Ir para o conteúdo

Verificar portas abertas

Verifique se uma porta TCP está aberta num IP ou anfitrião público: teste o reencaminhamento de portas ou as portas comuns de uma só vez.

Porta TCP entre 1 e 65535, por exemplo 443 para HTTPS ou 22 para SSH.

Portas TCP comuns e para que servem

A análise acima testa as primeiras 21 de uma vez. As duas últimas são casos típicos de reencaminhamento: introduza-as à mão.

PortaServiçoPara que serve
21FTPTransferência de ficheiros (FTP). As palavras-passe passam em claro: o SFTP, na porta 22, substitui-o.
22SSHShell remota e transferência de ficheiros (SSH, SFTP) em servidores Linux e equipamentos de rede.
25SMTPCorreio entre servidores (SMTP). Muitas vezes bloqueado nas ligações domésticas contra o spam.
53DNSDNS sobre TCP: respostas grandes e transferências de zona. As consultas normais usam UDP.
80HTTPSites sem cifragem (HTTP), em geral apenas um redirecionamento para HTTPS.
110POP3Descarga de correio (POP3), sem cifragem. A porta 995 é a versão TLS.
143IMAPLeitura do correio no servidor (IMAP), sem cifragem. A porta 993 é a versão TLS.
443HTTPSSites e API sobre TLS (HTTPS). A porta com mais probabilidade de estar aberta.
465SMTPSEnvio de correio a partir de um cliente, em TLS desde o primeiro byte (SMTPS).
587SMTP-TLSEnvio de correio a partir de um cliente, passado a TLS com STARTTLS (submissão).
993IMAPSIMAP sobre TLS: o que telemóveis e aplicações de correio usam para ler uma caixa.
995POP3SPOP3 sobre TLS: descarga de correio cifrada.
3306MySQLBases de dados MySQL e MariaDB. Não deveria estar acessível a partir de toda a internet.
3389RDPAmbiente de trabalho remoto do Windows (RDP). Um alvo constante de ataques de força bruta se estiver aberto.
5060SIPSinalização da telefonia IP (SIP), para telefones e centrais VoIP.
5432PostgreSQLBases de dados PostgreSQL. Como o MySQL, melhor atrás de uma firewall ou de uma VPN.
6379RedisRedis, uma base de dados em memória. Sem palavra-passe, um Redis aberto é tomado em poucas horas.
6443KubernetesO servidor de API do Kubernetes, que controla todo um cluster.
8080HTTP-AltPorta HTTP alternativa: proxies, painéis de administração, servidores de desenvolvimento.
8443HTTPS-AltPorta HTTPS alternativa, frequente nas páginas de administração de equipamentos e routers.
27017MongoDBBases de dados MongoDB. Milhares de instâncias abertas sem palavra-passe foram apagadas por robôs de resgate.
25565MinecraftServidores Minecraft Java Edition: o caso clássico de reencaminhamento de portas num router doméstico.
32400PlexPlex Media Server, para ver a sua biblioteca fora de casa.

Sobre a verificação de portas

Uma verificação de porta abre uma ligação TCP a uma porta específica e indica se ela se completa. Onde o ping diz que uma máquina responde, isto diz que um serviço concreto está à escuta e acessível, a distinção que importa quando uma base de dados ou uma API não respondem embora o anfitrião responda ao ping.

O percurso de um teste de reencaminhamento de portasO teste vem de fora, como qualquer visitante: o seu router tem de o passar ao dispositivo certo, e esse dispositivo tem de responder.
  1. O nosso servidor de testeInternet, a partir de Falkenstein (Alemanha)
    Abre uma ligação TCP para203.0.113.42:25565
    Antes do router: CGNAT

    O seu operador partilha um IP público entre vários clientes: o endereço WAN do router está em 100.64.0.0/10 ou é privado. O teste fica no operador e nenhuma regra do seu lado resolve.

    O teste mostra: filtrado

  2. O seu routerO único equipamento que a internet vê
    IP público203.0.113.42
    Regra de reencaminhamento25565 → 192.168.1.20:25565
    Sem regra, ou para o endereço local errado

    Não há regra para esta porta, ou aponta para um endereço antigo do dispositivo (reatribuído por DHCP): reserve o endereço dele no router.

    Na maioria dos casos: filtrado

  3. O dispositivoAqui, um servidor de Minecraft
    Endereço local192.168.1.20
    À escuta emTCP 25565
    No dispositivo: firewall ou serviço parado

    A firewall dele descarta a ligação, ou o serviço está parado ou só escuta em 127.0.0.1.

    Firewall: filtrado. Sem serviço: fechado.

Só TCP: o UDP não tem handshake, por isso uma porta silenciosa não prova nada.

as portas comuns de scanme.nmap.org, um anfitrião que o projeto Nmap disponibiliza para testes: SSH (22) e HTTP (80) abertas, SMTP (25 e 465) filtrada, as restantes fechadas.

Há três resultados a distinguir. Uma porta aberta completou o aperto de mão: o serviço está ativo e acessível de fora. Uma ligação recusada significa que algo respondeu mas nada está à escuta: normalmente o serviço está parado. Um tempo esgotado significa que nada respondeu, o que aponta quase sempre para uma firewall a descartar o tráfego em silêncio e não para um serviço parado.

Perguntas frequentes

A porta está aberta localmente mas fechada daqui. Porquê?
Uma firewall, um grupo de segurança, ou o serviço à escuta em 127.0.0.1 em vez de 0.0.0.0. Os três são idênticos de dentro da máquina e completamente diferentes vistos de fora.
Recusada ou tempo esgotado: qual é pior?
Recusada costuma ser mais simples: o pacote chegou ao anfitrião e nada estava à escuta. Um tempo esgotado significa que o pacote desapareceu, pelo que há que investigar o serviço e toda a cadeia de filtragem.
Posso verificar uma porta da minha rede doméstica?
Sim, através do seu endereço público: o que o router mostra à internet, exatamente o que um teste de reencaminhamento precisa. Endereços privados e locais (192.168.x.x, 10.x.x.x, 127.0.0.1) são recusados de propósito: sondar intervalos internos a partir de um serviço público é um risco, não uma funcionalidade.
Uma porta aberta significa que estou exposto?
Significa que o serviço está acessível. Ser ou não um problema depende do que está à escuta e de como autentica. Uma base de dados ou uma porta de administração abertas ao mundo devem ser fechadas hoje.
Como verifico se o reencaminhamento de portas funciona?
Inicie primeiro o serviço no seu computador (servidor de jogos, Plex, câmara) e depois introduza aqui o seu IP público e a porta: só um teste feito de fora prova o reencaminhamento. Aberta: o router reencaminha a porta e o serviço responde. Recusada: o router reencaminha, mas nada está à escuta nessa máquina. Tempo esgotado: em geral o router não reencaminha, uma firewall descarta os pacotes ou o operador coloca-o atrás de CGNAT, onde o IP público é partilhado e nenhuma porta pode ser reencaminhada.
Posso testar uma porta UDP?
Não, e nenhuma ferramenta online o consegue fazer de forma fiável. O TCP tem um aperto de mão, por isso uma porta aberta prova-se sozinha. O UDP não tem: uma porta fechada também fica muitas vezes em silêncio, e o silêncio não prova nada. Muitos servidores de jogos e VPN (o WireGuard, por exemplo) usam UDP: nesses casos, o teste é ligar-se com o cliente real a partir de fora da sua rede.

Guias relacionados

Ferramentas relacionadas

Para ir mais longe

Glossário de redes: ICMP, MSS, CGNAT

Executar um traceroute visual para este anfitrião