我的网络上开着哪些端口？如何检查，以及该关闭哪些

开放端口到底是什么

网络上的每台设备都可以提供服务：用来设置它的网页、文件共享、远程桌面、打印。每项服务都在一个编号的端口上监听——网页用 80 和 443，文件共享用 445，远程桌面用 3389。当设备上有程序在某个端口应答时，这个端口就是开放的。

开放端口本身并不是问题。打印机必须在它的打印端口上应答，路由器必须在 53 端口应答，才能为所有人解析域名。问题在于没人需要却开着的端口，或者提供了陈旧、未加密、密码容易猜到的入口的端口。家庭和小型办公室网络的入侵，大多正是从这里开始的：一项被遗忘的服务，仍是出厂设置。

可以从两个位置去看，它们回答的是不同的问题。

从你的网络内部，你能看到每台设备向周围设备提供的一切：打印机的网页、NAS 的共享文件夹、电脑的远程桌面。访客的手机，或一个被攻破的智能插座，能够触及的正是这些。
从互联网，你只能看到路由器放行的内容——通常什么也看不到，除非有人设置了端口转发，或开启了允许设备自行在路由器上打开端口的 UPnP。

两者都重要。先从内部开始，因为大多数意外都在那里，然后再检查路由器本身。

端口扫描器会逐一敲击设备上的一系列端口，并记录哪些有应答。三个选择决定了扫描需要多久、能发现什么：

目标。 从路由器（即网关，通常是 192.168.1.1 或 192.168.0.1）开始，然后是你最关心的设备：NAS、电脑、摄像头。
哪些端口。 几十个常用端口就能覆盖你在家里或办公室遇到的几乎所有服务，几秒钟即可完成。完整的知名端口范围 1–1024 更加彻底。自定义列表适合寻找特定目标时使用。
TCP 和 UDP。 大多数服务使用 TCP，但有些重要的服务使用 UDP——DNS、NTP、SNMP、NetBIOS——而许多扫描器会跳过它们。只有设备真正应答时，UDP 端口才算开放，所以好的扫描器会为每种协议发送真实的请求，而不是靠猜。

在家庭或小型办公室网络中，下面这些端口值得再看一眼：

端口	服务	为什么重要
21, 23	FTP、Telnet	以明文发送密码的老协议，如今很少需要。
80	未加密的网页	用于打印机的状态页没问题；用于路由器的登录页就不太好。
445, 139	Windows 文件共享（SMB）	恶意软件从一台电脑传播到另一台的经典途径。只在真正共享文件的电脑上开启。
3389	远程桌面	一旦能从互联网访问就会不断遭到攻击。在内部也只保留在需要它的电脑上。
5900	VNC	远程控制，常常密码很弱甚至没有密码。
1900, 5000	UPnP	让设备自行在路由器上打开端口。
161	SNMP	对监控很有用，但如果使用默认团体名 `public`，网络上任何人都能读取该设备。
554, 8000, 8080	摄像头和管理页面	廉价摄像头和小设备出厂时常带默认密码。

你要找的是不对劲的地方：一台没有理由提供某项服务的设备上运行着它，或者一项你根本不知道存在的服务。

在设备本身关闭服务。 没有程序监听时，端口就会关闭：关掉路由器上的 Telnet、不共享任何内容的电脑上的文件共享、只通过 App 使用的摄像头的网页界面。
删除路由器上不再使用的端口转发，并且除非游戏机或某个 App 确实需要，关闭 UPnP。
凡是开着管理页面或远程访问的设备，都要修改默认密码——路由器、NAS、摄像头、打印机。
更新固件：许多老旧服务在新版本中已被修复或移除。
如果路由器有访客网络，把小设备移到访客网络，这样摄像头或智能插座就完全无法接触到你的电脑。

然后再扫描一次。列表应该变短了，而且上面的每一行都应该是你能解释清楚的。

iPhone 和 iPad 版 NetBlade 无需账户，就能在口袋里完成这项检查：

端口标签页可以扫描任何设备：输入地址，或点按使用网关扫描路由器，然后选择常用、1–1024 或自定义；
每个开放端口都附有服务、简短说明和风险等级，TCP 和 UDP 并排显示，并对 DNS、NTP、TFTP、mDNS、NetBIOS 和 SNMP 使用真实的 UDP 探测；
端口旁的搜索 CVE 会打开该服务在 National Vulnerability Database 中的条目；
在 LAN 标签页中，每台设备的详情会把它的开放端口换算成满分 100 的安全评分，并针对每项发现给出建议；
你可以从顶部栏分享结果。

端口扫描和安全评分都是免费的。把路由器和最重要的设备扫描一遍，关闭你不认识的服务，并保存这个网络：下次打开 App 时，它的历史记录会告诉你发生了哪些变化。