Apakah Windows Firewall aktif secara bawaan di VPS Windows?

Ya. Di image Windows Server 2022 kami, ketiga profil aktif, adaptor jaringan berada di profil Public, dan koneksi masuk diblokir kecuali ada aturan yang mengizinkan. Koneksi keluar diizinkan.

Kenapa server Windows saya tidak membalas ping?

Windows memblokir ping secara bawaan: aturan File and Printer Sharing (Echo Request - ICMPv4-In) ada, tetapi nonaktif. Aktifkan dengan satu perintah PowerShell dan server langsung membalas.

Saya sudah membuka port di Windows Firewall, tetapi dari internet masih tertutup. Kenapa?

Di paket NAT, hanya port pribadi Anda yang sampai ke server, dan port itu menuju Remote Desktop. Port lain tidak bisa dijangkau dari internet, apa pun kata firewall. Untuk menjalankan situs web atau layanan lain di Windows, gunakan paket dengan IPv4 sendiri.

Bagaimana kalau saya mengunci diri sendiri dari RDP dengan aturan firewall?

Buka konsol di dasbor Anda. Konsol berjalan tanpa RDP, jadi Anda bisa masuk dari sana dan memperbaiki atau menghapus aturannya. Sebelum membatasi RDP ke satu IP, pastikan alamat Anda tidak berubah.

Bagaimana melihat apa yang diblokir firewall?

Aktifkan pencatatan koneksi yang dibuang untuk profil Public. Lalu Windows menulis setiap upaya yang diblokir ke pfirewall.log. Dalam uji kami, entri muncul sekitar satu menit kemudian, karena Windows menulis log secara berkelompok.

Cara mengatur Windows Firewall di VPS

Buka port di Windows Server 2022, batasi ke alamat IP Anda sendiri, aktifkan ping, catat koneksi yang diblokir, dan cadangkan aturan Anda, semuanya dengan beberapa perintah PowerShell. Setiap aturan kami uji dari mesin kedua untuk memastikan port benar-benar terbuka atau tertutup.

Windows Server dikirim dengan firewall menyala, dan itu bawaan yang benar: semua yang mencoba terhubung dari luar ditolak, kecuali ada aturan yang meloloskannya. Anda perlu mengubahnya saat menjalankan sesuatu milik Anda sendiri, seperti aplikasi web di port 8080 atau layanan yang hanya boleh dijangkau kantor Anda. Panduan ini melakukan semuanya dengan PowerShell di Windows Server 2022. Kami mencoba setiap aturan di image kami dan mengujinya dari mesin kedua, jadi Anda tahu aturan itu benar-benar membuka atau menutup port.

Buka PowerShell sebagai administrator. Jika belum, amankan RDP terlebih dahulu: panduan itu membahas cara membatasi Remote Desktop itu sendiri.

1. Lihat apa yang aktif

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Di server baru kami, ketiga profil (Domain, Private, Public) aktif, dan adaptor jaringan berada di Public. DefaultInboundAction menunjukkan NotConfigured, artinya perilaku bawaan Windows: blokir yang masuk, izinkan yang keluar. Jadi aturan yang berlaku adalah aturan profil Public.

Untuk melihat apa yang diizinkan masuk:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Kami menghitung 54 aturan masuk yang aktif. Kebanyakan milik Windows sendiri (Core Networking, Cast to Device, mDNS), ditambah tiga aturan Remote Desktop. Ping tidak termasuk.

2. Buka port

Misalkan aplikasi Anda mendengarkan di port TCP 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Aturan berlaku begitu dibuat. Dari mesin kedua kami, port 8080 berubah dari diblokir menjadi terbuka, sementara port 8081, tempat sebuah program juga mendengarkan, tetap diblokir. Aturan tanpa -Profile berlaku untuk semua profil, termasuk Public.

Untuk rentang atau daftar, gunakan -LocalPort 8000-8010 atau -LocalPort 80,443. Untuk UDP, ubah -Protocol.

3. Izinkan hanya alamat tertentu

Sebagian besar layanan tidak perlu menerima seluruh internet. Batasi aturan ke alamat yang memang harus terhubung:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Kami menguji kedua kasus. Dengan alamat asing di -RemoteAddress, mesin uji kami tidak bisa terhubung lagi. Setelah alamatnya sendiri ditambahkan, bisa. Pakai parameter yang sama pada aturan Remote Desktop agar RDP hanya untuk kantor Anda. Jika IP rumah Anda sering berganti, pikirkan dua kali sebelum melakukannya untuk RDP.

4. Aktifkan ping

Bawaannya Windows tidak membalas ping. Aturannya ada, tetapi mati:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Setelah ini server kami langsung membalas ping. Alat pemantauan yang memeriksa ketersediaan lewat ping membutuhkannya. Untuk mematikannya lagi, gunakan Disable-NetFirewallRule dengan nama yang sama.

5. Catat apa yang diblokir

Saat sesuatu tidak bisa terhubung dan Anda tidak tahu sebabnya, minta firewall mencatat apa yang dibuangnya:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Setiap upaya yang diblokir menjadi baris seperti ini:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Cara membacanya: tanggal dan waktu, tindakan, protokol, alamat sumber, alamat server Anda, port sumber, port tujuan. Sabar sedikit: Windows menulis log secara berkelompok, dan entri uji kami muncul sekitar satu menit setelah percobaan. Batas 4 MB mencegah file tumbuh tanpa akhir.

6. Cadangkan dan rapikan

Sebelum perubahan besar, simpan semua aturan ke sebuah file:

netsh advfirewall export C:\fw-backup.wfw

Hasil ekspor kami 148 KB. netsh advfirewall import C:\fw-backup.wfw mengembalikan persis kumpulan itu dan menggantikan yang ada sekarang. Hapus aturan yang tidak lagi diperlukan berdasarkan namanya:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Jika Anda terkunci di luar

Jika sebuah aturan memutus Remote Desktop Anda sendiri, buka konsol di dasbor Anda. Konsol tidak lewat RDP, jadi Anda bisa masuk dan menjalankan Remove-NetFirewallRule atau Set-NetFirewallRule untuk membatalkannya.

NAT atau IP sendiri

Di paket NAT, internet mencapai server Anda lewat satu port pribadi, yang menuju Remote Desktop. Port lain tetap tidak terjangkau dari luar, apa pun yang Anda izinkan di Windows Firewall. Untuk menyajikan situs web atau menerima koneksi di port lain, Anda butuh IPv4 sendiri: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/bulan) memberi satu IP dengan semua port terbuka, dan saat itu Windows Firewall yang menentukan. Windows-Small seharga $11/bulan dengan NAT. Keempat paket Windows ada di halaman Windows VPS, dan pembayaran dengan USDT, USDC, atau ETH di jaringan Base, Ethereum, atau Polygon.

Cara mengatur Windows Firewall di VPS: buka port, izinkan satu IP, lihat apa yang diblokir