Какие порты открыты в моей сети? Как проверить и какие закрыть
Что такое открытый порт, как узнать, какие порты открывают роутер, принтер, NAS и компьютеры, какие из них опасны в домашней или офисной сети — и как их закрыть.
Что такое открытый порт на самом деле
Любое устройство в сети может предлагать службы: веб-страницу для настройки, общий доступ к файлам, удалённый рабочий стол, печать. Каждая служба слушает пронумерованный порт: веб — 80 и 443, общий доступ к файлам — 445, удалённый рабочий стол — 3389. Порт открыт, когда на устройстве там что-то отвечает.
Открытый порт сам по себе не проблема. Принтер должен отвечать на своём порту печати, а роутер должен отвечать на порту 53, чтобы разрешать имена для всех. Проблема — это порт, открытый без надобности, или порт, дающий старый, незашифрованный или легко угадываемый вход. Большинство взломов домашних и небольших офисных сетей начинается именно там: с забытой службы, всё ещё с заводскими настройками.
Изнутри или снаружи: два разных вопроса
Смотреть можно из двух мест, и они отвечают на разные вопросы.
- Изнутри вашей сети вы видите всё, что каждое устройство предлагает соседним: веб-страницу принтера, общие папки NAS, удалённый рабочий стол компьютера. Именно до этого мог бы добраться телефон гостя или взломанная умная розетка.
- Из интернета вы видите только то, что пропускает роутер — обычно вообще ничего, если только кто-то не настроил проброс портов или не включил UPnP, который позволяет устройствам самим открывать порты на роутере.
Важно и то и другое. Начните изнутри — там больше всего сюрпризов, — а потом проверьте сам роутер.
Как проверить изнутри
Сканер портов стучится в ряд портов устройства и записывает, какие ответили. Три выбора определяют, сколько это займёт и что он найдёт:
- Цель. Начните с роутера (шлюза, обычно
192.168.1.1или192.168.0.1), затем устройства, которые для вас важнее всего: NAS, компьютеры, камеры. - Какие порты. Несколько десятков распространённых портов покрывают почти все службы, которые встретятся дома или в офисе, и проверяются за секунды. Полный диапазон известных портов, 1–1024, — тщательнее. Свой список нужен, когда вы ищете что-то конкретное.
- TCP и UDP. Большинство служб используют TCP, но несколько важных — UDP: DNS, NTP, SNMP, NetBIOS, — и многие сканеры их пропускают. UDP-порт считается открытым, только если устройство действительно ответило, поэтому хороший сканер отправляет настоящий запрос для каждого протокола, а не гадает.
Какие порты заслуживают внимания
В домашней или небольшой офисной сети на эти стоит взглянуть повнимательнее:
| Порт | Служба | Почему это важно |
|---|---|---|
| 21, 23 | FTP, Telnet | Старые протоколы, передающие пароли открытым текстом. Сегодня нужны редко. |
| 80 | Веб без шифрования | Нормально для страницы состояния принтера; хуже для страницы входа роутера. |
| 445, 139 | Общий доступ к файлам Windows (SMB) | Классический путь, которым вредоносные программы переходят с компьютера на компьютер. Оставьте его только на машинах, которые действительно делятся файлами. |
| 3389 | Удалённый рабочий стол | Постоянно атакуется, если доступен из интернета. Внутри — только на компьютерах, которым он нужен. |
| 5900 | VNC | Удалённое управление, часто со слабым паролем или без него. |
| 1900, 5000 | UPnP | Позволяет устройствам самим открывать порты на роутере. |
| 161 | SNMP | Полезен для мониторинга, но со стандартным community public любой в сети может читать устройство. |
| 554, 8000, 8080 | Камеры и страницы администрирования | Дешёвые камеры и гаджеты часто поставляются со стандартными паролями. |
Вы ищете несоответствие: службу на устройстве, у которого нет причин её предлагать, или службу, о которой вы не знали.
Как закрыть ненужное
- Отключите службу на самом устройстве. Порт закрывается, когда на нём никто не слушает: отключите Telnet на роутере, общий доступ к файлам на компьютере, который ничем не делится, веб-интерфейс камеры, которой вы пользуетесь только через приложение.
- Удалите на роутере пробросы портов, которыми больше не пользуетесь, и отключите UPnP, если он действительно не нужен игровой приставке или приложению.
- Смените стандартные пароли на всём, что держит открытой страницу администрирования или удалённый доступ: роутер, NAS, камеры, принтеры.
- Обновите прошивку: многие старые службы в новых версиях исправлены или удалены.
- Переведите гаджеты в гостевую сеть, если она есть на роутере, чтобы камера или умная розетка вообще не могли добраться до ваших компьютеров.
Затем просканируйте снова. Список должен стать короче, а каждая строка в нём — чем-то, что вы можете объяснить.
Как это сделать с NetBlade на iPhone
NetBlade для iPhone и iPad делает эту проверку прямо из кармана, без учётной записи:
- вкладка Порты сканирует любое устройство: введите адрес или нажмите Использовать шлюз для роутера, затем выберите Распространённые, 1–1024 или Свой;
- для каждого открытого порта показаны служба, краткое описание и уровень риска, TCP и UDP рядом, с настоящими UDP-запросами для DNS, NTP, TFTP, mDNS, NetBIOS и SNMP;
- Поиск CVE рядом с портом открывает National Vulnerability Database для этой службы;
- на вкладке LAN сведения о каждом устройстве превращают его открытые порты в оценку безопасности из 100, с советом по каждой находке;
- результатом можно поделиться из верхней панели.
Сканирование портов и оценка безопасности бесплатны. Один раз просканируйте роутер и самые важные устройства, закройте то, чего не узнаёте, и сохраните сеть: в следующий раз, когда откроете приложение, её история покажет, что изменилось.