需求背景

企業限制流量濫用、家長管控孩子安裝遊戲，需從「禁止下載」與「禁止安裝」雙維度建立防線。

一、禁止安裝軟體（系統級）

1. 組策略禁用 Windows Installer

• gpedit.msc → 計算機配置 → 管理範本 → Windows 元件 → Windows Installer → 「禁用 Windows Installer」→ 已啟用。
• 同步啟用「禁止使用者安裝」，僅允許簽名受信任的 MSI 包。

2. 限制可執行程式白名單

• 用戶配置 → 管理範本 → 系統 → 「只執行允許的 Windows 應用程式」→ 已啟用 → 「允許的應用程式清單」添加 explorer.exe、notepad.exe、winword.exe 等辦公必需程式。

3. 停用 Windows Installer 服務

• services.msc → Windows Installer → 啟動類型「已停用」/「已禁用」。絕多數 MSI 安裝包即刻失效。

4. 建立標準使用者帳號 + UAC 最高級

• 控制台 → 使用者帳號 → 新增「標準使用者」日常登入。
• 安裝需求時：右鍵安裝包 →「以系統管理員身分執行」→ 輸入管理員密碼授權。

5. msconfig 禁用啟動項/服務（臨時應急）

• Win+R → msconfig → 服務/啟動 勾選「隱藏所有 Microsoft 服務」→ 全部停用 → 重啟。僅適用 WinXP/7/10，Win2000 不支援。

6. NTFS 權限精細鎖定

• 磁碟轉 NTFS（convert X: /fs:ntfs） → 程式安裝目錄（Program Files、Program Files (x86)）僅授予「系統」與「Administrators」寫入權限，標準使用者僅「讀取/執行」。

二、禁止下載工具（網路級）

封鎖迅雷/BT/電驢 核心端口

1. 安裝天網防火牆/Comodo/Windows 防火牆進階安全性。
2. 啟動迅雷，防火牆記錄其建立的 TCP 連接埠（典型 3076、3077、3078、16881-16889 等）。
3. 建立 IPsec 規則/輸出規則：
   來源：任何 IP → 目的地：本機 IP → 協定 TCP → 目的連接埠：上述端口 → 動作：封鎖。
4. 指派策略生效，重啟驗證迅雷無法連接節點、資源數歸零，僅能當普通 HTTP 下載器。

補充：瀏覽器下載管控

• IE「Internet 選項」→ 安全 → 自訂等級 → 「檔案下載」→ 停用。
• Chrome/Edge 透過群組原則 DownloadRestrictions = 3 (禁止所有下載)。

總結

「組策略禁 MSI + 標準帳號 + NTFS 鎖目錄 + 防火牆封 P2P 端口 + 瀏覽器禁下載」五層疊加，基本杜絕未授權軟體安裝與大流量下載。部署前請在測試機驗證不影響 ERP、VPN、視訊會議等核心業務。