Windows Firewall: otvaranje onoga što treba

Kako da otvoriš port za svoju uslugu, ograničiš pristup po adresi i proveriš da pravilo zaista radi, a da ne izgubiš pristup serveru.

Ažurirano 23. avgust 2026.

Na VDS-u sa Windows Server, firewall je jedini filter između tvojih servisa i interneta: IPv4 adresa je javna i nema spoljnog štita ispred mašine. Zato je pravilo jednostavno: spolja je izloženo samo ono što si namerno otvorio.

Šta je trenutno otvoreno

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

Poslednja komanda pokazuje koji portovi uopšte slušaju. Servis koji sluša samo na 127.0.0.1 nije dostupan spolja bez obzira na pravila.

Otvaranje porta

Web server:

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

Sopstveni servis samo za pouzdane adrese:

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

Pravilo za konkretan program umesto za port je pouzdanije ako aplikacija koristi dinamičke portove:

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

Brisanje i pregled pravila:

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

Šta držati zatvoreno

Nikada ne izlaži spolja bez ograničenja po adresama:

Port	Servis	Zašto
3389	RDP	brute-force napadi na lozinku počinju već u prvim satima, vidi Zaštita RDP-a
1433	MS SQL	baza podataka ne treba da bude dostupna sa interneta, vidi MS SQL Server
5985, 5986	WinRM	daljinsko upravljanje, samo sa tvojih adresa
445	SMB	klasična meta za masovne napade

Ako ti je potreban pristup bazi podataka sa svog računara, ne otvaraj 1433; umesto toga prosledi port unutar RDP sesije ili podesi VPN.

Provera

To što port sluša iz same mašine ne znači da je dostupan spolja. Proveri sa drugog hosta:

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

Ako je spolja zatvoren, a Get-NetTCPConnection prikazuje listener, problem je u pravilu ili mrežnom profilu: uveri se da je pravilo napravljeno u profilu koji je aktivan (obično „Public network”).

Česte greške

Potpuno isključivanje firewall-a „radi debagovanja”. Mašina će biti pronađena pre nego što završiš. Umesto toga napravi privremeno pravilo sa ograničenjem po adresi.
Otvaranje porta, a zaboravljanje na aplikaciju. Mnogi servisi podrazumevano slušaju samo na localhost-u; pravilo nema nikakve veze s tim.
Zaključavanje sebe van RDP-a. Nakon toga se prijavi preko kartice „Console” u panelu /hosting/vds/m/<id>, režim „Screen”, i odatle izmeni pravilo.
Pravljenje allow pravila povrh deny pravila. U Windows-u deny uvek pobeđuje allow — potraži blokirajuće pravilo sa istim portom.

Posle svake izmene korisno je sačuvati snimak konfiguracije: Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv. Tako ćeš razumeti šta se promenilo kada servis odjednom prestane da odgovara.