第一層：隱藏系統匣圖示

「控制台」→「網路和網際網路連線」→「網路連線」→ 右鍵「區域連線」→「屬性」→ 取消勾選「連線時在通知區域顯示圖示」。針對初級用戶有效。

第二層：群組原則禁用「屬性」按鈕

1. gpedit.msc 開啟群組原則編輯器
2. 依序展開：使用者設定 → 系統管理範本 → 網路 → 網路連線
3. 啟用兩項：「禁止存取 LAN 連線的屬性」、「為系統管理員啟用 Windows 2000 網路連線設定」

效果：「區域連線」右鍵選單與狀態視窗中的「屬性」按鈕變灰不可用，無法開啟 TCP/IP 設定視窗。

補充：Win2000 僅需啟用第一項；非管理員帳號自動受限，管理員帳號需啟用第二項才受限。

第三層：徹底封鎖所有進入點

隱藏「網路連線」資料夾、移除「控制台」網路圖示、限制 ncpa.cpl 執行、封鎖登錄編輯器修改 TCP/IP 參數鍵值。配合軟體限制原則或 AppLocker 限制執行 netsh、ipconfig 等指令，構建纵深防禦。

部署建議

• 透過網域群組原則 (GPO) 統一下發，避免單機手動配置
• 保留管理員緊急存取通道 (如備用本地管理員帳號)
• 搭配 DHCP 伺服器端衝突偵測、IP 來源防護 (IPSG)、動態 ARP 檢查 (DAI) 實現網路層面管控