Как работает инструмент
Введите имя хоста или IP и порт от 1 до 65535 — наш веб-сервер попытается открыть TCP-соединение. Инструмент бесплатен и ограничен по частоте, чтобы им нельзя было просканировать хост.
TCP-соединение начинается с рукопожатия: сервер отправляет SYN; слушающая программа отвечает SYN-ACK — «открыт»; операционная система отвечает сбросом — «закрыт»; ничего не вернулось до таймаута — «фильтруется», на пути файрвол или роутер без проброса. Соединение сразу закрывается, прикладные данные не отправляются. Имена разрешаются на сервере; частные адреса вроде 192.168.1.1 проверить нельзя — это взгляд снаружи. Для обзора многих портов используйте сканер портов.
Как читать результат
Открыт. Программа приняла соединение, порт доступен из интернета. Для намеренного сервиса — цель; для неожиданного — повод выяснить, что слушает.
Закрыт. Хост доступен, но никто не слушает: путь через провайдера и роутер работает, проблема на машине — сервис не запущен, другой порт или привязка к localhost.
Фильтруется. Ответа нет: нет правила проброса, файрвол отбрасывает незапрошенный трафик, провайдер блокирует порт, либо хост выключен — проверьте пингом.
Результат относится к моменту проверки и пути с нашего сервера; файрвол с правилами по источнику покажет «фильтруется», хотя порт открыт для разрешенных.
Как исправить порт, который должен быть открыт
Шаг 1: подтвердите адрес
Проверьте текущий публичный адрес через поиск по IP — домашние адреса меняются. Адрес из 100.64.0.0–100.127.255.255 или WAN-адрес роутера, отличный от публичного, означают carrier-grade NAT: входящие не дойдут, пока провайдер не выдаст публичный адрес.
Шаг 2: пробросьте порт на роутере
Дайте машине фиксированный локальный адрес; в разделе «проброс портов», «виртуальный сервер» или NAT создайте правило: внешний порт, внутренний порт, TCP, адрес машины. При двух роутерах в цепочке правило нужно на обоих или первый переводится в режим моста. Изменение с «фильтруется» на «закрыт» означает, что роутер пробрасывает.
Шаг 3: откройте файрвол на машине
Windows: входящее правило для порта в брандмауэре с повышенной безопасностью для нужного профиля сети. macOS: разрешите приложение в Системные настройки → Сеть → Брандмауэр. Linux: sudo ufw allow 8080/tcp или sudo firewall-cmd --add-port=8080/tcp --permanent и --reload; иначе проверьте iptables -L -n. Облако: добавьте входящее правило в группу безопасности — разрешить должны оба слоя.
Шаг 4: убедитесь, что сервис слушает
netstat -an | findstr LISTENING в Windows, sudo ss -ltnp в Linux, sudo lsof -iTCP -sTCP:LISTEN -n -P в macOS. Строка 127.0.0.1:8080 — только локальные соединения; измените привязку на 0.0.0.0. Строка 0.0.0.0:8080 при «закрыт» — остается подозревать файрвол.
Шаг 5: порты, которые блокирует провайдер
Домашние провайдеры блокируют входящий 25, часто 135–139 и 445, иногда 80 и 443. Перенесите сервис на другой порт.
Распространенные порты и их назначение
| Порт | Сервис | Примечание |
|---|---|---|
| 21 | FTP | Только канал управления |
| 22 | SSH, SFTP | Только при удаленном администрировании, с ключами |
| 25 | SMTP | Блокируется большинством домашних провайдеров |
| 80 / 443 | HTTP / HTTPS | Веб-сервер |
| 587 | SMTP submission | Почта от клиента к провайдеру |
| 3306 / 5432 | MySQL / PostgreSQL | Не открывать в интернет без ограничений |
| 3389 | Удаленный рабочий стол | Частая цель брутфорса; прячьте за VPN |
| 5900 | VNC | Часто без шифрования |
| 8080, 8443 | Альтернативные HTTP/HTTPS | Серверы разработки, админ-панели |
| 25565 | Minecraft Java | Нужен проброс для друзей |
Проверка портов со своего компьютера
Изнутри сети: Test-NetConnection 192.168.1.20 -Port 8080 в PowerShell, nc -zv 192.168.1.20 8080 в macOS и Linux, curl -v http://192.168.1.20:8080/ для ответа сервиса. Открыт локально и фильтруется отсюда — проблема в роутере или у провайдера; закрыт и локально — на машине.
Проброс работает снаружи, но не изнутри
Проверка говорит «открыт», друг подключается, а вы не можете достичь сервера по публичному адресу изнутри сети. Это не проблема проброса: многие роутеры не поддерживают NAT loopback (hairpin NAT). Изнутри используйте локальный адрес или запись в hosts-файле. Обратный случай — работает изнутри, фильтруется отсюда — признак отсутствующего проброса или файрвола.
Игровые серверы, удаленный доступ и self-hosted приложения
Схема одна для всех игр: сервер слушает порт, роутер пробрасывает, друзья подключаются к публичному адресу. Многие игры используют TCP для подключения и UDP для игры, и здесь подтверждается только TCP. Для удаленного доступа «открыт» — лишь половина дела: все доступное из интернета прощупывают сканеры через минуты. Ключи для SSH, никакого прямого RDP, панели за VPN или обратным прокси с аутентификацией.
Проверка VPS или облачного сервера
Цепочка короче: группа безопасности провайдера, файрвол сервера, сервис. Новые серверы часто разрешают только SSH, поэтому свежий веб-сервер показывает порт 80 фильтруемым до добавления правила; после него «закрыт» означает, что веб-сервер еще не слушает. Проверка тестирует только IPv4; правила для IPv6 отдельные.
Почему открыты порты, которых вы не настраивали
Роутеры выставляют интерфейс управления на 80, 443 или 8080; UPnP позволяет консолям, медиасерверам и камерам открывать порты автоматически; образ сервера может поставляться с базой данных или агентом на всех интерфейсах. Найдите процесс командами выше и привяжите к localhost, заблокируйте или отключите; сканер портов найдет все такие порты разом.
Ограничения инструмента
- Только TCP; UDP-порт всегда выглядит фильтруемым.
- Одно место — наш веб-сервер; файрвол по источнику или географии покажет «фильтруется».
- Только IPv4; хост только с IPv6 не проверить.
- Один порт за проверку, с лимитом частоты.
- «Открыт» не проверяет, что за сервис и безопасен ли он.
- Имена с несколькими адресами проверяются по первому.
- Результат — снимок; динамические адреса и спящие устройства меняют ответ.
- Частные и зарезервированные адреса отклоняются.