断开外网，防止通过云盘、邮件等途径外发
- 网络故障排查：当出现网络异常时，需要分段测试以确定问题范围
- 专注工作模式：避免员工被社交媒体、新闻网站分散注意力
重要提示：在操作前请确保已保存所有工作文档，某些在线验证服务（如Office激活）可能会受到影响
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Windows网络架构基础认知
2.1 网络接口的底层逻辑
Windows系统中，每个网络接口（有线网卡、WiFi、虚拟网卡等）都有独立的配置存储。通过netsh interface show interface命令可以看到所有接口的状态：
code复制管理员状态 状态 类型 接口名称
已启用 已连接 专用 以太网
已启用 已连接 公用 Wi-Fi
2.2 路由表的工作原理
路由表是决定网络流量走向的核心，使用route print命令查看完整路由表。关键列说明：
- 网络目标：0.0.0.0表示默认路由（互联网）
- 网关：下一跳地址，127.0.0.1表示本机
- 接口：对应网卡的索引号
- 跃点数：优先级，数值越小优先级越高
典型的企业局域网路由表示例：
code复制IPv4 路由表
===========================================================================
活动路由:
网络目标 网络掩码 网关 接口 跃点数
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.100 25
10.10.0.0 255.255.0.0 在链路上 10.10.20.15 281
3. 四种实战隔离方案详解
3.1 方案一：禁用默认路由（推荐）
这是最彻底的解决方案，通过删除0.0.0.0的默认路由实现：
batch复制route delete 0.0.0.0
然后手动添加局域网路由（假设网关是10.10.1.1）：
batch复制route add 10.0.0.0 mask 255.0.0.0 10.10.1.1 -p
参数说明：
-p表示永久生效（重启后保留）- 10.0.0.0/8 是常见的A类内网地址段
3.2 方案二：防火墙出站规则
通过高级安全Windows防火墙配置：
- Win+R输入
wf.msc打开防火墙 - 左侧选择"出站规则"
- 新建规则 → 自定义 → 所有程序
- 作用域 → 远程IP → 添加"任何IP地址"
- 操作 → 阻止连接
- 名称设为"Block Internet Access"
例外处理：如果需要允许特定网站，可以在规则属性中添加白名单。
3.3 方案三：网卡配置法
针对多网卡环境的操作步骤：
- 打开"网络连接"（ncpa.cpl）
- 右键互联网网卡 → 属性
- 取消勾选"Internet协议版本4(TCP/IPv4)"
- 对局域网网卡确保勾选并配置正确IP
3.4 方案四：Hosts文件重定向
极端情况下可以修改hosts文件（需管理员权限）：
- 用记事本打开
C:\Windows\System32\drivers\etc\hosts - 添加如下内容：
code复制127.0.0.1 www.baidu.com
127.0.0.1 www.qq.com
...其他域名
- 保存后执行
ipconfig /flushdns
4. 企业级场景的进阶配置
4.1 域环境下的组策略部署
对于域成员计算机，可以通过GPO统一配置：
- 打开"组策略管理"
- 新建GPO → 命名如"Internet Access Control"
- 编辑策略：
- 计算机配置 → 策略 → Windows设置 → 脚本(启动/关机)
- 添加启动脚本包含route命令
- 链接到对应OU
4.2 网络位置感知服务
Windows的NLA服务会自动判断网络类型：
batch复制sc config NlaSvc start= auto
net start NlaSvc
可以通过修改注册表固定网络位置：
code复制HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles
4.3 多网卡优先级调整
调整接口跃点数来改变优先级：
batch复制netsh interface ipv4 set interface "以太网" metric=10
netsh interface ipv4 set interface "Wi-Fi" metric=20
5. 排错与验证指南
5.1 连通性测试步骤
- 基础检查：
batch复制ping 127.0.0.1 ping 局域网网关 ping 局域网其他主机 - 路由检查：
batch复制tracert 8.8.8.8 pathping 10.10.1.100 - 端口测试：
batch复制telnet 10.10.1.100 80 Test-NetConnection -ComputerName 10.10.1.100 -Port 445
5.2 常见问题解决
问题1：路由配置后无法访问任何网络
检查项：
- 是否误删了局域网路由
- 物理网线是否插好
- IP地址是否冲突（arp -a）
问题2：特定应用仍可联网
可能原因：
- 应用使用硬编码IP（如企业微信的部分服务器）
- 使用了IPv6（需单独禁用）
问题3：重启后配置丢失
解决方案：
- 确保使用
-p参数 - 检查是否有其他脚本覆盖路由
- 考虑使用开机脚本
6. 安全加固建议
6.1 防绕过措施
- 禁用WiFi适配器（设备管理器中禁用）
- 启用BitLocker防止本地修改
- 设置BIOS密码防止从U盘启动
6.2 日志监控配置
- 启用路由变更审计：
batch复制auditpol /set /subcategory:"其他策略更改事件" /success:enable /failure:enable - 查看事件日志：
- 事件ID 4688：进程创建
- 事件ID 5156：防火墙更改
6.3 企业级解决方案对比
| 方案 | 实施难度 | 可靠性 | 可逆性 | 适用场景 |
|---|---|---|---|---|
| 路由删除 | 中 | 高 | 易 | 临时隔离 |
| 防火墙 | 高 | 极高 | 中 | 长期管控 |
| 网卡禁用 | 低 | 中 | 易 | 简单环境 |
| Hosts文件 | 低 | 低 | 易 | 特定场景 |
在实际企业环境中，我通常会采用组合方案：通过组策略部署防火墙规则为主，路由配置为辅。对于特别敏感的工作站，还会物理拆除无线网卡。