Testi yrittää avata yhteyden palvelimeltamme julkiseen IP-osoitteeseesi tavallisimpiin portteihin. Avoin portti tarkoittaa, että jokin laitteesi tai reitittimesi vastaa internetistä tuleviin yhteyksiin. Tavallisessa kotiverkossa yhdenkään portin ei pitäisi olla auki, ellet ole itse avannut sitä.
Mitä tulokset tarkoittavat
- Avoinna. Osoitteesi hyväksyi yhteyden. Jokin palvelu kuuntelee porttia ja vastaa koko internetille. Jos olet itse tehnyt porttiohjauksen esimerkiksi pelipalvelimelle tai kameralle, tämä on odotettua. Jos et, selvitä mikä laite vastaa – yleisimmät syyt ovat reitittimen etähallinta, UPnP:n automaattisesti avaama portti tai NAS-laitteen “etäkäyttö”-toiminto.
- Suljettu. Laite vastasi, mutta torjui yhteyden (TCP RST). Portissa ei ole palvelua. Kertoo kuitenkin, että osoitteessa on laite, joka vastaa.
- Ei vastausta (suodatettu). Palomuuri pudotti paketin hiljaa. Ulkopuolinen ei näe edes, onko osoitteessa laitetta. Tämä on nykyaikaisten reitittimien oletustila ja paras tulos.
Miksi portit ovat yleensä kiinni
Kotireititin tekee NAT-osoitteenmuunnoksen: kaikki kotiverkon laitteet näkyvät ulos yhtenä julkisena osoitteena, eikä reititin tiedä, mille laitteelle ulkoa tuleva yhteys kuuluisi. Se pudottaa yhteyden, ellei porttiohjausta ole tehty. Siksi NAT toimii käytännössä palomuurina, vaikka sitä ei siihen alun perin suunniteltu. Lue: Mikä on NAT?
Jos operaattorisi käyttää CGNAT-tekniikkaa (yleistä mobiili- ja monissa kuituliittymissä), julkinen osoitteesi on operaattorin, ja sen takana on satoja asiakkaita. Silloin portit näkyvät aina suodatettuina, etkä voi avata niitä itse. Lue: Staattinen IP kotiin – tarvitsetko sitä?
Portit, joita ei koskaan pitäisi näkyä
| Portti | Palvelu | Miksi vaarallinen |
|---|---|---|
| 23 | Telnet | Salaamaton etähallinta. Automaattiset bottiverkot etsivät näitä jatkuvasti. |
| 445, 139 | SMB / NetBIOS | Windowsin tiedostojako. WannaCry-tyyppisten kiristyshaittaohjelmien reitti. |
| 3389 | Etätyöpöytä (RDP) | Yleisin murtautumisreitti yritysverkkoihin. Käytä VPN:ää tai vähintään vahvaa salasanaa ja 2FA:ta. |
| 5900 | VNC | Usein ilman salasanaa tai heikolla salasanalla. |
| 21 | FTP | Salaamaton; tunnukset kulkevat selväkielisinä. |
| 1433, 3306 | MS SQL, MySQL | Tietokannan ei pidä koskaan kuunnella internetiin. |
SSH (22) auki on hyväksyttävää, jos siihen kirjaudutaan vain avaimella ja salasanakirjautuminen on pois päältä. HTTP/HTTPS (80/443) on tarkoituksella auki, jos ylläpidät omaa palvelinta.
Usein kysyttyä
Voinko tarkistaa jonkun toisen osoitteen portit?
Et tällä työkalulla. Se testaa vain sen osoitteen, josta käytät sivua. Muiden osoitteiden skannaus ilman lupaa on Suomessa rangaistavaa (tietomurron yritys), eikä palvelu tue sitä.
Näyttää “avoinna”, mutta en ole avannut mitään.
Kirjaudu reitittimeen ja tarkista porttiohjaukset, UPnP-lista ja etähallinta-asetus. Jos et löydä syytä, kysy operaattorilta – joissakin liittymissä operaattorin päätelaite vastaa itse tiettyihin portteihin.
Kaikki näkyy suodatettuna, vaikka avasin portin.
Yleisimmät syyt: porttiohjaus osoittaa väärään sisäverkon osoitteeseen, laitteen oma palomuuri estää yhteyden, tai liittymä on CGNAT:n takana eikä julkinen osoite ole oikeasti sinun.
Miksi vain 23 porttia?
Testi on tarkoitettu kotikäyttäjän nopeaan tarkistukseen, ei porttiskanneriksi. Täydelliseen skannaukseen omalta koneelta ulospäin tarvitset erillisen ohjelman, kuten nmapin.