porta filtrada com firewall do windows

Sempre pensei que um porto sem nenhuma regra estava, por padrão, fechado.

Essas são coisas meio distintas. Normalmente você entra closedem nmap se o pacote inicial consegue passar pelo firewall, mas é explicitamente recusado pelo próprio SO, enquanto pacotes bloqueados pelo firewall resultam em filterednmap.

Mas a regra padrão no Firewall do Windows é, na verdade, bloquear pacotes de entrada que não tenham uma regra própria, então seu bloqueio manual não resolve muito.

É por causa do "Modo Stealth" usado pelo firewall?

Sim, por padrão o Firewall do Windows impõe comportamento "stealth" para todas as portas que não estão abertas em ambos os sentidos do termo. Ou seja, tanto "firewall bloqueado" quanto "firewall permitido, mas sem ouvinte" recebem o tratamento stealth, e apenas "firewall permitido e ouvinte presente" é totalmente aberto.

Se você desabilitar o modo stealth, os pacotes "bloqueados pelo firewall" ainda serão descartados silenciosamente, mas pelo menos os pacotes "permitidos pelo firewall, mas sem ouvinte" receberão corretamente um TCP RST em retorno.