在高级安全防火墙里新建入站规则，只放行指定来源网段

打开 wf.msc，进「高级安全 Windows Defender 防火墙」，选入站规则再新建规则。

类型按需求挑端口或程序；关键在「作用域」页把远程 IP 从「任何 IP」改成「下列 IP 地址」并填上网段。

批量下发改用 netsh advfirewall 写脚本，规则名固定，方便按名字查询和删除。

netsh advfirewall firewall add rule name="Allow-App-8080" dir=in action=allow ^
  protocol=TCP localport=8080 remoteip=192.168.10.0/24

netsh advfirewall firewall show rule name="Allow-App-8080"

netsh advfirewall firewall add rule name="Allow-App" dir=in action=allow ^
  program="C:\app\server.exe" remoteip=192.168.10.0/24