Windows Firewall e pornit implicit pe un VPS cu Windows?

Da. Pe imaginea noastră Windows Server 2022, toate cele trei profiluri sunt active, placa de rețea e în profilul Public, iar conexiunile de intrare sunt blocate dacă nicio regulă nu le permite. Conexiunile de ieșire sunt permise.

De ce serverul meu Windows nu răspunde la ping?

Windows blochează ping-ul implicit: regula File and Printer Sharing (Echo Request - ICMPv4-In) există, dar e oprită. Activeaz-o cu o comandă PowerShell și serverul răspunde imediat.

Am deschis un port în Windows Firewall, dar din internet tot e închis. De ce?

Pe un plan cu NAT, la server ajunge doar portul tău personal, care duce la Desktop la distanță. Celelalte porturi nu sunt accesibile din internet, orice ar spune firewallul. Pentru un site sau alt serviciu pe Windows, ia un plan cu IPv4 propriu.

Și dacă mă blochez singur din RDP cu o regulă de firewall?

Deschide consola din panoul tău. Funcționează fără RDP, deci te poți conecta de acolo și corecta sau șterge regula. Înainte să limitezi RDP la un singur IP, verifică dacă adresa ta nu se schimbă.

Cum văd ce blochează firewallul?

Pornește jurnalizarea conexiunilor respinse pentru profilul Public. Windows scrie atunci fiecare încercare blocată în pfirewall.log. În testul nostru, intrările au apărut după aproximativ un minut, pentru că Windows scrie jurnalul în loturi.

Cum configurezi Windows Firewall pe un VPS

Deschide un port pe Windows Server 2022, limitează-l la propria adresă IP, pornește ping-ul, înregistrează conexiunile blocate și salvează regulile, totul cu câteva comenzi PowerShell. Am testat fiecare regulă de pe o a doua mașină ca să verificăm că deschidea sau închidea cu adevărat portul.

Windows Server vine cu firewallul pornit, și asta e setarea implicită corectă: tot ce încearcă să se conecteze din afară e respins, dacă nu-l lasă o regulă să treacă. Va trebui să-l modifici când rulezi ceva al tău, de pildă o aplicație web pe portul 8080 sau un serviciu la care trebuie să ajungă doar biroul tău. Ghidul acesta face totul cu PowerShell pe Windows Server 2022. Am încercat fiecare regulă pe imaginea noastră și am verificat-o de pe o a doua mașină, așa că știi că deschide sau închide cu adevărat portul.

Deschide PowerShell ca administrator. Dacă n-ai făcut-o încă, securizează întâi RDP: acel ghid explică cum limitezi chiar Desktopul la distanță.

1. Vezi ce e pornit

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Pe serverul nostru proaspăt, toate cele trei profiluri (Domain, Private, Public) erau active, iar placa de rețea era în Public. DefaultInboundAction arată NotConfigured, adică comportamentul implicit al Windows: blochează intrarea, permite ieșirea. Așa că regulile care contează sunt cele pentru profilul Public.

Ca să vezi ce e permis la intrare:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Am numărat 54 de reguli de intrare active. Cele mai multe țin de Windows însuși (Core Networking, Cast to Device, mDNS), plus cele trei reguli pentru Desktop la distanță. Ping-ul nu era printre ele.

2. Deschide un port

Să zicem că aplicația ta ascultă pe portul TCP 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Regula funcționează din momentul în care e creată. De pe a doua noastră mașină, portul 8080 a trecut din blocat în deschis, în timp ce portul 8081, pe care asculta tot un program, a rămas blocat. O regulă fără -Profile se aplică tuturor profilurilor, inclusiv Public.

Pentru un interval sau o listă, folosește -LocalPort 8000-8010 ori -LocalPort 80,443. Pentru UDP, schimbă -Protocol.

3. Permite doar anumite adrese

Majoritatea serviciilor nu trebuie să accepte tot internetul. Limitează regula la adresele care trebuie să se conecteze:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Am testat ambele variante. Cu o adresă străină în -RemoteAddress, mașina noastră de test nu se mai putea conecta. După ce i-am adăugat propria adresă, a putut. Folosește același parametru pe regulile Desktop la distanță ca să păstrezi RDP doar pentru biroul tău. Dacă IP-ul de acasă se schimbă des, gândește-te de două ori înainte să faci asta pentru RDP.

4. Pornește ping-ul

Din fabrică, Windows nu răspunde la ping. Regula există, dar e oprită:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

După asta, serverul nostru a răspuns imediat la ping. Instrumentele de monitorizare care verifică disponibilitatea prin ping au nevoie de asta. Ca să-l oprești din nou, folosește Disable-NetFirewallRule cu același nume.

5. Jurnalizează ce se blochează

Când ceva nu se poate conecta și nu știi de ce, pune firewallul să noteze ce respinge:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Fiecare încercare blocată devine o linie ca aceasta:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Se citește așa: data și ora, acțiunea, protocolul, adresa sursă, adresa serverului tău, portul sursă, portul destinație. Ai răbdare: Windows scrie jurnalul în loturi, iar intrările noastre de test au apărut cam la un minut după încercări. Limita de 4 MB împiedică fișierul să crească la nesfârșit.

6. Fă backup și curățenie

Înainte de o schimbare mare, salvează toate regulile într-un fișier:

netsh advfirewall export C:\fw-backup.wfw

Exportul nostru a avut 148 KB. netsh advfirewall import C:\fw-backup.wfw readuce exact acel set și înlocuiește ce există acum. Șterge după nume o regulă de care nu mai ai nevoie:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Dacă te-ai blocat singur

Dacă o regulă îți taie propriul Desktop la distanță, deschide consola din panoul tău. Nu trece prin RDP, deci te poți conecta și rula Remove-NetFirewallRule sau Set-NetFirewallRule ca să anulezi.

NAT sau IP propriu

Pe planurile cu NAT, internetul ajunge la serverul tău printr-un singur port personal, care duce la Desktop la distanță. Celelalte porturi rămân inaccesibile din afară, orice ai permite în Windows Firewall. Ca să servești un site sau să accepți conexiuni pe alte porturi, ai nevoie de propriul IPv4: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/lună) îți dă unul cu toate porturile deschise, iar atunci decide Windows Firewall. Windows-Small costă $11/lună cu NAT. Toate cele patru planuri Windows sunt pe pagina Windows VPS, iar plata se face în USDT, USDC sau ETH pe Base, Ethereum sau Polygon.

Cum configurezi Windows Firewall pe un VPS: deschizi un port, permiți un IP, vezi ce se blochează