Porty otwarte, zamknięte i filtrowane: jak interpretować test

Sprawdzenie portu pokazuje, jak wyglądała jedna próba połączenia z jednego miejsca w sieci. „Otwarty”, „zamknięty” i „filtrowany” to przydatne etykiety diagnostyczne, ale pojedynczy wynik nie pozwala zidentyfikować wszystkich zaangażowanych urządzeń ani ustalić, czy aplikacja jest bezpieczna.

Co oznaczają trzy etykiety

W przypadku TCP „otwarty” zwykle oznacza, że zdalny punkt końcowy przyjął próbę nawiązania połączenia. „Zamknięty” zazwyczaj oznacza jawną odmowę: adres odpowiedział, ale żadna usługa nie przyjmowała połączeń TCP na tym porcie. „Filtrowany”, czyli brak odpowiedzi, oznacza, że tester nie otrzymał rozstrzygającej odpowiedzi przed upływem limitu czasu. Zapora, router lub sieć na trasie mogły odrzucić próbkę lub odpowiedź na nią. Sama etykieta nie ujawnia, które urządzenie to zrobiło.

Narzędzia mogą używać różnych próbek i sformułowań. UDP szczególnie trudno sklasyfikować na podstawie ciszy, ponieważ nie ma wbudowanego potwierdzenia połączenia. Cicha usługa UDP może istnieć, a udane sprawdzenie TCP nic nie mówi o UDP na tym samym numerze. Zanim zmienisz reguły, potwierdź, jakiego protokołu transportowego faktycznie używa aplikacja.

Prześledź ścieżkę do usługi domowej

Jeśli hostujesz aplikację w domu, najpierw sprawdź, czy nasłuchuje na zamierzonym porcie i interfejsie. Proces powiązany tylko z 127.0.0.1 przyjmuje połączenia lokalne, ale nie żądania przychodzące z sieci. Następnie sprawdź zaporę hosta i regułę przekierowania w routerze. Jeśli dostawca stosuje CGNAT, jego współdzielony publiczny adres IPv4 może nie pozwalać na dowolne połączenia przychodzące do Twojego routera. Wtedy zmiana reguły przekierowania na własnym urządzeniu nie wystarczy.

Uruchom narzędzie 2IP „Sprawdź otwarte porty” spoza sieci domowej. Testowanie wyłącznie od wewnątrz może wprowadzać w błąd, ponieważ NAT loopback działa inaczej niż rzeczywisty ruch przychodzący. Porównaj wynik zewnętrzny z lokalnymi logami aplikacji. Jeśli żądanie dociera, a aplikacja zwraca błąd, problem może leżeć w warstwie aplikacji, a nie w porcie.

Napraw usterkę bez poszerzania dostępu

Nie wyłączaj całej zapory, aby uzyskać zielony wynik. Zezwól na dokładnie ten protokół i port, którego potrzebujesz, w miarę możliwości ogranicz dozwolone adresy źródłowe i aktualizuj udostępnioną usługę. Otwarty port nie jest automatycznie podatnością, ale umożliwia próby połączenia. Wynik „zamknięty” nie dowodzi, że całe urządzenie jest bezpieczne: inne usługi mogą nadal być osiągalne.

Numery portów wyjaśnia artykuł o portach sieciowych, a reguły filtrowania – artykuł o zaporach sieciowych. Nazwy stanów ze skanera są przydatnym skrótem tylko wtedy, gdy odczytuje się je razem z typem próbki i odpowiedzią.

Rejestr usług IANA zawiera przypisane numery i protokoły transportowe. Przypisanie nie dowodzi, że ruch na danym porcie jest bezpieczny ani nawet że należy do wymienionej aplikacji.