VPS'te Windows Güvenlik Duvarı nasıl ayarlanır: port açmak, tek IP'ye izin vermek, neyin engellendiğini görmek

Windows Server güvenlik duvarı açık olarak gelir ve bu doğru varsayılandır: dışarıdan bağlanmaya çalışan her şey, bir kural izin vermedikçe geri çevrilir. Kendi işinizi çalıştırdığınızda bunu değiştirmeniz gerekir; örneğin 8080 portunda bir web uygulaması ya da yalnızca ofisinizin erişmesi gereken bir hizmet. Bu rehber her şeyi Windows Server 2022'de PowerShell ile yapıyor. Her kuralı imajımızda denedik ve ikinci bir makineden test ettik, yani portu gerçekten açıp kapattığını biliyorsunuz.

PowerShell'i yönetici olarak açın. Henüz yapmadıysanız önce RDP'yi güvenli hale getirin: o rehber Uzak Masaüstü'nün kendisini sınırlamayı anlatıyor.

1. Neyin açık olduğuna bakın

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Yeni sunucumuzda üç profilin üçü de (Domain, Private, Public) açıktı ve ağ bağdaştırıcısı Public profilindeydi. DefaultInboundAction değeri NotConfigured gösteriyor; bu, Windows'un varsayılan davranışı demek: geleni engelle, gidene izin ver. Yani önemli olan Public profilinin kurallarıdır.

İçeri neyin izinli olduğunu görmek için:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

54 etkin gelen kural saydık. Çoğu Windows'un kendisine ait (Core Networking, Cast to Device, mDNS), artı Uzak Masaüstü'nün üç kuralı. Ping aralarında yoktu.

2. Bir port açın

Uygulamanızın TCP 8080 portunu dinlediğini varsayalım:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Kural oluşturulduğu anda çalışır. İkinci makinemizden 8080 portu engelliden açığa geçti; üzerinde yine bir programın dinlediği 8081 ise engelli kaldı. -Profile belirtilmeyen bir kural Public dahil tüm profillerde geçerlidir.

Bir aralık ya da liste için -LocalPort 8000-8010 veya -LocalPort 80,443 kullanın. UDP için -Protocol değerini değiştirin.

3. Yalnızca belirli adreslere izin verin

Çoğu hizmetin tüm interneti kabul etmesi gerekmez. Kuralı bağlanması gereken adreslerle sınırlayın:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

İki durumu da test ettik. -RemoteAddress içinde yabancı bir adres varken test makinemiz artık bağlanamadı. Kendi adresi eklenince bağlanabildi. Aynı parametreyi Uzak Masaüstü kurallarına koyarak RDP'yi yalnızca ofisinize bırakabilirsiniz. Evdeki IP'niz sık değişiyorsa RDP için bunu yapmadan önce iki kez düşünün.

4. Ping'i açın

Kutudan çıktığı haliyle Windows ping'e yanıt vermez. Kural vardır ama kapalıdır:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Bundan sonra sunucumuz ping'e hemen yanıt verdi. Erişilebilirliği ping ile kontrol eden izleme araçları buna ihtiyaç duyar. Yeniden kapatmak için aynı adla Disable-NetFirewallRule kullanın.

5. Neyin engellendiğini günlüğe yazın

Bir şey bağlanamıyor ve nedenini bilmiyorsanız, güvenlik duvarına reddettiklerini yazdırın:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Engellenen her deneme şöyle bir satıra dönüşür:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Şöyle okunur: tarih ve saat, eylem, protokol, kaynak adres, sunucunuzun adresi, kaynak port, hedef port. Sabırlı olun: Windows günlüğü toplu halde yazar ve test kayıtlarımız denemelerden yaklaşık bir dakika sonra göründü. 4 MB sınırı dosyanın sonsuza dek büyümesini önler.

6. Yedekleyin ve temizleyin

Büyük bir değişiklikten önce tüm kuralları bir dosyaya kaydedin:

netsh advfirewall export C:\fw-backup.wfw

Dışa aktarımımız 148 KB tuttu. netsh advfirewall import C:\fw-backup.wfw tam olarak o kümeyi geri yükler ve mevcut olanın yerine koyar. Artık gerekmeyen bir kuralı adıyla silin:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Kendinizi dışarıda bıraktıysanız

Bir kural kendi Uzak Masaüstü erişiminizi keserse panelinizdeki konsolu açın. RDP üzerinden geçmez, böylece giriş yapıp geri almak için Remove-NetFirewallRule ya da Set-NetFirewallRule çalıştırabilirsiniz.

NAT mı, kendi IP'niz mi

NAT planlarında internet sunucunuza Uzak Masaüstü'ne giden tek bir kişisel port üzerinden ulaşır. Windows Güvenlik Duvarı'nda neye izin verirseniz verin diğer portlar dışarıdan erişilemez kalır. Bir web sitesi sunmak ya da başka portlarda bağlantı kabul etmek için kendi IPv4'ünüz gerekir: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/ay) tüm portları açık bir adres verir, o zaman karar Windows Güvenlik Duvarı'nındır. Windows-Small NAT ile $11/ay. Dört Windows planının tamamı Windows VPS sayfasında; ödeme Base, Ethereum veya Polygon üzerinde USDT, USDC ya da ETH ile yapılır.