Проверка открытого порта

У адреса 65 535 дверей

У вашего интернет-подключения один публичный адрес, примерно как почтовый адрес здания. Порт это пронумерованная дверь в этом здании. Программа, которая хочет принимать соединения, встаёт за одной из дверей и ждёт. Веб-сервер ждёт за 443, сервер Minecraft за 25565, удалённый рабочий стол Windows за 3389.

Дома у здания есть швейцар, и это ваш роутер. Соединения, которые начинаете вы сами, выходят наружу, а ответы на них возвращаются без всякой настройки. Соединение, начатое снаружи, это другое дело. Роутер понятия не имеет, какому из ваших устройств оно предназначено, поэтому выбрасывает его. Именно поэтому домашнюю сеть трудно атаковать. И поэтому же ваш друг не может подключиться к игровому серверу на вашем компьютере.

Проброс порта это постоянное указание швейцару, что-то вроде «всё, что приходит к двери 25565, отправляй на компьютер 192.168.1.20». Эта страница стучит снаружи, чтобы сказать, работает ли это указание.

Три возможных ответа

Мы делаем одну попытку TCP-соединения и смотрим, что вернётся. Через соединение ничего не отправляется, и мы сразу его закрываем.

Когда проброс не работает, разница между «закрыт» и «нет ответа» ваша лучшая подсказка. Отказ доказывает, что роутер передал соединение дальше, значит, оставшаяся проблема на устройстве. Тишина указывает на правило роутера или на провайдера.

Почему можно проверить только свой адрес

Поля для адреса на этой странице нет. Проверка всегда направлена на адрес, с которого пришёл ваш запрос, по одному порту за раз.

Перебор портов на машине это первый шаг большинства взломов. Поэтому почти любой договор хостинга запрещает сканировать адреса, которыми вы не управляете, а в некоторых странах это незаконно. Публичная страница, сканирующая любой адрес по запросу, позволила бы кому угодно сделать этот шаг, прячась за нашим сервером. Проверить свою дверь можно, ведь ключ от неё у вас уже есть.

Когда порт молчит

Пройдите по пунктам по порядку, снаружи внутрь.

1. Общий адрес у провайдера. Откройте страницу состояния роутера и посмотрите его WAN-адрес. Если он отличается от адреса, показанного выше, или начинается с 100.64–100.127, 10. или 192.168., провайдер держит много клиентов за одним адресом (carrier-grade NAT). Никакое правило в роутере не поможет. Попросите публичный адрес или используйте IPv6 либо сервис туннелей.
2. Правило проброса. Внешний порт, внутренний порт, протокол TCP и локальный адрес нужного устройства. Дайте этому устройству фиксированный локальный адрес, иначе после следующей перезагрузки правило будет указывать в пустоту.
3. Два роутера подряд. Если перед вашим роутером стоит коробка провайдера, проброс нужен на обоих, либо первый надо перевести в режим моста.
4. Файрвол устройства. Windows, macOS и большинство систем Linux блокируют входящие соединения, пока вы не разрешите программу.
5. Программа. Она должна быть запущена, на этом порту, и слушать на всех интерфейсах (0.0.0.0), а не только на 127.0.0.1.

Некоторые провайдеры блокируют несколько портов для всех домашних клиентов, чаще всего 25 (почта), 80 и 445. Если один порт молчит, а соседние открываются, вероятно, дело в этом.

К открытому порту приходят гости

Автоматические сканеры прочёсывают весь IPv4-интернет по нескольку раз в день. Они находят только что открытый порт за считаные часы, и следом начинается подбор паролей. Открывайте только то, чем пользуетесь, и обновляйте программу за портом. Никогда не выставляйте напрямую базу данных, общий доступ к файлам Windows (445), Telnet (23) или удалённый рабочий стол (3389). Подключайтесь к ним через VPN.

Эта страница проверяет только TCP. Сервисы на UDP, такие как WireGuard или большинство голосовых чатов, снаружи проверить нельзя: открытый UDP-порт, которому нечего сказать, выглядит в точности как закрытый.