Windows Firewall: جو ضروری ہے اسے کھولنا

Windows Server والے VDS پر، فائر وال ہی آپ کی سروسز اور انٹرنیٹ کے درمیان واحد فلٹر ہے: IPv4 ایڈریس پبلک ہے، اور مشین کے سامنے کوئی بیرونی شیلڈ موجود نہیں۔ لہٰذا اصول سادہ ہے: صرف وہی چیز باہر کے لیے کھلی ہے جو آپ نے جان بوجھ کر کھولی ہو۔

اس وقت کیا کھلا ہے

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction
Get-NetFirewallRule -Enabled True -Direction Inbound |
  Where-Object Action -eq Allow |
  Get-NetFirewallPortFilter | Select-Object Protocol, LocalPort -Unique
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess

آخری کمانڈ دکھاتی ہے کہ کون سی پورٹس بالکل سن رہی ہیں۔ کوئی سروس جو صرف 127.0.0.1 پر سن رہی ہو، قواعد سے قطع نظر باہر سے قابل رسائی نہیں ہوتی۔

پورٹ کھولیں

ویب سرور:

New-NetFirewallRule -DisplayName "HTTP" -Direction Inbound -Protocol TCP -LocalPort 80 -Action Allow
New-NetFirewallRule -DisplayName "HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

صرف قابل اعتماد ایڈریسز کے لیے اپنی سروس:

New-NetFirewallRule -DisplayName "App 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 `
  -RemoteAddress 203.0.113.5,198.51.100.0/24 -Action Allow

پورٹ کے بجائے کسی مخصوص پروگرام کے لیے قاعدہ زیادہ قابل اعتماد ہوتا ہے اگر ایپلیکیشن ڈائنامک پورٹس استعمال کرتی ہو:

New-NetFirewallRule -DisplayName "MyApp" -Direction Inbound -Program "C:\apps\myapp.exe" -Action Allow

قاعدہ حذف کریں اور دیکھیں:

Remove-NetFirewallRule -DisplayName "App 8080"
Get-NetFirewallRule -DisplayName "App 8080" | Format-List

کیا بند رکھنا ہے

ایڈریسز کی پابندی کے بغیر کبھی باہر کے لیے ظاہر نہ کریں:

اگر آپ کو اپنے کمپیوٹر سے ڈیٹا بیس تک رسائی درکار ہو تو 1433 نہ کھولیں؛ اس کے بجائے RDP سیشن کے اندر پورٹ فارورڈ کریں یا VPN سیٹ اپ کریں۔

تصدیق

مشین کے اندر سے کوئی پورٹ سن رہی ہو، اس کا مطلب یہ نہیں کہ وہ باہر سے قابل رسائی ہے۔ کسی دوسرے ہوسٹ سے جانچیں:

nc -vz YOUR_ADDRESS 443
curl -I http://YOUR_ADDRESS

اگر یہ باہر سے بند ہے مگر Get-NetTCPConnection ایک لسنر دکھاتی ہے، تو مسئلہ قاعدے یا نیٹ ورک پروفائل میں ہے: یقینی بنائیں کہ قاعدہ اُس پروفائل میں بنایا گیا ہے جو فعال ہے (عام طور پر “Public network”)۔

عام غلطیاں

• ”ڈی بگنگ کے لیے“ فائر وال مکمل طور پر بند کر دینا۔ مشین آپ کے فارغ ہونے سے پہلے ہی ڈھونڈ لی جائے گی۔ اس کے بجائے ایڈریس کی پابندی کے ساتھ عارضی قاعدہ بنائیں۔
• پورٹ کھول کر ایپلیکیشن کو بھول جانا۔ بہت سی سروسز بطور ڈیفالٹ صرف لوکل ہوسٹ پر سنتی ہیں؛ قاعدے کا اس سے کوئی تعلق نہیں۔
• خود کو RDP سے باہر کر دینا۔ اس کے بعد پینل /hosting/vds/m/<id> میں “Console” ٹیب سے، “Screen” موڈ میں لاگ ان کریں، اور وہیں سے قاعدہ ایڈٹ کریں۔
• ڈینی قاعدے کے اوپر اللو قاعدہ بنانا۔ Windows میں ڈینی ہمیشہ اللو پر غالب آتا ہے — اسی پورٹ والا بلاکنگ قاعدہ تلاش کریں۔

ہر تبدیلی کے بعد کنفیگریشن کا اسنیپ شاٹ محفوظ کرنا مفید رہتا ہے: Get-NetFirewallRule -Enabled True | Export-Csv C:\fw.csv۔ اس طرح جب کوئی سروس اچانک جواب دینا بند کر دے تو آپ سمجھ سکیں گے کہ کیا تبدیل ہوا تھا۔