جدار حماية Windows: فتح ما هو مطلوب

على VDS يعمل بنظام Windows Server، تكون الجدار الناري هو الفلتر الوحيد بين خدماتك والإنترنت: عنوان IPv4 عام، ولا توجد درع خارجي أمام الجهاز. لذا القاعدة بسيطة: لا يُكشف للخارج إلا ما فتحته عن قصد.

ما هو مفتوح الآن

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

يُظهر الأمر الأخير المنافذ التي تستمع فعليًا. الخدمة التي تستمع على 127.0.0.1 فقط لا يمكن الوصول إليها من الخارج بغض النظر عن القواعد.

فتح منفذ

خادم ويب:

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

خدمتك الخاصة لعناوين موثوقة فقط:

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

قاعدة لبرنامج محدد بدلًا من منفذ أكثر موثوقية إذا كان التطبيق يستخدم منافذ ديناميكية:

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

حذف قاعدة وعرضها:

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

ما يجب إبقاؤه مغلقًا

لا تكشف أبدًا للخارج دون تقييد بالعناوين:

إذا كنت بحاجة إلى الوصول إلى قاعدة البيانات من حاسوبك، فلا تفتح 1433؛ بدلًا من ذلك، أعد توجيه المنفذ داخل جلسة RDP أو أعدّ VPN.

التحقق

استماع المنفذ من داخل الجهاز لا يعني أنه متاح من الخارج. تحقق من مضيف آخر:

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

إذا كان مغلقًا من الخارج لكن يُظهر Get-NetTCPConnection مستمعًا، فالمشكلة في القاعدة أو ملف تعريف الشبكة: تأكد من إنشاء القاعدة في ملف التعريف النشط (عادةً «الشبكة العامة»).

أخطاء شائعة

• تعطيل الجدار الناري بالكامل «لأغراض التصحيح». سيُكتشف الجهاز قبل أن تنتهي. بدلًا من ذلك، أنشئ قاعدة مؤقتة مع تقييد بالعناوين.
• فتح منفذ لكن نسيان التطبيق. كثير من الخدمات تستمع على localhost فقط افتراضيًا؛ لا علاقة للقاعدة بذلك.
• حبس نفسك خارج RDP. بعد ذلك، سجّل الدخول عبر تبويب «Console» في لوحة التحكم /hosting/vds/m/<id>، وضع «Screen»، وعدّل القاعدة من هناك.
• إنشاء قاعدة سماح فوق قاعدة رفض. في Windows، يفوز الرفض دائمًا على السماح — ابحث عن قاعدة حظر بالمنفذ نفسه.

بعد كل تغيير، من المفيد حفظ لقطة من الإعدادات: Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv. بهذه الطريقة ستفهم ما الذي تغيّر عندما تتوقف خدمة عن الاستجابة فجأة.