Windows Firewall: otvor to, čo treba

Ako otvoriť port pre svoju službu, obmedziť prístup podľa adresy a overiť, že pravidlo naozaj funguje, bez straty prístupu k serveru.

Aktualizované 23. augusta 2026

Na VDS s Windows Server je firewall jediný filter medzi tvojimi službami a internetom: IPv4 adresa je verejná a pred strojom nestojí žiadny externý štít. Preto platí jednoduché pravidlo: von sa dostane len to, čo si vedome otvoril.

Čo je otvorené teraz

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

Posledný príkaz ukáže, ktoré porty vôbec počúvajú. Služba, ktorá počúva len na 127.0.0.1, nie je zvonku dostupná bez ohľadu na pravidlá.

Otvorenie portu

Webový server:

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

Vlastná služba len pre dôveryhodné adresy:

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

Pravidlo pre konkrétny program namiesto portu je spoľahlivejšie, ak aplikácia používa dynamické porty:

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

Odstránenie a zobrazenie pravidla:

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

Čo nechať zatvorené

Nikdy nevystavuj von bez obmedzenia podľa adries:

Port	Služba	Prečo
3389	RDP	hádanie hesiel začína už v prvých hodinách, pozri Ochrana RDP
1433	MS SQL	databáza by nemala byť dostupná z internetu, pozri MS SQL Server
5985, 5986	WinRM	vzdialená správa, len z vlastných adries
445	SMB	klasický terč hromadných útokov

Ak potrebuješ pristupovať k databáze zo svojho počítača, neotváraj 1433; namiesto toho presmeruj port v rámci RDP relácie alebo si nastav VPN.

Overenie

To, že port počúva zvnútra stroja, neznamená, že je dostupný zvonku. Over to z iného hostiteľa:

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

Ak je zvonku zatvorený, ale Get-NetTCPConnection ukazuje listener, problém je v pravidle alebo v sieťovom profile: uisti sa, že pravidlo je vytvorené v profile, ktorý je aktívny (zvyčajne „Verejná sieť“).

Časté chyby

Úplné vypnutie firewallu „na ladenie“. Stroj nájdu skôr, než skončíš. Namiesto toho vytvor dočasné pravidlo s obmedzením podľa adries.
Otvoríš port, ale zabudneš na aplikáciu. Mnohé služby štandardne počúvajú len na localhoste; pravidlo s tým nemá nič spoločné.
Zamkneš sa mimo RDP. Potom sa prihlás cez kartu „Konzola“ v ovládacom paneli /hosting/vds/m/<id>, režim „Obrazovka“, a pravidlo uprav odtiaľ.
Vytvoríš pravidlo povolenia nad pravidlom zakázania. Vo Windows vždy vyhrá zakázanie nad povolením — hľadaj blokujúce pravidlo s rovnakým portom.

Po každej zmene je užitočné uložiť si snímku konfigurácie: Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv. Vďaka tomu pochopíš, čo sa zmenilo, keď služba zrazu prestane odpovedať.