Välkända portar och brandväggskommandon: slå upp och öppna portar

För varje port visas ett kort med tjänst, TCP eller UDP, IANA-status, portintervall och OSI-lager. Känsliga portar får en säkerhetsvarning. Du får också färdiga kommandon för fem brandväggar. För en FiveM-server med ufw är det till exempel sudo ufw allow 30120/tcp, sudo ufw allow 30120/udp. Klicka sedan på ”Kontrollera port” för att testa om porten kan nås utifrån.

Välkända portar (systemportar) är portnumren 0 till 1023. IANA tilldelar dem vanliga standardtjänster som SSH (22), HTTP (80) och HTTPS (443). I Linux behöver en tjänst på dessa portar som standard rootbehörighet eller capabilityn CAP_NET_BIND_SERVICE. Därefter följer registrerade portar (1024 till 49151) och dynamiska portar (49152 till 65535).

För serverdrift och nätverksprov som CompTIA Network+ eller det tyska IHK-provet är de viktigaste: 20/21 FTP, 22 SSH, 23 Telnet, 25 SMTP, 53 DNS, 67/68 DHCP, 80 HTTP, 110 POP3, 123 NTP, 143 IMAP, 161 SNMP, 389 LDAP, 443 HTTPS, 445 SMB, 465 och 587 för att skicka e-post, 993 IMAPS, 995 POP3S, 1433 Microsoft SQL Server, 3306 MySQL, 3389 RDP, 5432 PostgreSQL och 8080 som alternativ HTTP-port. Totalt går portnumren från 0 till 65535, separat för TCP och UDP. Portlistan under verktyget visar de viktigaste portarna med kategori och kan växlas till IANA:s tilldelade portar.

TCP upprättar en anslutning före överföringen och ser till att allt kommer fram i sin helhet och i rätt ordning, till exempel för webbplatser, e-post och SSH. UDP skickar paket utan att upprätta en anslutning eller begära bekräftelse. Det är snabbare och passar för DNS-förfrågningar, röst och spel. En brandväggsregel gäller alltid ett protokoll, så en tjänst som FiveM behöver två regler.

Det beror på brandväggen: på Ubuntu och Debian oftast med ufw (sudo ufw allow 443/tcp), på Rocky Linux, AlmaLinux och RHEL med firewalld (sudo firewall-cmd --permanent --add-port=443/tcp och sedan --reload). Utan ett gränssnitt använder du iptables eller nftables direkt. Verktyget skapar kommandon för dessa fyra brandväggar, även för ett portintervall eller bara en viss IP-adress.

Snabbast gör du det i PowerShell som administratör med New-NetFirewallRule, till exempel New-NetFirewallRule -DisplayName „Port 443 TCP“ -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow. Med Remove-NetFirewallRule och samma namn tar du bort regeln igen. Verktyget skapar båda kommandona åt dig.

På servern visar sudo ss -tulpn vilken tjänst som lyssnar på vilken port. Portkontrollen testar om porten också kan nås utifrån: Knappen ”Kontrollera port” öppnar den med dina portar. Om en port är stängd körs inte tjänsten, lyssnar den bara på localhost eller blockeras den av en brandvägg.

Databaser (3306, 5432, 6379, 27017), fjärrskrivbord (3389), Windows-delningar (445), Docker-API:et (2375) och admingränssnitt bör inte exponeras mot internet. Öppna dem bara för en viss IP-adress eller anslut via VPN eller en SSH-tunnel. Telnet (23) och FTP (21) överför lösenord i klartext och har ersatts av SSH och SFTP.

Ja. Ställ in källan på ”Specifik IP” och ange en IPv4- eller IPv6-adress eller ett nätverk i CIDR-notation, till exempel 203.0.113.10 eller 198.51.100.0/24. Verktyget kontrollerar inmatningen och lägger in adressen i reglerna: i ufw som from … to any port, i iptables med -s, i nftables med saddr, i firewalld som Rich Rule och i Windows med -RemoteAddress. Mallen ”Databas” ställer automatiskt in källan på ”Specifik IP”.

Aktivera ”Visa kommandon för att stänga igen”: ufw tar bort regeln med sudo ufw delete allow, iptables med -D i stället för -I, firewalld med --remove-port eller --remove-rich-rule och --reload, och Windows med Remove-NetFirewallRule och samma namn. För nftables visar du kedjan med sudo nft -a list chain inet filter input och tar bort regeln med dess handle-nummer. För permanenta regler: spara iptables-regler med sudo netfilter-persistent save (paketet iptables-persistent). firewalld sparar med --permanent. För nftables måste regeln finnas i /etc/nftables.conf.