Was ist ein Netzwerkport? TCP, UDP und offene Ports

Ein Netzwerkport ist eine Nummer, mit der Transportprotokolle wie TCP und UDP Datenverkehr an den richtigen Dienst leiten. Protokoll, IP-Adresse und Port bilden zusammen den Endpunkt einer Verbindung. Ein Port ist eine logische Kennung und keine physische Buchse am Router.

Nummern und typische Verwendung

Portnummern sind 16-Bit-Werte von 0 bis 65535. Die IANA teilt sie in System-Ports 0–1023, User-Ports 1024–49151 und dynamische bzw. private Ports 49152–65535 ein. HTTP nutzt üblicherweise TCP 80 und HTTPS TCP 443, ein Dienst lässt sich aber auch auf einer anderen Nummer betreiben.

TCP und UDP haben getrennte Portbereiche. Dieselbe Portnummer kann daher bei beiden Protokollen unterschiedlichen Zwecken dienen. Ein Client wählt beim Verbindungsaufbau meist einen temporären Quellport und verbindet sich mit dem Zielport, auf dem der Server lauscht. Eine hohe Portnummer auf Clientseite ist normal und bedeutet nicht, dass ein öffentlicher Dienst offen ist.

Was „offen“ bedeutet

Bei TCP bezeichnet ein externer Test einen Port als offen, wenn er eine Verbindung zu einem lauschenden Dienst herstellen kann. Eine Ablehnung, verworfene Pakete oder ein Timeout bedeuten jeweils etwas anderes, und eine Firewall kann die Unterscheidung erschweren. UDP-Tests sind weniger eindeutig, weil ein stiller Dienst auf das Testpaket womöglich einfach nicht antwortet.

Ein Programm, das auf einer lokalen Adresse lauscht, ist nicht automatisch aus dem Internet erreichbar. Host-Firewall, Portweiterleitung im Router, Filter des Providers und Carrier-Grade NAT beeinflussen das Ergebnis. Prüfen Sie zuerst die Adresse, auf der gelauscht wird, und das Protokoll und testen Sie dann von außerhalb des lokalen Netzes.

Ports verantwortungsvoll öffnen

Geben Sie nur Dienste frei, die Sie wirklich brauchen. Richten Sie eine Authentifizierung ein, halten Sie die Software aktuell und beschränken Sie, wo möglich, die zulässigen Quelladressen. Ein erfolgreicher Verbindungstest sagt nichts darüber, ob die Anwendung sicher oder korrekt konfiguriert ist. Umgekehrt zeigt ein fehlgeschlagener Test für sich genommen nicht, auf welcher Ebene blockiert wird.

Ist ein Dienst nur für die lokale Nutzung gedacht, binden Sie ihn an Loopback oder eine private Schnittstelle und verzichten Sie auf unnötige Weiterleitungen. Notieren Sie das erwartete Protokoll und den Zielport, bevor Sie Firewallregeln ändern. Prüfen Sie nach der Änderung erneut aus einem anderen Netz und entfernen Sie veraltete Regeln, sobald der Dienst stillgelegt wird.

Halten Sie bei der Dokumentation eines Problems Dienstname, Transportprotokoll, Zielport und Teststandort fest. Ein Ergebnis aus dem Heimnetz kann von einem Test über Mobilfunk abweichen, weil der Router Zugriffe auf seine eigene öffentliche Adresse anders behandeln kann. Wiederholen Sie den Test aus einem wirklich externen Netz, bevor Sie beim Provider eine Änderung beantragen.

TCP und UDP erfordern unterschiedliche Tests

Dieselbe Portnummer kann es für TCP und UDP geben, es handelt sich aber um verschiedene Transportprotokolle. Eine erfolgreiche TCP-Verbindung sagt nichts über einen UDP-Dienst auf dieser Nummer aus. Siehe TCP vs. UDP sowie offene, geschlossene und gefilterte Ports.