要实现 “共享文件仅限内部访问、禁止外部电脑 / 移动设备接入”，核心是 网络隔离 + 权限锁死 + 外设封堵 + 准入控制 四层防护。下面按 “Windows 域环境（企业标准）→ 工作组（小单位）→ 外设管控 → 企业级加固” 给出可直接落地的完整方案。
当然，最简单的方法是部署专门的共享文件管理软件。例如“大势至局域网共享文件管理系统”，只需要在公司内部文件服务器上安装，就可以设置共享文件访问权限，可以只让读取共享文件而禁止复制共享文件、只让打开共享文件而禁止另存为本地磁盘、只让修改共享文件而禁止删除共享文件，以及禁止打印共享文件，禁止拖动共享文件等。同时，还可以实现只让单位内部电脑访问共享文件，设置IP和MAC地址绑定等，从而有效保护公司内部共享文件的安全。如下图：
图：大势至局域网共享文件管理系统
一、禁止外部电脑访问共享文件（网络 + 权限）
1. 防火墙：只允许内网 IP 访问 SMB（445 端口）
共享文件默认用 445 端口（SMB），防火墙只放行内网网段。
Windows 服务器 / PC 图形界面
控制面板 → 系统和安全 → Windows Defender 防火墙 → 高级设置
入站规则 → 新建规则：
规则类型：端口
协议：TCP，本地端口：445
允许连接
配置文件：只勾选 域、专用（不勾公用）
作用域 → 远程 IP 地址：添加 内网网段（如 192.168.1.0/24）
名称：Allow_SMB_Only_LAN
禁用系统自带 “文件和打印机共享（SMB-In）” 规则
PowerShell 一键（管理员）
powershell
# 仅允许内网访问445New-NetFirewallRule -DisplayName "Allow_SMB_LAN" ` -Direction Inbound -Protocol TCP -LocalPort 445 ` -RemoteAddress 192.168.1.0/24 -Action Allow# 禁用默认SMB入站规则Disable-NetFirewallRule -DisplayName "文件和打印机共享 (SMB-In)"
2. 共享权限 + NTFS 权限：双重锁死（必做）
删除 Everyone，只留内部用户 / 组
文件夹 → 属性 → 共享 → 高级共享 → 权限
删除 Everyone、Guest
只加：Domain Users（域）/ 本地授权组
权限设为 读取 / 修改（按需最小化）
安全（NTFS 权限）：
高级 → 禁用继承 → 转换为显式权限
删除 Everyone、Users、Authenticated Users
只加内部用户 / 安全组，精细赋权（读取 / 写入 / 修改）
3. 工作组环境（无域）
关闭 来宾账户（Guest）
共享权限只加 本地用户（密码必须复杂）
防火墙同上面，只允许内网 IP
二、禁止外部笔记本 / 设备接入内网（网络准入）
1. 802.1x 认证（企业级最稳）
交换机 / AC 开启 802.1x，终端必须：
域账号认证
或 设备证书（公司电脑预装）未认证设备：直接不通内网
2. MAC+IP 绑定（简易）
核心交换机：静态 ARP + 端口 MAC 绑定
只允许已登记的公司设备 MAC 接入
关闭 DHCP（或 DHCP 保留 + 白名单）
3. VLAN 隔离
办公、服务器、访客分 VLAN
访客 VLAN：禁止访问 192.168.x.x、445 端口
核心共享服务器放独立安全 VLAN
三、禁止 U 盘 / 移动硬盘 / 外部存储（外设管控）
1. 域组策略（Windows 域标准）
组策略管理 → 编辑域 / OU 策略
计算机配置 → 管理模板 → 系统 → 可移动存储访问
所有可移动存储类：拒绝所有权限 → 已启用
可移动磁盘：拒绝读取 / 写入 → 启用
设备安装 → 设备安装限制：
禁止安装可移动设备 → 已启用
客户端：
gpupdate /force重启生效
2. 本地单机关闭（工作组）
方法 1（组策略）：
gpedit.msc→ 同上路径启用方法 2（注册表）：
plaintext
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR Start=4（禁用）
3. 白名单模式（允许认证 U 盘）
专业软件（大势至、域智盾）：
只允许公司加密 U 盘接入
写入自动加密、外带无法打开
四、企业级深度加固（推荐）
1. 网络准入控制（NAC）
未加域、无证书、不合规（无杀毒 / 补丁）→ 自动隔离
禁止外部电脑获取内网 IP
2. 文件权限审计
开启文件访问审计（谁、何时、读写 / 删除）
服务器：本地策略 → 审核策略 → 审核对象访问
3. 专业共享管理软件（大势至等）
一键：IP+MAC 绑定、只允许公司电脑访问
禁止：复制、另存为、打印、截屏、外传
完整日志审计
4. 物理 + 无线管控
交换机闲置端口关闭
WiFi：WPA2-Enterprise+802.1x，禁止私人热点
禁用蓝牙、红外、无线外接
五、实施清单（按优先级）
防火墙封 445 → 只允许内网 IP
共享 + NTFS 删 Everyone → 最小权限
域策略禁 USB 存储 → 全公司生效
802.1x/MAC 绑定 → 防外部设备接入
VLAN+NAC → 纵深隔离
审计日志 + DLP → 可追溯
六、常见误区
❌ 只开共享权限、不设 NTFS → 极易被绕过
❌ 保留 Everyone → 外部电脑可匿名访问
❌ 只禁 USB 不禁网络 → 仍可通过微信 / 网盘外传
✅ 必须 网络 + 权限 + 外设 + 准入 组合
