هل يكون جدار حماية Windows مفعّلًا افتراضيًا على Windows VPS؟

نعم. على صورة Windows Server 2022 لدينا تكون الملفات الشخصية الثلاثة مفعّلة، ومحوّل الشبكة في ملف Public، والاتصالات الواردة محجوبة ما لم تسمح بها قاعدة. أما الاتصالات الصادرة فمسموح بها.

لماذا لا يرد خادم Windows لدي على ping؟

يحجب Windows الأمر ping افتراضيًا: القاعدة File and Printer Sharing (Echo Request - ICMPv4-In) موجودة لكنها معطّلة. فعّلها بأمر PowerShell واحد فيرد الخادم فورًا.

فتحت منفذًا في جدار حماية Windows لكنه ما زال مغلقًا من الإنترنت. لماذا؟

في باقة NAT لا يصل إلى الخادم إلا منفذك الشخصي، وهو يقود إلى سطح المكتب البعيد. المنافذ الأخرى لا يمكن الوصول إليها من الإنترنت مهما سمح جدار الحماية. لتشغيل موقع أو خدمة أخرى على Windows، استخدم باقة بعنوان IPv4 خاص.

ماذا لو أغلقت RDP على نفسي بقاعدة في جدار الحماية؟

افتح وحدة التحكم في لوحتك. تعمل دون RDP، فيمكنك الدخول منها وتصحيح القاعدة أو حذفها. قبل أن تقصر RDP على عنوان IP واحد، تأكد أن عنوانك لا يتغير.

كيف أرى ما يحجبه جدار الحماية؟

فعّل تسجيل الاتصالات المرفوضة لملف Public. عندها يكتب Windows كل محاولة محجوبة في pfirewall.log. في اختبارنا ظهرت السجلات بعد نحو دقيقة، لأن Windows يكتب السجل على دفعات.

كيف تضبط جدار حماية Windows على VPS

افتح منفذًا على Windows Server 2022، وقيّده بعنوان IP الخاص بك، وفعّل ping، وسجّل الاتصالات المحجوبة، واحفظ نسخة من قواعدك، كل ذلك ببضعة أوامر PowerShell. اختبرنا كل قاعدة من جهاز ثانٍ لنتأكد أنها تفتح المنفذ أو تغلقه فعلًا.

يأتي Windows Server وجدار حمايته مفعّل، وهذا هو الإعداد الافتراضي الصحيح: كل ما يحاول الاتصال من الخارج يُرفض ما لم تسمح له قاعدة بالمرور. ستحتاج إلى تغيير ذلك عندما تشغّل شيئًا خاصًا بك، مثل تطبيق ويب على المنفذ 8080 أو خدمة لا يجب أن يصل إليها إلا مكتبك. ينجز هذا الدليل كل شيء بـ PowerShell على Windows Server 2022. جرّبنا كل قاعدة على صورتنا واختبرناها من جهاز ثانٍ، فتعرف أنها تفتح المنفذ أو تغلقه فعلًا.

افتح PowerShell بصلاحيات المسؤول. إن لم تفعل بعد، فأمّن RDP أولًا: ذلك الدليل يشرح تقييد سطح المكتب البعيد نفسه.

1. انظر إلى ما هو مفعّل

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

على خادمنا الجديد كانت الملفات الشخصية الثلاثة (Domain وPrivate وPublic) مفعّلة، وكان محوّل الشبكة في Public. تُظهر DefaultInboundAction القيمة NotConfigured، أي السلوك الافتراضي لـ Windows: حجب الوارد والسماح بالصادر. إذن القواعد المهمة هي قواعد ملف Public.

لرؤية ما يُسمح بدخوله:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

عددنا 54 قاعدة واردة مفعّلة. معظمها لـ Windows نفسه (Core Networking وCast to Device وmDNS)، إضافة إلى ثلاث قواعد لسطح المكتب البعيد. ولم يكن ping بينها.

2. افتح منفذًا

لنفترض أن تطبيقك يستمع على منفذ TCP رقم 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

تعمل القاعدة لحظة إنشائها. من جهازنا الثاني تحوّل المنفذ 8080 من محجوب إلى مفتوح، بينما بقي المنفذ 8081، الذي كان يستمع عليه برنامج أيضًا، محجوبًا. القاعدة التي لا تحدد -Profile تسري على كل الملفات الشخصية، ومنها Public.

لنطاق أو قائمة استخدم -LocalPort 8000-8010 أو -LocalPort 80,443. ولـ UDP غيّر -Protocol.

3. اسمح لعناوين معيّنة فقط

معظم الخدمات لا تحتاج إلى قبول الإنترنت كله. قيّد القاعدة بالعناوين التي يجب أن تتصل:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

اختبرنا الحالتين. مع عنوان غريب في -RemoteAddress لم يعد جهاز الاختبار قادرًا على الاتصال. وبعد إضافة عنوانه هو، استطاع. استخدم المعامل نفسه على قواعد سطح المكتب البعيد لتبقي RDP لمكتبك وحده. وإذا كان عنوان IP في منزلك يتغير كثيرًا، ففكّر مرتين قبل فعل ذلك مع RDP.

4. فعّل ping

افتراضيًا لا يرد Windows على ping. القاعدة موجودة لكنها مطفأة:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

بعد ذلك صار خادمنا يرد على ping فورًا. تحتاج إلى هذا أدواتُ المراقبة التي تفحص التوفر عبر ping. ولإطفائه مجددًا استخدم Disable-NetFirewallRule بالاسم نفسه.

5. سجّل ما يُحجب

عندما يعجز شيء عن الاتصال ولا تعرف السبب، اجعل جدار الحماية يدوّن ما يرفضه:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

تصبح كل محاولة محجوبة سطرًا كهذا:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

ويُقرأ هكذا: التاريخ والوقت، والإجراء، والبروتوكول، وعنوان المصدر، وعنوان خادمك، ومنفذ المصدر، ومنفذ الوجهة. تحلَّ بالصبر: يكتب Windows السجل على دفعات، وظهرت سجلات اختبارنا بعد نحو دقيقة من المحاولات. حد 4 MB يمنع الملف من النمو بلا نهاية.

6. احفظ نسخة ونظّف

قبل أي تغيير كبير احفظ كل القواعد في ملف:

netsh advfirewall export C:\fw-backup.wfw

بلغ حجم ملف التصدير لدينا 148 KB. يعيد netsh advfirewall import C:\fw-backup.wfw المجموعة نفسها تمامًا ويستبدل بها ما هو موجود. احذف بالاسم قاعدة لم تعد تحتاجها:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

إذا أغلقت الباب على نفسك

إذا قطعت قاعدةٌ سطحَ مكتبك البعيد، فافتح وحدة التحكم في لوحتك. لا تمر عبر RDP، فيمكنك الدخول وتشغيل Remove-NetFirewallRule أو Set-NetFirewallRule للتراجع.

NAT أم عنوان IP خاص

في باقات NAT يصل الإنترنت إلى خادمك عبر منفذ شخصي واحد يقود إلى سطح المكتب البعيد. تبقى المنافذ الأخرى غير قابلة للوصول من الخارج مهما سمحت في جدار حماية Windows. لتقديم موقع أو قبول اتصالات على منافذ أخرى تحتاج إلى عنوان IPv4 خاص بك: Windows Small-IP (4 vCPU، و4 GB، و50 GB، و$28 شهريًا) يمنحك عنوانًا بكل المنافذ مفتوحة، وعندها يكون القرار لجدار حماية Windows. Windows-Small سعره $11 شهريًا مع NAT. باقات Windows الأربع كلها في صفحة Windows VPS، والدفع بـ USDT أو USDC أو ETH على شبكات Base أو Ethereum أو Polygon.

كيف تضبط جدار حماية Windows على VPS: افتح منفذًا، واسمح لعنوان IP واحد، واعرف ما الذي يُحجب