Як налаштувати брандмауер Windows 11

Питання, як налаштувати брандмауер Windows 11, зазвичай виникає тоді, коли щось перестало працювати: ноутбук не бачить мережевий принтер, друг не може під'єднатися до вашого сервера Minecraft, а програма резервного копіювання не знаходить домашній накопичувач. Перша порада з форумів — «вимкни брандмауер» — справді допомагає. От тільки разом із проблемою зникає й захист від сканування портів у кожній чужій мережі, куди потрапить ноутбук.

Насправді більшість таких задач вирішує один перемикач типу мережі й одне точне правило під конкретну програму чи порт. Нижче розібрано, де в системі лежать налаштування мережевого екрана, як пропустити потрібну програму, відкрити порт лише для домашньої мережі, заборонити застосунку вихід в інтернет і знайти причину блокування, не вимикаючи захист. Усе робиться штатними засобами Windows 11 Home і Pro з облікового запису адміністратора.

Що вбудований брандмауер уже робить без вас

Брандмауер Windows увімкнений з першого запуску системи й має кілька сотень готових правил для її служб. Базовий захист не потребує жодних дій — налаштовувати доводиться винятки. Щоб вони не перетворилися на діри, варто знати логіку його роботи.

Вхідні з'єднання зачинені, вихідні відчинені

За замовчуванням мережевий екран блокує всі вхідні підключення, для яких немає дозвільного правила, і пропускає всі вихідні. Браузер, месенджер чи гра можуть звертатися до будь-якого сервера, а чужий комп'ютер не може сам «постукати» у ваш. Відповіді на ваші власні запити проходять вільно: брандмауер відстежує стан з'єднання й бачить, що ініціатором були ви.

Звідси висновок: проблеми з брандмауером майже завжди виникають, коли комп'ютер виступає сервером — роздає файли, приймає гравців, дає підключитися до віддаленого робочого столу, відповідає на ping. І ще одне правило логіки: якщо на одне з'єднання є і дозвіл, і заборона, перемагає заборона. Це пояснює більшість випадків «я ж додав програму в дозволені, а вона не працює».

Три профілі, з яких удома працюють два

Кожне правило прив'язане до профілю мережі, а профіль Windows призначає кожному підключенню окремо.

На домашньому комп'ютері профіль домену не активується ніколи, тож вибір зводиться до двох варіантів — і саме від нього залежить, які з правил діятимуть.

Від чого брандмауер не захищає

Мережевий екран фільтрує з'єднання, а не їхній вміст. Він не відрізнить фішинговий сайт від справжнього банку й не зупинить шкідливу програму, якій ви самі дали дозвіл, — це робота антивіруса й фільтра SmartScreen. Брандмауер закриває інший клас загроз: атаки на відкриті мережеві служби, сканування портів у публічних мережах, черв'яків, що поширюються від комп'ютера до комп'ютера без участі людини.

📝 Порада: перш ніж щось налаштовувати, відкрийте «Безпека Windows → Брандмауер і захист мережі» й переконайтеся, що захист увімкнено для всіх трьох профілів, а позначка «активна» стоїть біля тієї мережі, якої ви очікуєте. Половина «загадкових» блокувань пояснюється вже на цьому екрані.

Тип мережі — налаштування, яке важить найбільше

Коли Windows 11 уперше під'єднується до нового Wi-Fi чи кабелю, вона вважає мережу загальнодоступною. Для кафе це правильно, а вдома незручно: другий комп'ютер не бачить спільних папок, телевізор не знаходить медіатеку, мережевий принтер «зникає». Перемкнути профіль — перший, а часто й єдиний потрібний крок.

Як подивитися й змінити профіль

Для Wi-Fi шлях такий: «Параметри → Мережа й Інтернет → Wi-Fi → властивості вашої мережі → Тип мережевого профілю». Для кабелю — пункт «Ethernet» у тому самому розділі. Варіантів два: «Загальнодоступна мережа (рекомендовано)» і «Приватна мережа». Позначка «рекомендовано» — лише обережне значення на випадок, коли Windows не знає, де ви; удома, де ви керуєте роутером і знаєте всі пристрої, доречна приватна.

Профіль запам'ятовується для кожної мережі окремо, за назвою. Якщо роутер роздає два діапазони з різними іменами, наприклад «Home» і «Home_5G», перемикати доведеться обидва. А от мережу, до якої мають доступ сторонні, — Wi-Fi без пароля в під'їзді, гостьову мережу в офісі, роздачу з чужого телефона — приватною не робіть: усі правила, створені «для дому», запрацюють і там.

Кафе, готель, коворкінг: режим повного закриття

Для публічних мереж є перемикач, про який мало хто знає. У «Безпека Windows → Брандмауер і захист мережі → Загальнодоступна мережа» є пункт «Вхідні підключення»: позначка в ньому блокує всі вхідні підключення, навіть від програм зі списку дозволених. Винятки для месенджера, ігрового клієнта чи синхронізації ігноруються, а браузер, пошта й відеодзвінки працюють як зазвичай. Перемикач діє тільки на загальнодоступний профіль, тож ноутбуку, який часто їздить у відрядження, його можна лишити назавжди.

✨ Лайфхак: у поїздках надійніший за будь-які налаштування варіант — не під'єднуватися до публічного Wi-Fi взагалі. Кишеньковий 4G-роутер або роздача з власного смартфона створюють мережу без сторонніх пристроїв, і в ній ноутбук можна сміливо позначити приватним.

Три вікна з налаштуваннями

Налаштування брандмауера у Windows 11 розкидані по трьох місцях, і це головна причина плутанини. Вони не дублюють, а доповнюють одне одного. Залежно від збірки сам компонент може називатися «Брандмауер Захисника Windows» або «Брандмауер Microsoft Defender» — це той самий інструмент.

У класичній панелі варто одразу зазирнути в пункт «Змінити параметри сповіщень» і ввімкнути повідомлення, коли брандмауер блокує нову програму. Без них програми блокуються мовчки, і причину збою шукати значно довше.

Консоль wf.msc показує, що відбувається насправді. У списку правил зелена галочка означає дозвіл, червоне коло з рискою — заборону, сірий значок — вимкнене правило. Колонка «Профіль» показує, де правило діє, «Програма» і «Локальний порт» — до чого застосовується. Власні правила зручно шукати, відсортувавши список за колонкою «Група»: у них вона порожня.

📝 Порада: перш ніж створювати перші власні правила, збережіть поточний стан. У wf.msc клацніть правою кнопкою на корені дерева ліворуч і виберіть «Експортувати політику». Файл .wfw займає кілька сотень кілобайтів, а повернути з нього все як було можна за хвилину через «Імпортувати політику».

Як налаштувати брандмауер Windows 11 для окремої програми

Найпоширеніша задача — пропустити конкретну програму: гру з локальним мультиплеєром, медіасервер, клієнт віддаленого доступу. Правило «для програми» зручніше за правило для порту: воно діє, навіть якщо програма щоразу вибирає новий порт, і не відкриває нічого зайвого, поки програма закрита.

Вікно-запит і чому «Скасувати» потім заважає

Коли програма вперше намагається прийняти вхідне з'єднання, з'являється «Оповіщення системи безпеки Windows» з питанням, чи дозволити доступ і в яких мережах. Перша помилка — поставити обидві галочки за звичкою: медіатеці доступ із мережі кафе не потрібен. Друга — натиснути «Скасувати», щоб вікно зникло. Тоді Windows створює для програми заборонне правило, і далі вона блокується мовчки, без повторного запиту. Виправляється це у wf.msc: серед вхідних правил знайдіть запис із назвою програми й червоним значком і видаліть його.

Список дозволених програм

Для програм, які вікна не показали, є список: «Безпека Windows → Брандмауер і захист мережі → Дозволити програмі доступ через брандмауер».

1. Натисніть «Змінити параметри» — без цього список неактивний.

2. Поставте галочку в колонці «Приватна», а в «Загальнодоступна» — лише за реальної потреби.

3. Якщо програми немає, натисніть «Дозволити іншу програму» → «Огляд» і вкажіть її файл .exe.

4. Збережіть кнопкою «OK».

Головна пастка — шлях до файлу. Багато програм складаються з лаунчера й окремого процесу, який і працює з мережею. Якщо дозвіл отримав лаунчер, нічого не зміниться; точне ім'я процесу видно в диспетчері завдань (Ctrl + Shift + Esc) на вкладці «Подробиці». А після оновлення програма іноді переїжджає в нову папку з номером версії, і старе правило перестає діяти.

Заборонити програмі вихід в інтернет

Зворотна задача — не пускати програму в мережу: вимкнути автооновлення старої версії редактора, зупинити телеметрію утиліти, заборонити дитячій грі завантажувати рекламу. Вихідні з'єднання відкриті за замовчуванням, тому потрібне окреме правило: wf.msc → «Правила для вихідних підключень» → «Створити правило» → «Для програми» → шлях до .exe → «Блокувати підключення» → усі три профілі → зрозуміла назва на кшталт «Блок — редактор 2019».

Чесне обмеження: програми з кількома процесами, скажімо з окремою службою оновлення, обходять правило, написане для одного файлу, — доведеться створити правило на кожен .exe. І заборона виходу не робить програму безпечною: якщо вона шкідлива, потрібен антивірус, а не брандмауер.

✨ Лайфхак: щоб перевірити заборону, не чекайте оновлення. Запустіть програму, відкрийте «Монітор ресурсів» (Win + R → resmon) і перейдіть на вкладку «Мережа»: якщо в розділі «TCP-підключення» немає з'єднань цього процесу із зовнішніми адресами, правило працює.

Відкрити порт: правило за п'ять кроків

Правило для порту потрібне, коли програма працює як служба або коли інструкція до сервера прямо вказує номер порту. Порт — це номер «дверей», через які програма приймає з'єднання: від 1 до 65 535, окремо для протоколів TCP і UDP.

Майстер нового правила

У wf.msc відкрийте «Правила для вхідних підключень» → «Створити правило»:

1. Тип правила   →  Для порту
2. Протокол      →  TCP або UDP (вказано в інструкції до програми)
   Порти         →  Певні локальні порти: 25565
3. Дія           →  Дозволити підключення
4. Профіль       →  [x] Приватний   [ ] Загальнодоступний   [ ] Доменний
5. Ім'я          →  Сервер Minecraft — 25565 TCP

Кілька портів вводяться через кому, діапазон — через дефіс (27015-27030). Якщо потрібні обидва протоколи, створіть два правила: одне не охоплює TCP і UDP водночас.

Порти, які відкривають найчастіше

Для віддаленого робочого стола й спільних папок у майстрі є готові правила в пункті «Попередньо визначені». Вмикати їх краще саме так: готові набори охоплюють усі потрібні служби й порти разом.

Тільки для своєї мережі: вкладка «Область»

Правило з майстра дозволяє підключення з будь-якої адреси. Для домашнього сервера це зайве: відкрийте властивості правила → вкладка «Область» → у блоці віддалених IP-адрес «Ці IP-адреси» → «Додати» → «Попередньо визначений набір комп'ютерів» → «Локальна підмережа». Тепер порт відповідатиме лише пристроям вашої мережі, навіть якщо колись на роутері з'явиться переадресація.

📝 Порада: відкритий порт у брандмауері Windows не робить сервер доступним з інтернету — для цього на Wi-Fi роутері окремо налаштовується переадресація портів. Якщо доступ ззовні потрібен постійно, зручніше взяти роутер із вбудованим VPN-сервером: назовні не відчиняється жоден порт сервера, а до домашньої мережі можна під'єднатися звідусіль, якщо провайдер видає білу IP-адресу.

Принтер, NAS і ping між комп'ютерами вдома

Удома брандмауер найчастіше «заважає» без справжньої причини. Винні зазвичай не правила, а вимкнені функції Windows: виявлення мережі й спільний доступ мають власні набори правил, які вмикаються одним перемикачем.

Виявлення мережі й спільний доступ

Відкрийте «Параметри → Мережа й Інтернет → Додаткові параметри мережі → Додаткові параметри спільного доступу» й для приватних мереж увімкніть «Виявлення мережі» і «Спільний доступ до файлів і принтерів». Windows сама активує потрібні правила — тільки для приватного профілю. Для загальнодоступних мереж обидва перемикачі лишайте вимкненими.

Після цього спільні папки, мережевий накопичувач і мережевий принтер почнуть знаходитися автоматично. Якщо пристрій однаково не видно, введіть його адресу в рядку провідника, наприклад \\192.168.0.50: підключення за IP-адресою від виявлення не залежить.

Відповідь на ping

Поки спільний доступ до файлів вимкнений, Windows 11 на ping не відповідає, і з цього легко зробити хибний висновок, що мережа не працює. Якщо розшарювати файли не потрібно, а ping потрібен, увімкніть одне правило: у wf.msc серед вхідних знайдіть запис групи «Спільний доступ до файлів і принтерів» з «ICMPv4-In» у назві й активуйте його для приватного профілю.

💡 Порада: якщо фото, медіатека й резервні копії розкидані по кількох комп'ютерах, мережевий накопичувач (NAS) спрощує й налаштування брандмауера. Комп'ютерам більше не треба нічого роздавати: вони звертаються до накопичувача як клієнти, а вихідні з'єднання Windows не блокує.

Коли щось не з'єднується: як знайти винного

Брандмауер — лише одна з можливих причин мережевої проблеми, і не найчастіша. Програма може слухати не той порт, роутер — ізолювати клієнтів Wi-Fi одне від одного, антивірус — мати власний мережевий екран. Тому спершу варто переконатися, що блокує саме він.

Перевірка без вимкнення захисту

Найкоротший тест — вимкнути брандмауер лише для активного приватного профілю на хвилину-дві, перевірити з'єднання й одразу ввімкнути захист назад; загальнодоступний профіль не чіпається. Якщо з'єднання не з'явилося і так, причина в іншому. Якщо запрацювало — шукайте заборонне правило для цієї програми або розбіжність між профілем у правилі й профілем мережі.

Журнал відкинутих пакетів

Для точної діагностики брандмауер уміє записувати кожне відкинуте з'єднання; за замовчуванням ця функція вимкнена. Увімкнення: wf.msc → «Властивості брандмауера Захисника Windows» → вкладка профілю → «Ведення журналу» → «Настроїти» → «Записувати відкинуті пакети: Так». Журнал пишеться у C:\Windows\System32\LogFiles\Firewall\pfirewall.log, розмір за замовчуванням обмежено 4096 КБ. Відкрийте його блокнотом від імені адміністратора: у кожному рядку є дія DROP, протокол, IP-адреси й порти, тож видно, хто й куди стукає.

Скидання до початкових параметрів

Якщо накопичилися десятки незрозумілих правил, швидше почати з чистого аркуша: посилання «Відновити параметри брандмауера за замовчуванням» у «Безпека Windows» або команда netsh advfirewall reset у терміналі від імені адміністратора. Скидання видаляє всі власні правила, тож ігрові клієнти й медіасервери знову попросять доступ.

✨ Лайфхак: якщо брандмауер ні до чого, а ноутбук не бачить інші пристрої лише через Wi-Fi, під'єднайте його мережевим кабелем. Багато роутерів ізолюють клієнтів гостьової мережі, і кабель за хвилину відділяє проблему бездротової мережі від проблеми налаштувань Windows.

Сторонній антивірус, роутер і командний рядок

Брандмауер Windows рідко працює наодинці: поруч бувають антивірус із власним мережевим екраном, фаєрвол у роутері, скрипти для налаштування кількох комп'ютерів.

Коли керування забирає антивірус

Комплексні пакети на кшталт ESET Smart Security чи Bitdefender Total Security мають власний мережевий екран. Після їхнього встановлення вбудований брандмауер вимикається, а в «Безпека Windows» з'являється напис, що захистом керує сторонній продукт. Відтоді правила створюються в антивірусі, а зміни у wf.msc нічого не дають. Базові версії, як-от ESET NOD32 Antivirus, фаєрвола не мають і з брандмауером Windows не конфліктують — це варто вирішити ще до купівлі ліцензії антивіруса.

Фаєрвол роутера — перший рубіж

Wi-Fi роутер захищає всю домашню мережу ще до того, як трафік дійде до комп'ютера. Трансляція адрес (NAT — механізм, що ховає домашні пристрої за однією зовнішньою адресою) робить їх невидимими з інтернету, а більшість моделей мають ще й фаєрвол із відстеженням стану з'єднань (SPI). Брандмауер Windows доповнює цей захист зсередини: стереже комп'ютер від зараженого ноутбука гостя чи розумної техніки з вразливою прошивкою. Тому гостей і «розумні» пристрої краще тримати в окремій гостьовій мережі — роутери й mesh-системи TP-Link, ASUS, Keenetic чи Xiaomi вмикають її за кілька дотиків у застосунку.

Ті самі налаштування в PowerShell

Коли однаково налаштовувати треба два-три комп'ютери, команди в терміналі від імені адміністратора швидші за майстер:

# Перевірити, чи увімкнено всі профілі
Get-NetFirewallProfile | Format-Table Name, Enabled

# Зробити мережу Wi-Fi приватною
Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Private

# Відкрити порт лише для приватної мережі й локальної підмережі
New-NetFirewallRule -DisplayName "Сервер Minecraft — 25565 TCP" -Direction Inbound -Protocol TCP -LocalPort 25565 -Action Allow -Profile Private -RemoteAddress LocalSubnet

Сам брандмауер з'явився у Windows XP 2001 року під назвою Internet Connection Firewall — і за замовчуванням був вимкнений. Ситуацію змінив черв'як Blaster: у серпні 2003-го він за лічені дні заразив сотні тисяч комп'ютерів через відкритий порт 135, без жодного листа чи завантаження. Уже в Service Pack 2 для Windows XP 2004 року брандмауер став увімкненим за замовчуванням — і відтоді таким лишається.

⚠️ Порада: раз на кілька місяців переглядайте у wf.msc правила з порожньою колонкою «Група». Сервер, у який давно ніхто не грає, і програма, видалена рік тому, лишають після себе дозвільні правила, а кожне з них — двері, про які ви вже не пам'ятаєте.

Менше винятків — менше дверей

Брандмауер Windows 11 захищає добре саме тому, що за замовчуванням зачиняє все вхідне, і вся робота з ним зводиться до точного, вузького відчинення дверей. Вирішальних речей дві: правильний тип мережі, бо від нього залежить, які правила взагалі діють, і точність кожного винятку — одна програма чи один порт, приватний профіль, за можливості тільки локальна підмережа. Повне вимкнення захисту — не налаштування, а відмова від нього, і жодна проблема з принтером чи грою цього не виправдовує.

Тож коли наступного разу постане питання, як налаштувати брандмауер Windows 11 під нову задачу, почніть із перевірки, чи домашня мережа позначена як приватна, і додавайте правила лише тоді, коли щось конкретне не працює. А перевіряйте кожне нове правило з іншого пристрою, скажімо з телефона в тій самій мережі: звернення комп'ютера до самого себе брандмауер не фільтрує, тож тест на тому самому ПК покаже, що все працює, навіть коли це не так.