C#中TcpListener如何仅允许本地PC及同路由设备连接？

首先，没有专门针对这个场景的现成实现方案，因为需求太具体，但基于C#的网络API完全可以简单实现，不用依赖第三方库。

两种思路的优劣分析 #

思路一：监听指定合法IP

这种方案几乎不可行。TcpListener绑定IP后是静态的，无法动态更新监听列表——除非重启Listener，但这会中断现有连接；而且局域网设备的IP大多是DHCP动态分配的，你需要定期扫描设备、更新IP列表，还要处理设备上下线，操作复杂且维护成本极高，完全不推荐。

思路二：监听IPAddress.Any+连接时验证IP

这是实际开发中的标准做法，简单、靠谱，也是你应该选的方案。

你担心的攻击风险在局域网场景下几乎可以忽略：

• 如果你没有在路由器上做端口映射，外部网络根本无法访问你的本地服务器；
• 就算是局域网内的恶意设备，TCP是面向连接的协议，IP伪造很难完成三次握手，能成功发起连接的设备必然是局域网内真实存在的，IP验证足以挡住非授权访问。

具体实现示例 #

核心逻辑是：获取本地局域网的子网段，验证客户端IP是否属于该子网，或者是本地回环地址（对应自己的电脑）。

using System.Net;
using System.Net.NetworkInformation;
using System.Net.Sockets;

// 获取本地活跃网卡的子网信息（适配多网卡、动态子网掩码）
private static (IPAddress Subnet, IPAddress SubnetMask) GetLocalSubnetInfo()
{
    foreach (var networkInterface in NetworkInterface.GetAllNetworkInterfaces())
    {
        // 跳过非活跃、虚拟或回环网卡
        if (networkInterface.OperationalStatus != OperationalStatus.Up
            || networkInterface.NetworkInterfaceType is NetworkInterfaceType.Loopback or NetworkInterfaceType.Tunnel)
            continue;

        foreach (var unicastAddress in networkInterface.GetIPProperties().UnicastAddresses)
        {
            // 只取IPv4地址
            if (unicastAddress.Address.AddressFamily == AddressFamily.InterNetwork)
            {
                return (
                    Subnet: new IPAddress(unicastAddress.Address.Address & unicastAddress.IPv4Mask.Address),
                    SubnetMask: unicastAddress.IPv4Mask
                );
            }
        }
    }
    // 兜底值（根据自己的路由器网段调整）
    return (IPAddress.Parse("192.168.1.0"), IPAddress.Parse("255.255.255.0"));
}

// 验证客户端IP是否合法
private static bool IsAllowedClientIp(IPAddress clientIp)
{
    // 允许本地回环地址（自己电脑的本地连接）
    if (IPAddress.IsLoopback(clientIp))
        return true;

    var (subnet, subnetMask) = GetLocalSubnetInfo();
    var clientSubnet = new IPAddress(clientIp.Address & subnetMask.Address);
    // 验证是否属于同局域网子网
    return clientSubnet.Equals(subnet);
}

// 服务器监听逻辑
private static async Task RunTcpServer(int port = 8888)
{
    var listener = new TcpListener(IPAddress.Any, port);
    listener.Start();
    Console.WriteLine($"服务器已启动，监听端口 {port}");

    while (true)
    {
        using var client = await listener.AcceptTcpClientAsync();
        var clientIp = ((IPEndPoint)client.Client.RemoteEndPoint).Address;

        if (!IsAllowedClientIp(clientIp))
        {
            Console.WriteLine($"拒绝非授权连接：{clientIp}");
            client.Close();
            continue;
        }

        Console.WriteLine($"接受合法连接：{clientIp}");
        // 这里添加你的业务处理逻辑
    }
}

额外注意点 #

• 如果你的电脑有多网卡（比如同时连有线和无线），可以在GetLocalSubnetInfo里加筛选条件，指定用哪张网卡的子网；
• 子网掩码不要硬编码，通过NetworkInterface动态获取能适配不同路由器的配置；
• 若要进一步提升安全性，可以在IP验证后再加一层简单的身份验证（比如自定义握手协议），但纯局域网场景下基本没必要。

内容的提问来源于stack exchange，提问作者Idra