Quais portas estão abertas na minha rede? Como verificar e quais fechar
O que é uma porta aberta, como ver quais o roteador, a impressora, o NAS e os PCs expõem, quais são arriscadas numa rede doméstica ou de escritório pequeno, e como fechá-las.
O que é, de fato, uma porta aberta
Todo dispositivo na rede pode oferecer serviços: uma página web para configurá-lo, compartilhamento de arquivos, área de trabalho remota, impressão. Cada serviço escuta numa porta numerada — a web na 80 e na 443, o compartilhamento de arquivos na 445, a área de trabalho remota na 3389. Uma porta está aberta quando algo no dispositivo responde ali.
Uma porta aberta não é um problema por si só. Sua impressora precisa responder na porta de impressão, e seu roteador precisa responder na 53 para resolver nomes para todo mundo. O problema é uma porta aberta que ninguém usa, ou uma que oferece um acesso antigo, sem criptografia ou com uma senha fácil de adivinhar. A maioria das invasões em redes domésticas e de pequenos escritórios começa exatamente aí: um serviço esquecido, ainda com as configurações de fábrica.
De dentro ou de fora: duas perguntas diferentes
Há dois lugares de onde olhar, e eles respondem a perguntas diferentes.
- De dentro da sua rede você vê tudo o que cada dispositivo oferece aos outros ao redor: a página web da impressora, as pastas compartilhadas do NAS, a área de trabalho remota do PC. É o que o celular de uma visita, ou uma tomada inteligente comprometida, conseguiria alcançar.
- Da internet você só vê o que o roteador deixa passar — normalmente nada, a não ser que alguém tenha configurado um redirecionamento de portas ou ativado o UPnP, que permite que os dispositivos abram portas no roteador por conta própria.
As duas importam. Comece por dentro, porque é lá que estão a maioria das surpresas, e depois verifique o próprio roteador.
Como verificar de dentro
Um scanner de portas bate numa série de portas de um dispositivo e anota quais respondem. Três escolhas definem quanto tempo leva e o que ele encontra:
- O alvo. Comece pelo roteador (o gateway, geralmente
192.168.1.1ou192.168.0.1) e depois os dispositivos que mais importam: o NAS, os PCs, as câmeras. - Quais portas. As poucas dezenas de portas comuns cobrem quase todos os serviços que você vai encontrar em casa ou no escritório, e levam segundos. A faixa completa de portas conhecidas, 1–1024, é mais completa. Uma lista personalizada serve quando você procura algo específico.
- TCP e UDP. A maioria dos serviços usa TCP, mas alguns importantes usam UDP — DNS, NTP, SNMP, NetBIOS — e muitos scanners os ignoram. Uma porta UDP só conta como aberta se o dispositivo realmente responder; por isso um bom scanner envia uma requisição de verdade para cada protocolo em vez de adivinhar.
Quais portas merecem atenção
Numa rede doméstica ou de escritório pequeno, estas merecem uma segunda olhada:
| Porta | Serviço | Por que importa |
|---|---|---|
| 21, 23 | FTP, Telnet | Protocolos antigos que enviam senhas em texto puro. Raramente necessários hoje. |
| 80 | Web sem criptografia | Tudo bem para a página de status de uma impressora; pior para a página de login do roteador. |
| 445, 139 | Compartilhamento de arquivos do Windows (SMB) | O caminho clássico pelo qual um malware passa de um PC para outro. Deixe só nas máquinas que realmente compartilham arquivos. |
| 3389 | Área de trabalho remota | Atacada o tempo todo quando está acessível pela internet. Por dentro, mantenha só nos PCs que precisam. |
| 5900 | VNC | Controle remoto, muitas vezes com senha fraca ou sem senha. |
| 1900, 5000 | UPnP | Permite que dispositivos abram portas no roteador sozinhos. |
| 161 | SNMP | Útil para monitoramento, mas com a community padrão public qualquer um na rede consegue ler o dispositivo. |
| 554, 8000, 8080 | Câmeras e páginas de administração | Câmeras e aparelhos baratos costumam vir com senhas padrão. |
O que você procura é algo fora do lugar: um serviço num dispositivo que não tem motivo para oferecê-lo, ou um serviço que você nem sabia que existia.
Como fechar o que você não usa
- Desligue o serviço no próprio dispositivo. Uma porta fecha quando nada mais escuta nela: desative o Telnet no roteador, o compartilhamento de arquivos num PC que não compartilha nada, a interface web de uma câmera que você só usa pelo app.
- Remova do roteador os redirecionamentos de portas que não usa mais e desative o UPnP, a não ser que um console ou app realmente precise.
- Troque as senhas padrão de tudo o que mantém aberta uma página de administração ou um acesso remoto — roteador, NAS, câmeras, impressoras.
- Atualize o firmware: muitos serviços antigos são corrigidos ou removidos nas versões novas.
- Coloque os aparelhos na rede de convidados, se o roteador tiver uma, para que uma câmera ou tomada inteligente não consiga alcançar seus PCs.
Depois escaneie de novo. A lista deve estar menor, e cada linha deve ser algo que você sabe explicar.
Fazendo isso com o NetBlade no iPhone
O NetBlade para iPhone e iPad faz a verificação do seu bolso, sem conta:
- a aba Portas escaneia qualquer dispositivo: digite um endereço ou toque em Usar gateway para o roteador, e escolha Comuns, 1–1024 ou Personalizado;
- cada porta aberta vem com serviço, uma breve descrição e um nível de risco, TCP e UDP lado a lado, com sondas UDP reais para DNS, NTP, TFTP, mDNS, NetBIOS e SNMP;
- Buscar CVE ao lado de uma porta abre o National Vulnerability Database para aquele serviço;
- na aba LAN, os detalhes de cada dispositivo transformam as portas abertas numa pontuação de segurança de 0 a 100, com uma dica para cada problema encontrado;
- você pode compartilhar o resultado pela barra superior.
O escaneamento de portas e a pontuação de segurança são gratuitos. Escaneie uma vez o roteador e os dispositivos mais importantes, feche o que não reconhecer e mantenha a rede salva: na próxima vez que abrir o app, o histórico dela mostra o que mudou.