بررسی پورت باز

پورتهای خودتان، از بیرون

بررسی پورت ۲۲ پورت متداول را روی نشانی آی پی خودِ شما، همان نشانی ای که این صفحه را با آن باز کرده اید، از سرور IPVIEW آزمایش میکند و میگوید کدام از بیرون باز است. پورتها: 21 (FTP)، 22 (SSH)، 25 (SMTP)، 53 (DNS)، 80 و 443 (وب)، 110 و 143 و 993 و 995 (ایمیل)، 445 (SMB)، 587، 1194 (OpenVPN)، 1723 (PPTP)، 3306 (MySQL)، 3389 (RDP)، 5432 (PostgreSQL)، 6379 (Redis)، 8080 و 8443، 8291 (Winbox میکروتیک) و 27017 (MongoDB). برای هر پورت یک اتصال TCP با مهلت ۲٫۵ ثانیه زده میشود، شش تا شش تا.

این ابزار عمداً فقط روی نشانی خودِ شما اجرا میشود و نمیتوان آن را به سرور دیگری نشانه رفت؛ کادر ورودی را خالی بگذارید. برای یک پورت روی سرور دیگر، بررسی یک پورت ساخته شده است. اگر پشت VPN هستید، نشانی ای که بررسی میشود نشانی خروجی VPN است، نه مودم خانه. سقف ۶ بار در دقیقه است.

نتیجه را چطور بخوانیم

هر پورت یکی از سه حالت را دارد. «باز» یعنی اتصال برقرار شد و چیزی روی آن پورت از اینترنت قابل دسترس است. «بسته» یعنی دستگاه شما صریحاً اتصال را رد کرد؛ این یک پاسخ است و ثابت میکند بسته به شما رسید و آن پورت واقعاً بسته است. «فیلترشده» یعنی پاسخی نیامد، که معمولاً فایروال یا NAT بسته را سر جایش انداخته.

نکته اصلی در جمله بالای نتیجه است. اگر هیچ پورتی نه باز و نه بسته بود و همه «فیلترشده» آمدند، درباره دستگاه شما هیچ چیز ثابت نشده: بسته ها پیش از رسیدن به شما انداخته شده اند. این وضعیت عادی اکثر اتصالهای موبایل و بسیاری از اتصالهای خانگی در ایران است، چون اپراتور شما را پشت NAT مشترک (CGNAT) گذاشته و نشانی عمومی شما با صدها مشترک دیگر مشترک است؛ هیچ پورتی را نمیتوانید روی آن باز کنید. اگر پورتی «باز» است، همان جمله رنگ هشدار دارد: پورتی که از اینترنت باز است باید عمداً باز شده باشد. 3389 و 445 و 8291 و پایگاه داده ها (3306، 5432، 6379، 27017) باز روی اینترنت، هدف دائمی حمله اند.

چه وقت به کار میآید

روی مودم port forwarding زده اید برای دوربین، NAS یا سرور بازی، و از بیرون وصل نمیشود: اینجا میبینید پورت واقعاً از اینترنت باز است یا اپراتور با CGNAT جلوی آن را گرفته. اگر همه «فیلترشده» است، باید از اپراتور آی پی استاتیک یا عمومی بگیرید.

بازرسی امنیتی سریع یک سرور: از روی همان سرور، با curl نشانی https://ipview.watch/api/tools/portscan را بگیرید؛ همین ۲۲ پورت روی نشانی آن سرور بررسی میشود و میبینید چه چیزی ناخواسته از بیرون باز است. هر چه نباید، در فایروال ببندید و دوباره بررسی کنید. برای پورتی که در این فهرست نیست یا برای سرور دیگری، بررسی یک پورت همان سنجش را روی پورت دلخواه انجام میدهد.

پرسشهای رایج

چطور بفهمم پورت مودم یا سرورم از بیرون باز است؟

از همان دستگاه یا شبکه ای که میخواهید بررسی شود این صفحه را باز کنید، کادر را خالی بگذارید و اجرا کنید؛ ۲۲ پورت متداول روی نشانی عمومی شما از سرور IPVIEW آزمایش میشود. پورتی که «باز» است از اینترنت قابل دسترس است. برای پورتی خارج از این فهرست، بررسی یک پورت را با نشانی و پورت دلخواه به کار بگیرید.

همه پورتها «فیلترشده» است، یعنی چه؟

یعنی هیچ بسته ای به دستگاه شما نرسید، نه باز و نه بسته؛ درباره پورتهای شما چیزی ثابت نشده. در ایران این معمولاً یعنی اپراتور شما را پشت NAT مشترک (CGNAT) گذاشته و نشانی عمومی شما با مشترکان دیگر مشترک است. در این وضعیت هیچ port forwarding کار نمیکند و برای دسترسی از بیرون باید آی پی استاتیک بگیرید.

چرا نمیتوانم آی پی سرور دیگری را اسکن کنم؟

چون این ابزار عمداً فقط روی نشانی خودِ درخواست کننده اجرا میشود؛ اسکن کردن سرور دیگران کاری نیست که این سرویس بخواهد واسطه اش باشد. برای یک پورت مشخص روی سرور دیگر، بررسی یک پورت ساخته شده که هر اجرا یک پورت را میسنجد و آن را ثبت میکند.

کدام پورتها نباید از اینترنت باز باشند؟

پایگاه داده ها (3306، 5432، 6379، 27017)، RDP روی 3389، SMB روی 445 و Winbox میکروتیک روی 8291 نباید مستقیم از اینترنت باز باشند؛ هدف دائمی اسکن و حمله اند و باید پشت VPN یا فقط از آی پی مشخص در دسترس باشند. 22 (SSH) اگر لازم است باز باشد، با کلید و بدون رمز. 80 و 443 برای وب سرور طبیعی است.