Offene, geschlossene und gefilterte Ports: Ein Testergebnis richtig deuten
Eine Portprüfung zeigt, wie ein einzelner Verbindungsversuch von einem bestimmten Netzwerkstandort aus erschien. „Offen“, „geschlossen“ und „gefiltert“ sind nützliche Diagnosebezeichnungen, doch ein einzelnes Ergebnis kann weder alle beteiligten Geräte identifizieren noch feststellen, ob eine Anwendung sicher ist.
Was die drei Bezeichnungen bedeuten
Bei TCP bedeutet „offen“ in der Regel, dass der entfernte Endpunkt einen Versuch zum Verbindungsaufbau angenommen hat. „Geschlossen“ steht normalerweise für eine ausdrückliche Ablehnung: Die Adresse hat geantwortet, aber kein Dienst hat auf diesem Port TCP-Verbindungen angenommen. „Gefiltert“ oder „keine Antwort“ bedeutet, dass das Testtool vor Ablauf seines Timeouts keine eindeutige Antwort erhalten hat. Eine Firewall, ein Router oder ein Netzwerk auf dem Weg kann das Testpaket oder dessen Antwort verworfen haben. Welches Gerät das war, verrät die Bezeichnung allein nicht.
Tools können unterschiedliche Testpakete und Bezeichnungen verwenden. Bei UDP ist eine Einordnung anhand ausbleibender Antworten besonders schwierig, da UDP keine eingebaute Verbindungsbestätigung hat. Ein stiller UDP-Dienst kann existieren, und eine erfolgreiche TCP-Prüfung sagt nichts über UDP unter derselben Nummer aus. Vergewissern Sie sich, welches Transportprotokoll die Anwendung tatsächlich verwendet, bevor Sie Regeln ändern.
Den Weg zu einem Dienst im Heimnetz verfolgen
Wenn Sie eine Anwendung zu Hause hosten, prüfen Sie zuerst, ob sie auf dem vorgesehenen Port und der vorgesehenen Schnittstelle lauscht. Ein Prozess, der nur an 127.0.0.1 gebunden ist, nimmt lokale Verbindungen an, aber keine Anfragen aus dem Netzwerk. Prüfen Sie anschließend die Firewall des Hosts und die Weiterleitungsregel des Routers. Nutzt der Provider Carrier-Grade NAT, erlaubt dessen gemeinsam genutzte öffentliche IPv4-Adresse möglicherweise keine beliebigen eingehenden Verbindungen zu Ihrem Router. Eine Weiterleitungsregel auf Ihrem eigenen Gerät zu ändern, reicht dann nicht aus.
Führen Sie die Portprüfung von 2IP von außerhalb des Heimnetzes aus. Ein Test nur von innen kann irreführend sein, da sich NAT-Loopback anders verhält als echter eingehender Verkehr. Vergleichen Sie das externe Ergebnis mit den lokalen Logs der Anwendung. Kommt die Anfrage an und die Anwendung gibt einen Fehler zurück, liegt das Problem möglicherweise auf der Anwendungsebene und nicht am Port.
Den Fehler beheben, ohne den Zugriff auszuweiten
Schalten Sie nicht gleich die ganze Firewall ab, nur um ein grünes Ergebnis zu sehen. Erlauben Sie genau das benötigte Protokoll und den benötigten Port, beschränken Sie zulässige Quelladressen nach Möglichkeit und halten Sie den freigegebenen Dienst aktuell. Ein offener Port ist nicht automatisch eine Schwachstelle, ermöglicht aber Verbindungsversuche. Und ein „geschlossen“ heißt noch nicht, dass das gesamte Gerät sicher ist: Andere Dienste können weiterhin erreichbar sein.
Der Leitfaden zu Netzwerkports erklärt Portnummern, der Leitfaden zu Firewalls behandelt Filterregeln. Die Zustandsbezeichnungen eines Scanners sind nur dann eine nützliche Kurzform, wenn man sie zusammen mit der Art des Testpakets und der Antwort betrachtet.
Das IANA-Dienstregister listet zugewiesene Nummern und Transportprotokolle auf. Eine Zuweisung beweist nicht, dass Verkehr auf diesem Port sicher ist oder überhaupt zur genannten Anwendung gehört.