Windows Firewall: ज़रूरी चीज़ें खोलना

Windows Server वाले VDS पर फ़ायरवॉल ही आपकी सेवाओं और इंटरनेट के बीच एकमात्र फ़िल्टर है: IPv4 पता सार्वजनिक होता है, और मशीन के आगे कोई बाहरी शील्ड नहीं होती। इसलिए नियम सीधा है: बाहर से सिर्फ़ वही दिखता है जो आपने जान-बूझकर खोला है।

अभी क्या खुला है

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

आख़िरी कमांड दिखाती है कि कौन-से पोर्ट सुन ही रहे हैं। जो सेवा सिर्फ़ 127.0.0.1 पर सुन रही है, वह नियमों की परवाह किए बिना बाहर से पहुँच से बाहर रहती है।

पोर्ट खोलें

वेब सर्वर:

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

सिर्फ़ भरोसेमंद पतों के लिए अपनी सेवा:

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

अगर एप्लिकेशन डायनैमिक पोर्ट इस्तेमाल करता है, तो पोर्ट के बजाय किसी ख़ास प्रोग्राम के लिए नियम ज़्यादा भरोसेमंद रहता है:

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

नियम हटाएँ और देखें:

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

क्या बंद रखें

पतों से सीमित किए बिना कभी भी बाहर के लिए न खोलें:

अगर आपको अपने कंप्यूटर से डेटाबेस तक पहुँचना है, तो 1433 न खोलें; इसके बजाय RDP सेशन के अंदर पोर्ट फ़ॉरवर्ड करें या VPN सेट करें।

जाँच

मशीन के अंदर से कोई पोर्ट सुनाई देना इसका मतलब नहीं कि वह बाहर से पहुँच में है। किसी दूसरे होस्ट से जाँचें:

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

अगर बाहर से बंद है लेकिन Get-NetTCPConnection लिसनर दिखाता है, तो दिक्कत नियम या नेटवर्क प्रोफ़ाइल में है: पक्का करें कि नियम उसी प्रोफ़ाइल में बनाया गया है जो सक्रिय है (आम तौर पर “Public network”)।

आम ग़लतियाँ

• “डीबगिंग के लिए” फ़ायरवॉल पूरी तरह बंद कर देना। आपके काम ख़त्म करने से पहले ही मशीन ढूँढ ली जाएगी। इसके बजाय पते की सीमा वाला अस्थायी नियम बनाएँ।
• पोर्ट खोल देना लेकिन एप्लिकेशन भूल जाना। कई सेवाएँ डिफ़ॉल्ट रूप से सिर्फ़ localhost पर सुनती हैं; नियम का इससे कोई लेना-देना नहीं।
• ख़ुद को RDP से बाहर कर देना। ऐसा होने पर पैनल /hosting/vds/m/<id> के “Console” टैब से, “Screen” मोड में लॉग इन करें और वहीं से नियम एडिट करें।
• deny नियम के ऊपर allow नियम बना देना। Windows में deny हमेशा allow पर भारी पड़ता है — उसी पोर्ट वाला ब्लॉक करने वाला नियम ढूँढें।

हर बदलाव के बाद कॉन्फ़िगरेशन का स्नैपशॉट सेव कर लेना काम आता है: Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv। इससे आप समझ पाएँगे कि जब कोई सेवा अचानक जवाब देना बंद कर दे, तो क्या बदला था।