企业官网建设流程全解析

简介：针对 Windows 10 用户关闭网络发现功能的实操型图文文档，压缩包内包含 1 个 docx 文件，整体仅 228KB，内容精炼无冗余。文档通过控制面板中大图标视图、网络和共享中心、更改高级共享设置三步路径，详细展示关闭网络发现的完整操作流程，并说明了该设置对 Wi-Fi 自动连接与系统安全防护的作用。同时提及组策略编辑器可作为进阶管理方式，方便需要统一配置多台电脑的办公环境。由于 Win7、Win8 与 Win10 操作方式一致，这份技巧同样适合旧版系统用户参考。目前已吸引 184 人学习浏览，适合追求系统精简、关注网络安全或希望减少后台网络探测的普通用户与办公人员。打开文档即可按步骤对照操作，并在保存修改后达到限制网络设备发现的效果，是一份轻量、直接的系统设置速查参考。

1. 关闭网络位置与网络发现：Win10里最容易被人看见的“文件广播站”

先直接说结论：Windows 10的“网络位置”不是任务栏那个图标位置，而是指“公用网络/专用网络”这套防火墙配置文件；而“网络发现”就是Win10在局域网里主动广播自己、并扫描别人的机制。你在公司、宿舍或者虚拟机里连上Wi-Fi，系统一弹窗问“是否发现其他设备”，选错成专用网络，网络发现就被自动打开，这台电脑的文件共享、DLNA媒体流都会对同一个局域网里的其他机器可见。对Win10系统重装后需要收敛内网暴露面的场景来说，关掉这两项，等于把默认开着的“文件广播站”拔了电。按下面三条路走下来，你能用图形面板、命令行、组策略三套办法关掉它，也知道为什么关了打印机反而消失、为什么一更新又自动复活。

2. 图形界面先关一遍：三个入口背后的联动关系

2.1 先把网络位置切成“公用网络”，让防火墙切到最严配置文件

在Win10设置里，网络位置的正式名称叫“网络配置文件类型”，它决定Windows防火墙当前生效的配置文件是公用（Public）、专用（Private）还是域（DomainAuthenticated）。公用网络默认不允许网络发现入站，专用网络默认允许，所以第一步不是去关某个开关，而是把当前连接改成公用网络。

第一次连上某个Wi-Fi或网线时，系统弹窗问“是否让你的电脑可被此网络上的其他设备发现”——选“是”会落到专用网络，选“否”才会落到公用网络。这个弹窗只出现一次，很多人在装机时随手点错，之后再也没想起来去改。找回入口有两个：设置 → 网络和Internet → 以太网/WLAN → 当前连接名称 → 网络配置文件类型 → 选“公用网络”；或者控制面板 → 网络和共享中心 → 更改高级共享设置，最上面会显示当前配置文件，点进去也能改。两个入口最终改的是同一个防火墙配置文件，没有区别。

Win10不同版本之间入口漂移比较厉害：1809之前的人喜欢用“更改适配器设置 → 右键属性”的老路子，1809之后设置里新增了“属性”页，22H2（19045）的任务栏网络图标右键菜单里也能直达。如果找不到，直接在下图那个“控制面板 → 网络和共享中心”页面左侧点“更改高级共享设置”，从这个入口进去永远找得到。

关键点在于：改了网络位置之后，防火墙会自动应用Public配置文件的规则，网络发现默认就是关闭状态，不需要再去费劲找开关。但这里有个陷阱：只改网络位置，并不保证“文件和打印机共享”也关了。公用网络下文件和打印机共享规则可能仍由管理员手动开启过，所以后面的开关还得逐一核对。

2.2 关闭网络发现：高级共享设置里的开关其实是在改防火墙规则

图形界面里最直接的开关在“网络和共享中心 → 更改高级共享设置”，里面有“专用”“来宾或公用”“所有网络”三个配置文件卡片。把“网络发现”点成“关闭网络发现”，再把“文件和打印机共享”也点成关闭。

这里有一个很多人误解的地方：这个开关不是某个服务在控制，而是在背后调用防火墙接口修改入站规则组“网络发现”和“文件和打印机共享”里二十多条规则的状态。你点一下关闭，实际效果等同执行了“禁用这一组防火墙规则”。规则组里按协议拆成了LLMNR、NB-Name、SSDP、Function Discovery等好几个子项，其中SSDP负责发现UPnP设备，LLMNR负责没有DNS时的局域网主机名解析，Function Discovery负责打印机、扫描仪这类设备的WS-Discovery广播。

所以只关“网络发现”不关“文件和打印机共享”，别人虽然看不到你的设备广播，但如果你开过共享文件夹，对方直接输\\IP还是能访问，这不算真正关闭暴露面。我在维护Win10系统时，习惯把这一卡片下的“公用文件夹共享”和“媒体流”也一并关掉。注意，“专用”“来宾或公用”“所有网络”三张卡片是分别独立的，你只关“专用”那一张，当前网络如果落在“来宾或公用”里，照样没关到位。最省事的做法是三张卡片全部点成关闭。

2.3 用防火墙面板核对一遍，确认规则组真的被禁用

改完开关别忘了回头看一眼证据：控制面板 → Windows Defender防火墙 → “允许应用或功能通过Windows Defender防火墙”，滚动列表里找到“网络发现”和“文件和打印机共享”，看一下前面的勾选状态以及右侧“公用/专用”列。正常关掉后，这两项应该是全空、且原来的“允许另一台设备……”字样消失。

这里会看到网络发现分好几行，那是按协议和方向拆出来的，不要因为看到某一行没勾就以为没关干净，以整个组是否全部禁用为准。如果页面里还有勾选且点掉之后马上自己回来，多半是某个安装程序或Windows更新调用过“启用网络发现”的API，这种只能靠命令行或策略去压。

图形界面的操作到这里就完成了，但它只对当前系统当前网络生效，换网络、更新补丁、插拔网卡后都可能会丢。图形方式适合一台两台临时看一眼状态，要批量处理，还是得往下走命令行。

3. 命令行批量关闭：PowerShell和netsh把两个开关一次钉死

3.1 先看清当前连的是哪块网卡：Get-NetConnectionProfile

多网卡机器上最常犯的错是：设置面板里看着改好了，实际只有无线网卡切到公用，有线网卡还是专用。PowerShell里Get-NetConnectionProfile会把每一块活跃网卡对应的“网络位置”列出来，一眼就能看出哪块网卡还处在专用网络上。

# 查看本机所有活跃连接的网络配置文件 Get-NetConnectionProfile | Format-Table Name, InterfaceAlias, NetworkCategory

输出里的NetworkCategory就是当前“网络位置”，取值为Public、Private、DomainAuthenticated三种。如果在表格里看到Private，说明这块网卡处于专用网络，网络发现通常自动允许。我一般在做Win10系统重装后的安全基线时，先把这条命令跑一遍，记下哪块网卡是活跃的，再往下改，避免把处于“已断开连接”状态的旧配置也当成目标。

Get-NetConnectionProfile只会列出有活跃连接的网卡，断开的网卡不会出现在结果里。搭配Get-NetAdapter可以只看状态为Up的网卡：

# 只对处于Up状态的网卡打印网络配置 Get-NetAdapter | Where-Object Status -eq 'Up' | Get-NetConnectionProfile

Name列显示的是网络名称（例如“网络 2”），InterfaceAlias才是网卡名（例如“以太网”）。后面执行修改时用的是InterfaceAlias，不是Name，这两个概念在Win10的多网卡机器上经常让人混淆。

3.2 改网络位置：Set-NetConnectionProfile只有三个可选项

找到活跃网卡后，用InterfaceAlias作为定位条件去改网络类别：

# 把名为“以太网”的网卡设为公用网络，从而关闭网络发现 Set-NetConnectionProfile -InterfaceAlias "以太网" -NetworkCategory Public

-NetworkCategory只接受三个值：Public、Private、DomainAuthenticated，填“公用”这种中文会直接报“参数集无法解析”。设为Public之后，防火墙当前配置文件立刻切到公用，网络发现规则组里的入站规则默认处于不启用状态——不需要手动逐条改规则。这也是为什么关网络位置能连带关闭网络发现的原因，逻辑上它是一个前置开关。

如果机器是无线连接，InterfaceAlias通常是WLAN；有线网卡通常是“以太网”。最稳妥的写法是先跑3.1节的查询命令复制准确名称再执行。要特别注意：这句命令只对“当前活跃连接”生效，有线无线同时连着的时候，每块网卡各有一个独立配置文件，必须对每个活跃网卡分别执行。

3.3 netsh直接关网络发现规则组：中文系统这样写

PowerShell方式改的是网络位置，如果你只希望“关网络发现”而不想动网络位置（例如机器在域网络下不能切成公用），直接对防火墙规则组操作更快：

# 禁用"网络发现"规则组中的所有规则（中文系统） netsh advfirewall firewall set rule group="网络发现" new enable=No # 如果命令提示找不到组，多半是系统语言导致的组名差异 netsh advfirewall firewall set rule group="Network Discovery" new enable=No

这条命令跟“高级共享设置”里的开关是同一个底层操作，区别在于它可以写进批处理或PowerShell脚本里批量执行，对大批量机器一次性收敛内网暴露面很省事。关闭后，别人通过局域网“网络”文件夹里看不到你这台电脑，你也不会在“网络”里看到别人新广播出来的设备。执行后防火墙面板里“网络发现”的规则会被标记为“已禁用”，而不是删除。

组名“网络发现”在不同版本、不同系统语言的机器上不一样，中文专业版一般是“网络发现”，英文版是“Network Discovery”。如果脚本要在公司里不同语言的机器上跑，建议加个兼容判断：

$groups = @("网络发现", "Network Discovery") foreach ($g in $groups) { $rules = Get-NetFirewallRule -Group $g -ErrorAction SilentlyContinue if ($rules) { $rules | Set-NetFirewallRule -Enabled $false Write-Host "已禁用规则组: $g，共 $($rules.Count) 条规则" } }

这段脚本先把两个候选组名都试一遍，哪个能查到就用哪个禁用，能省掉一堆“别人机器上执行成功、你机器上报错”的翻车现场。-ErrorAction SilentlyContinue的作用是组名不存在时不让命令报出来，避免脚本中断。

3.4 验证关干净：看规则组里还有没有启用的规则

关了不等于完事，验证才靠得住。下面的命令统计“网络发现”组里当前状态为“已启用”的规则条数：

# 统计网络发现组中仍然启用的规则数量，结果为0才算关干净 (Get-NetFirewallRule -Group "网络发现" | Where-Object { $_.Enabled -eq $true }).Count

返回0，说明规则组里没有启用的网络发现入站/出站规则。如果返回大于0，说明还有漏网之鱼，最常见的是某个第三方安全软件在安装时单独新建了一条命名不同的网络发现规则，它不属于这个规则组，因此不在统计范围内。这时可以再用模糊搜索把它揪出来：

# 找出显示名称里带"网络发现"的防火墙规则 Get-NetFirewallRule | Where-Object DisplayName -like "*网络发现*" | Select-Object DisplayName, Enabled

验证命令里用-Group还是-DisplayGroup都行，但要一致：DisplayGroup查出来的结果适合人看，Group适合脚本统计。同一台机器上建议先跑Get-NetFirewallRule -Group "网络发现" | Select-Object DisplayName确认能查到，再写进检查脚本。

4. 域环境与镜像预置：组策略和启动任务把设置钉死

4.1 域环境下用GPO禁用网络发现规则组，单机开关管不住

公司域环境里最麻烦的一点是：域策略可能会把网络发现的入站规则重新放开，你本地改完“关闭”，刷新一次组策略又活了。排查方法不是去翻本机设置，而是打开组策略管理编辑器，定位到“计算机配置 → 策略 → Windows设置 → 安全设置 → Windows Defender防火墙 → 入站规则”，找到“网络发现”规则组。右键属性，把“操作”改为“阻止连接”，确认域、专用、公用三个配置文件都勾上，然后执行gpupdate /force。

这样做的效果是域内所有机器在每次策略刷新后都会被强制禁用网络发现，即使本机用户再去“高级共享设置”打开，也会被策略优先级压住。需要注意：如果公司已有其他GPO把“网络发现”设为“允许”，后执行的策略如果不含这个设置，不会自动覆盖旧策略。GPO的冲突解决是按优先级和链接顺序来的，检查时要把同层级所有GPO都过一遍，这个黑匣子最容易让人反复撞墙。

4.2 做成开机计划任务：开机把网络位置强制切回公用

单机场景没法建域策略，又要防Win10更新抽风把网络位置弹回专用，最常见的做法是把一条PowerShell命令做成开机计划任务。先写一个脚本文件，假设放在C:\Scripts\FixNetCategory.ps1：

# 开机后把所有活跃网卡强制设为公用网络 Get-NetConnectionProfile | Where-Object { $_.NetworkCategory -ne 'Public' } | ForEach-Object { Set-NetConnectionProfile -InterfaceAlias $_.InterfaceAlias -NetworkCategory Public }

然后用schtasks注册一个开机触发的任务：

schtasks /Create /TN "FixNetCategory" /TR "powershell -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File C:\Scripts\FixNetCategory.ps1" /SC ONSTART /RU SYSTEM /RL HIGHEST /F

计划任务特别注意两点：一是任务必须用/RU SYSTEM和/RL HIGHEST，因为Set-NetConnectionProfile需要管理员权限，不提升权限的话任务在用户未登录时直接失败；二是用ONSTART而不要用ONLOGON，这样用户还没进桌面就已经把网络位置固定好，不会出现进桌面后那几秒窗口期里网络发现是开着的状态。

脚本里用Where-Object先做筛选，是为了避免对已经是Public的网卡重复执行报错——虽然多数版本重复执行不会报错，但跨版本行为不统一，筛选更稳。这个任务挂上之后，Windows更新再怎么重置网络位置，下一次开机都会被拉回公用网络。

4.3 镜像部署场景：FirstLogonCommands跑一遍收敛脚本

如果是用WIM/ESD镜像给一批机房机器做Win10系统重装，进桌面后再去手动点设置不现实。常见做法是在应答文件（unattend.xml）的FirstLogonCommands里注册一条命令，指向一个PowerShell脚本，让系统首次进入桌面时自动执行网络位置收敛：

<FirstLogonCommands> <SynchronousCommand> <Order>1</Order> <CommandLine>powershell -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\FixNetCategory.ps1</CommandLine> <Description>Set all network profiles to Public</Description> </SynchronousCommand> <SynchronousCommand> <Order>2</Order> <CommandLine>netsh advfirewall firewall set rule group="网络发现" new enable=No</CommandLine> <Description>Disable Network Discovery</Description> </SynchronousCommand> </FirstLogonCommands>

脚本内容就是把3.3和4.2的代码合到一起：先Set-NetConnectionProfile把活跃网卡切公用，再netsh advfirewall firewall set rule group="网络发现" new enable=No把规则组关掉。Order字段必须从1开始递增，否则Windows会忽略后续命令。

为什么不用DISM离线改注册表？因为网络发现开关本质是防火墙规则状态，不是简单的一个注册表键，离线改镜像容易踩到系统组件不完整的坑，而首启脚本在系统完全启动后才执行，成功率比离线改注册表高得多。镜像部署时还可以顺手把“文件和打印机共享”规则组一并关掉，避免只关了一半的尴尬。

5. 避坑：关完网络发现后，打印机消失、自动复活这5个坑最常踩

5.1 现象：关完网络发现，局域网打印机突然加不回来了

原因很直接：网络发现既管“别人发现你”，也管“你发现别人”。打印机广播、扫描仪WS-Discovery、DLNA媒体服务器依赖的都是同一组规则，你把它全关了，控制面板添加打印机时“按名称查找”就搜不到网络打印机。

解决：如果这台机器必须用网络打印机，不要关“网络发现”规则组，只关“文件和打印机共享”里的“启用文件和打印机共享”。或者添加打印机时选“使用TCP/IP地址或主机名添加打印机”，手动填打印机的IP，绕过WS-Discovery查找，打印机照样能打。打印机IP建议在路由器上做DHCP保留，否则换IP后又要重新配一遍。

5.2 现象：明明关掉了，Win10更新后“网络发现”又自动开了

原因：Windows 10大版本更新（比如22H2的月度累积更新）偶尔会重置网络配置文件，新装的更新组件也会重新注册防火墙规则，把部分管理员禁用项恢复。这不是设置面板显示错，是底层规则真的被改回了。

解决：把第4章的开机计划任务坚持挂上，它管不到更新安装的瞬间，但下次开机会把状态拉回公用。另外每次系统更新完顺手跑一遍3.4的验证命令，看规则组启用数量是不是0。我一般在给用户装完Win10后都要解释一遍“更新会复活”，免得他们以为这是中了病毒。

5.3 现象：关闭网络发现后，电视、音箱、投屏的媒体流全找不到了

原因：网络发现规则组里不只有LLMNR、NB-Name、SSDP，还包含Function Discovery相关入站规则。电视投屏、DLNA播放器、Windows“播放到设备”功能全依赖它。关掉网络发现等于关掉了家里所有媒体发现协议，投屏失败是正常副作用，不是电视坏了。

解决：常用投屏的机器就别关网络发现，或者只关“文件和打印机共享”，保留网络发现。如果一定要关，投屏时临时用Get-NetFirewallRule -Group "网络发现" | Set-NetFirewallRule -Enabled $true把规则组开回来，用完再关。这种做法适合会写脚本的人，不会写就别在这台机器上关。

5.4 现象：域机器上提示“网络发现已由组策略管理”，但局域网里依然能访问共享文件

原因：域里只封了网络发现，没封“文件和打印机共享”。别人直接输\\IP访问你的共享还是能通。网络发现是“被看见”，文件和打印机共享是“被访问”，两者是独立控制面，关掉前者不代表后者也关了。

解决：域环境下把“文件和打印机共享”规则组也通过GPO设成阻止连接。检查时重点看SMB入站规则（445端口）是否还开着，用Get-NetTCPConnection -LocalPort 445 -State Listen看监听状态，如果还在监听，说明LanmanServer还在对外提供共享服务，光关规则组不够，还得停服务或取消共享。

5.5 现象：Windows安全中心的防火墙被整个关闭后，网络发现怎么都关不住

原因：防火墙是规则执行引擎。有人为了装软件、改系统设置，把Windows安全中心里的防火墙开关整个关掉了，或者用第三方优化工具把“Windows Defender防火墙服务”停掉。这时候你再去关网络发现，规则状态是改了，但没有防火墙进程去执行拦截，网络照样被扫描到。

解决：先把Windows安全中心 → 防火墙和网络保护里的三个网络配置文件的防火墙开关全部打开，然后再执行一次网络发现关闭。如果打开时提示“此设置由管理员或组策略管理”，就得回到第4章的GPO去查，看是哪条策略把防火墙服务禁用了。这个坑在Win10专业版的“优化”场景里特别常见，比自动复活那个坑还隐蔽。

6. 关不干净？三条命令验收才算收工

很多人“关网络发现”只做了一半就不管了，等到内网扫描被发现才回头查。我的习惯是最后用三条命令把状态拉出来看，不看设置面板的开关，因为那是图形界面翻译过一遍的结果，可能骗人。

# 1. 网络位置必须是Public Get-NetConnectionProfile | Select-Object InterfaceAlias, NetworkCategory # 2. 网络发现规则组里必须没有启用项 (Get-NetFirewallRule -Group "网络发现" | Where-Object { $_.Enabled -eq $true }).Count # 3. 445端口不能对外监听，否则文件共享还开着 Get-NetTCPConnection -LocalPort 445 -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

三条一起看：第一条输出里出现Private，说明防火墙还在按专用配置运行，网络发现开关即使关了也可能被自动放行；第二条输出不是0，说明规则组有残留；第三条如果LocalAddress不光是127.0.0.1或::1，说明SMB服务还在对外监听，别人输IP直连依然可达。只有三条都通过，才算把这个功能真正关干净。

如果第三条不过，进一步查监听进程：Get-Process -Id <PID>，看到是System进程，多半是LanmanServer服务在监听。这台机器如果不再需要文件共享，直接把服务停掉；还需要共享就只能留着，并确保防火墙入站规则里SMB规则是禁用的。

这台机器如果是Win10虚拟机，验收时还可以从宿主机上用Test-NetConnection -ComputerName <虚拟机IP> -Port 445测一下端口通不通，比在虚拟机里自查更客观。虚拟机网卡默认桥接时，宿主机和虚拟机在同一层网络，网络发现默认会产生不少广播流量，关闭后流量明显少一截，这也能作为侧面验证。

这套验收流程我已经用了三四年，最深的体会是Win10的网络相关设置像一个黑匣子，设置面板里的开关只能代表“系统觉得它关了”，真正有没有关，得看防火墙规则和监听端口的实际状态。单独信任任何一个入口都会踩坑，重装系统、更新补丁、换网卡都是重置的诱因，所以把验收命令存成脚本比什么都靠谱。希望帮到你。

本文还有配套的精品资源，点击获取