Staat Windows Firewall standaard aan op een Windows-VPS?

Ja. Op onze Windows Server 2022-image staan alle drie profielen aan, zit de netwerkadapter in het profiel Public en worden inkomende verbindingen geblokkeerd tenzij een regel ze toestaat. Uitgaande verbindingen zijn toegestaan.

Waarom reageert mijn Windows-server niet op ping?

Windows blokkeert ping standaard: de regel File and Printer Sharing (Echo Request - ICMPv4-In) bestaat, maar staat uit. Zet hem aan met één PowerShell-opdracht en de server antwoordt meteen.

Ik heb een poort geopend in Windows Firewall, maar vanaf internet blijft hij dicht. Waarom?

Bij een NAT-pakket bereikt alleen je persoonlijke poort de server, en die leidt naar Extern bureaublad. Andere poorten zijn vanaf internet niet bereikbaar, wat de firewall ook toestaat. Wil je een website of andere dienst op Windows draaien, neem dan een pakket met een eigen IPv4-adres.

En als ik mezelf met een firewallregel van RDP buitensluit?

Open de console in je dashboard. Die werkt zonder RDP, dus je kunt daar inloggen en de regel aanpassen of verwijderen. Controleer voordat je RDP tot één IP beperkt of je eigen adres niet verandert.

Hoe zie ik wat de firewall blokkeert?

Zet het loggen van verworpen verbindingen aan voor het profiel Public. Windows schrijft dan elke geblokkeerde poging in pfirewall.log. In onze test verschenen de regels na ongeveer een minuut, omdat Windows het log in batches wegschrijft.

Windows Firewall op een VPS instellen

Open een poort op Windows Server 2022, beperk die tot je eigen IP-adres, zet ping aan, log geblokkeerde verbindingen en maak een back-up van je regels, allemaal met een paar PowerShell-opdrachten. Elke regel testten we vanaf een tweede machine om te zien of hij de poort echt opende of sloot.

Windows Server wordt geleverd met de firewall aan, en dat is de juiste standaard: alles wat van buitenaf verbinding probeert te maken, wordt geweigerd tenzij een regel het doorlaat. Je moet dat aanpassen zodra je iets eigens draait, zoals een webapp op poort 8080 of een dienst die alleen je kantoor mag bereiken. Deze gids doet alles met PowerShell op Windows Server 2022. We hebben elke regel op onze image uitgeprobeerd en vanaf een tweede machine getest, dus je weet dat hij de poort echt opent of sluit.

Open PowerShell als administrator. Heb je het nog niet gedaan, beveilig dan eerst RDP: die gids behandelt het beperken van Extern bureaublad zelf.

1. Bekijk wat er aan staat

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Op onze verse server stonden alle drie profielen (Domain, Private, Public) aan en zat de netwerkadapter in Public. DefaultInboundAction toont NotConfigured, wat het standaardgedrag van Windows betekent: inkomend blokkeren, uitgaand toestaan. Het gaat dus om de regels voor het profiel Public.

Om te zien wat er inkomend is toegestaan:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

We telden 54 actieve inkomende regels. De meeste horen bij Windows zelf (Core Networking, Cast to Device, mDNS), plus de drie regels voor Extern bureaublad. Ping zat er niet bij.

2. Open een poort

Stel dat je app luistert op TCP-poort 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

De regel werkt zodra hij is aangemaakt. Vanaf onze tweede machine ging poort 8080 van geblokkeerd naar open, terwijl poort 8081, waarop ook een programma luisterde, geblokkeerd bleef. Een regel zonder -Profile geldt voor alle profielen, Public inbegrepen.

Voor een bereik of lijst gebruik je -LocalPort 8000-8010 of -LocalPort 80,443. Voor UDP verander je -Protocol.

3. Sta alleen bepaalde adressen toe

De meeste diensten hoeven niet het hele internet te accepteren. Beperk de regel tot de adressen die verbinding moeten maken:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

We hebben het allebei getest. Met een vreemd adres in -RemoteAddress kon onze testmachine geen verbinding meer maken. Met zijn eigen adres erbij lukte het wel. Gebruik dezelfde parameter op de regels voor Extern bureaublad om RDP alleen voor je kantoor open te houden. Verandert je IP thuis vaak, denk dan twee keer na voor je dat met RDP doet.

4. Zet ping aan

Standaard antwoordt Windows niet op ping. De regel bestaat, maar staat uit:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Daarna antwoordde onze server direct op ping. Monitoringtools die de bereikbaarheid via ping controleren, hebben dit nodig. Om het weer uit te zetten, gebruik je Disable-NetFirewallRule met dezelfde naam.

5. Log wat er wordt geblokkeerd

Als iets geen verbinding krijgt en je niet weet waarom, laat de firewall dan opschrijven wat hij verwerpt:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Elke geblokkeerde poging wordt een regel zoals deze:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Die lees je zo: datum en tijd, actie, protocol, bronadres, het adres van je server, bronpoort, doelpoort. Heb geduld: Windows schrijft het log in batches, en onze testregels verschenen ongeveer een minuut na de pogingen. De limiet van 4 MB zorgt dat het bestand niet eindeloos groeit.

6. Back-up maken en opruimen

Sla vóór een grote wijziging alle regels op in een bestand:

netsh advfirewall export C:\fw-backup.wfw

Onze export was 148 KB. netsh advfirewall import C:\fw-backup.wfw zet precies die set terug en vervangt wat er nu staat. Verwijder een regel die je niet meer nodig hebt op naam:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Als je jezelf buitensluit

Als een regel je eigen Extern bureaublad afsluit, open dan de console in je dashboard. Die loopt niet via RDP, dus je kunt inloggen en Remove-NetFirewallRule of Set-NetFirewallRule uitvoeren om het terug te draaien.

NAT of een eigen IP

Bij NAT-pakketten bereikt internet je server via één persoonlijke poort, die naar Extern bureaublad leidt. Andere poorten blijven van buitenaf onbereikbaar, wat je ook toestaat in Windows Firewall. Om een website te serveren of verbindingen op andere poorten te accepteren, heb je een eigen IPv4 nodig: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/maand) geeft je er een met alle poorten open, en dan beslist Windows Firewall. Windows-Small kost $11/maand met NAT. Alle vier Windows-pakketten staan op de pagina Windows VPS, en betalen gaat in USDT, USDC of ETH via Base, Ethereum of Polygon.

Windows Firewall op een VPS instellen: een poort openen, één IP toestaan, zien wat er wordt geblokkeerd