前言

「禁止局域網互相訪問」需求分層：
🔹 個人臨時：斷開特定連線、關閉特定共享。
🔹 主機永久：停用共享、設密碼、調整防火牆。
🔹 企業級全網：部署網路准入控制 (NAC) 實現零信任隔離。
本文由淺入深提供分級解決方案。

層級一：個人主機臨時手動阻斷 (GUI 操作)

1. 斷開來訪連線： 【電腦管理】→【共用資料夾】→【工作階段】→ 右鍵來訪者 → 【中斷使用者連線】。
2. 關閉被開啟檔案： 【共用資料夾】→【開啟的檔案】→ 右鍵 → 【關閉開啟的檔案】。
3. 停止共享資料夾： 右鍵資料夾 → 【內容】→【共用】→【進階共用】→ 取消勾選共用。
4. 加密共享： 【進階共用】→【權限】→ 移除 Everyone → 新增特定帳號 → 設定密碼 → 【確定】 (需先斷開現有連線生效)。

層級二：主機永久強化設定 (本機原則/防火牆)

• 🛡️ 關閉 Server 服務 (services.msc → Server → 停用/禁用) — 徹底關閉檔案共享功能。
• 🛡️ 防火牆封鎖 SMB 埠口：
  進階設定 → 輸入規則 → 新增規則 → 連接埠 TCP 139,445 → 封鎖連線 → 套用於所有設定檔。
• 🛡️ 本機安全性原則 (secpol.msc)：
  「從網路存取這台電腦」 → 僅保留 Administrators (移除 Everyone/Users/Guest)。
  「拒絕從網路存取這台電腦」 → 新增 Guest、Everyone、匿名登入。
• 🛡️ 網路位置設為「公用」：自動關閉網路探索與檔案共用。

層級三：企業級全網隔離 — 大勢至內網安全衛士 (NAC)

核心能力

• 🚫 阻止外來電腦存取內網共享/伺服器/上網 (防蹭網)。
• 🚫 阻止內部電腦互訪/存取伺服器/上網 (特殊隔離區/懷疑機器處理)。
• 📱 偵測/封鎖手機無線上網、無線基地台、隨身 Wi-Fi。
• 🔒 防 IP/MAC 竄改、混雜網卡嗅探、ARP 攻擊、網路抓包。

部署操作

1. 下載安裝 (含 WinPcap) → 啟動 → 選工作網卡。
2. 隔離選項全勾：☑ 禁止存取內網 ☑ 禁止存取外網 → 【開始監控】。
3. 掃描列出所有主機 → 依資產清單勾選合法主機 → 【移至白名單】。
4. 黑名單剩餘主機即刻雙向隔離：無法 Ping、無法共享、無法上網、無法被遠端桌面。

方案選型決策樹

需求範圍？
├─ 單機臨時防人 → 手動斷開連線/關閉共享/設密碼
├─ 單機永久隔離 → 關閉 Server 服務 + 防火牆封 445 + 原則限制存取
├─ 部門/全網隔離外來裝置 → 路由器 MAC 過濾 + 訪客網路 VLAN 隔離
└─ 企業全網零信任隔離 (內部互訪/外來/手機/異常全管) → 大勢至 NAC / 802.1X / SDP 零信任架構

結語

從「右鍵斷開連線」到「部署 NAC 白名單制」，禁止局域網互訪的技術手段隨管理顆粒度遞增。個人用戶掌握層級一二即可自保；企業網管必須建立資產基礎資料庫，部署專業准入控制系統，才能實現「未授權裝置零存取、授權裝置最小權限」的零信任局域網安全基線。