האם חומת האש של Windows פועלת כברירת מחדל ב-Windows VPS?

כן. בתמונת Windows Server 2022 שלנו כל שלושת הפרופילים פעילים, מתאם הרשת נמצא בפרופיל Public, וחיבורים נכנסים נחסמים אלא אם כלל מתיר אותם. חיבורים יוצאים מותרים.

למה שרת ה-Windows שלי לא עונה ל-ping?

Windows חוסם ping כברירת מחדל: הכלל File and Printer Sharing (Echo Request - ICMPv4-In) קיים אבל כבוי. הפעילו אותו בפקודת PowerShell אחת והשרת יענה מיד.

פתחתי פורט בחומת האש של Windows, אבל מהאינטרנט הוא עדיין סגור. למה?

בחבילת NAT רק הפורט האישי שלכם מגיע לשרת, והוא מוביל לשולחן העבודה המרוחק. פורטים אחרים לא נגישים מהאינטרנט, לא משנה מה חומת האש מתירה. כדי להריץ אתר או שירות אחר על Windows, קחו חבילה עם IPv4 משלה.

מה אם נעלתי את עצמי מחוץ ל-RDP עם כלל בחומת האש?

פתחו את הקונסולה בלוח הבקרה. היא עובדת בלי RDP, כך שאפשר להתחבר דרכה ולתקן או למחוק את הכלל. לפני שמגבילים את RDP ל-IP אחד, ודאו שהכתובת שלכם לא משתנה.

איך רואים מה חומת האש חוסמת?

הפעילו רישום של חיבורים שנדחו עבור הפרופיל Public. אז Windows כותב כל ניסיון חסום ל-pfirewall.log. בבדיקה שלנו הרשומות הופיעו אחרי כדקה, כי Windows כותב את היומן במנות.

איך מגדירים את חומת האש של Windows ב-VPS

פותחים פורט ב-Windows Server 2022, מגבילים אותו לכתובת ה-IP שלכם, מפעילים ping, רושמים חיבורים שנחסמו ומגבים את הכללים, הכול בכמה פקודות PowerShell. בדקנו כל כלל ממחשב שני כדי לוודא שהוא באמת פותח או סוגר את הפורט.

Windows Server מגיע עם חומת אש פעילה, וזו ברירת המחדל הנכונה: כל מה שמנסה להתחבר מבחוץ נדחה, אלא אם כלל מאפשר לו לעבור. תצטרכו לשנות את זה כשתריצו משהו משלכם, כמו אפליקציית ווב על פורט 8080 או שירות שרק המשרד שלכם צריך להגיע אליו. המדריך עושה הכול ב-PowerShell על Windows Server 2022. ניסינו כל כלל על התמונה שלנו ובדקנו אותו ממחשב שני, כך שאתם יודעים שהוא באמת פותח או סוגר את הפורט.

פתחו PowerShell כמנהל. אם עוד לא עשיתם, קודם אבטחו את RDP: המדריך ההוא עוסק בהגבלת שולחן העבודה המרוחק עצמו.

1. בדקו מה פעיל

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

בשרת החדש שלנו כל שלושת הפרופילים (Domain, Private, Public) היו פעילים, ומתאם הרשת היה ב-Public. DefaultInboundAction מציג NotConfigured, כלומר התנהגות ברירת המחדל של Windows: לחסום נכנס, להתיר יוצא. לכן הכללים שקובעים הם כללי הפרופיל Public.

כדי לראות מה מותר להיכנס:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

ספרנו 54 כללים נכנסים פעילים. רובם שייכים ל-Windows עצמו (Core Networking, Cast to Device, mDNS), ועוד שלושת כללי שולחן העבודה המרוחק. ping לא היה ביניהם.

2. פתחו פורט

נניח שהאפליקציה שלכם מאזינה על פורט TCP 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

הכלל פועל מרגע שנוצר. מהמחשב השני שלנו פורט 8080 עבר מחסום לפתוח, ואילו פורט 8081, שגם עליו האזינה תוכנה, נשאר חסום. כלל בלי -Profile חל על כל הפרופילים, כולל Public.

לטווח או לרשימה השתמשו ב--LocalPort 8000-8010 או -LocalPort 80,443. ל-UDP שנו את -Protocol.

3. התירו רק כתובות מסוימות

רוב השירותים לא צריכים לקבל את כל האינטרנט. הגבילו את הכלל לכתובות שאמורות להתחבר:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

בדקנו את שני המקרים. עם כתובת זרה ב--RemoteAddress מחשב הבדיקה שלנו כבר לא הצליח להתחבר. אחרי שהוספנו את הכתובת שלו, הצליח. השתמשו באותו פרמטר על כללי שולחן העבודה המרוחק כדי להשאיר את RDP רק למשרד שלכם. אם ה-IP בבית מתחלף הרבה, חשבו פעמיים לפני שעושים זאת ל-RDP.

4. הפעילו ping

כברירת מחדל Windows לא עונה ל-ping. הכלל קיים אבל כבוי:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

אחרי זה השרת שלנו ענה ל-ping מיד. כלי ניטור שבודקים זמינות ב-ping צריכים את זה. כדי לכבות שוב, השתמשו ב-Disable-NetFirewallRule עם אותו שם.

5. רשמו מה נחסם

כשמשהו לא מצליח להתחבר ואתם לא יודעים למה, תנו לחומת האש לרשום מה היא דוחה:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

כל ניסיון חסום הופך לשורה כזו:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

קוראים אותה כך: תאריך ושעה, פעולה, פרוטוקול, כתובת מקור, כתובת השרת שלכם, פורט מקור, פורט יעד. היו סבלניים: Windows כותב את היומן במנות, ורשומות הבדיקה שלנו הופיעו כדקה אחרי הניסיונות. מגבלת 4 MB מונעת מהקובץ לגדול בלי סוף.

6. גבו ונקו

לפני שינוי גדול שמרו את כל הכללים לקובץ:

netsh advfirewall export C:\fw-backup.wfw

הייצוא שלנו היה 148 KB. netsh advfirewall import C:\fw-backup.wfw מחזיר בדיוק את אותה קבוצה ומחליף את מה שקיים. מחקו לפי שם כלל שכבר לא צריך:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

אם נעלתם את עצמכם בחוץ

אם כלל ניתק את שולחן העבודה המרוחק שלכם, פתחו את הקונסולה בלוח הבקרה. היא לא עוברת דרך RDP, כך שתוכלו להתחבר ולהריץ Remove-NetFirewallRule או Set-NetFirewallRule כדי לבטל.

NAT או IP משלכם

בחבילות NAT האינטרנט מגיע לשרת דרך פורט אישי אחד, שמוביל לשולחן העבודה המרוחק. פורטים אחרים נשארים בלתי נגישים מבחוץ, לא משנה מה תתירו בחומת האש של Windows. כדי להגיש אתר או לקבל חיבורים בפורטים אחרים צריך IPv4 משלכם: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28 לחודש) נותן כתובת עם כל הפורטים פתוחים, ואז ההחלטה בידי חומת האש של Windows. Windows-Small עולה $11 לחודש עם NAT. כל ארבע חבילות Windows נמצאות בעמוד Windows VPS, והתשלום ב-USDT, USDC או ETH ברשתות Base, Ethereum או Polygon.

איך מגדירים את חומת האש של Windows ב-VPS: פתיחת פורט, הרשאה ל-IP אחד, ומה נחסם