Vilka portar är öppna i mitt nätverk? Så kontrollerar du det, och vilka du ska stänga
Vad en öppen port är, hur du ser vilka portar routern, skrivaren, NAS:en och datorerna exponerar, vilka som är riskabla i ett hem- eller småkontorsnätverk – och hur du stänger dem.
Vad en öppen port egentligen är
Varje enhet i ett nätverk kan erbjuda tjänster: en webbsida för att ställa in den, fildelning, fjärrskrivbord, utskrift. Varje tjänst lyssnar på en numrerad port – webben på 80 och 443, fildelning på 445, fjärrskrivbord på 3389. En port är öppen när något på enheten svarar där.
En öppen port är inte ett problem i sig. Skrivaren måste svara på sin utskriftsport, och routern måste svara på 53 för att slå upp namn åt alla. Problemet är en port som står öppen fast ingen behöver den, eller en som ger en gammal, okrypterad eller lättgissad väg in. De flesta intrång i hem- och småkontorsnätverk börjar precis där: med en bortglömd tjänst som fortfarande har fabriksinställningarna.
Inifrån eller utifrån: två olika frågor
Det finns två ställen att titta från, och de svarar på olika frågor.
- Inifrån ditt nätverk ser du allt som varje enhet erbjuder enheterna runt omkring: skrivarens webbsida, NAS:ens delade mappar, datorns fjärrskrivbord. Det är det som en gästs telefon, eller ett kapat smart uttag, skulle kunna nå.
- Från internet ser du bara det routern släpper igenom – normalt ingenting alls, om inte någon har ställt in portvidarebefordran eller slagit på UPnP, som låter enheter öppna portar i routern på egen hand.
Båda spelar roll. Börja inifrån, för det är där de flesta överraskningarna finns, och kontrollera sedan själva routern.
Så kontrollerar du inifrån
En portskanner knackar på en rad portar på en enhet och noterar vilka som svarar. Tre val avgör hur lång tid det tar och vad den hittar:
- Målet. Börja med routern (gatewayen, oftast
192.168.1.1eller192.168.0.1) och sedan de enheter du bryr dig mest om: NAS:en, datorerna, kamerorna. - Vilka portar. De några dussin vanliga portarna täcker nästan varje tjänst du stöter på hemma eller på kontoret och tar några sekunder. Hela intervallet med välkända portar, 1–1024, är grundligare. En egen lista är till för när du letar efter något särskilt.
- TCP och UDP. De flesta tjänster använder TCP, men några viktiga använder UDP – DNS, NTP, SNMP, NetBIOS – och många skannrar hoppar över dem. En UDP-port räknas bara som öppen om enheten verkligen svarar, så en bra skanner skickar en riktig förfrågan för varje protokoll i stället för att gissa.
Vilka portar som förtjänar uppmärksamhet
I ett hem- eller småkontorsnätverk förtjänar de här en extra titt:
| Port | Tjänst | Varför det spelar roll |
|---|---|---|
| 21, 23 | FTP, Telnet | Gamla protokoll som skickar lösenord i klartext. Behövs sällan i dag. |
| 80 | Webb, okrypterad | Okej för en skrivares statussida; sämre för routerns inloggningssida. |
| 445, 139 | Windows fildelning (SMB) | Den klassiska vägen för skadlig kod att sprida sig från dator till dator. Begränsa den till datorer som verkligen delar filer. |
| 3389 | Fjärrskrivbord | Angrips ständigt när det går att nå från internet. Internt bara på datorer som behöver det. |
| 5900 | VNC | Fjärrstyrning, ofta med svagt eller inget lösenord. |
| 1900, 5000 | UPnP | Låter enheter öppna portar i routern på egen hand. |
| 161 | SNMP | Användbart för övervakning, men med standard-communityn public kan vem som helst i nätverket läsa enheten. |
| 554, 8000, 8080 | Kameror och administrationssidor | Billiga kameror och prylar levereras ofta med standardlösenord. |
Det du letar efter är något som inte stämmer: en tjänst på en enhet som inte har någon anledning att erbjuda den, eller en tjänst du inte visste fanns.
Så stänger du det du inte behöver
- Stäng av tjänsten på själva enheten. En port stängs när inget längre lyssnar på den: stäng av Telnet i routern, fildelning på en dator som inte delar något, webbgränssnittet på en kamera du bara använder via appen.
- Ta bort portvidarebefordringar i routern som du inte längre använder och stäng av UPnP, om inte en spelkonsol eller app verkligen behöver det.
- Byt standardlösenord på allt som håller en administrationssida eller fjärråtkomst öppen – router, NAS, kameror, skrivare.
- Uppdatera firmware: många gamla tjänster rättas eller tas bort i nyare versioner.
- Flytta prylarna till gästnätverket, om routern har ett, så att en kamera eller ett smart uttag inte alls kan nå dina datorer.
Skanna sedan igen. Listan bör vara kortare, och varje rad på den bör vara något du kan förklara.
Så gör du med NetBlade på iPhone
NetBlade för iPhone och iPad gör kontrollen från fickan, utan konto:
- fliken Portar skannar vilken enhet som helst: skriv en adress eller tryck på Använd gateway för routern, och välj Vanliga, 1–1024 eller Anpassad;
- varje öppen port visas med tjänst, en kort beskrivning och en risknivå, TCP och UDP sida vid sida, med riktiga UDP-sonder för DNS, NTP, TFTP, mDNS, NetBIOS och SNMP;
- Sök CVE bredvid en port öppnar National Vulnerability Database för den tjänsten;
- på fliken LAN gör varje enhets detaljer om dess öppna portar till ett säkerhetsbetyg av 100, med ett råd för varje fynd;
- du kan dela resultatet från översta fältet.
Portskanning och säkerhetsbetyget är gratis. Skanna routern och dina viktigaste enheter en gång, stäng det du inte känner igen och behåll nätverket sparat: nästa gång du öppnar appen visar historiken vad som har ändrats.