Windows 11 防火墙拦了局域网共享，排查时要注意什么
在家庭或小型办公网络里，火墙Windows 11 的拦局防火墙拦截局域网共享是很常见的情况：明明两台电脑在同一个路由器下，网络邻居里却看不到对方，域网意或者能看到却打不开共享文件夹，共享访问时提示“无法访问”“你没有权限访问”或直接超时。排查多数人第一反应是时注关掉防火墙，但这会把整台机器暴露在局域网风险中。火墙更稳妥的拦局做法是先判断是哪一层被拦，再只放开必要的域网意规则。本文围绕 Windows 11 防火墙拦截局域网共享这一场景，共享给出可操作的排查排查顺序、需要留意的时注细节以及失败时的退路。
先分清是火墙防火墙拦截，还是拦局共享服务本身没开
防火墙拦截通常表现为“能 ping 通但连不上共享端口”。可以在被访问的域网意一端打开命令提示符，执行 ping 对方IP 确认基础连通性，再用 telnet 对方IP 445 测试共享端口（若系统未启用 telnet 客户端，可在“启用或关闭 Windows 功能”里临时勾选）。如果 ping 通而 445 不通，防火墙或安全软件拦截的可能性就很高；如果 ping 都不通，问题更可能出在网段、路由器隔离或 IP 冲突上，此时改防火墙规则没有意义。
另一类常见误判是：防火墙规则其实已经放行，但网络配置文件被识别成了“公用网络”。Windows 11 对不同网络类型套用不同的防火墙配置，公用网络默认更严格，文件和打印机共享规则往往只对“专用网络”生效。因此排查时先看“设置 → 网络和 Internet → 属性”里当前网络是专用还是公用，这一步比盲目添加规则更省时间。
只放开必要的共享规则，不要一关了之
确认是防火墙问题后，优先走系统自带的放行入口。路径是“控制面板 → 系统和安全 → Windows Defender 防火墙 → 允许应用或功能通过 Windows Defender 防火墙”，在列表中找到“文件和打印机共享”，勾选与当前网络类型对应的列（专用或公用，按实际需要选择）。如果列表里没有该项，可点击“更改设置”后再勾选。改动后建议断开并重连一次网络，让规则生效。
需要注意三个细节：一是只勾选当前确实在用的网络类型，不要专用和公用一起勾，公用网络下的共享放行会扩大暴露面；二是同一台机器上若装了第三方安全软件，它可能接管了防火墙，此时在系统防火墙里改规则不一定有效，应到该软件的网络防护设置中放行，具体入口以厂商界面为准；三是放行后仍打不开，回到共享端检查文件夹的共享权限与 NTFS 权限是否同时给了对方账户，防火墙只是“门”，权限才是“钥匙”。
如果确实需要手工建规则，可在“高级安全 Windows Defender 防火墙 → 入站规则 → 新建规则”中选择端口，放行 TCP 445，作用域建议限定为本地子网，而不是任何 IP。这样即使规则写错，影响范围也可控。修改前建议先导出当前防火墙配置，便于回滚。
放行后仍不通，按这个顺序往下查
第一步查服务：在服务管理器里确认“Server”服务正在运行，它负责提供共享；“Workstation”服务影响本机访问他人共享。第二步查网络发现：在“设置 → 网络和 Internet → 高级网络设置 → 高级共享设置”中，为当前配置文件开启网络发现和文件共享。第三步查账户与凭据：访问方使用的账户是否在共享端存在且已设置密码，Windows 11 默认限制空密码账户进行网络登录。第四步查名称解析：用 IP 直接访问 \\192.168.x.x 能通、用计算机名不通，通常是名称解析问题，而非防火墙。
还有一个容易被忽略的点：部分路由器开启了 AP 隔离或访客网络隔离，设备之间在链路层就被阻断，表现与防火墙拦截几乎一样。判断方法是两台机器互相 ping，若双向都不通，先登录路由器管理界面确认隔离功能是否关闭，再回头处理 Windows 11 防火墙。这一步能避免在错误的层面上反复折腾。
风险与边界：共享放行不是越宽越好
局域网共享本质上是把本机的一部分文件系统能力开放给网络中的其他设备，因此放行范围应尽量小：优先限定本地子网，避免在咖啡厅、酒店等不可信网络中启用公用网络的文件共享；共享文件夹只给需要的账户读写权限，敏感目录不要整体共享；临时用完可以关闭共享或禁用对应入站规则。企业环境中的域网络策略、终端管控软件可能覆盖本地防火墙设置，此时应以单位 IT 管理规定为准，不要自行绕过。
另外要说明，防火墙只是共享链路中的一环，本文给出的排查顺序能覆盖大多数家庭和小型办公场景，但不同品牌安全软件、不同路由器固件的行为存在差异，具体菜单名称与开关位置以当地系统界面和厂商说明为准。若涉及单位内网或政务类终端，共享策略通常有统一要求，遇到拦截应先联系管理方，不要自行修改安全策略。
可执行的小结：先用 ping 和端口测试确认是防火墙层的问题，再检查网络类型是专用还是公用，然后在系统防火墙中只对当前网络类型放行“文件和打印机共享”，必要时手工放行 TCP 445 并限定本地子网；放行后仍不通，依次检查 Server 服务、网络发现、账户凭据、名称解析和路由器隔离。全程保留回滚手段，不关闭防火墙，不扩大放行范围。