Sprawdzanie portów

Skanowanie głównych portów TCP serwera: HTTP, SSH, SMTP, MySQL i in.

Sprawdzanie otwartych portów online

Skaner portów po kolei łączy się z 21 popularnymi portami TCP serwera — WWW (80, 443, 8080, 8443), SSH, FTP, poczta, DNS, bazy danych (MySQL, PostgreSQL, Redis, MongoDB), RDP i VNC — i pokazuje, które przyjmują połączenia z internetu. Test odbywa się z naszego serwera, więc „zamknięty” może oznaczać zamknięty port albo port filtrowany przez zaporę.

21 popularnych portów TCP w jednym teście

Czas połączenia dla każdego otwartego portu

Przyjmuje adres IP lub domenę

Widok z zewnątrz: to samo, co widzi dowolny klient z internetu

Jak korzystać

Wpisz adres IP lub domenę serwera
Poczekaj na test 21 portów (do 2 sekund na każdy)
Porównaj otwarte porty z tym, co naprawdę powinno być dostępne z internetu

FAQ

Wpisz adres IP lub domenę serwera. Skaner spróbuje nawiązać połączenie TCP z każdym z 21 portów i oznaczy otwarte. Konkretny port sprawdzisz też ręcznie: nc -zv example.com 443 w Linuksie i macOS albo Test-NetConnection example.com -Port 443 w Windows.

21, 22, 23, 25, 53, 80, 110, 143, 443, 465, 587, 993, 995, 3306, 3389, 5432, 5900, 6379, 8080, 8443 i 27017. Lista jest stała, nie można wybrać własnego portu ani zakresu.

„Zamknięty” znaczy, że nasz serwer nie połączył się w ciągu 2 sekund. Zwykle usługa nasłuchuje tylko na 127.0.0.1, port blokuje zapora lub grupa zabezpieczeń w chmurze, dostęp mają tylko wybrane IP albo router nie ma ustawionego przekierowania portów.

Skaner nie sprawdza adresów lokalnych typu 192.168.x.x, bo działa z internetu. Aby przetestować przekierowanie portu, wpisz swój publiczny adres IP. Jeśli operator stosuje CGNAT, przekierowanie nie zadziała z zewnątrz bez publicznego IP.

Nie, tylko TCP. Port 53 jest sprawdzany przez TCP, a usług działających po UDP (WireGuard, wiele serwerów gier) nie da się tak przetestować.

Jakie porty sprawdza skaner

Narzędzie po kolei próbuje nawiązać połączenie TCP z każdym z 21 popularnych portów i na każdy czeka do 2 sekund. Port oznaczamy jako otwarty, gdy serwer przyjmie połączenie; obok widać czas połączenia w milisekundach. Lista portów jest stała:

Porty	Usługa	Czy powinien być otwarty na świat
80, 443, 8080, 8443	HTTP, HTTPS i alternatywne porty WWW	Tak, jeśli na serwerze działa strona
22	SSH	Dopuszczalne, najlepiej tylko z kluczami i ograniczeniem do wybranych IP
21, 23	FTP, Telnet	Lepiej nie: hasła idą otwartym tekstem. Zamiast nich SFTP i SSH
25, 465, 587	SMTP, SMTPS, SMTP ze STARTTLS	Tylko na serwerze pocztowym
110, 995, 143, 993	POP3, POP3S, IMAP, IMAPS	Tylko na serwerze pocztowym, najlepiej wersje szyfrowane
53	DNS (przez TCP)	Tylko na serwerze DNS
3306, 5432, 6379, 27017	MySQL, PostgreSQL, Redis, MongoDB	Nie. Bazy danych wystawione do internetu to częsta przyczyna wycieków
3389, 5900	RDP, VNC	Nie, lepiej dostęp przez VPN

Co oznacza „zamknięty”

„Zamknięty” w raporcie oznacza jedno: w ciągu 2 sekund nasz serwer nie zdołał nawiązać połączenia. Za tym może stać kilka sytuacji, których skaner nie rozróżnia:

Port naprawdę jest zamknięty: nic na nim nie nasłuchuje i serwer od razu odrzuca połączenie.
Port jest filtrowany: zapora, grupa zabezpieczeń w chmurze albo router po cichu odrzuca pakiety.
Usługa nasłuchuje tylko na adresie wewnętrznym, np. MySQL na 127.0.0.1. To prawidłowa konfiguracja.
Dostęp jest ograniczony do wybranych IP, a nasz serwer nie jest na tej liście.

Dlatego „zamknięty” znaczy „niedostępny z internetu z naszego serwera”, a nie że usługa na pewno jest wyłączona. Jeśli wynik nie zgadza się z oczekiwaniami, sprawdź port z innej sieci, np. poleceniami niżej.

Sprawdzanie odbywa się z internetu, a nie z Twojego komputera

Połączenia nawiązuje nasz serwer, więc skaner widzi to samo, co dowolny klient z zewnątrz. Wynikają z tego dwie rzeczy:

Adresów lokalnych nie da się sprawdzić. 192.168.x.x, 10.x.x.x, 127.0.0.1 i inne adresy prywatne lub zarezerwowane nie są skanowane. Żeby sprawdzić przekierowanie portów na domowym routerze, wpisz swój publiczny adres IP; pokaże go strona „Mój IP”.
CGNAT. Jeśli operator daje adres z puli 100.64.0.0/10 albo jeden publiczny IP dzieli wielu klientów, przekierowanie portów na routerze nie zadziała z zewnątrz. Potrzebny jest publiczny („zewnętrzny”) adres IP od operatora.

Domena zamiast adresu IP

Po wpisaniu domeny skaner pobiera jej publiczny adres IP i sprawdza porty na nim. Jeśli strona stoi za Cloudflare lub innym CDN, skanujesz węzeł CDN, a nie swój serwer: porty WWW będą otwarte, a SSH czy bazy danych zamknięte, nawet jeśli na serwerze źródłowym są otwarte. Wszystkie adresy domeny i oznaczenie CDN pokaże sprawdzanie IP po domenie.

Jak samodzielnie sprawdzić port

nc -zv example.com 443                     # Linux, macOS
Test-NetConnection example.com -Port 443   # Windows PowerShell
ss -tlnp                                   # porty, na których nasłuchuje sam serwer (Linux)
sudo ufw status                            # reguły zapory UFW

ss -tlnp pokaże, czy usługa nasłuchuje na danym porcie i na jakim adresie: 0.0.0.0 lub [::] to wszystkie interfejsy, 127.0.0.1 tylko lokalnie. Jeśli usługa nasłuchuje, a z zewnątrz port jest zamknięty, szukaj przyczyny w zaporze serwera, grupie zabezpieczeń u dostawcy chmury albo w przekierowaniu portów na routerze.

Ograniczenia

Sprawdzane są tylko porty TCP. Usług UDP (WireGuard, większość serwerów gier, DNS po UDP) nie da się tak przetestować.
Lista 21 portów jest stała, nie można wybrać własnego portu ani zakresu.
Skaner nie rozpoznaje wersji oprogramowania na porcie i nie szuka podatności. Dla serwera WWW są informacje o serwerze i sprawdzanie nagłówków bezpieczeństwa.
Skanuj tylko własne serwery albo te, na których test masz zgodę.