Πώς να ρυθμίσετε το Windows Firewall σε VPS: άνοιγμα θύρας, πρόσβαση για μία IP, τι μπλοκάρεται

Τα Windows Server έρχονται με το firewall ενεργό, και αυτή είναι η σωστή προεπιλογή: ό,τι προσπαθεί να συνδεθεί απ' έξω απορρίπτεται, εκτός αν κάποιος κανόνας το αφήνει να περάσει. Θα χρειαστεί να το αλλάξετε όταν τρέξετε κάτι δικό σας, όπως μια web εφαρμογή στη θύρα 8080 ή μια υπηρεσία που πρέπει να φτάνει μόνο το γραφείο σας. Ο οδηγός κάνει τα πάντα με PowerShell στα Windows Server 2022. Δοκιμάσαμε κάθε κανόνα στην εικόνα μας και τον ελέγξαμε από δεύτερο μηχάνημα, οπότε ξέρετε ότι πράγματι ανοίγει ή κλείνει τη θύρα.

Ανοίξτε το PowerShell ως διαχειριστής. Αν δεν το έχετε κάνει, θωρακίστε πρώτα το RDP: εκείνος ο οδηγός εξηγεί πώς περιορίζεται η ίδια η Απομακρυσμένη επιφάνεια εργασίας.

1. Δείτε τι είναι ενεργό

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Στον καινούργιο μας server και τα τρία προφίλ (Domain, Private, Public) ήταν ενεργά, και ο προσαρμογέας δικτύου ήταν στο Public. Το DefaultInboundAction δείχνει NotConfigured, δηλαδή την προεπιλεγμένη συμπεριφορά των Windows: μπλοκάρισμα εισερχομένων, άδεια στα εξερχόμενα. Άρα μετράνε οι κανόνες του προφίλ Public.

Για να δείτε τι επιτρέπεται να μπει:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Μετρήσαμε 54 ενεργούς εισερχόμενους κανόνες. Οι περισσότεροι ανήκουν στα ίδια τα Windows (Core Networking, Cast to Device, mDNS), συν τους τρεις κανόνες της Απομακρυσμένης επιφάνειας εργασίας. Το ping δεν ήταν ανάμεσά τους.

2. Ανοίξτε μια θύρα

Ας πούμε ότι η εφαρμογή σας ακούει στη θύρα TCP 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Ο κανόνας ισχύει από τη στιγμή που δημιουργείται. Από το δεύτερο μηχάνημά μας η θύρα 8080 πέρασε από μπλοκαρισμένη σε ανοιχτή, ενώ η 8081, όπου επίσης άκουγε ένα πρόγραμμα, έμεινε μπλοκαρισμένη. Ένας κανόνας χωρίς -Profile ισχύει σε όλα τα προφίλ, και στο Public.

Για εύρος ή λίστα, χρησιμοποιήστε -LocalPort 8000-8010 ή -LocalPort 80,443. Για UDP, αλλάξτε το -Protocol.

3. Επιτρέψτε μόνο ορισμένες διευθύνσεις

Οι περισσότερες υπηρεσίες δεν χρειάζεται να δέχονται όλο το internet. Περιορίστε τον κανόνα στις διευθύνσεις που πρέπει να συνδέονται:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Δοκιμάσαμε και τα δύο. Με ξένη διεύθυνση στο -RemoteAddress, το δοκιμαστικό μας μηχάνημα δεν μπορούσε πια να συνδεθεί. Με τη δική του διεύθυνση προστεθειμένη, μπορούσε. Βάλτε την ίδια παράμετρο στους κανόνες της Απομακρυσμένης επιφάνειας εργασίας για να μένει το RDP μόνο για το γραφείο σας. Αν η IP του σπιτιού σας αλλάζει συχνά, σκεφτείτε το διπλά πριν το κάνετε για το RDP.

4. Ενεργοποιήστε το ping

Από το εργοστάσιο τα Windows δεν απαντούν στο ping. Ο κανόνας υπάρχει, αλλά είναι κλειστός:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Μετά από αυτό ο server μας απάντησε αμέσως στο ping. Το χρειάζονται τα εργαλεία παρακολούθησης που ελέγχουν τη διαθεσιμότητα με ping. Για να το κλείσετε ξανά, χρησιμοποιήστε Disable-NetFirewallRule με το ίδιο όνομα.

5. Καταγράψτε τι μπλοκάρεται

Όταν κάτι δεν μπορεί να συνδεθεί και δεν ξέρετε γιατί, βάλτε το firewall να σημειώνει τι απορρίπτει:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Κάθε μπλοκαρισμένη απόπειρα γίνεται μια γραμμή σαν αυτή:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Διαβάζεται έτσι: ημερομηνία και ώρα, ενέργεια, πρωτόκολλο, διεύθυνση προέλευσης, διεύθυνση του server σας, θύρα προέλευσης, θύρα προορισμού. Κάντε υπομονή: τα Windows γράφουν το αρχείο κατά δέσμες, και οι δοκιμαστικές μας εγγραφές εμφανίστηκαν περίπου ένα λεπτό μετά τις απόπειρες. Το όριο των 4 MB εμποδίζει το αρχείο να μεγαλώνει χωρίς τέλος.

6. Κρατήστε αντίγραφο και τακτοποιήστε

Πριν από μια μεγάλη αλλαγή, αποθηκεύστε όλους τους κανόνες σε αρχείο:

netsh advfirewall export C:\fw-backup.wfw

Η εξαγωγή μας ήταν 148 KB. Το netsh advfirewall import C:\fw-backup.wfw επαναφέρει ακριβώς αυτό το σύνολο και αντικαθιστά ό,τι υπάρχει. Σβήστε με το όνομά του έναν κανόνα που δεν χρειάζεστε πια:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Αν κλειδώσατε τον εαυτό σας έξω

Αν ένας κανόνας κόψει τη δική σας Απομακρυσμένη επιφάνεια εργασίας, ανοίξτε την κονσόλα στον πίνακα ελέγχου σας. Δεν περνά από RDP, οπότε μπορείτε να συνδεθείτε και να τρέξετε Remove-NetFirewallRule ή Set-NetFirewallRule για να το αναιρέσετε.

NAT ή δική σας IP

Στα πακέτα NAT το internet φτάνει στον server σας μέσα από μία προσωπική θύρα, που οδηγεί στην Απομακρυσμένη επιφάνεια εργασίας. Οι άλλες θύρες μένουν απρόσιτες απ' έξω, ό,τι κι αν επιτρέψετε στο Windows Firewall. Για να σερβίρετε ιστότοπο ή να δέχεστε συνδέσεις σε άλλες θύρες χρειάζεστε δική σας IPv4: το Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/μήνα) σας δίνει μία με όλες τις θύρες ανοιχτές, και τότε αποφασίζει το Windows Firewall. Το Windows-Small κοστίζει $11/μήνα με NAT. Και τα τέσσερα πακέτα Windows είναι στη σελίδα Windows VPS, και η πληρωμή γίνεται σε USDT, USDC ή ETH στα δίκτυα Base, Ethereum ή Polygon.