Które porty są otwarte w mojej sieci? Jak to sprawdzić i które zamknąć
Czym jest otwarty port, jak sprawdzić, które porty udostępniają router, drukarka, NAS i komputery, które są ryzykowne w sieci domowej lub małego biura — i jak je zamknąć.
Czym właściwie jest otwarty port
Każde urządzenie w sieci może oferować usługi: stronę WWW do konfiguracji, udostępnianie plików, pulpit zdalny, drukowanie. Każda usługa nasłuchuje na ponumerowanym porcie — WWW na 80 i 443, udostępnianie plików na 445, pulpit zdalny na 3389. Port jest otwarty, kiedy coś na urządzeniu tam odpowiada.
Otwarty port sam w sobie nie jest problemem. Drukarka musi odpowiadać na swoim porcie drukowania, a router musi odpowiadać na porcie 53, żeby tłumaczyć nazwy dla wszystkich. Problemem jest port otwarty, choć nikt go nie potrzebuje, albo taki, który daje stary, nieszyfrowany lub łatwy do odgadnięcia dostęp. Większość włamań do sieci domowych i małych biur zaczyna się właśnie tam: od zapomnianej usługi, wciąż z ustawieniami fabrycznymi.
Od środka czy z zewnątrz: dwa różne pytania
Można patrzeć z dwóch miejsc i każde odpowiada na inne pytanie.
- Z wnętrza sieci widzisz wszystko, co każde urządzenie oferuje innym urządzeniom wokół: stronę drukarki, udziały NAS-a, pulpit zdalny komputera. To jest to, do czego mógłby dotrzeć telefon gościa albo przejęte inteligentne gniazdko.
- Z internetu widzisz tylko to, co przepuszcza router — zwykle nic, chyba że ktoś ustawił przekierowanie portów albo włączył UPnP, które pozwala urządzeniom samodzielnie otwierać porty na routerze.
Liczy się jedno i drugie. Zacznij od środka, bo tam jest najwięcej niespodzianek, a potem sprawdź sam router.
Jak sprawdzić od środka
Skaner portów puka do zakresu portów urządzenia i zapisuje, które odpowiadają. Trzy wybory decydują, ile to trwa i co znajdzie:
- Cel. Zacznij od routera (bramy, zwykle
192.168.1.1lub192.168.0.1), potem urządzenia, na których zależy ci najbardziej: NAS, komputery, kamery. - Które porty. Kilkadziesiąt popularnych portów obejmuje prawie każdą usługę, jaką spotkasz w domu lub biurze, i zajmuje kilka sekund. Pełny zakres znanych portów, 1–1024, jest dokładniejszy. Własna lista przydaje się, gdy szukasz czegoś konkretnego.
- TCP i UDP. Większość usług używa TCP, ale kilka ważnych używa UDP — DNS, NTP, SNMP, NetBIOS — a wiele skanerów je pomija. Port UDP liczy się jako otwarty tylko wtedy, gdy urządzenie naprawdę odpowie, więc dobry skaner wysyła prawdziwe zapytanie dla każdego protokołu, zamiast zgadywać.
Które porty zasługują na uwagę
W sieci domowej lub małego biura te zasługują na drugie spojrzenie:
| Port | Usługa | Dlaczego to ważne |
|---|---|---|
| 21, 23 | FTP, Telnet | Stare protokoły, które wysyłają hasła otwartym tekstem. Dziś rzadko potrzebne. |
| 80 | WWW bez szyfrowania | W porządku dla strony stanu drukarki; gorzej dla strony logowania routera. |
| 445, 139 | Udostępnianie plików Windows (SMB) | Klasyczna droga, którą złośliwe oprogramowanie przechodzi z komputera na komputer. Ogranicz je do maszyn, które naprawdę udostępniają pliki. |
| 3389 | Pulpit zdalny | Ciągle atakowany, gdy jest dostępny z internetu. Wewnątrz tylko na komputerach, które go potrzebują. |
| 5900 | VNC | Zdalne sterowanie, często ze słabym hasłem albo bez hasła. |
| 1900, 5000 | UPnP | Pozwala urządzeniom samodzielnie otwierać porty na routerze. |
| 161 | SNMP | Przydatne do monitorowania, ale z domyślną community public każdy w sieci może odczytać urządzenie. |
| 554, 8000, 8080 | Kamery i strony administracyjne | Tanie kamery i gadżety często mają domyślne hasła. |
Szukasz niezgodności: usługi na urządzeniu, które nie ma powodu jej oferować, albo usługi, o której nie wiedziałeś.
Jak zamknąć to, czego nie potrzebujesz
- Wyłącz usługę na samym urządzeniu. Port się zamyka, kiedy nic na nim nie nasłuchuje: wyłącz Telnet na routerze, udostępnianie plików na komputerze, który nic nie udostępnia, interfejs WWW kamery, której używasz tylko przez aplikację.
- Usuń z routera przekierowania portów, których już nie używasz, i wyłącz UPnP, chyba że konsola albo aplikacja naprawdę go potrzebują.
- Zmień domyślne hasła we wszystkim, co trzyma otwartą stronę administracyjną lub zdalny dostęp — router, NAS, kamery, drukarki.
- Zaktualizuj firmware: wiele starych usług jest poprawianych lub usuwanych w nowszych wersjach.
- Przenieś gadżety do sieci dla gości, jeśli router ją ma, żeby kamera czy inteligentne gniazdko w ogóle nie mogły dotrzeć do twoich komputerów.
Potem przeskanuj ponownie. Lista powinna być krótsza, a każda pozycja na niej powinna być czymś, co potrafisz wyjaśnić.
Jak to zrobić z NetBlade na iPhonie
NetBlade na iPhone’a i iPada robi tę kontrolę z kieszeni, bez konta:
- karta Porty skanuje dowolne urządzenie: wpisz adres albo stuknij Użyj bramy dla routera, a potem wybierz Popularne, 1–1024 lub Niestandardowe;
- każdy otwarty port ma usługę, krótki opis i poziom ryzyka, TCP i UDP obok siebie, z prawdziwymi sondami UDP dla DNS, NTP, TFTP, mDNS, NetBIOS i SNMP;
- Szukaj CVE obok portu otwiera bazę National Vulnerability Database dla tej usługi;
- na karcie LAN szczegóły każdego urządzenia zamieniają jego otwarte porty w ocenę bezpieczeństwa w skali 100, z radą przy każdym ustaleniu;
- wynik możesz udostępnić z górnego paska.
Skanowanie portów i ocena bezpieczeństwa są bezpłatne. Przeskanuj raz router i najważniejsze urządzenia, zamknij to, czego nie rozpoznajesz, i zapisz sieć: przy następnym otwarciu aplikacji jej historia pokaże, co się zmieniło.