Sådan konfigurerer du Windows Firewall på en VPS: åbn en port, tillad én IP, se hvad der blokeres

Windows Server leveres med firewallen slået til, og det er den rigtige standard: Alt, der prøver at forbinde udefra, afvises, medmindre en regel lukker det ind. Du skal ændre det, når du kører noget af dit eget, som en webapp på port 8080 eller en tjeneste, kun dit kontor må nå. Denne guide gør det hele med PowerShell på Windows Server 2022. Vi prøvede hver regel på vores image og testede den fra en anden maskine, så du ved, at den virkelig åbner eller lukker porten.

Åbn PowerShell som administrator. Hvis du ikke allerede har gjort det, så sikr RDP først: den guide handler om at begrænse selve Fjernskrivebordet.

1. Se, hvad der er slået til

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

På vores nye server var alle tre profiler (Domain, Private, Public) slået til, og netværkskortet lå i Public. DefaultInboundAction viser NotConfigured, altså Windows' standardadfærd: bloker indgående, tillad udgående. Det er derfor reglerne for profilen Public, der tæller.

Sådan ser du, hvad der er tilladt indgående:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Vi talte 54 aktive indgående regler. De fleste hører til Windows selv (Core Networking, Cast to Device, mDNS), plus de tre regler for Fjernskrivebord. Ping var ikke iblandt dem.

2. Åbn en port

Lad os sige, at din app lytter på TCP-port 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Reglen virker i det øjeblik, den er oprettet. Fra vores anden maskine gik port 8080 fra blokeret til åben, mens port 8081, hvor et program også lyttede, forblev blokeret. En regel uden -Profile gælder for alle profiler, også Public.

Til et interval eller en liste bruger du -LocalPort 8000-8010 eller -LocalPort 80,443. Til UDP ændrer du -Protocol.

3. Tillad kun bestemte adresser

De fleste tjenester behøver ikke tage imod hele internettet. Begræns reglen til de adresser, der skal forbinde:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Vi testede begge dele. Med en fremmed adresse i -RemoteAddress kunne vores testmaskine ikke længere forbinde. Med dens egen adresse tilføjet kunne den. Brug samme parameter på reglerne for Fjernskrivebord for at holde RDP kun til dit kontor. Hvis din IP derhjemme skifter tit, så tænk dig om en ekstra gang, før du gør det for RDP.

4. Slå ping til

Fra start svarer Windows ikke på ping. Reglen findes, men er slået fra:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Bagefter svarede vores server straks på ping. Overvågningsværktøjer, der tjekker tilgængelighed via ping, har brug for det. Slå det fra igen med Disable-NetFirewallRule og samme navn.

5. Log, hvad der blokeres

Når noget ikke kan forbinde, og du ikke ved hvorfor, så lad firewallen skrive ned, hvad den afviser:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Hvert blokeret forsøg bliver til en linje som denne:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Den læses sådan: dato og tid, handling, protokol, kildeadresse, din servers adresse, kildeport, destinationsport. Hav tålmodighed: Windows skriver loggen i bundter, og vores testlinjer dukkede op cirka et minut efter forsøgene. Grænsen på 4 MB forhindrer filen i at vokse uendeligt.

6. Tag backup, og ryd op

Gem alle regler i en fil før en større ændring:

netsh advfirewall export C:\fw-backup.wfw

Vores eksport fyldte 148 KB. netsh advfirewall import C:\fw-backup.wfw gendanner præcis det sæt og erstatter det, der er nu. Slet en regel, du ikke længere skal bruge, ved navn:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Hvis du låser dig selv ude

Hvis en regel lukker dit eget Fjernskrivebord, så åbn konsollen i dit kontrolpanel. Den går ikke gennem RDP, så du kan logge ind og køre Remove-NetFirewallRule eller Set-NetFirewallRule for at fortryde.

NAT eller egen IP

På NAT-planer når internettet din server gennem én personlig port, der fører til Fjernskrivebord. Andre porte forbliver utilgængelige udefra, uanset hvad du tillader i Windows Firewall. For at servere en hjemmeside eller tage imod forbindelser på andre porte skal du have din egen IPv4: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/md.) giver dig én med alle porte åbne, og så er det Windows Firewall, der bestemmer. Windows-Small koster $11/md. med NAT. Alle fire Windows-planer står på siden Windows VPS, og betaling sker i USDT, USDC eller ETH på Base, Ethereum eller Polygon.