Kiểm tra port

Mở, đóng hay bị lọc: kết quả kiểm tra port có nghĩa là gì?

Một kết nối TCP bắt đầu bằng quá trình bắt tay (handshake): công cụ của chúng tôi gửi một gói SYN, và thứ quay về quyết định trạng thái. Những công cụ kiểm tra port coi hết thời gian chờ là "đóng" đã che mất đúng điểm khác biệt cho bạn biết sự cố nằm ở đâu.

Quá trình kiểm tra

TCP 25565 · Minecraft Java

Cloudflaregần bạn nhất

SYN

SYN-ACK38 ms

203.0.113.7:25565 · router của bạn

1. →SYNtới 203.0.113.7:255650 ms
2. ←SYN-ACKport đã chấp nhận kết nối38 ms
3. →ACKkết nối đã mở38 ms
4. ←…không có gì trong 1,5 s: dịch vụ chờ client lên tiếng trước
5. →FINchúng tôi đóng kết nối

MởSYN → SYN-ACK

Có chương trình đang lắng nghe trên port và đã chấp nhận kết nối. Không có gì giữa internet và máy chủ chặn nó.

Port forwarding hoạt động. Nếu người chơi vẫn không vào được, hãy kiểm tra cài đặt của chính game hoặc địa chỉ họ dùng.

Quá trình kiểm tra

TCP 32400 · Plex

Cloudflaregần bạn nhất

SYN

RST41 ms

203.0.113.7:32400 · router của bạn

1. →SYNtới 203.0.113.7:324000 ms
2. ←RSTbị từ chối: không có gì lắng nghe, hoặc tường lửa ở đó được đặt để từ chối41 ms

ĐóngSYN → RST

Địa chỉ đã trả lời và từ chối kết nối: không có gì lắng nghe trên port, hoặc tường lửa ở đó được đặt để từ chối. Dù là trường hợp nào, bản thân địa chỉ vẫn truy cập được.

Router đã chuyển kết nối đi (hoặc tự trả lời) nhưng không có chương trình nào nhận: hãy khởi động máy chủ, rồi kiểm tra địa chỉ nội bộ và port trong quy tắc.

Quá trình kiểm tra

TCP 25565 · Minecraft Java

Cloudflaregần bạn nhất

SYN

không phản hồi4,0 s

203.0.113.7:25565 · router của bạn

1. →SYNtới 203.0.113.7:255650 ms
2. ←…không có SYN-ACK, không có RST trong 4,0 s4,0 s

Bị lọcSYN → không phản hồi

Không có phản hồi trong 4 giây. Tường lửa đã âm thầm chặn kết nối, hoặc không có gì trên đường đi chuyển tiếp nó.

Trường hợp thường gặp khi thiếu quy tắc forwarding, port bị chặn trong tường lửa của thiết bị, CGNAT hoặc nhà mạng chặn port.

Không truy cập được nghĩa là mạng báo không có tuyến đường tới địa chỉ. Chưa kiểm tra nghĩa là lần này máy chủ thứ hai của chúng tôi không chạy được lượt kiểm tra; trường hợp này không bao giờ được tính là đóng.

Nhà mạng chặn những port nào?

Nhiều nhà mạng internet gia đình chặn một vài port, chủ yếu để ngăn thư rác và sâu máy tính, và một số không cho bạn kết nối IPv4 chiều vào nào cả. Danh sách dưới đây lấy từ tài liệu của chính từng nhà cung cấp (hoặc của cơ quan quản lý); những bên khác chặn port mà không công bố, nên nếu một port chỉ bị lọc trên kết nối của bạn thì nên hỏi nhà mạng.

Nhà cung cấp	Port bị chặn	Ghi chú
Xfinity (Comcast) (US)	25135–13916144552019000675471080	Cả hai chiều, trừ 0, 67, 547 và 1080: chỉ bị chặn chiều về phía bạn. Port 80 và 443 không bị chặn.
AT&T (US)	250191231351394455201900347975476100149152–51020	Port 25 bị chặn chiều đi trên địa chỉ động, và một số port từ 49152 đến 51020 chỉ bị chặn chiều vào; phần còn lại bị chặn cả hai chiều.
Verizon Fios (US)	25	Chỉ chiều đi. Đây là port duy nhất Verizon nêu tên; họ không công bố danh sách đầy đủ.
Spectrum (US)	01719135–1394455205931433143419006462364680	Port 25 không có trong danh sách của họ.
Cox (US)	2580135–139143445143314341900	80, 143, 1433 và 1434 chỉ bị chặn chiều vào, nên không thể truy cập máy chủ web tại nhà trên port 80: hãy dùng một port ngoài khác.
Virgin Media (UK)	135137138139445	TCP và UDP, không thể tắt. Port 25 không có trong danh sách của họ.
Hyperoptic (UK)	7547	Được dành riêng trên router Hyperhub, nên không thể forward.
Starlink (toàn cầu)	25445CGNAT	25 và 445 bị chặn chiều đi. IPv4 của Starlink là CGNAT, không nhận kết nối chiều vào, và router của chính họ không forward được port; IPv4 công cộng chỉ có với các gói Priority.
Deutsche Glasfaser (DE)	CGNAT	IPv6 cùng một IPv4 riêng dùng chung: không có IPv4 chiều vào, nên hãy forward trên IPv6.
Free (FR)	IPv4	IPv4 mặc định có thể bị dùng chung, chỉ với một phần port; hãy yêu cầu IPv4 cố định full-stack trong khu vực thuê bao Freebox để có mọi port.
Netia (PL)	254434567	25 chỉ bị chặn khi không có IP tĩnh; router của Netia giữ 443 và 4567 cho việc cập nhật và hỗ trợ từ xa, nên bạn không thể forward hai port này.
SOCN, BIGLOBE, So-net, au, J:COM (JP)	25	Chiều đi, trừ tới máy chủ thư của chính nhà mạng (OP25B), với sự hậu thuẫn của cơ quan quản lý; hãy gửi thư qua port 587 hoặc 465.
Mọi nhà mạng băng rộng gia đình (BR)	25	Chiều đi trên đường truyền gia đình và IP động, theo thỏa thuận năm 2011 với Anatel và CGI.br; các port gửi thư (submission) vẫn mở.
AWS, Google Cloud, Azure, Oracle Cloud (đám mây)	25	Chiều đi, theo mặc định. AWS và Oracle gỡ chặn khi có yêu cầu, Google gỡ cho các dự án mà họ đánh giá rủi ro thấp; 587 vẫn mở.
DigitalOcean, Hetzner Cloud (đám mây)	25465587	Chiều đi. DigitalOcean chặn cả ba; Hetzner chặn 25 và 465 và gỡ chặn khi có yêu cầu sau tháng trả phí đầu tiên.

Port 25 là port bị nhà mạng và nhà cung cấp đám mây chặn thường xuyên nhất, với thư gửi đi: hãy gửi thư qua port 587 (hoặc 465) với nhà cung cấp email của bạn.

Những port mở nào là rủi ro bảo mật?

Port mở chỉ là rủi ro khi dịch vụ phía sau không nên phơi ra cho mọi người. Port web và thư được thiết kế để mở; port đăng nhập, cơ sở dữ liệu và chia sẻ tệp thì không. Đây là các mức mà công cụ này đánh dấu.

Cách kiểm tra port đang mở trên máy tính của bạn

Công cụ online thấy những gì internet thấy. Để xem chương trình nào đang lắng nghe trên chính máy tính, hoặc để kiểm tra một port từ bên trong mạng của bạn, hãy dùng các lệnh có sẵn trong hệ điều hành.

Để tìm	Windows (PowerShell)	macOS	Linux
Những gì đang lắng nghe	Get-NetTCPConnection -State Listen	lsof -nP -iTCP -sTCP:LISTEN	ss -ltnp
Chương trình nào dùng một port	netstat -ano | findstr :25565	lsof -nP -i :25565	ss -ltnp 'sport = :25565'
Kiểm tra port trên host khác	Test-NetConnection example.com -Port 443	nc -vz example.com 443	nc -vz example.com 443

Trên Linux, ss cần sudo để hiển thị chương trình của người dùng khác; trên Windows, netstat -ano cho ra ID tiến trình (PID), và tab Details của Task Manager cho biết đó là chương trình nào.