Открытый, закрытый и фильтруемый порт: что означает результат
Результат проверки порта описывает ответ на конкретную попытку соединения из конкретной точки сети. «Открыт», «закрыт» и «фильтруется» — полезные диагностические категории, но по одному результату нельзя назвать причину неполадки или оценить безопасность приложения.
Что означают три состояния
Для TCP открытый порт обычно означает, что удалённая сторона приняла попытку установить соединение. Закрытый порт означает явный отказ: адрес достигнут, но служба не принимает TCP-соединение на этом номере. «Фильтруется» или «нет ответа» означает, что проверяющий не получил однозначного ответа в заданный срок. Пакет или ответ мог отбросить межсетевой экран, маршрутизатор либо промежуточная сеть. Сама эта метка не доказывает, где именно произошла фильтрация.
Разные программы могут называть состояния иначе и использовать разные способы проб. Для UDP отсутствие ответа особенно неоднозначно: протокол не требует подтверждения, поэтому молчание не доказывает, что служба отсутствует. Проверяйте, какой транспорт использует ваш сервис. Успешный TCP-тест не проверяет UDP с тем же номером.
Типичный путь к домашнему серверу
Если вы запускаете сервер дома, сначала убедитесь, что программа слушает нужный порт и адрес интерфейса. Служба, привязанная только к 127.0.0.1, доступна лишь на самом устройстве. Затем проверьте системный межсетевой экран и переадресацию порта на маршрутизаторе. При CGNAT у провайдера общий внешний IPv4 может не принимать произвольные входящие соединения к вашему маршрутизатору. Одной настройки локального роутера тогда недостаточно.
Используйте проверку порта 2ip с внешней точки. Не тестируйте только из той же домашней сети: поведение NAT-петли может отличаться от настоящего входящего подключения. Сравните результат с локальным журналом приложения. Если запрос доходит, но приложение отвечает ошибкой, причина уже может быть выше сетевого уровня.
Безопасное устранение проблемы
Не отключайте весь межсетевой экран ради зелёного индикатора. Создайте точное правило для нужного протокола и порта, ограничьте источники, когда возможно, и обновите приложение. Открытый порт не является уязвимостью сам по себе, но делает службу доступной для попыток подключения. Закрытый результат тоже не доказывает полной безопасности устройства: другие службы могут быть доступны.
Для понимания номеров портов читайте обзор сетевых портов, а для настройки правил — статью о межсетевом экране. Названия состояний широко используются сканерами, но точное значение всегда зависит от типа пробы и полученного ответа.
При повторных проверках записывайте время, адрес назначения и порт: временная остановка службы и изменение правил могут дать разные результаты с интервалом в несколько минут. Если один внешний тест показывает «открыт», а другой — «фильтруется», сравните путь и исходный адрес проверяющего, прежде чем менять конфигурацию сервера.
Номер и протокол назначенной службы можно уточнить в реестре IANA. Регистрация номера не подтверждает, что трафик на этом порту безопасен или действительно относится к указанному приложению.