Windows Firewall ნაგულისხმევად ჩართულია Windows VPS-ზე?

დიახ. ჩვენს Windows Server 2022-ის იმიჯზე სამივე პროფილი ჩართულია, ქსელის ადაპტერი Public პროფილშია, შემომავალი კავშირები კი იბლოკება, თუ წესი არ უშვებს. გამავალი კავშირები დაშვებულია.

რატომ არ პასუხობს ჩემი Windows სერვერი ping-ს?

Windows ნაგულისხმევად ბლოკავს ping-ს: წესი File and Printer Sharing (Echo Request - ICMPv4-In) არსებობს, მაგრამ გამორთულია. ჩართეთ ის ერთი PowerShell ბრძანებით და სერვერი მაშინვე უპასუხებს.

Windows Firewall-ში პორტი გავხსენი, ინტერნეტიდან კი ისევ დახურულია. რატომ?

NAT პაკეტზე სერვერამდე მხოლოდ თქვენი პირადი პორტი აღწევს, რომელიც დისტანციურ სამუშაო მაგიდასთან მიდის. სხვა პორტები ინტერნეტიდან მიუწვდომელია, რაც არ უნდა ამბობდეს ფაირვოლი. Windows-ზე საიტის ან სხვა სერვისისთვის აიღეთ პაკეტი საკუთარი IPv4-ით.

რა ვქნა, თუ ფაირვოლის წესით RDP საკუთარ თავს ჩავუკეტე?

გახსენით კონსოლი თქვენს პანელში. ის RDP-ის გარეშე მუშაობს, ასე რომ იქიდან შეხვალთ და წესს შეასწორებთ ან წაშლით. RDP-ის ერთ IP-ზე შეზღუდვამდე დარწმუნდით, რომ თქვენი მისამართი არ იცვლება.

როგორ ვნახო, რას ბლოკავს ფაირვოლი?

ჩართეთ უარყოფილი კავშირების ჟურნალი Public პროფილისთვის. მაშინ Windows თითოეულ დაბლოკილ მცდელობას pfirewall.log-ში ჩაწერს. ჩვენს ტესტში ჩანაწერები დაახლოებით ერთ წუთში გამოჩნდა, რადგან Windows ჟურნალს ნაწილ-ნაწილ წერს.

როგორ დავაყენოთ Windows Firewall VPS-ზე

გახსენით პორტი Windows Server 2022-ზე, შეზღუდეთ ის თქვენი IP მისამართით, ჩართეთ ping, ჩაწერეთ დაბლოკილი კავშირები და შეინახეთ წესების ასლი — ყველაფერი რამდენიმე PowerShell ბრძანებით. თითოეული წესი მეორე მანქანიდან შევამოწმეთ, რომ დავრწმუნებულიყავით, ნამდვილად ხსნიდა თუ ხურავდა პორტს.

Windows Server ჩართული ფაირვოლით მოდის და ეს სწორი ნაგულისხმევი პარამეტრია: ყველაფერი, რაც გარედან დაკავშირებას ცდილობს, უარყოფილია, თუ წესი არ უშვებს. ეს დაგჭირდებათ შეცვალოთ, როცა საკუთარ რამეს გაუშვებთ, მაგალითად ვებაპლიკაციას 8080 პორტზე ან სერვისს, რომელსაც მხოლოდ თქვენი ოფისი უნდა მისწვდეს. ეს სახელმძღვანელო ყველაფერს PowerShell-ით აკეთებს Windows Server 2022-ზე. თითოეული წესი ჩვენს იმიჯზე ვცადეთ და მეორე მანქანიდან შევამოწმეთ, ასე რომ იცით, ნამდვილად ხსნის თუ ხურავს პორტს.

გახსენით PowerShell ადმინისტრატორის უფლებით. თუ ჯერ არ გაგიკეთებიათ, ჯერ დაიცავით RDP: ის სახელმძღვანელო თავად დისტანციური სამუშაო მაგიდის შეზღუდვას ეხება.

1. ნახეთ, რა არის ჩართული

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

ჩვენს ახალ სერვერზე სამივე პროფილი (Domain, Private, Public) ჩართული იყო, ქსელის ადაპტერი კი Public-ში იყო. DefaultInboundAction აჩვენებს NotConfigured-ს, ანუ Windows-ის ნაგულისხმევ ქცევას: შემომავალის დაბლოკვა, გამავალის დაშვება. მაშასადამე, მნიშვნელობა Public პროფილის წესებს აქვს.

იმის სანახავად, რა არის დაშვებული შემოსასვლელად:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

54 ჩართული შემომავალი წესი დავითვალეთ. უმეტესობა თავად Windows-ს ეკუთვნის (Core Networking, Cast to Device, mDNS), პლუს დისტანციური სამუშაო მაგიდის სამი წესი. Ping მათ შორის არ იყო.

2. გახსენით პორტი

ვთქვათ, თქვენი აპლიკაცია TCP 8080 პორტს უსმენს:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

წესი შექმნისთანავე მუშაობს. ჩვენი მეორე მანქანიდან 8080 პორტი დაბლოკილიდან ღიად იქცა, 8081 კი, რომელზეც ასევე პროგრამა უსმენდა, დაბლოკილი დარჩა. -Profile-ის გარეშე წესი ყველა პროფილზე ვრცელდება, Public-ის ჩათვლით.

დიაპაზონისთვის ან სიისთვის გამოიყენეთ -LocalPort 8000-8010 ან -LocalPort 80,443. UDP-სთვის შეცვალეთ -Protocol.

3. დაუშვით მხოლოდ გარკვეული მისამართები

სერვისების უმეტესობას მთელი ინტერნეტის მიღება არ სჭირდება. შეზღუდეთ წესი იმ მისამართებით, რომლებიც უნდა დაუკავშირდნენ:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

ორივე ვარიანტი შევამოწმეთ. -RemoteAddress-ში უცხო მისამართით ჩვენი სატესტო მანქანა ვეღარ დაუკავშირდა. მისი საკუთარი მისამართის დამატების შემდეგ — დაუკავშირდა. იგივე პარამეტრი დისტანციური სამუშაო მაგიდის წესებსაც მიუსადაგეთ, რომ RDP მხოლოდ ოფისისთვის დარჩეს. თუ სახლის IP ხშირად გეცვლებათ, RDP-სთვის ამის გაკეთებამდე ორჯერ დაფიქრდით.

4. ჩართეთ ping

ქარხნულად Windows ping-ს არ პასუხობს. წესი არსებობს, მაგრამ გამორთულია:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

ამის შემდეგ ჩვენმა სერვერმა ping-ს მაშინვე უპასუხა. ეს სჭირდება მონიტორინგის ინსტრუმენტებს, რომლებიც ხელმისაწვდომობას ping-ით ამოწმებენ. ხელახლა გამოსართავად გამოიყენეთ Disable-NetFirewallRule იმავე სახელით.

5. ჩაწერეთ, რა იბლოკება

როცა რაღაც ვერ უკავშირდება და არ იცით რატომ, ფაირვოლს ჩააწერინეთ, რას უარყოფს:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

თითოეული დაბლოკილი მცდელობა ასეთ სტრიქონად იქცევა:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

ასე იკითხება: თარიღი და დრო, მოქმედება, პროტოკოლი, წყაროს მისამართი, თქვენი სერვერის მისამართი, წყაროს პორტი, დანიშნულების პორტი. მოითმინეთ: Windows ჟურნალს ნაწილ-ნაწილ წერს და ჩვენი სატესტო ჩანაწერები მცდელობებიდან დაახლოებით ერთ წუთში გამოჩნდა. 4 MB-იანი ლიმიტი ფაილს უსასრულოდ ზრდის საშუალებას არ აძლევს.

6. შეინახეთ ასლი და დაალაგეთ

დიდი ცვლილების წინ ყველა წესი ფაილში შეინახეთ:

netsh advfirewall export C:\fw-backup.wfw

ჩვენი ექსპორტი 148 KB იყო. netsh advfirewall import C:\fw-backup.wfw ზუსტად ამ ნაკრებს აბრუნებს და არსებულს ანაცვლებს. აღარ საჭირო წესი სახელით წაშალეთ:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

თუ საკუთარი თავი ჩაკეტეთ

თუ წესმა თქვენი საკუთარი დისტანციური სამუშაო მაგიდა მოჭრა, გახსენით კონსოლი თქვენს პანელში. ის RDP-ზე არ გადის, ასე რომ შეხვალთ და Remove-NetFirewallRule ან Set-NetFirewallRule გაუშვებთ, რომ ყველაფერი დააბრუნოთ.

NAT თუ საკუთარი IP

NAT პაკეტებზე ინტერნეტი თქვენს სერვერს ერთი პირადი პორტით აღწევს, რომელიც დისტანციურ სამუშაო მაგიდასთან მიდის. სხვა პორტები გარედან მიუწვდომელი რჩება, რაც არ უნდა დაუშვათ Windows Firewall-ში. საიტის მომსახურებისთვის ან სხვა პორტებზე კავშირების მისაღებად საკუთარი IPv4 გჭირდებათ: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/თვე) ყველა ღია პორტით გაძლევთ მას, და მაშინ გადაწყვეტილებას Windows Firewall იღებს. Windows-Small NAT-ით $11/თვე ღირს. ოთხივე Windows პაკეტი Windows VPS გვერდზეა, გადახდა კი USDT-ით, USDC-ით ან ETH-ით ხდება Base, Ethereum ან Polygon ქსელებში.

როგორ დავაყენოთ Windows Firewall VPS-ზე: პორტის გახსნა, ერთი IP-ის დაშვება, რა იბლოკება