Consentire il ping su un VPS Windows Server: ICMPv4, ICMPv6 e firewall

Un VPS Windows può accettare connessioni RDP, HTTP o HTTPS e comunque non rispondere al ping. Questo comportamento non significa necessariamente che il server sia spento: la richiesta ICMP Echo può essere filtrata dal firewall di Windows, da un firewall di rete posto davanti al VPS o da un apparato lungo il percorso.

Il metodo corretto non consiste nel disattivare Windows Defender Firewall. Occorre creare una regola in entrata precisa:

ICMPv4, tipo 8, per una richiesta Echo IPv4;
ICMPv6, tipo 128, per una richiesta Echo IPv6;
sul profilo di rete realmente attivo;
idealmente limitata agli indirizzi delle vostre sonde di monitoraggio o degli amministratori.

Questa guida fornisce la procedura PowerShell consigliata, il metodo grafico con wf.msc, un comando netsh per gli ambienti storici, i controlli sui criteri effettivi e una procedura diagnostica pacchetto per pacchetto.

Metodo, perimetro e limiti

I comandi e i comportamenti descritti qui sono stati riscontrati il 31 agosto 2026 con la documentazione ufficiale Microsoft Learn sul Windows Firewall, i riferimenti PowerShell del modulo NetSecurity, la RFC 792 per ICMPv4, la RFC 4443 per ICMPv6 e le raccomandazioni di filtraggio IPv6 della RFC 4890.

Microsoft indica che i metodi presentati valgono per Windows Server 2016, 2019, 2022 e 2025. Questa guida si concentra sul periodo 2019-2025, le versioni più comunemente amministrate su un VPS.

Il comportamento finale dipende anche dal vostro ambiente: firewall di rete del provider, profilo Windows attivo, eventuali criteri GPO, MDM o IPsec, una regola di blocco con priorità superiore, l'instradamento IPv4 o IPv6 e il filtraggio applicato sulla rete che invia il ping. Verificate ogni passaggio prima di trarre conclusioni.

Gli indirizzi 198.51.100.10, 203.0.113.10 e 2001:db8:100::10 sono riservati alla documentazione; sostituiteli con i vostri indirizzi reali.

1. Che cosa verifica davvero il ping

ping invia una richiesta Echo e attende una risposta Echo. Il protocollo ICMP non si basa su porte TCP o UDP: usa tipi e codici.

Famiglia	Richiesta inviata al VPS	Risposta del VPS	Riferimento
ICMPv4	tipo 8, codice 0	tipo 0, codice 0	RFC 792
ICMPv6	tipo 128, codice 0	tipo 129, codice 0	RFC 4443

Autorizzare «la porta del ping» è quindi una formulazione tecnicamente errata. Per rendere il VPS raggiungibile via ping si autorizza la ricezione del tipo Echo Request corrispondente alla famiglia IP.

Un ping riuscito dimostra soprattutto che la risoluzione DNS funziona se è stato usato un nome, che esistono una rotta di andata e una di ritorno, che le richieste e le risposte ICMP Echo non sono filtrate e che lo stack di rete del VPS risponde.

Non dimostra che RDP, IIS, SQL Server o un'applicazione funzionino. Al contrario, un timeout ICMP non dimostra che il VPS sia offline. Verificate sempre anche il servizio interessato.

# Verificare RDP senza aprire una sessione
Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

# Verificare HTTPS
Test-NetConnection -ComputerName 203.0.113.10 -Port 443

2. Bisogna consentire il ping da tutta Internet?

Il ping è utile per il monitoraggio della disponibilità, la misura della latenza, il rilevamento delle perdite e la diagnosi dell'instradamento. Rispondere pubblicamente rende però l'host più facile da inventariare e può esporlo a traffico ICMP indesiderato. Non crea una porta di amministrazione e non concede di per sé alcun accesso al server.

Scegliete il perimetro in base all'esigenza reale:

Esigenza	Perimetro consigliato
una o più sonde di monitoraggio fisse	limitare `RemoteAddress` agli IPv4/IPv6 delle sonde
amministrazione da VPN o bastion	limitare alla sottorete VPN o all'indirizzo del bastion
dimostrazione o diagnosi temporanea	autorizzare l'indirizzo del tecnico e poi disattivare la regola
misura pubblica della disponibilità	autorizzare `Any`, sorvegliare e assumersi tale esposizione
nessun uso operativo del ping	non creare una regola Echo

Microsoft raccomanda di mantenere il blocco in entrata predefinito e di rendere le eccezioni il più specifiche possibile, in particolare per profilo e indirizzo remoto, nelle sue raccomandazioni sulle regole del Windows Firewall.

3. Prima della modifica: individuare il profilo e i livelli di filtraggio

Aprite una sessione PowerShell come amministratore. Raccogliete prima lo stato senza modificare nulla:

Get-ComputerInfo |
    Select-Object WindowsProductName, WindowsVersion, OsBuildNumber

Get-NetIPConfiguration

Get-NetConnectionProfile |
    Format-Table Name, InterfaceAlias, NetworkCategory,
        IPv4Connectivity, IPv6Connectivity -AutoSize

Get-NetFirewallProfile |
    Format-Table Name, Enabled, DefaultInboundAction,
        DefaultOutboundAction, AllowInboundRules,
        AllowLocalFirewallRules -AutoSize

Get-NetConnectionProfile indica la categoria associata all'interfaccia: Public, Private o DomainAuthenticated. Su un VPS autonomo esposto a Internet Public è frequente, ma non inseritelo in una regola senza verificarlo. Un server aggiunto ad Active Directory può usare il profilo di dominio.

Il percorso reale di un ping attraversa diversi controlli:

Livello	Che cosa verificare
postazione o sonda	indirizzo corretto, famiglia IP corretta, eventuale filtraggio in uscita
Internet e instradamento	rotta di andata e ritorno, gateway, prefisso IPv6
firewall di rete del provider	ICMP Echo consentito verso il VPS, origine corretta
firewall di Windows	profilo attivo, tipo ICMP, perimetro remoto, regola effettiva
criterio centralizzato	GPO/MDM, unione delle regole locali, blocco esplicito

La nostra guida per configurare il firewall di Windows Server su un VPS distingue il firewall dell'infrastruttura da quello del sistema. Un'autorizzazione di Windows non può recuperare un pacchetto già bloccato a monte.

Prima di ogni modifica da remoto:

tenete aperta la sessione RDP corrente;
verificate l'accesso alla console di emergenza o al pannello;
non modificate la regola RDP durante questa operazione;
esportate i criteri se il server è critico;
annotate il nome esatto della regola creata per poterla disattivare.

$Backup = "C:\Windows\Temp\firewall-before-icmp.wfw"
netsh.exe advfirewall export $Backup
Test-Path $Backup

L'esportazione è una precauzione. La creazione di una regola ICMP mirata non deve modificare le altre regole.

4. Consentire il ping ICMPv4 con PowerShell

Variante consigliata: un'origine precisa

Sostituite 198.51.100.10 con l'IPv4 pubblico della postazione di amministrazione o della sonda di monitoraggio. Sostituite Public se è attivo un altro profilo.

$RuleV4 = @{
    Name          = "OH-ICMPv4-Echo-In"
    DisplayName   = "Consentire ping ICMPv4 in entrata - monitoraggio"
    Description   = "ICMPv4 Echo Request tipo 8 ; origine di monitoraggio approvata"
    Direction     = "Inbound"
    Action        = "Allow"
    Enabled       = "True"
    Profile       = "Public"
    Protocol      = "ICMPv4"
    IcmpType      = 8
    RemoteAddress = "198.51.100.10"
}

New-NetFirewallRule @RuleV4

La regola consente soltanto le richieste Echo ICMPv4 di tipo 8 provenienti da quell'indirizzo. Non disattiva il firewall e non consente tutti i tipi ICMPv4.

Per più sonde o una sottorete nota:

Set-NetFirewallRule -Name "OH-ICMPv4-Echo-In" -RemoteAddress @(
    "198.51.100.10",
    "198.51.100.11",
    "192.0.2.0/28"
)

Variante pubblica: tutte le origini

Se l'esigenza impone una risposta da qualsiasi indirizzo:

Set-NetFirewallRule -Name "OH-ICMPv4-Echo-In" -RemoteAddress Any

Oppure create direttamente una regola pubblica dedicata:

$PublicRuleV4 = @{
    Name          = "OH-ICMPv4-Echo-In-Public"
    DisplayName   = "Consentire ping ICMPv4 in entrata - pubblico"
    Direction     = "Inbound"
    Action        = "Allow"
    Enabled       = "True"
    Profile       = "Public"
    Protocol      = "ICMPv4"
    IcmpType      = 8
    RemoteAddress = "Any"
}

New-NetFirewallRule @PublicRuleV4

Non tenete contemporaneamente una regola pubblica e una ristretta senza motivo: la regola più ampia rende inutile la restrizione.

Evitare i duplicati in uno script

New-NetFirewallRule restituisce un errore se lo stesso Name esiste già nello stesso archivio dei criteri. Una distribuzione ripetibile può creare o aggiornare la regola:

$RuleName = "OH-ICMPv4-Echo-In"
$Existing = Get-NetFirewallRule -Name $RuleName -ErrorAction SilentlyContinue

$Parameters = @{
    Name          = $RuleName
    DisplayName   = "Consentire ping ICMPv4 in entrata - monitoraggio"
    Description   = "ICMPv4 Echo Request tipo 8"
    Direction     = "Inbound"
    Action        = "Allow"
    Enabled       = "True"
    Profile       = "Public"
    Protocol      = "ICMPv4"
    IcmpType      = 8
    RemoteAddress = "198.51.100.10"
}

if ($null -eq $Existing) {
    New-NetFirewallRule @Parameters
}
else {
    Set-NetFirewallRule @Parameters
}

5. Consentire il ping ICMPv6 senza compromettere IPv6

Create una regola distinta. Una regola ICMPv4 non gestisce ICMPv6.

Sostituite 2001:db8:100::10 con l'IPv6 della sonda e verificate che il VPS abbia un IPv6 globale correttamente instradato:

Get-NetIPAddress -AddressFamily IPv6 |
    Format-Table InterfaceAlias, IPAddress, PrefixLength,
        AddressState -AutoSize

Get-NetRoute -AddressFamily IPv6 |
    Sort-Object RouteMetric |
    Format-Table DestinationPrefix, NextHop,
        InterfaceAlias, RouteMetric -AutoSize

Create la regola Echo Request IPv6:

$RuleV6 = @{
    Name          = "OH-ICMPv6-Echo-In"
    DisplayName   = "Consentire ping ICMPv6 in entrata - monitoraggio"
    Description   = "ICMPv6 Echo Request tipo 128 ; origine di monitoraggio approvata"
    Direction     = "Inbound"
    Action        = "Allow"
    Enabled       = "True"
    Profile       = "Public"
    Protocol      = "ICMPv6"
    IcmpType      = 128
    RemoteAddress = "2001:db8:100::10"
}

New-NetFirewallRule @RuleV6

Per tutte le origini IPv6:

Set-NetFirewallRule -Name "OH-ICMPv6-Echo-In" -RemoteAddress Any

Non consentite né bloccate alla cieca «tutto ICMPv6» per risolvere un ping. ICMPv6 trasporta anche funzioni necessarie al funzionamento di IPv6, in particolare errori sulla dimensione dei pacchetti e messaggi di scoperta dei vicini. La RFC 4890 fornisce raccomandazioni di filtraggio per tipo; non raccomanda una soppressione globale e indifferenziata.

La regola qui sopra aggiunge soltanto Echo Request tipo 128. Non disattivate le regole Windows «Core Networking» già presenti per IPv6 senza averne studiato il ruolo.

6. Metodo grafico con il Windows Firewall

Microsoft documenta la creazione di una regola ICMP in entrata con il Windows Firewall. Per riprodurre la regola IPv4 mirata:

aprite il menu Start, digitate wf.msc e confermate;
selezionate Regole connessioni in entrata;
fate clic su Nuova regola;
scegliete Personalizzata;
selezionate Tutti i programmi;
in Tipo di protocollo, scegliete ICMPv4;
fate clic su Personalizza;
scegliete Tipi ICMP specifici, poi Richiesta echo;
in Ambito, aggiungete l'indirizzo remoto autorizzato;
scegliete Consenti la connessione;
spuntate solo il profilo realmente necessario;
usate un nome esplicito e una descrizione datata.

Ripetete l'operazione con ICMPv6 se il VPS deve rispondere in IPv6.

La regola predefinita «Condivisione file e stampanti (richiesta echo - ICMPv4 in entrata)» può essere presente a seconda della versione e della lingua. Evitate di attivare l'intero gruppo «Condivisione file e stampanti»: verrebbero attivate anche altre regole senza rapporto con il ping. Una regola personalizzata ha un nome stabile, un perimetro chiaro e si presta meglio all'audit.

7. Variante storica con netsh

PowerShell e il modulo NetSecurity sono preferibili per l'automazione moderna. netsh advfirewall resta utile in uno script datato. Microsoft indica esplicitamente una regola ICMPv4 tipo 8 nella sua documentazione sulla gestione del firewall con netsh.

Regola IPv4 ristretta:

netsh advfirewall firewall add rule name="OH ICMPv4 Echo In" dir=in action=allow protocol=icmpv4:8,any remoteip=198.51.100.10 profile=public enable=yes

Regola IPv4 da tutte le origini:

netsh advfirewall firewall add rule name="OH ICMPv4 Echo In Public" dir=in action=allow protocol=icmpv4:8,any remoteip=any profile=public enable=yes

Eliminare la regola storica:

netsh advfirewall firewall delete rule name="OH ICMPv4 Echo In"

Non usate il vecchio contesto netsh firewall. Microsoft raccomanda il contesto advfirewall, che gestisce i profili e le funzioni avanzate.

8. Verificare la regola effettivamente creata

Non fermatevi al messaggio di successo. Controllate l'oggetto, il suo filtro ICMP e il suo filtro di indirizzi:

$RuleName = "OH-ICMPv4-Echo-In"

Get-NetFirewallRule -Name $RuleName |
    Format-List Name, DisplayName, Description, Enabled,
        Profile, Direction, Action, PolicyStoreSourceType

Get-NetFirewallRule -Name $RuleName |
    Get-NetFirewallPortFilter |
    Format-List Protocol, IcmpType

Get-NetFirewallRule -Name $RuleName |
    Get-NetFirewallAddressFilter |
    Format-List LocalAddress, RemoteAddress

Risultato atteso per la variante consigliata:

Proprietà	Valore atteso
Enabled	True
Direction	Inbound
Action	Allow
Profile	profilo attivo
Protocol	ICMPv4
IcmpType	8
RemoteAddress	indirizzo o intervallo della sonda

Per visualizzare le regole applicabili dopo l'unione degli archivi locale, GPO e altri:

Get-NetFirewallRule -PolicyStore ActiveStore |
    Where-Object {
        $_.Direction -eq "Inbound" -and
        $_.Enabled -eq "True"
    } |
    Sort-Object DisplayName |
    Format-Table DisplayName, Action, Profile,
        PolicyStoreSourceType -AutoSize

Microsoft descrive l'ordine di priorità applicabile alle regole in entrata: una regola di autorizzazione definita esplicitamente prevale sul blocco predefinito, una regola di blocco esplicita prevale su qualsiasi regola di autorizzazione in conflitto, e una regola più specifica prevale su una meno specifica, salvo in presenza di un blocco esplicito. Il Windows Firewall non ha un ordine ponderato regolabile manualmente. Cercate quindi le regole Block che coprono lo stesso traffico:

Get-NetFirewallRule -PolicyStore ActiveStore |
    Where-Object {
        $_.Enabled -eq "True" -and
        $_.Direction -eq "Inbound" -and
        $_.Action -eq "Block"
    } |
    Format-Table DisplayName, Profile,
        PolicyStoreSourceType -AutoSize

9. Provare correttamente dall'esterno

Un ping inviato dal VPS verso 127.0.0.1 non convalida né la regola in entrata né il firewall di rete. Provate da un altro accesso a Internet o dalla sonda autorizzata.

Da Windows:

ping.exe -4 203.0.113.10
ping.exe -6 2001:db8::10

Test-Connection -ComputerName 203.0.113.10 -Count 4

Da Linux:

ping -4 -c 4 203.0.113.10
ping -6 -c 4 2001:db8::10

Interpretate i risultati con prudenza:

Risultato	Interpretazione probabile	Controllo successivo
risposte con latenza	Echo funziona su quel percorso	provare anche il servizio utile
timeout scaduto	richiesta o risposta filtrata, oppure rotta assente	verificare entrambi i firewall e poi catturare
destinazione irraggiungibile	un host o un router segnala un problema di rotta	verificare indirizzo, maschera, gateway e rotte
IPv4 risponde, IPv6 no	regola IPv6, indirizzo o instradamento IPv6 incompleto	controllare il tipo 128 e la rotta predefinita IPv6
RDP risponde, il ping no	VPS online, Echo probabilmente filtrato	ispezionare la regola ICMP
il ping risponde, RDP no	IP raggiungibile, ma RDP no	servizio RDP, porta 3389 e la sua regola dedicata

Per evitare una diagnosi errata legata al perimetro, eseguite una prova da un indirizzo esplicitamente autorizzato, da un indirizzo non autorizzato che deve fallire se la restrizione funziona, separatamente in IPv4 e IPv6, e da una rete esterna al VPS. La nostra guida per connettersi a un VPS Windows tramite RDP tratta la verifica del servizio di amministrazione stesso.

10. Verificare il firewall di rete del provider

Un firewall posto davanti al VPS vede la richiesta prima di Windows. Se è attivo un criterio di rete esterno, aggiungete una regola corrispondente all'esigenza:

Parametro	Valore
direzione	in entrata
protocollo	ICMP o ICMPv4
tipo	Echo Request, tipo 8 se l'interfaccia lo consente
origine	IP di monitoraggio o Any secondo l'esigenza
destinazione	IPv4 pubblico del VPS

Per IPv6 usate ICMPv6 Echo Request tipo 128 e la destinazione IPv6 del server. Le diciture variano a seconda delle piattaforme. Se l'interfaccia del fornitore non consente di scegliere il tipo ICMP, verificate nella sua documentazione se «ICMP» autorizza tutti i tipi o soltanto Echo.

Non allargate una regola di rete a tutto il traffico IP per far funzionare il ping. La regola a monte e quella di Windows devono avere un perimetro coerente.

11. Active Directory, GPO e criterio locale ignorato

Su un server aggiunto a un dominio, una GPO può imporre il profilo di dominio, distribuire una regola ICMP centralizzata, creare una regola esplicita di blocco o impedire l'unione delle regole create localmente.

Microsoft spiega che, se l'unione dei criteri locali è disattivata, le regole locali non entrano nei criteri effettivi; la regola va allora distribuita centralmente. Verificate:

Get-NetFirewallProfile |
    Format-List Name, Enabled, AllowInboundRules,
        AllowLocalFirewallRules, DefaultInboundAction

gpresult.exe /scope computer /r

Get-NetFirewallRule -Name "OH-ICMPv4-Echo-In" |
    Format-List Name, Enabled, Profile,
        PolicyStoreSourceType, PolicyStoreSource

Per un parco di server, create una GPO in Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni sicurezza > Windows Defender Firewall con sicurezza avanzata > Regole connessioni in entrata.

Applicatela prima a un'unità organizzativa di prova, poi verificate:

gpupdate.exe /force
gpresult.exe /h C:\Windows\Temp\gpresult-icmp.html

Microsoft documenta questa procedura in configurare le regole del firewall con i criteri di gruppo. Se il server è un controller di dominio, la nostra guida per installare Active Directory su un VPS Windows Server descrive i flussi da prevedere.

12. Attivare temporaneamente la registrazione del firewall

Il log del firewall aiuta a stabilire se Windows consente o scarta i pacchetti. Microsoft raccomanda di portare la dimensione del log ad almeno 20 480 KB, con una dimensione massima accettata di 32 767 KB. Per il profilo Public:

$LogPath = "$env:SystemRoot\System32\LogFiles\Firewall\pfirewall_Public.log"

$Logging = @{
    Name                = "Public"
    LogFileName         = $LogPath
    LogMaxSizeKilobytes = 32767
    LogBlocked          = "True"
    LogAllowed          = "True"
}

Set-NetFirewallProfile @Logging
Get-NetFirewallProfile -Name Public |
    Format-List Name, LogFileName, LogMaxSizeKilobytes,
        LogBlocked, LogAllowed

Mentre una postazione esterna invia dei ping:

Get-Content $LogPath -Tail 100 -Wait

Cercate il protocollo ICMP, l'indirizzo di origine della sonda e l'indirizzo del VPS. Dopo la diagnosi, disattivate la registrazione delle connessioni consentite se non rientra nella vostra politica di raccolta:

Set-NetFirewallProfile -Name Public -LogAllowed False

Potete mantenere LogBlocked=True se sono previste la capacità di archiviazione e l'analisi dei log. La procedura completa e i permessi necessari sono descritti in configurare la registrazione del Windows Firewall.

13. Catturare ICMP con Pktmon

Se il log non basta, Packet Monitor è integrato nelle versioni di Windows Server qui trattate. Può mostrare se una richiesta raggiunge lo stack di Windows e dove viene scartata.

Avviate la cattura in una console di amministrazione. Sostituite 198.51.100.10 con l'indirizzo della sonda:

mkdir C:\Windows\Temp\icmp-diagnostic
cd /d C:\Windows\Temp\icmp-diagnostic

pktmon filter remove
pktmon filter add MyPing -i 198.51.100.10 -t ICMP
pktmon start --capture

Inviate alcuni ping dalla sonda, poi fermate subito:

pktmon stop
pktmon etl2txt PktMon.etl --out icmp-pktmon.txt
notepad icmp-pktmon.txt
pktmon filter remove

La sintassi del filtro ICMP e la conversione ETL sono documentate da Microsoft in pktmon filter add e pktmon etl2txt.

Interpretazione:

nessuna richiesta catturata: verificare firewall di rete, instradamento, IP errato o famiglia sbagliata;
richiesta catturata e poi scartata: cercare una regola di Windows o un criterio effettivo;
richiesta e risposta visibili: il ritorno può essere filtrato dopo il VPS o instradato male;
solo ICMPv4 visibile durante una prova IPv6: il client probabilmente non sta verificando l'indirizzo atteso.

Fermate sempre Pktmon dopo la prova. Una cattura prolungata produce rumore e consuma spazio.

14. Risoluzione dei problemi metodica

La regola esiste ma il ping fallisce

Verificate in quest'ordine:

il VPS risponde ancora via RDP o su un servizio noto?
il client sta pingando l'indirizzo giusto con -4 o -6?
l'origine reale corrisponde a RemoteAddress?
il profilo della regola corrisponde al profilo attivo?
la regola è presente in ActiveStore?
una regola Block esplicita si sovrappone al traffico?
una GPO disattiva l'unione delle regole locali?
il firewall di rete a monte consente il tipo Echo?
la richiesta compare nel log o in Pktmon?

Il ping funziona solo dopo aver disattivato il firewall

Riattivate subito i profili:

Set-NetFirewallProfile -Profile Domain, Private, Public -Enabled True

Questo sintomo colloca il problema nei criteri di Windows, ma disattivare il firewall non è una soluzione. Ispezionate profilo, tipo, perimetro e regole di blocco. Microsoft sconsiglia di disattivare il Windows Firewall e spiega che l'arresto del servizio MpsSvc non è supportato, nella sua documentazione sulla gestione da riga di comando.

La regola funziona e poi smette

Le cause frequenti sono un cambio del profilo di rete, un nuovo indirizzo della sonda, una nuova GPO, una modifica del firewall di rete, un passaggio tra IPv6 e IPv4, oppure la sostituzione di una regola con lo stesso nome durante l'unione dei criteri.

Confrontate lo stato attuale con il vostro registro delle modifiche e con l'output di convalida conservato.

IPv6 non risponde

Get-NetIPAddress -AddressFamily IPv6
Get-NetRoute -AddressFamily IPv6 -DestinationPrefix "::/0"
Get-NetFirewallRule -Name "OH-ICMPv6-Echo-In"
Get-NetFirewallRule -Name "OH-ICMPv6-Echo-In" |
    Get-NetFirewallPortFilter

Un indirizzo link-local che inizia con fe80:: non è un IPv6 pubblico instradabile su Internet. Servono un indirizzo globale, una rotta predefinita e una regola ICMPv6.

15. Disattivare, riattivare o rimuovere correttamente

Per sospendere la risposta al ping conservando la definizione:

Disable-NetFirewallRule -Name "OH-ICMPv4-Echo-In"
Disable-NetFirewallRule -Name "OH-ICMPv6-Echo-In"

Per riattivarla:

Enable-NetFirewallRule -Name "OH-ICMPv4-Echo-In"
Enable-NetFirewallRule -Name "OH-ICMPv6-Echo-In"

Per rimuovere definitivamente le regole personalizzate:

Remove-NetFirewallRule -Name "OH-ICMPv4-Echo-In"
Remove-NetFirewallRule -Name "OH-ICMPv6-Echo-In"

Disable-NetFirewallRule conserva l'oggetto; Remove-NetFirewallRule lo elimina. Microsoft descrive questa differenza nel riferimento Disable-NetFirewallRule.

16. Sicurezza, monitoraggio e limiti operativi

Il ping non sostituisce una sonda applicativa

Per IIS combinate ICMP per la latenza e la perdita di rete, una richiesta HTTPS verso un URL di stato, un controllo del certificato, un avviso sul codice HTTP e sul tempo di risposta, e un controllo locale del servizio e dei suoi log. La nostra guida per installare IIS su un VPS Windows Server copre la messa in opera del server web.

Un server può rispondere al ping mentre la sua applicazione non è disponibile. Un server può anche servire il sito mentre ICMP è filtrato.

Una regola di Windows non ferma un attacco volumetrico a monte

Una limitazione o un filtraggio sul VPS interviene dopo che il traffico ha raggiunto la sua interfaccia virtuale. Di fronte a un volume elevato, la capacità di rete può saturarsi prima che Windows applichi la propria regola. La protezione volumetrica compete all'infrastruttura e al dispositivo anti-DDoS del provider.

Non bloccate tutto ICMP per «nascondere» il server

L'assenza di risposta al ping non impedisce di scoprire un servizio TCP esposto. In IPv6, un blocco globale di ICMPv6 può inoltre compromettere funzioni di rete importanti. Filtrate i tipi secondo l'esigenza e conservate i messaggi di controllo indispensabili.

Documentate il responsabile della regola

Una regola professionale deve indicare la sua giustificazione, il suo responsabile, le origini autorizzate, i tipi ICMP, i profili interessati, la data di creazione, la data di revisione e la procedura di rimozione. Il campo descrizione integrato in Windows può contenere un riferimento a un ticket o a un servizio, senza dati personali superflui.

Domande frequenti

Quale comando PowerShell consente il ping IPv4?

Il comando minimo è:

New-NetFirewallRule -Name "OH-ICMPv4-Echo-In" -DisplayName "Consentire ping ICMPv4 in entrata" -Direction Inbound -Action Allow -Profile Public -Protocol ICMPv4 -IcmpType 8 -RemoteAddress Any

Consente tutte le origini. Per una configurazione più restrittiva, sostituite Any con l'indirizzo della sonda.

Quale porta bisogna aprire per il ping?

Nessuna. Il ping usa ICMP, non TCP né UDP. La richiesta Echo è il tipo 8 in ICMPv4 e il tipo 128 in ICMPv6.

Perché il ping non funziona mentre RDP sì?

RDP usa TCP 3389, mentre il ping usa ICMP. I due flussi sono valutati da regole diverse. Il server può quindi essere raggiungibile via RDP e ignorare Echo.

Bisogna consentire Echo Reply in uscita?

Con i criteri Windows abituali, il traffico in uscita è consentito per impostazione predefinita. Se la vostra organizzazione applica un blocco in uscita rigoroso o una regola esplicita di blocco, verificate i criteri effettivi e create, se necessario, un'eccezione di risposta limitata. Non allargate i criteri globali in uscita solo per questo caso.

Perché una regola locale di PowerShell non ha effetto?

Può puntare al profilo sbagliato, essere coperta da un blocco esplicito, non corrispondere all'origine, oppure essere esclusa dai criteri effettivi quando l'unione delle regole locali è disattivata da GPO o MDM.

Posso attivare la regola predefinita di condivisione file?

Potete attivare soltanto la regola Echo corrispondente e verificarne l'ambito. Non attivate l'intero gruppo, che può contenere altre eccezioni. Una regola personalizzata resta più leggibile e più facile da automatizzare.

Il ping aumenta il rischio di essere attaccati?

Conferma la raggiungibilità e può agevolare l'inventario automatizzato, ma non fornisce accesso al sistema. Il rischio si governa con una regola limitata alle origini di monitoraggio, mantenendo il firewall, con la sorveglianza e con una protezione di rete adeguata.

Checklist finale

la versione di Windows Server è identificata;
il profilo di rete attivo è noto;
il Windows Firewall resta attivo;
la regola riguarda ICMPv4 tipo 8 o ICMPv6 tipo 128, oppure entrambi;
il profilo della regola corrisponde al profilo attivo;
il perimetro remoto è limitato quando possibile;
il firewall di rete a monte è coerente con la regola di Windows;
nessuna regola di blocco esplicita si sovrappone all'autorizzazione;
la regola compare nei criteri effettivi;
la prova riesce da un'origine autorizzata;
la prova fallisce da un'origine non autorizzata, se la regola è ristretta;
il servizio reale, per esempio RDP o HTTPS, viene provato separatamente;
la regola, il suo responsabile e la sua data di revisione sono documentati;
la procedura di disattivazione o rimozione è conservata.

Per approfondire

Questo articolo completa le nostre guide Windows: primi passi con il vostro VPS Windows per iniziare, configurare il firewall di Windows Server per i criteri completi, connettersi tramite RDP per l'accesso amministrativo e salvare il proprio VPS Windows prima di ogni modifica delicata.