Port terbuka, tertutup dan ditapis: cara mentafsir ujian

Semakan port melaporkan bagaimana satu cubaan sambungan kelihatan dari satu lokasi rangkaian. “Terbuka”, “tertutup” dan “ditapis” ialah label diagnostik yang berguna, tetapi satu keputusan sahaja tidak dapat mengenal pasti setiap peranti yang terlibat atau menentukan sama ada sesuatu aplikasi selamat.

Maksud ketiga-tiga label

Bagi TCP, terbuka biasanya bermakna titik akhir jauh menerima cubaan untuk mewujudkan sambungan. Tertutup lazimnya bermakna penolakan yang jelas: alamat itu memberikan respons, tetapi tiada perkhidmatan yang menerima sambungan TCP pada port tersebut. Ditapis, atau tiada respons, bermakna penguji tidak mendapat balasan yang muktamad sebelum tamat masa. Tembok api, penghala atau rangkaian di sepanjang laluan mungkin telah menggugurkan probe atau jawapannya. Label itu sendiri tidak mendedahkan peranti mana yang melakukannya.

Alat yang berbeza mungkin menggunakan probe dan istilah yang berlainan. UDP amat sukar dikelaskan berdasarkan ketiadaan respons kerana UDP tidak mempunyai pengakuan sambungan terbina dalam. Perkhidmatan UDP yang senyap mungkin sebenarnya wujud, dan semakan TCP yang berjaya tidak memberitahu apa-apa tentang UDP pada nombor yang sama. Pastikan protokol pengangkutan yang benar-benar digunakan aplikasi sebelum mengubah peraturan.

Jejak laluan ke perkhidmatan di rumah

Jika anda mengehoskan aplikasi di rumah, semak dahulu bahawa ia mendengar pada port dan antara muka yang dimaksudkan. Proses yang terikat hanya pada 127.0.0.1 menerima sambungan setempat tetapi tidak menerima permintaan yang datang dari rangkaian. Seterusnya, periksa tembok api hos dan peraturan pemajuan port pada penghala. Jika penyedia menggunakan NAT gred pembawa (CGNAT), alamat IPv4 awam yang dikongsi mungkin tidak membenarkan sebarang sambungan masuk ke penghala anda. Dalam keadaan ini, menukar peraturan pemajuan pada peranti anda sendiri tidak mencukupi.

Jalankan semakan port terbuka 2IP dari luar rangkaian rumah. Menguji dari dalam sahaja boleh mengelirukan kerana NAT loopback berkelakuan berbeza daripada trafik masuk sebenar. Bandingkan keputusan luaran dengan log setempat aplikasi. Jika permintaan sampai tetapi aplikasi memulangkan ralat, masalahnya mungkin di lapisan aplikasi, bukan pada port.

Baiki masalah tanpa meluaskan akses

Jangan matikan keseluruhan tembok api semata-mata untuk mendapatkan keputusan hijau. Benarkan hanya protokol dan port yang diperlukan, hadkan alamat sumber yang dibenarkan jika boleh, dan pastikan perkhidmatan yang didedahkan sentiasa dikemas kini. Port terbuka tidak semestinya satu kelemahan, tetapi ia membolehkan cubaan sambungan dibuat. Keputusan tertutup pula tidak membuktikan keseluruhan peranti selamat: perkhidmatan lain mungkin masih boleh dicapai.

Panduan port rangkaian menerangkan nombor port, manakala panduan tembok api merangkumi peraturan penapisan. Nama status pengimbas hanya berguna sebagai singkatan apabila dibaca bersama jenis probe dan respons.

Daftar perkhidmatan IANA menyenaraikan nombor dan protokol pengangkutan yang telah diperuntukkan. Peruntukan tersebut tidak membuktikan bahawa trafik pada port itu selamat, malah tidak membuktikan trafik itu milik aplikasi yang dinamakan.