去年7月1日，微软发布了一个存在于 Windows 打印服务（ Windows Print Spooler）的高危漏洞，CVE-2021-34527，通常的做法是通过打补丁或禁用 Windows 打印服务，然而实际情况可能打不了补丁，那么我们还可以通过组策略禁用或限制入站远程打印来缓解该漏洞带来的危害。

一、禁用入站远程连接

1、在搜索栏（Windows + S）中输入 mmc.exe，或者在运行（Windows + R）中输入 mmc.exe，以管理员身份运行

2. 在打开的控制台中，点击“文件”，然后选择“添加/删除管理单元”

3. 在打开的窗口中左边选中“组策略对象编辑器”，然后单击中间的”添加“，之后点击确定

4. 在弹出的窗口中点击”完成“

若要选择其他的计算机，则点击”浏览“，然后在弹出的窗口中点击”另一台计算机“，之后再点击”浏览“

在弹出的窗口中的”输入要选择的对象名称“中输入计算机的名字，然后点击”检查名称“来查找添加，最后点击”确定“

5. 点击”确定“

6. 双击“本地计算机策略”

7. 定位到“计算机配置-管理模板-打印机”，然后点击“标准”，找到右边的”允许打印后台处理程序接受客户端连接“，并双击打开

8. 选择“已禁用”，然后先后点击“应用”和“确定”

二、限制入站远程连接

配置“程序包指向并打印 —— 批准服务器”和“指向并打印设置”，用于控制非程序包指向和打印连接的行为。

1. 定位到“计算机配置-管理模板-打印机”，然后点击“标准”，然后找到“程序包指向并打印 —— 批准服务器”，然后双击打开

2. 在打开的窗口中，点击“已启用”，然后单击“显示“

3. 在弹出的窗口中输入计算机的IP地址或名称，一行一个；在域环境中最好用计算机全名，输完后点击”确定“

4. 定位到“计算机配置-管理模板-打印机”，然后点击“标准”，然后找到“指向并打印限制”，然后双击打开

5. 在弹出的窗口中选择”已启用“，然后勾选”用户只能指向并打印到这些服务器“，之后再”输入完全限定的服务器名称“中输入计算机的全名，以分开分割