Em vez de bloquear tudo de um firewall, por que não vinculá-lo apenas a 127.0.0.1 ? Nada, mas coisas na máquina local, poderiam acessá-lo então.
Isso pode ser feito com express fazendo:
app.listen(8080, '127.0.0.1');
ou com http :
http.createServer(onRequest).listen(8080, '127.0.0.1');