Брандмауэр Windows и игры: когда отключать, а когда нет

Коротко: отключать не нужно, нужно правило

Брандмауэр Windows по умолчанию не блокирует исходящие соединения, поэтому подключение к игровому серверу он почти никогда не ломает. Проблемы возникают с входящими соединениями: когда игра сама принимает подключения — хостинг лобби, прямое соединение между игроками, локальный кооператив, стриминг на другое устройство.

Правильная последовательность действий:

1. Проверить, виноват ли брандмауэр, коротким тестом.
2. Если да — добавить разрешающее правило для конкретной игры.
3. Порт открывать только если игра реально работает как сервер.
4. Защиту вернуть в исходное состояние сразу после проверки.

Полное отключение — это диагностический приём на две минуты, а не настройка.

Как брандмауэр вообще решает, что блокировать

Понимание логики снимает половину вопросов. Брандмауэр Windows работает по трём правилам.

• Исходящие соединения разрешены по умолчанию. Программа, которая сама куда-то подключается, обычно проходит без вопросов. Именно поэтому подключение к серверам Steam или к игровому матчу редко страдает от брандмауэра.
• Входящие соединения запрещены по умолчанию, если для них нет явного разрешения. Это и есть источник проблем у игр, которые принимают подключения.
• Правила действуют в рамках профиля сети. Профилей три: «Домен», «Частная» и «Общедоступная». Разрешение, выданное в частной сети, не работает в общедоступной.

Последний пункт — причина классической ситуации «дома работало, а тут нет» и «работало, а после переустановки роутера перестало». Достаточно, чтобы Windows один раз определила домашнюю сеть как общедоступную, и все правила для частного профиля перестанут применяться.

Проверить профиль текущей сети можно в «Параметры» — «Сеть и Интернет» — «Свойства» активного подключения: там выбирается «Частная» или «Общедоступная». Для домашней сети правильный вариант — частная.

Как проверить, что виноват именно брандмауэр

Тест занимает две минуты, но выполнять его нужно аккуратно.

1. Отключитесь от интернета, если это возможно по сценарию проверки, или убедитесь, что машина за роутером с NAT, а не подключена к провайдеру напрямую.
2. Откройте «Брандмауэр Защитника Windows» и отключите его только для активного профиля сети.
3. Проверьте игру. На это должно уйти минуту-две, не больше.
4. Включите брандмауэр обратно немедленно, независимо от результата.

Дальше два варианта:

• Проблема исчезла при отключении — значит, нужно правило. Переходите к следующему разделу.
• Проблема осталась — брандмауэр не виноват, и его выключение ничего не даст. Причину искать нужно в античите, роутере, антивирусе или у провайдера.

Второй исход встречается чаще, чем принято думать. Именно поэтому отключать защиту «на всякий случай» и оставлять так — плохая сделка: риск реальный, а выигрыш нулевой.

Как добавить игру в исключения правильно

Есть три способа, и они не равнозначны. Выбирать нужно самый узкий из подходящих.

Способ 1: разрешить приложение. Подходит в большинстве случаев. «Панель управления» — «Брандмауэр Защитника Windows» — «Разрешение взаимодействия с приложением или компонентом». Нажмите «Изменить параметры», найдите игру в списке и отметьте оба профиля — частный и общедоступный, если играете в разных сетях. Если игры в списке нет, добавьте её исполняемый файл кнопкой «Разрешить другое приложение».

Ключевая тонкость: у многих игр несколько исполняемых файлов — лаунчер, сама игра, сервис античита. Разрешать нужно тот, который отвечает за сетевое взаимодействие, а часто и все три.

Способ 2: создать правило для программы вручную. Даёт больше контроля. Откройте wf.msc, выберите «Правила для входящих подключений» — «Создать правило» — «Для программы», укажите путь к исполняемому файлу, действие «Разрешить подключение», отметьте нужные профили. Так же создаётся правило для исходящих, если исходящие у вас ограничены отдельной политикой.

Способ 3: правило для порта. Самый широкий и потому последний в списке. Открытый порт работает для любой программы, которая на нём слушает, а не только для вашей игры. Использовать его стоит только когда точно известен номер порта и протокол, а способ с программой не сработал.

Проверить, какие правила уже созданы, удобно в PowerShell: команда Get-NetFirewallRule -DisplayName "*название игры*" покажет существующие записи. Это полезно, когда правил накопилось много и часть из них противоречит друг другу.

Когда правило для порта действительно нужно

Есть узкий набор сценариев, в которых без открытия порта не обойтись.

• Вы хостите выделенный сервер игры на своей машине, и к нему подключаются извне.
• Прямое соединение между игроками без релей-серверов: часть старых и инди-игр работает именно так.
• Локальный кооператив по сети или синхронизация между двумя вашими машинами.
• Стриминг игры на другое устройство в той же сети.
• Игровые серверы в локальной сети офиса или компьютерного клуба.

В этих случаях важно понимать: правило брандмауэра открывает порт только на самом компьютере. Если подключение идёт из интернета, дополнительно нужна переадресация порта на роутере, а при подключении через провайдера с общим адресом (CGNAT) это может быть невозможно в принципе.

Симптомы и что они означают

Чем вы рискуете, оставив брандмауэр выключенным

Отключённый брандмауэр — это не «немного меньше защиты», а снятый фильтр входящих соединений целиком. Практические последствия:

• Службы Windows становятся доступны извне. Общий доступ к файлам, удалённый рабочий стол и служебные порты видны в сети, если они включены.
• В публичных сетях машина открыта соседям. Гостиница, коворкинг, конференция, сеть общежития: там за одним адресом находятся посторонние устройства.
• Автоматические сканирования сети находят открытые порты за минуты, и это не теория, а фоновый шум интернета.
• Уязвимость в любой сетевой программе становится доступной снаружи, даже если сама программа вам нужна только в локальной сети.

Отдельно стоит сказать про сторонние фаерволы: если в системе стоит антивирус со своим сетевым модулем, отключение встроенного брандмауэра ничего не решит — блокировать может именно он. В этом случае правило нужно добавлять в настройках антивируса, а не Windows.

Частые ошибки

• Отключать вместо создания правила. Работает, но оставляет машину без фильтра входящих соединений навсегда.
• Создавать правило только для частного профиля. В другой сети оно не применится, и всё сломается снова.
• Открывать порт вместо разрешения программы. Правило получается шире необходимого, им может воспользоваться любая программа.
• Открывать диапазоны портов «с запасом». Типичная ошибка при настройке игровых серверов: открывают сотни портов вместо трёх нужных.
• Разрешать только лаунчер. Сетевое взаимодействие часто ведёт другой исполняемый файл.
• Забывать про роутер. Правило на компьютере не заменяет переадресацию порта, если подключение идёт из интернета.
• Не удалять старые правила. После нескольких переустановок игр накапливаются записи, указывающие на несуществующие файлы.

Если правило не помогает

Когда разрешение создано, оба профиля отмечены, а соединение всё равно не устанавливается, причина обычно в другом слое:

• Античит требует включённых функций безопасности. Часть игр не запускает сетевую часть без безопасной загрузки и виртуализации. Как это устроено на примере FACEIT, разобрано в материале IOMMU и VBS в FACEIT.
• Двойной NAT или CGNAT. Если у роутера частный адрес со стороны провайдера, входящие подключения не дойдут независимо от настроек.
• VPN перехватывает трафик и меняет маршрутизацию. Проверяется отключением VPN.
• Антивирус со своим сетевым экраном блокирует соединение независимо от брандмауэра Windows.
• Драйвер сетевого адаптера. Обрывы в процессе игры чаще связаны с ним, а не с фильтрацией.
• Нестабильность самой машины. Если вместе с обрывами есть вылеты или перезагрузки, читайте разбор почему ПК перезагружается сам.

Если ничего не помогло, а машина ведёт себя нестабильно и в других задачах, диагностика в сервисе быстрее перебора настроек: проверяются сетевой адаптер, стабильность системы и целостность её файлов.