Che cos'è una porta di rete? TCP, UDP e porte aperte

Una porta di rete è un numero che i protocolli di trasporto come TCP e UDP usano per indirizzare il traffico al servizio giusto. Protocollo, indirizzo IP e porta formano insieme l'estremità concreta di una connessione. La porta è un identificatore logico, non una presa fisica sul router.

Numeri e usi comuni

I numeri di porta sono valori a 16 bit compresi tra 0 e 65535. IANA li suddivide in porte di sistema (0–1023), porte utente (1024–49151) e porte dinamiche o private (49152–65535). HTTP usa di solito la porta TCP 80 e HTTPS la TCP 443, ma un servizio può essere configurato su un numero diverso.

TCP e UDP hanno spazi di porte separati, quindi lo stesso numero può avere scopi diversi per ciascun protocollo. Quando si connette alla porta di destinazione su cui un server è in ascolto, il client di solito sceglie una porta di origine temporanea. Vedere una porta client con un numero alto è normale e non significa che sia aperto un servizio pubblico.

Che cosa significa “aperta”

Per TCP, un test esterno può considerare aperta una porta se riesce a completare una connessione con un processo in ascolto. Una risposta di porta chiusa, pacchetti scartati o un timeout hanno significati diversi, e un firewall può renderli difficili da distinguere. I test su UDP sono meno conclusivi, perché un servizio silenzioso potrebbe semplicemente non rispondere alla sonda.

Un programma in ascolto su un indirizzo locale non è automaticamente raggiungibile da Internet. Sul risultato influiscono il firewall dell'host, il port forwarding del router, i filtri del provider e il carrier-grade NAT. Controlla prima l'indirizzo di ascolto e il protocollo, poi esegui il test dall'esterno della rete locale.

Aprire le porte in modo responsabile

Esponi solo i servizi di cui hai bisogno. Configura l'autenticazione, mantieni aggiornato il software e, dove possibile, limita gli indirizzi di origine. Un test di connessione riuscito non dice nulla sulla sicurezza o sulla corretta configurazione dell'applicazione. Allo stesso modo, un test fallito da solo non indica con precisione a quale livello avviene il blocco.

Se un servizio è destinato solo all'uso locale, collegalo all'interfaccia di loopback o a un'interfaccia privata ed evita inoltri non necessari. Prima di modificare le regole del firewall, annota il protocollo e la porta di destinazione previsti. Dopo la modifica ricontrolla da una rete diversa ed elimina le regole obsolete quando il servizio viene dismesso.

Quando documenti un problema, annota nome del servizio, protocollo di trasporto, porta di destinazione e punto da cui hai eseguito il test. Un risultato ottenuto all'interno della rete domestica può differire da un test eseguito con la connessione dati mobile, perché il router può gestire in modo diverso il proprio indirizzo pubblico. Prima di chiedere una modifica al provider, ripeti la prova da una rete davvero esterna.

TCP e UDP richiedono test diversi

Lo stesso numero di porta può esistere sia per TCP sia per UDP, ma si tratta di trasporti diversi. Una connessione TCP riuscita non dice nulla su un servizio UDP con lo stesso numero. Approfondisci nelle guide TCP e UDP a confronto e porte aperte, chiuse e filtrate.