Porte aperte, chiuse e filtrate: come interpretare un test
Una verifica delle porte riporta come è apparso un tentativo di connessione da una determinata posizione di rete. “Aperta”, “chiusa” e “filtrata” sono etichette diagnostiche utili, ma un singolo risultato non può identificare ogni dispositivo coinvolto né stabilire se un'applicazione sia sicura.
Cosa significano le tre etichette
Per TCP, aperta significa di solito che l'endpoint remoto ha accettato un tentativo di stabilire una connessione. Chiusa indica normalmente un rifiuto esplicito: l'indirizzo ha risposto, ma nessun servizio accettava connessioni TCP su quella porta. Filtrata, o nessuna risposta, significa che lo strumento di test non ha ottenuto una risposta decisiva prima del timeout. Un firewall, un router o una rete lungo il percorso potrebbe aver scartato la sonda o la sua risposta. L'etichetta da sola non rivela quale dispositivo l'abbia fatto.
Ogni strumento può usare sonde e termini diversi. UDP è particolarmente difficile da classificare in base al silenzio, perché non dispone di una conferma di connessione integrata. Un servizio UDP silenzioso può esistere e una verifica TCP riuscita non dice nulla su UDP con lo stesso numero. Conferma il protocollo di trasporto effettivamente usato dall'applicazione prima di modificare le regole.
Traccia il percorso verso un servizio domestico
Se ospiti un'applicazione a casa, verifica prima che sia in ascolto sulla porta e sull'interfaccia previste. Un processo associato solo a 127.0.0.1 accetta connessioni locali ma non le richieste che arrivano dalla rete. Poi esamina il firewall dell'host e la regola di inoltro del router. Se il provider usa il carrier-grade NAT (CGNAT), il suo indirizzo IPv4 pubblico condiviso potrebbe non consentire connessioni in entrata arbitrarie verso il tuo router. In tal caso modificare una regola di inoltro sul tuo dispositivo non basta.
Esegui il controllo con lo strumento Verifica porte aperte di 2IP da una connessione esterna alla rete domestica. Testare solo dall'interno può essere fuorviante, perché il NAT loopback si comporta diversamente dal traffico reale in entrata. Confronta il risultato esterno con i log locali dell'applicazione. Se la richiesta arriva e l'applicazione restituisce un errore, il problema può trovarsi a livello applicativo anziché nella porta.
Risolvi il guasto senza ampliare l'accesso
Non disattivare l'intero firewall per ottenere un risultato verde. Consenti esattamente il protocollo e la porta necessari, limita quando possibile gli indirizzi di origine ammessi e mantieni aggiornato il servizio esposto. Una porta aperta non è automaticamente una vulnerabilità, ma consente tentativi di connessione. Un risultato “chiusa” non stabilisce che l'intero dispositivo sia sicuro: altri servizi potrebbero essere comunque raggiungibili.
La guida alle porte di rete spiega i numeri di porta, mentre la guida ai firewall tratta le regole di filtraggio. I nomi degli stati usati dagli scanner sono un'utile abbreviazione solo se letti insieme al tipo di sonda e alla risposta.
Il registro dei servizi IANA elenca i numeri assegnati e i protocolli di trasporto. Un'assegnazione non dimostra che il traffico su quella porta sia sicuro né che appartenga davvero all'applicazione indicata.