Är Windows-brandväggen på som standard på en Windows-VPS?

Ja. På vår avbild av Windows Server 2022 är alla tre profiler på, nätverkskortet ligger i profilen Public och inkommande anslutningar blockeras om ingen regel tillåter dem. Utgående anslutningar är tillåtna.

Varför kan jag inte pinga min Windows-server?

Windows blockerar ping som standard: regeln File and Printer Sharing (Echo Request - ICMPv4-In) finns men är avstängd. Slå på den med ett PowerShell-kommando så svarar servern direkt.

Jag öppnade en port i Windows-brandväggen, men från internet är den fortfarande stängd. Varför?

På en NAT-plan når bara din personliga port servern, och den leder till Fjärrskrivbord. Andra portar går inte att nå från internet, vad brandväggen än säger. Vill du köra en webbplats eller annan tjänst på Windows, välj en plan med egen IPv4-adress.

Vad händer om jag låser ute mig själv från RDP med en brandväggsregel?

Öppna konsolen i din kontrollpanel. Den fungerar utan RDP, så du kan logga in där och rätta eller ta bort regeln. Innan du begränsar RDP till en IP, kontrollera att din egen adress inte ändras.

Hur ser jag vad brandväggen blockerar?

Slå på loggning av avvisade anslutningar för profilen Public. Då skriver Windows varje blockerat försök till pfirewall.log. I vårt test dök raderna upp efter ungefär en minut, eftersom Windows skriver loggen i omgångar.

Så konfigurerar du Windows-brandväggen på en VPS

Öppna en port på Windows Server 2022, begränsa den till din egen IP-adress, slå på ping, logga blockerade anslutningar och säkerhetskopiera dina regler, allt med några PowerShell-kommandon. Vi testade varje regel från en andra dator för att se att den verkligen öppnade eller stängde porten.

Windows Server levereras med brandväggen påslagen, och det är rätt standard: allt som försöker ansluta utifrån nekas om inte en regel släpper igenom det. Du behöver ändra det när du kör något eget, som en webbapp på port 8080 eller en tjänst som bara ditt kontor ska nå. Den här guiden gör allt med PowerShell på Windows Server 2022. Vi provade varje regel på vår avbild och testade den från en andra dator, så du vet att den verkligen öppnar eller stänger porten.

Öppna PowerShell som administratör. Om du inte redan har gjort det, säkra RDP först: den guiden handlar om att begränsa själva Fjärrskrivbordet.

1. Se vad som är på

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

På vår nya server var alla tre profiler (Domain, Private, Public) på, och nätverkskortet låg i Public. DefaultInboundAction visar NotConfigured, alltså Windows standardbeteende: blockera inkommande, tillåt utgående. Det är alltså reglerna för profilen Public som räknas.

Så här ser du vad som släpps in:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Vi räknade 54 aktiva inkommande regler. De flesta hör till Windows självt (Core Networking, Cast to Device, mDNS), plus de tre reglerna för Fjärrskrivbord. Ping fanns inte bland dem.

2. Öppna en port

Säg att din app lyssnar på TCP-port 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Regeln gäller i samma stund som den skapas. Från vår andra dator gick port 8080 från blockerad till öppen, medan port 8081, där ett program också lyssnade, förblev blockerad. En regel utan -Profile gäller alla profiler, även Public.

För ett intervall eller en lista använder du -LocalPort 8000-8010 eller -LocalPort 80,443. För UDP ändrar du -Protocol.

3. Tillåt bara vissa adresser

De flesta tjänster behöver inte ta emot hela internet. Begränsa regeln till de adresser som ska ansluta:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Vi testade båda varianterna. Med en främmande adress i -RemoteAddress kunde vår testdator inte längre ansluta. Med dess egen adress tillagd gick det. Använd samma parameter på reglerna för Fjärrskrivbord för att hålla RDP bara för ditt kontor. Om din IP hemma byts ofta, tänk efter en extra gång innan du gör så för RDP.

4. Slå på ping

Från början svarar Windows inte på ping. Regeln finns men är avstängd:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Efter det svarade vår server på ping direkt. Övervakningsverktyg som kontrollerar tillgänglighet med ping behöver det. För att stänga av det igen använder du Disable-NetFirewallRule med samma namn.

5. Logga vad som blockeras

När något inte kan ansluta och du inte vet varför, låt brandväggen skriva upp vad den avvisar:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Varje blockerat försök blir en rad som den här:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Den läses så här: datum och tid, åtgärd, protokoll, källadress, din servers adress, källport, målport. Ha tålamod: Windows skriver loggen i omgångar, och våra testrader dök upp ungefär en minut efter försöken. Gränsen på 4 MB hindrar filen från att växa i det oändliga.

6. Säkerhetskopiera och städa

Spara alla regler i en fil före en stor ändring:

netsh advfirewall export C:\fw-backup.wfw

Vår export var 148 kB. netsh advfirewall import C:\fw-backup.wfw återställer exakt den uppsättningen och ersätter det som finns nu. Ta bort en regel du inte längre behöver med namn:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Om du låser ute dig själv

Om en regel stänger av ditt eget Fjärrskrivbord, öppna konsolen i din kontrollpanel. Den går inte via RDP, så du kan logga in och köra Remove-NetFirewallRule eller Set-NetFirewallRule för att ångra.

NAT eller egen IP

På NAT-planer når internet din server genom en enda personlig port, som leder till Fjärrskrivbord. Andra portar förblir onåbara utifrån, vad du än tillåter i Windows-brandväggen. För att servera en webbplats eller ta emot anslutningar på andra portar behöver du en egen IPv4: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/mån) ger dig en med alla portar öppna, och då är det Windows-brandväggen som bestämmer. Windows-Small kostar $11/mån med NAT. Alla fyra Windows-planer finns på sidan Windows VPS, och betalning sker i USDT, USDC eller ETH på Base, Ethereum eller Polygon.

Så konfigurerar du Windows-brandväggen på en VPS: öppna en port, tillåt en IP, se vad som blockeras