Configurer le pare-feu Windows sur un VPS : ouvrir un port, autoriser une IP, voir ce qui est bloqué

Windows Server est livré avec son pare-feu activé, et c'est le bon réglage par défaut : tout ce qui tente de se connecter depuis l'extérieur est refusé, sauf si une règle le laisse passer. Vous devrez le modifier quand vous ferez tourner quelque chose à vous, comme une application web sur le port 8080 ou un service que seul votre bureau doit joindre. Ce guide fait tout en PowerShell sur Windows Server 2022. Nous avons essayé chaque règle sur notre image et l'avons testée depuis une seconde machine : vous savez donc qu'elle ouvre ou ferme vraiment le port.

Ouvrez PowerShell en tant qu'administrateur. Si ce n'est pas déjà fait, sécurisez d'abord RDP : ce guide explique comment restreindre le Bureau à distance lui-même.

1. Voir ce qui est actif

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Sur notre serveur tout neuf, les trois profils (Domain, Private, Public) étaient actifs et la carte réseau se trouvait dans Public. DefaultInboundAction affiche NotConfigured, c'est-à-dire le comportement par défaut de Windows : bloquer l'entrant, autoriser le sortant. Ce sont donc les règles du profil Public qui comptent.

Pour voir ce qui est autorisé en entrée :

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Nous avons compté 54 règles entrantes actives. La plupart appartiennent à Windows lui-même (Core Networking, Cast to Device, mDNS), plus les trois règles du Bureau à distance. Le ping n'en faisait pas partie.

2. Ouvrir un port

Disons que votre application écoute sur le port TCP 8080 :

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

La règle s'applique dès sa création. Depuis notre seconde machine, le port 8080 est passé de bloqué à ouvert, tandis que le port 8081, sur lequel un programme écoutait aussi, est resté bloqué. Une règle sans -Profile s'applique à tous les profils, Public compris.

Pour une plage ou une liste, utilisez -LocalPort 8000-8010 ou -LocalPort 80,443. Pour l'UDP, changez -Protocol.

3. N'autoriser que certaines adresses

La plupart des services n'ont pas besoin d'accepter tout internet. Limitez la règle aux adresses qui doivent se connecter :

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Nous avons testé les deux cas. Avec une adresse étrangère dans -RemoteAddress, notre machine de test ne pouvait plus se connecter. Une fois sa propre adresse ajoutée, elle le pouvait. Le même paramètre s'applique aux règles du Bureau à distance pour réserver RDP à votre bureau. Si votre IP personnelle change souvent, réfléchissez-y à deux fois avant de le faire pour RDP.

4. Activer le ping

D'origine, Windows ne répond pas au ping. La règle existe mais elle est désactivée :

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Ensuite, notre serveur a répondu au ping immédiatement. Les outils de supervision qui vérifient la disponibilité par ping en ont besoin. Pour le désactiver de nouveau, utilisez Disable-NetFirewallRule avec le même nom.

5. Journaliser ce qui est bloqué

Quand quelque chose n'arrive pas à se connecter sans que vous sachiez pourquoi, faites noter au pare-feu ce qu'il rejette :

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Chaque tentative bloquée devient une ligne comme celle-ci :

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Elle se lit ainsi : date et heure, action, protocole, adresse source, adresse de votre serveur, port source, port de destination. Soyez patient : Windows écrit le journal par lots, et nos entrées de test sont apparues environ une minute après les tentatives. La limite de 4 Mo empêche le fichier de grossir sans fin.

6. Sauvegarder et faire le ménage

Enregistrez toutes les règles dans un fichier avant un gros changement :

netsh advfirewall export C:\fw-backup.wfw

Notre export pesait 148 Ko. netsh advfirewall import C:\fw-backup.wfw rétablit exactement cet ensemble, en remplaçant ce qui est en place. Supprimez une règle devenue inutile par son nom :

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Si vous vous êtes enfermé dehors

Si une règle coupe votre propre Bureau à distance, ouvrez la console dans votre tableau de bord. Elle ne passe pas par RDP : vous pouvez vous connecter et lancer Remove-NetFirewallRule ou Set-NetFirewallRule pour tout annuler.

NAT ou IP dédiée

Sur les offres NAT, internet atteint votre serveur par un seul port personnel, qui mène au Bureau à distance. Les autres ports restent injoignables de l'extérieur, quoi que vous autorisiez dans le pare-feu Windows. Pour servir un site ou accepter des connexions sur d'autres ports, il vous faut votre propre IPv4 : Windows Small-IP (4 vCPU, 4 Go, 50 Go, $28/mois) vous en donne une avec tous les ports ouverts, et c'est alors le pare-feu Windows qui décide. Windows-Small coûte $11/mois en NAT. Les quatre offres Windows sont sur la page Windows VPS, et le paiement se fait en USDT, USDC ou ETH sur Base, Ethereum ou Polygon.