Porturile de rețea și firewall-ul: ce deschizi, ce închizi

Porturile de rețea sunt numerele care permit unui calculator să primească mai multe tipuri de trafic în același timp, fiecare ajungând la aplicația potrivită. Adresa IP spune la ce dispozitiv ajung datele, iar portul spune ce program din acel dispozitiv le primește. Firewall-ul este paznicul care hotărăște ce trafic poate intra sau ieși pe fiecare port.

Acești termeni apar când vrei să accesezi o cameră de acasă de la distanță, să configurezi un server sau să înțelegi un mesaj de eroare. Mai jos vezi ce sunt porturile, ce porturi cunoscute există, cum lucrează firewall-ul și ce reguli simple te protejează.

Ce este un port de rețea?

Un port este un număr între 0 și 65535 asociat unui protocol de transport, care identifică un serviciu pe un dispozitiv. Cea mai bună analogie este un bloc cu multe apartamente: adresa IP este adresa blocului, iar portul este numărul apartamentului. O conexiune completă se descrie prin adresa și portul sursei și prin adresa și portul destinației.

Fiecare port există separat pentru TCP și pentru UDP, cele două protocoale de transport explicate în articolul despre TCP și UDP. Când browserul cere o pagină, el alege singur un port de ieșire temporar, iar serverul răspunde la acel port.

Cele trei grupe de porturi

Porturile sunt împărțite convențional în trei zone:

• 0–1023, porturi cunoscute: rezervate serviciilor standard (web, e-mail, acces la distanță);
• 1024–49151, porturi înregistrate: folosite de aplicații și servicii specifice;
• 49152–65535, porturi dinamice: alese temporar de sistemul tău pentru conexiunile pe care le deschizi tu.

Care sunt porturile pe care le vei întâlni cel mai des?

Câteva porturi apar în aproape orice situație. Tabelul le adună pe cele mai frecvente.

Dacă un serviciu rulează pe portul său obișnuit, nu trebuie să scrii portul în adresă, browserul îl știe. Dacă rulează pe altul, îl adaugi după două puncte, de exemplu adresa:8080.

Ce face un firewall?

Un firewall este un filtru care aplică reguli de tipul „permite” sau „blochează” traficului, în funcție de adresă, port și direcție. Poate fi un program în sistemul de operare, o funcție a routerului sau un echipament dedicat într-o companie.

Majoritatea firewall-urilor de acasă lucrează după principiul starea conexiunii: permit răspunsurile la conexiunile pornite din interior și resping cererile neașteptate din exterior. Mecanismul se leagă strâns de traducerea adreselor din router, descrisă în articolul despre NAT și CGNAT. Politica sănătoasă este „blochează tot ce nu a fost permis explicit”, nu invers.

Ce înseamnă să deschizi un port?

A deschide un port înseamnă a permite traficului din exterior să ajungă la un serviciu din rețeaua ta. La nivel de router, operația se numește port forwarding (redirecționare de porturi): îi spui routerului că tot ce vine la portul X al adresei publice trebuie trimis dispozitivului Y din casă.

Se deschid porturi, de pildă, pentru o cameră video cu acces la distanță, un server de jocuri, un NAS sau un server web personal. Dar fiecare port deschis este o ușă către internet. Roboții scanează automat toate adresele publice, în căutarea porturilor cu servicii vulnerabile sau cu parole slabe, iar un serviciu nou expus poate fi încercat în câteva minute.

Atenție: Nu deschide niciodată portul 3389 sau altele pentru acces la distanță direct spre internet fără protecție suplimentară. Folosește un VPN sau o conexiune securizată; vezi articolul despre VPN pentru ce poate și ce nu poate face.

Reguli simple pentru porturi deschise

1. Deschide doar ce ai nevoie, doar către dispozitivul necesar și doar cât timp ai nevoie.
2. Actualizează programul sau dispozitivul din spatele portului; vulnerabilitățile vechi sunt exploatate automat (de ce contează actualizările).
3. Folosește parole lungi și, dacă se poate, autentificare în doi pași.
4. Preferă un tunel VPN către rețeaua ta în loc de porturi deschise direct.
5. Verifică periodic ce porturi sunt expuse; un scan de pe un site extern de verificare îți arată ce vede internetul.

Cum verifici ce porturi sunt deschise?

Poți vedea ce porturi ascultă propriul calculator cu comenzi de sistem, precum netstat -an pe Windows sau ss -tuln pe Linux. Lista arată serviciile care așteaptă conexiuni. Un serviciu care ascultă local nu e neapărat accesibil din exterior, pentru că routerul și firewall-ul pot bloca accesul.

Pentru a vedea ce se află expus spre internet, folosește un serviciu de scanare de porturi și verifică adresa ta publică. Rezultatul ar trebui să arate toate porturile închise, în afară de cele pe care le-ai deschis intenționat. Dacă te afli în spatele CGNAT, scanul nu va vedea routerul tău, ci echipamentul furnizorului.

Port blocat nu înseamnă port inutil

Unii furnizori blochează anumite porturi pentru a limita abuzurile, de exemplu portul 25 pentru e-mail. Dacă o aplicație nu se conectează, motivul poate fi un port blocat pe drum, nu o greșeală de configurare. Un test cu un alt port sau cu un serviciu intermediar clarifică repede situația.

Pentru cadrul general al călătoriei unui pachet, de la dispozitiv la server, citește ghidul despre cum funcționează internetul.

Pe aceeași temă, citește și Standardele Wi-Fi 4, 5, 6 și 7: ce se schimbă între ele.