WindowsServer 2025 総合ガイド 第07回
Windows Defender Firewall ― ネットワークセキュリティの第一歩

第6回では、ネットワーク設定の基礎として、IPアドレス、サブネットマスク、DNSの概念を学び、PowerShellで設定の確認・変更・トラブルシューティングを行う方法を習得しました。第7回となる今回は、サーバーのセキュリティを守る最前線である「Windows Defender Firewall」について学びます。ファイアウォールの役割と仕組みを理解し、受信規則・送信規則の確認・作成、実務で必要なポート開放設定をPowerShellで行えるようになりましょう。

目次

1. 7.1 この記事で学ぶこと
2. 7.2 前提条件
3. 7.3 ファイアウォールの基本概念
   1. 7.3.1 ファイアウォールとは
   2. 7.3.2 受信規則と送信規則
   3. 7.3.3 ステートフルインスペクション
4. 7.4 プロファイルの理解
   1. 7.4.1 3種類のプロファイル
   2. 7.4.2 プロファイルの確認
   3. 7.4.3 プロファイルの変更
5. 7.5 ファイアウォールの状態確認
   1. 7.5.1 プロファイルごとの状態確認
   2. 7.5.2 詳細な設定の確認
   3. 7.5.3 ファイアウォールの有効化・無効化
6. 7.6 ファイアウォール規則の確認
   1. 7.6.1 規則の一覧表示
   2. 7.6.2 規則の詳細確認
   3. 7.6.3 規則の検索
7. 7.7 ファイアウォール規則の作成
   1. 7.7.1 基本パラメータ
   2. 7.7.2 基本的な規則の作成例
   3. 7.7.3 プログラムを指定した規則
   4. 7.7.4 複数ポートを一括で開放
8. 7.8 規則の管理
   1. 7.8.1 規則の有効化・無効化
   2. 7.8.2 規則の変更
   3. 7.8.3 規則の削除
   4. 7.8.4 規則管理のまとめ
9. 7.9 実践例
   1. 7.9.1 RDP（TCP 3389）の規則確認
   2. 7.9.2 HTTP/HTTPS（TCP 80/443）の開放
   3. 7.9.3 SSH（TCP 22）の開放
   4. 7.9.4 カスタムアプリケーション用ポートの開放
   5. 7.9.5 特定IPアドレスからのみ許可
10. 7.10 トラブルシューティング
    1. 7.10.1 接続できない場合の確認手順
    2. 7.10.2 ログの有効化と確認
    3. 7.10.3 一時的な無効化によるテスト
    4. 7.10.4 トラブルシューティングのフローチャート
11. 7.11 よくあるエラーと対処法
12. 7.12 まとめ
13. 7.13 次回予告
14. 7.14 参考リンク

7.1 この記事で学ぶこと#

• ファイアウォールの役割と仕組み（受信規則・送信規則・ステートフルインスペクション）を理解する
• ファイアウォールプロファイルの種類と役割を理解する
• PowerShellでファイアウォールの状態確認と規則の検索ができる
• 実務で必要なポート開放（HTTP/HTTPS/SSH等）の設定ができる
• ファイアウォール規則の作成・変更・削除ができる
• トラブルシューティングの基本手順を身につける

7.2 前提条件#

• 第6回完了（ネットワーク設定の基礎を理解していること）
• Windows Server 2025にリモートデスクトップ接続できる状態
• PowerShell 7.4を管理者として起動できる状態

7.3 ファイアウォールの基本概念#

ネットワークの設定ができるようになったら、次に考えるべきは「セキュリティ」です。サーバーはインターネットに公開されているため、不正なアクセスや攻撃から守る仕組みが必要です。その最初の防御ラインがファイアウォールです。

7.3.1 ファイアウォールとは#

ファイアウォール（Firewall）とは、ネットワークトラフィック（通信データ）を監視・制御し、許可された通信のみを通過させるセキュリティシステムです。名前の由来は「防火壁」で、建物の火災時に炎の広がりを防ぐ壁になぞらえて名付けられました。

サーバーに届くすべての通信は、ファイアウォールによって「許可するか」「拒否するか」を判断されます。Windows Server 2025に標準搭載されている「Windows Defender Firewall with Advanced Security」は、OSレベルで動作するホストベースファイアウォールです。ホストベースファイアウォールとは、個々のコンピュータ上で動作するファイアウォールのことで、ネットワーク機器のファイアウォールとは異なり、そのコンピュータ宛ての通信のみを制御します。

ファイアウォールの判断基準は主に以下の情報です。

• 送信元・宛先IPアドレス: どのコンピュータからの通信か、どのコンピュータ宛ての通信か
• プロトコル: TCP、UDP、ICMPなど、通信の種類
• ポート番号: どのサービス（アプリケーション）宛ての通信か
• 通信の方向: 外部から内部へ（受信）か、内部から外部へ（送信）か
• プログラム: どのアプリケーションが通信しているか

7.3.2 受信規則と送信規則#

ファイアウォールの規則は、通信の方向によって2種類に分類されます。

受信規則（Inbound Rules）

受信規則は、外部からサーバーに向かってくる通信（インバウンドトラフィック）を制御します。たとえば、クライアントPCからサーバーへのRDP接続や、WebブラウザからサーバーへのHTTPリクエストは受信トラフィックです。

Windows Defender Firewallのデフォルト動作では、受信トラフィックは原則として拒否（ブロック）されます。明示的に許可する規則がなければ、外部からの通信はサーバーに到達しません。これは「ホワイトリスト方式」と呼ばれ、必要な通信のみを明示的に許可する安全な方式です。

送信規則（Outbound Rules）

送信規則は、サーバーから外部に向かう通信（アウトバウンドトラフィック）を制御します。たとえば、サーバーからWindows Updateサーバーへの接続や、外部APIへのリクエストは送信トラフィックです。

デフォルトでは、送信トラフィックは原則として許可されます。サーバーから外部への通信は基本的にすべて通過できます。必要に応じて、特定の送信トラフィックをブロックする規則を作成することもできます。

7.3.3 ステートフルインスペクション#

Windows Defender Firewallは「ステートフルインスペクション」という仕組みを採用しています。これは、通信の「状態」を追跡する機能です。

たとえば、サーバーからWindows Updateサーバーに接続する場合を考えましょう。送信規則によってサーバーからの通信は許可されますが、Windows Updateサーバーからの応答（戻りの通信）はどうなるでしょうか。受信規則のデフォルトは「ブロック」ですから、何も設定がなければ応答が届きません。

ステートフルインスペクションは、この問題を解決します。サーバーが開始した通信（送信）に対する応答（受信）は、確立済みの接続として自動的に許可されます。つまり、サーバーが自ら開始した通信の応答については、受信規則を個別に作成する必要がありません。

ポイント: ステートフルインスペクションのおかげで、管理者は「外部からの新規接続を許可するかどうか」に集中して規則を設計できます。サーバーが自ら開始した通信の戻りパケットは自動的に追跡・許可されるため、送信規則に対応する受信規則を別途作成する必要はありません。

7.4 プロファイルの理解#

Windows Defender Firewallでは、ネットワーク接続ごとに「プロファイル」が割り当てられ、プロファイルごとに異なるファイアウォール規則を適用できます。これにより、接続先のネットワーク環境に応じてセキュリティレベルを自動的に切り替えられます。

7.4.1 3種類のプロファイル#

VPS環境での注意: ConoHa for Windows Serverなどのクラウド/VPS環境では、ネットワークインターフェースのプロファイルは通常「パブリック」に設定されています。インターネットに直接接続されたサーバーでは、パブリックプロファイルが最も適切なプロファイルです。

7.4.2 プロファイルの確認#

現在のネットワーク接続に割り当てられているプロファイルは、Get-NetConnectionProfileコマンドレットで確認できます。

[実行環境: PowerShell 7.4 (管理者)]

# 現在のネットワーク接続プロファイルを確認
Get-NetConnectionProfile

実行結果の例:

Name             : ネットワーク
InterfaceAlias   : Ethernet0
InterfaceIndex   : 6
NetworkCategory  : Public
DomainAuthenticationKind : None
IPv4Connectivity : Internet
IPv6Connectivity : NoTraffic

NetworkCategoryの値が現在のプロファイルを示しています。上記の例では「Public」（パブリック）です。

7.4.3 プロファイルの変更#

ネットワーク接続のプロファイルを変更するには、Set-NetConnectionProfileコマンドレットを使用します。

[実行環境: PowerShell 7.4 (管理者)]

# ネットワークプロファイルをプライベートに変更する例
Set-NetConnectionProfile -InterfaceAlias "Ethernet0" -NetworkCategory Private

注意: VPS環境ではプロファイルを「パブリック」のままにしておくことを推奨します。インターネットに直接接続されたサーバーのプロファイルを「プライベート」に変更すると、パブリックプロファイルよりも緩い規則が適用され、セキュリティが低下する可能性があります。プロファイルの変更は、その影響を十分に理解した上で行ってください。

7.5 ファイアウォールの状態確認#

ファイアウォールの規則を操作する前に、まず現在のファイアウォールの状態を確認しましょう。

7.5.1 プロファイルごとの状態確認#

Get-NetFirewallProfileコマンドレットで、各プロファイルのファイアウォール設定を確認できます。

[実行環境: PowerShell 7.4 (管理者)]

# 全プロファイルの状態を確認
Get-NetFirewallProfile |
    Select-Object -Property Name, Enabled, DefaultInboundAction, DefaultOutboundAction

実行結果の例:

Name    Enabled DefaultInboundAction DefaultOutboundAction
----    ------- -------------------- ---------------------
Domain     True                Block                 Allow
Private    True                Block                 Allow
Public     True                Block                 Allow

各プロパティの意味は以下のとおりです。

7.5.2 詳細な設定の確認#

ログ設定を含む詳細情報を確認するには、特定のプロファイルを指定して全プロパティを表示します。

[実行環境: PowerShell 7.4 (管理者)]

# パブリックプロファイルの詳細設定を確認
Get-NetFirewallProfile -Name Public |
    Select-Object -Property Name, Enabled, DefaultInboundAction, DefaultOutboundAction,
        LogFileName, LogMaxSizeKilobytes, LogAllowed, LogBlocked

実行結果の例:

Name                  : Public
Enabled               : True
DefaultInboundAction  : Block
DefaultOutboundAction : Allow
LogFileName           : %systemroot%\system32\LogFiles\Firewall\pfirewall.log
LogMaxSizeKilobytes   : 4096
LogAllowed            : False
LogBlocked            : False

デフォルトでは、ファイアウォールのログ記録（LogAllowed、LogBlocked）は無効になっています。トラブルシューティング時にはログを有効化すると便利ですが、これについては後述します。

7.5.3 ファイアウォールの有効化・無効化#

Set-NetFirewallProfileコマンドレットで、ファイアウォールの有効・無効を切り替えることができます。

[実行環境: PowerShell 7.4 (管理者)]

# パブリックプロファイルのファイアウォールを無効化する例（非推奨）
Set-NetFirewallProfile -Name Public -Enabled False

# パブリックプロファイルのファイアウォールを有効化する
Set-NetFirewallProfile -Name Public -Enabled True

⚠️ 重要な警告: ファイアウォールの無効化は非推奨です

ファイアウォールを無効化すると、サーバーへのすべての受信トラフィックが許可されてしまい、セキュリティが大幅に低下します。特にVPS環境では、サーバーがインターネットに直接公開されているため、ファイアウォールの無効化は極めて危険です。「通信がうまくいかない」という理由で安易にファイアウォールを無効化するのではなく、必要な規則を正しく作成することで問題を解決してください。トラブルシューティング目的で一時的に無効化する場合でも、必ず速やかに再度有効化してください。

7.6 ファイアウォール規則の確認#

Windows Server 2025には、OSのインストール時点で多数のファイアウォール規則がプリセットされています。まずは、既存の規則を確認する方法を学びましょう。

7.6.1 規則の一覧表示#

Get-NetFirewallRuleコマンドレットで、設定されている規則の一覧を取得できます。

[実行環境: PowerShell 7.4 (管理者)]

# 全規則の件数を確認
(Get-NetFirewallRule).Count

実行結果の例:

395

Windows Server 2025には数百件の規則が登録されています。すべてを一度に確認するのは現実的ではないため、フィルタリングが重要です。

[実行環境: PowerShell 7.4 (管理者)]

# 有効な受信規則の一覧を表示
Get-NetFirewallRule -Enabled True -Direction Inbound |
    Select-Object -Property DisplayName, Profile, Action |
    Sort-Object -Property DisplayName |
    Format-Table -AutoSize

実行結果の例（一部抜粋）:

DisplayName                                            Profile Action
-----------                                            ------- ------
Core Networking - DNS (UDP-In)                             Any  Allow
Core Networking - Dynamic Host Configuration Protocol...   Any  Allow
Remote Desktop - User Mode (TCP-In)                        Any  Allow
Remote Desktop - User Mode (UDP-In)                        Any  Allow
Windows Remote Management (HTTP-In)                     Domain  Allow
...

7.6.2 規則の詳細確認#

Get-NetFirewallRuleコマンドレットで取得できる情報には、ポート番号やIPアドレスといった条件が含まれていません。これらの条件は「フィルターオブジェクト」として別のコマンドレットで管理されています。

ポートフィルターの確認

規則に設定されたプロトコルとポート番号は、Get-NetFirewallPortFilterコマンドレットで確認します。

[実行環境: PowerShell 7.4 (管理者)]

# Remote Desktopの受信規則に設定されたポートフィルターを確認
Get-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" |
    Get-NetFirewallPortFilter |
    Select-Object -Property Protocol, LocalPort, RemotePort

実行結果の例:

Protocol LocalPort RemotePort
-------- --------- ----------
TCP      3389      Any

アドレスフィルターの確認

規則に設定された送信元・宛先IPアドレスは、Get-NetFirewallAddressFilterコマンドレットで確認します。

[実行環境: PowerShell 7.4 (管理者)]

# Remote Desktopの受信規則に設定されたアドレスフィルターを確認
Get-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" |
    Get-NetFirewallAddressFilter |
    Select-Object -Property LocalAddress, RemoteAddress

実行結果の例:

LocalAddress RemoteAddress
------------ -------------
Any          Any

アプリケーションフィルターの確認

規則に設定されたプログラム（実行ファイル）は、Get-NetFirewallApplicationFilterコマンドレットで確認します。

[実行環境: PowerShell 7.4 (管理者)]

# Remote Desktopの受信規則に設定されたアプリケーションフィルターを確認
Get-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" |
    Get-NetFirewallApplicationFilter |
    Select-Object -Property Program

実行結果の例:

Program
-------
%SystemRoot%\system32\svchost.exe

7.6.3 規則の検索#

特定の規則を検索するにはいくつかの方法があります。

表示名での検索

[実行環境: PowerShell 7.4 (管理者)]

# 表示名にキーワードを含む規則を検索（ワイルドカード使用）
Get-NetFirewallRule -DisplayName "*Remote Desktop*" |
    Select-Object -Property DisplayName, Enabled, Direction, Action

実行結果の例:

DisplayName                              Enabled Direction Action
-----------                              ------- --------- ------
Remote Desktop - User Mode (TCP-In)         True   Inbound  Allow
Remote Desktop - User Mode (UDP-In)         True   Inbound  Allow
Remote Desktop - Shadow (TCP-In)           False   Inbound  Allow
Remote Desktop - User Mode (TCP-In)        False   Inbound  Allow
Remote Desktop - User Mode (UDP-In)        False   Inbound  Allow

ポート番号での検索

特定のポート番号に関連する規則を検索するには、ポートフィルターから逆引きします。

[実行環境: PowerShell 7.4 (管理者)]

# TCPポート3389を使用する規則を検索
Get-NetFirewallPortFilter -Protocol TCP |
    Where-Object -FilterScript { $_.LocalPort -eq "3389" } |
    Get-NetFirewallRule |
    Select-Object -Property DisplayName, Enabled, Direction, Action

実行結果の例:

DisplayName                              Enabled Direction Action
-----------                              ------- --------- ------
Remote Desktop - User Mode (TCP-In)         True   Inbound  Allow
Remote Desktop - User Mode (TCP-In)        False   Inbound  Allow

なぜフィルターオブジェクトが分離されているのか: Get-NetFirewallRuleの出力にポート番号やIPアドレスが含まれていないのは、規則本体とフィルター条件が1対1の関係で別オブジェクトとして管理されているためです。この設計により、規則の検索・変更が柔軟に行えるようになっています。規則本体を取得してからパイプラインでフィルターオブジェクトを取得する、あるいはその逆の操作に慣れておくと、ファイアウォール管理が効率的になります。

7.7 ファイアウォール規則の作成#

既存の規則を確認できるようになったら、次は新しい規則を作成してみましょう。New-NetFirewallRuleコマンドレットを使用します。

7.7.1 基本パラメータ#

New-NetFirewallRuleの主要なパラメータを以下に示します。

7.7.2 基本的な規則の作成例#

最もシンプルな規則として、特定のポートへの受信を許可する規則を作成してみましょう。

[実行環境: PowerShell 7.4 (管理者)]

# HTTP（TCPポート80）の受信を許可する規則を作成
New-NetFirewallRule `
    -DisplayName "Allow HTTP Inbound" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 80 `
    -Profile Any `
    -Description "Webサーバー用：HTTP通信を許可"

実行結果の例:

Name                  : {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}
DisplayName           : Allow HTTP Inbound
Description           : Webサーバー用：HTTP通信を許可
DisplayGroup          :
Group                 :
Enabled               : True
Profile               : Any
Platform              : {}
Direction             : Inbound
Action                : Allow
EdgeTraversalPolicy   : Block
LooseSourceMapping    : False
LocalOnlyMapping      : False
Owner                 :
PrimaryStatus         : OK
Status                : 規則は、ストアから正しく解析されました。 (65536)
EnforcementStatus     : NotApplicable
PolicyStoreSource     : PersistentStore
PolicyStoreSourceType : Local

DisplayNameの重要性: -DisplayNameパラメータで付ける名前は、後から規則を検索・管理する際の手がかりになります。「何の通信を許可/拒否しているのか」が一目で分かる名前を付けましょう。たとえば「テスト」や「rule1」のような名前は避け、「Allow HTTP Inbound」のように目的とプロトコル・方向が分かる名前にすることを推奨します。

7.7.3 プログラムを指定した規則#

ポート番号ではなく、特定のプログラム（実行ファイル）に対して通信を許可・拒否する規則も作成できます。

[実行環境: PowerShell 7.4 (管理者)]

# 特定のアプリケーションの受信を許可する規則を作成
New-NetFirewallRule `
    -DisplayName "Allow MyApp Inbound" `
    -Direction Inbound `
    -Action Allow `
    -Program "C:\Apps\MyApplication\myapp.exe" `
    -Profile Public `
    -Description "カスタムアプリケーション用の受信許可"

7.7.4 複数ポートを一括で開放#

-LocalPortパラメータには、配列で複数のポート番号を指定できます。

[実行環境: PowerShell 7.4 (管理者)]

# HTTP（80）とHTTPS（443）を一括で許可する規則を作成
New-NetFirewallRule `
    -DisplayName "Allow HTTP and HTTPS Inbound" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort @("80", "443") `
    -Profile Any `
    -Description "Webサーバー用：HTTPおよびHTTPS通信を許可"

7.8 規則の管理#

作成した規則は、有効化・無効化・変更・削除ができます。規則のライフサイクル管理を学びましょう。

7.8.1 規則の有効化・無効化#

規則を削除せずに一時的に効果を停止するには、Disable-NetFirewallRuleで無効化します。再度有効にするにはEnable-NetFirewallRuleを使用します。

[実行環境: PowerShell 7.4 (管理者)]

# 規則を無効化
Disable-NetFirewallRule -DisplayName "Allow HTTP Inbound"

# 規則の状態を確認
Get-NetFirewallRule -DisplayName "Allow HTTP Inbound" |
    Select-Object -Property DisplayName, Enabled

実行結果の例:

DisplayName          Enabled
-----------          -------
Allow HTTP Inbound     False

[実行環境: PowerShell 7.4 (管理者)]

# 規則を再度有効化
Enable-NetFirewallRule -DisplayName "Allow HTTP Inbound"

# 規則の状態を確認
Get-NetFirewallRule -DisplayName "Allow HTTP Inbound" |
    Select-Object -Property DisplayName, Enabled

実行結果の例:

DisplayName          Enabled
-----------          -------
Allow HTTP Inbound      True

7.8.2 規則の変更#

既存の規則のプロパティを変更するには、Set-NetFirewallRuleコマンドレットを使用します。

[実行環境: PowerShell 7.4 (管理者)]

# 規則の説明を変更
Set-NetFirewallRule -DisplayName "Allow HTTP Inbound" `
    -Description "Webサーバー用：HTTP通信を許可（2026年2月更新）"

アドレスフィルターを変更する場合は、フィルターオブジェクトを取得してから変更します。

[実行環境: PowerShell 7.4 (管理者)]

# 規則のリモートアドレスを特定のIPアドレスに制限
Get-NetFirewallRule -DisplayName "Allow HTTP Inbound" |
    Get-NetFirewallAddressFilter |
    Set-NetFirewallAddressFilter -RemoteAddress "203.0.113.0/24"

7.8.3 規則の削除#

Remove-NetFirewallRuleコマンドレットで規則を削除できます。

[実行環境: PowerShell 7.4 (管理者)]

# 規則を削除（確認プロンプトなし）
Remove-NetFirewallRule -DisplayName "Allow HTTP Inbound"

⚠️ 重要な警告: RDP規則の削除・無効化に注意

VPS環境でリモートデスクトップ（RDP: TCPポート3389）に関する規則を誤って削除・無効化すると、サーバーへのRDP接続ができなくなり、管理アクセスが完全に失われる可能性があります。RDPの規則を変更・削除する前に、代替のアクセス手段（VPSコントロールパネルのコンソール機能など）があることを必ず確認してください。不安な場合は、-WhatIfパラメータを使って事前に影響を確認することを強く推奨します。

[実行環境: PowerShell 7.4 (管理者)]

# -WhatIf で実際に削除せずに影響を確認
Remove-NetFirewallRule -DisplayName "Allow HTTP Inbound" -WhatIf

実行結果の例:

WhatIf: Remove-NetFirewallRule を実行する対象はここに表示されます

7.8.4 規則管理のまとめ#

7.9 実践例#

ここまで学んだ知識を活用して、実務でよく必要になるファイアウォール設定を実践してみましょう。

7.9.1 RDP（TCP 3389）の規則確認#

VPS環境では、リモートデスクトップ接続が生命線です。まず、RDPの規則が正しく設定されていることを確認しましょう。

[実行環境: PowerShell 7.4 (管理者)]

# RDP関連の有効な受信規則を確認
Get-NetFirewallRule -DisplayName "*Remote Desktop*" -Enabled True |
    Select-Object -Property DisplayName, Direction, Action, Profile

# RDP規則のポートフィルターも確認
Get-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" -Enabled True |
    Get-NetFirewallPortFilter |
    Select-Object -Property Protocol, LocalPort

実行結果の例:

DisplayName                          Direction Action Profile
-----------                          --------- ------ -------
Remote Desktop - User Mode (TCP-In)    Inbound  Allow     Any
Remote Desktop - User Mode (UDP-In)    Inbound  Allow     Any

Protocol LocalPort
-------- ---------
TCP      3389

RDPの規則が有効であり、TCPポート3389への受信が許可されていることを確認できました。

セキュリティ強化のヒント: 本番環境では、RDPの接続元IPアドレスを制限することを強く推奨します。すべてのIPアドレスからのRDP接続を許可するのではなく、管理者のIPアドレスや社内ネットワークからのみ許可するようにすることで、不正アクセスのリスクを大幅に低減できます。この設定方法は「7.9.5 特定IPアドレスからのみ許可」で解説します。

7.9.2 HTTP/HTTPS（TCP 80/443）の開放#

Webサーバーを公開する場合、HTTP（TCPポート80）とHTTPS（TCPポート443）を開放する必要があります。

[実行環境: PowerShell 7.4 (管理者)]

# HTTP（TCPポート80）の受信許可規則を作成
New-NetFirewallRule `
    -DisplayName "Allow HTTP Inbound (TCP 80)" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 80 `
    -Profile Any `
    -Description "Webサーバー公開用：HTTP通信を許可"

# HTTPS（TCPポート443）の受信許可規則を作成
New-NetFirewallRule `
    -DisplayName "Allow HTTPS Inbound (TCP 443)" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 443 `
    -Profile Any `
    -Description "Webサーバー公開用：HTTPS通信を許可"

作成した規則を確認します。

[実行環境: PowerShell 7.4 (管理者)]

# 作成した規則を確認
Get-NetFirewallRule -DisplayName "Allow HTTP*" |
    Select-Object -Property DisplayName, Enabled, Direction, Action

実行結果の例:

DisplayName                         Enabled Direction Action
-----------                         ------- --------- ------
Allow HTTP Inbound (TCP 80)            True   Inbound  Allow
Allow HTTPS Inbound (TCP 443)          True   Inbound  Allow

7.9.3 SSH（TCP 22）の開放#

OpenSSH Serverを使用してSSH接続を受け付ける場合、TCPポート22を開放します。

[実行環境: PowerShell 7.4 (管理者)]

# SSH（TCPポート22）の受信許可規則を作成
New-NetFirewallRule `
    -DisplayName "Allow SSH Inbound (TCP 22)" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 22 `
    -Profile Any `
    -Description "OpenSSH Server用：SSH接続を許可"

補足: Windows Server 2025にはOpenSSH Serverを追加インストールできます。OpenSSH Serverをインストールすると、SSHの受信規則が自動的に作成される場合があります。既に規則が存在するかどうかを確認してから作成しましょう。

[実行環境: PowerShell 7.4 (管理者)]

# SSH関連の既存規則を検索
Get-NetFirewallRule -DisplayName "*SSH*" |
    Select-Object -Property DisplayName, Enabled, Direction, Action

7.9.4 カスタムアプリケーション用ポートの開放#

業務アプリケーションやデータベースなど、標準的でないポート番号を使用するサービスのために規則を作成する例です。ここでは、TCPポート8080で動作するWebアプリケーションを想定します。

[実行環境: PowerShell 7.4 (管理者)]

# カスタムポート（TCP 8080）の受信許可規則を作成
New-NetFirewallRule `
    -DisplayName "Allow Custom WebApp Inbound (TCP 8080)" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 8080 `
    -Profile Public `
    -Description "カスタムWebアプリケーション用：TCPポート8080を許可"

7.9.5 特定IPアドレスからのみ許可#

セキュリティを強化するために、特定のIPアドレスやネットワークからの通信のみを許可する規則を作成できます。これは、管理用ポート（RDPやSSH）へのアクセスを制限する際に特に有効です。

[実行環境: PowerShell 7.4 (管理者)]

# 特定のIPアドレスからのみSSHを許可する規則を作成
New-NetFirewallRule `
    -DisplayName "Allow SSH from Admin Network" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 22 `
    -RemoteAddress "203.0.113.10" `
    -Profile Any `
    -Description "管理者のIPアドレスからのみSSH接続を許可"

複数のIPアドレスやネットワーク範囲を指定する場合は、配列で指定します。

[実行環境: PowerShell 7.4 (管理者)]

# 複数のIPアドレス/ネットワークからのRDPを許可
$allowedAddresses = @(
    "203.0.113.10",        # 管理者PC
    "198.51.100.0/24"      # オフィスネットワーク
)

New-NetFirewallRule `
    -DisplayName "Allow RDP from Trusted Sources" `
    -Direction Inbound `
    -Action Allow `
    -Protocol TCP `
    -LocalPort 3389 `
    -RemoteAddress $allowedAddresses `
    -Profile Any `
    -Description "信頼できるIPアドレスからのみRDP接続を許可"

IPアドレス制限を適用する際の注意: RDPのIPアドレス制限を行う場合は、現在使用している接続元IPアドレスが-RemoteAddressに含まれていることを必ず確認してください。含めずに適用すると、現在のRDP接続を含むすべてのRDP接続が拒否され、サーバーへのアクセスが失われます。自身のグローバルIPアドレスは、Webブラウザで「my ip address」と検索するか、PowerShellで外部サービスに問い合わせることで確認できます。

7.10 トラブルシューティング#

ファイアウォールの設定後に通信がうまくいかない場合、以下の手順で原因を調査します。

7.10.1 接続できない場合の確認手順#

「特定のポートに接続できない」というトラブルは、ファイアウォール管理でよく遭遇する問題です。以下の手順で切り分けを行いましょう。

Step 1: サービスが起動しているか確認

まず、対象のサービスが起動しているかを確認します。ファイアウォールを開放しても、サービスが停止していればそもそも通信は成立しません。

[実行環境: PowerShell 7.4 (管理者)]

# サービスの状態確認（例：IIS - W3SVC）
Get-Service -Name "W3SVC" |
    Select-Object -Property Name, Status, StartType

Step 2: ポートがリッスンしているか確認

サービスが起動していても、ポートをリッスン（待ち受け）していなければ接続できません。

[実行環境: PowerShell 7.4 (管理者)]

# TCPポート80がリッスンされているか確認
Get-NetTCPConnection -LocalPort 80 -State Listen -ErrorAction SilentlyContinue

実行結果の例（リッスンしている場合）:

LocalAddress  LocalPort RemoteAddress RemotePort State  OwningProcess
------------  --------- ------------- ---------- -----  -------------
0.0.0.0       80        0.0.0.0       0          Listen 4

結果が返らない場合、対象のポートをリッスンしているサービスがないことを意味します。

Step 3: ファイアウォール規則を確認

対象のポートに対する受信規則が存在し、有効になっているかを確認します。

[実行環境: PowerShell 7.4 (管理者)]

# TCPポート80に対する有効な受信規則を確認
Get-NetFirewallPortFilter -Protocol TCP |
    Where-Object -FilterScript { $_.LocalPort -eq "80" } |
    Get-NetFirewallRule -Enabled True -Direction Inbound -Action Allow |
    Select-Object -Property DisplayName, Enabled, Profile

Step 4: プロファイルの確認

規則が存在しても、適用されるプロファイルが現在のネットワークプロファイルと一致しない場合、規則は効果を持ちません。

[実行環境: PowerShell 7.4 (管理者)]

# 現在のネットワークプロファイルを確認
Get-NetConnectionProfile |
    Select-Object -Property InterfaceAlias, NetworkCategory

現在のプロファイルが「Public」なのに、規則が「Domain」のみに適用されている場合、その規則は効果がありません。規則の-ProfileをAnyに変更するか、現在のプロファイルを含むように修正してください。

Step 5: リモート側からの疎通確認

第6回で学んだTest-NetConnectionを使って、リモートからの接続をテストします。

[実行環境: PowerShell 7.4 (一般ユーザー: クライアントPC)]

# クライアントPCからサーバーへの疎通確認
Test-NetConnection -ComputerName "サーバーのIPアドレス" -Port 80

7.10.2 ログの有効化と確認#

ファイアウォールの動作をより詳しく調査するには、ログを有効化してブロックされた通信を記録します。

ログの有効化

[実行環境: PowerShell 7.4 (管理者)]

# パブリックプロファイルのログを有効化（ブロックされた通信を記録）
Set-NetFirewallProfile -Name Public `
    -LogBlocked True `
    -LogMaxSizeKilobytes 16384 `
    -LogFileName "%systemroot%\system32\LogFiles\Firewall\pfirewall.log"

各パラメータの意味は以下のとおりです。

ログの確認

ログファイルはテキスト形式で保存されます。PowerShellで内容を確認できます。

[実行環境: PowerShell 7.4 (管理者)]

# ログファイルの末尾20行を表示
Get-Content -Path "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" -Tail 20

実行結果の例:

#Version: 1.5
#Software: Microsoft Windows Firewall
#Time Format: Local
#Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path pid
2026-02-08 10:23:45 DROP TCP 198.51.100.50 203.0.113.5 54321 445 52 S 1234567890 0 65535 - - - RECEIVE -
2026-02-08 10:23:48 DROP TCP 198.51.100.50 203.0.113.5 54322 3306 52 S 1234567891 0 65535 - - - RECEIVE -

ログの各フィールドの意味は以下のとおりです。

特定の条件でログを絞り込む

[実行環境: PowerShell 7.4 (管理者)]

# ブロックされたTCPポート80への通信を検索
Get-Content -Path "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" |
    Select-String -Pattern "DROP.*TCP.*\s80\s"

リアルタイムでログを監視する

[実行環境: PowerShell 7.4 (管理者)]

# リアルタイムでブロックされた通信を監視（Ctrl+C で停止）
Get-Content -Path "C:\Windows\System32\LogFiles\Firewall\pfirewall.log" -Wait |
    Select-String -Pattern "DROP"

ログの無効化について: トラブルシューティングが完了したら、パフォーマンスとディスク使用量を考慮して、不要なログを無効化することを検討してください。特に-LogAllowed True（許可された通信のログ）は通信量が多いサーバーではログファイルが急速に肥大化する可能性があります。

[実行環境: PowerShell 7.4 (管理者)]

# ログの無効化
Set-NetFirewallProfile -Name Public `
    -LogBlocked False `
    -LogAllowed False

7.10.3 一時的な無効化によるテスト#

どうしても原因が特定できない場合、ファイアウォールを一時的に無効化してテストする方法があります。ファイアウォールを無効化した状態で通信が成功すれば、ファイアウォール規則に問題があると切り分けできます。

[実行環境: PowerShell 7.4 (管理者)]

# 現在のファイアウォール状態を記録
Get-NetFirewallProfile |
    Select-Object -Property Name, Enabled

# パブリックプロファイルを一時的に無効化（テスト目的のみ）
Set-NetFirewallProfile -Name Public -Enabled False

# ※ここでクライアントPCから接続テストを実施

# テスト完了後、速やかにファイアウォールを再度有効化
Set-NetFirewallProfile -Name Public -Enabled True

⚠️ 重要な警告: ファイアウォールの一時的な無効化は、あくまで最終手段としてのテスト目的でのみ使用してください。無効化中はサーバーがすべての受信トラフィックに対して無防備になります。テストが完了したら、必ず速やかにファイアウォールを再度有効化してください。VPS環境では、無効化の時間を最小限（数十秒〜数分）にとどめてください。

7.10.4 トラブルシューティングのフローチャート#

接続できない場合のトラブルシューティング手順を整理します。

接続できない
  │
  ├─ サービスは起動しているか？
  │   └─ NO → サービスを起動（Start-Service）
  │
  ├─ ポートはリッスンしているか？（Get-NetTCPConnection）
  │   └─ NO → サービスの設定を確認
  │
  ├─ 受信規則は存在するか？（Get-NetFirewallRule）
  │   └─ NO → 規則を作成（New-NetFirewallRule）
  │
  ├─ 規則は有効か？（Enabled = True）
  │   └─ NO → 規則を有効化（Enable-NetFirewallRule）
  │
  ├─ プロファイルは一致しているか？
  │   └─ NO → 規則のプロファイルを修正（Set-NetFirewallRule）
  │
  ├─ アドレス制限はないか？
  │   └─ あり → 送信元IPアドレスが許可範囲内か確認
  │
  └─ ファイアウォールを一時無効化してテスト
      ├─ 接続成功 → ファイアウォール規則の問題
      └─ 接続失敗 → ファイアウォール以外の問題
                    （ネットワーク設定、ルーティング等）

7.11 よくあるエラーと対処法#

7.12 まとめ#

今回は、Windows Defender Firewallの基本概念から実践的な規則の管理までを学びました。

• ファイアウォールの基本概念
  • ファイアウォールはネットワークトラフィックを監視・制御し、許可された通信のみを通過させるセキュリティシステム
  • 受信規則（Inbound）はデフォルトでブロック、送信規則（Outbound）はデフォルトで許可
  • ステートフルインスペクションにより、サーバーが開始した通信の応答は自動的に許可
• プロファイル
  • ドメイン・プライベート・パブリックの3種類があり、ネットワーク環境に応じて適用
  • VPS環境ではパブリックプロファイルが適用される
  • Get-NetConnectionProfileで確認、Set-NetConnectionProfileで変更
• 規則の確認
  • Get-NetFirewallRuleで規則本体を取得
  • ポート・アドレス・プログラムの条件はフィルターオブジェクト（Get-NetFirewallPortFilter等）で確認
  • パイプラインを使って規則とフィルターを連携して検索
• 規則の作成と管理
  • New-NetFirewallRuleで新規作成。-DisplayNameには分かりやすい名前を付ける
  • Enable-NetFirewallRule / Disable-NetFirewallRuleで有効化・無効化
  • Set-NetFirewallRuleで変更、Remove-NetFirewallRuleで削除
• セキュリティ上の注意
  • ファイアウォールの無効化は非推奨。規則を正しく設定して対処する
  • VPS環境ではRDP規則の削除・無効化に最大限の注意を払う
  • 管理用ポートへはIPアドレス制限の適用を推奨
• トラブルシューティング
  • サービス起動 → ポートリッスン → 規則存在 → 規則有効 → プロファイル一致の順で確認
  • ログを有効化して、ブロックされた通信を記録・分析

ファイアウォールの管理は、サーバーセキュリティの基本中の基本です。「必要な通信のみを明示的に許可し、それ以外はブロックする」という原則を常に意識して、安全なサーバー運用を心がけてください。

7.13 次回予告#

第8回では「イベントログとパフォーマンス監視 ― トラブルシューティングの基本」と題して、イベントログの構造と読み方、PowerShellによるログの検索・分析方法、パフォーマンスカウンターを使ったシステムリソースの監視方法を学びます。サーバーに問題が発生した際に「何が起きたのか」を調査するスキルは、インフラエンジニアにとって欠かせない能力です。

7.14 参考リンク#

• Get-NetFirewallRule – Microsoft Learn
• New-NetFirewallRule – Microsoft Learn
• Set-NetFirewallRule – Microsoft Learn
• Set-NetFirewallProfile – Microsoft Learn
• Get-NetFirewallPortFilter – Microsoft Learn
• Manage Windows Firewall with the Command Line – Microsoft Learn
• Configure Windows Firewall logging – Microsoft Learn