Сетевой траблшутинг для новичков: Часть 3 — Порты

IP-адрес определяет узел, а порт — конкретную службу на нём. Веб-сервер обычно принимает соединения на порту 80 (HTTP) и 443 (HTTPS), SSH — на 22, базы данных и почта — на своих портах. Сервер может отвечать на ping, но если нужная служба не запущена или порт закрыт межсетевым экраном, приложение до неё не достучится.

В этой части — как проверить порт удалённого сервера и какие порты слушает своя машина.

Проверка порта на удалённом сервере

nc (netcat)

nc -zv example.com 443

• -z — только проверить соединение, без передачи данных;
• -v — подробный вывод.

Успешный результат:

Connection to example.com (93.184.215.14) 443 port [tcp/https] succeeded!

Неудача:

nc: connect to example.com port 81 (tcp) failed: Connection refused

Точный текст зависит от варианта nc в системе (OpenBSD или traditional), но смысл одинаков. Для ограничения времени ожидания добавьте -w 5 — пять секунд. Больше примеров — в статье о netcat.

Windows: Test-NetConnection

В PowerShell проверка порта встроена:

Test-NetConnection example.com -Port 443

В выводе строка TcpTestSucceeded : True означает, что соединение установлено.

telnet

Старый способ, который работает везде, где установлен клиент telnet:

telnet example.com 443

Сообщение Connected to … значит, что порт открыт; выход — Ctrl+], затем quit. В Windows клиент telnet по умолчанию не установлен, поэтому там удобнее Test-NetConnection.

Как понимать ошибки

• Connection refused — узел доступен, но на этом порту никто не принимает соединения: служба не запущена или слушает другой порт или адрес.
• Connection timed out — ответа нет вовсе. Чаще всего пакеты отбрасывает межсетевой экран на сервере, у провайдера или на пути.
• No route to host — нет маршрута до узла или его отклоняет межсетевой экран.

Разница между refused и timeout — главный признак: в первом случае до сервера доходите, во втором — нет.

Что слушает своя машина

На Linux основной инструмент — ss:

ss -tulpn

• -t — TCP;
• -u — UDP;
• -l — только слушающие сокеты;
• -n — номера портов вместо имён служб;
• -p — процесс, открывший сокет (для чужих процессов нужен sudo).

Пример строки:

tcp  LISTEN 0  4096  0.0.0.0:22   0.0.0.0:*   users:(("sshd",pid=812,fd=3))

Обратите внимание на адрес в столбце локального адреса:

• 0.0.0.0:22 или [::]:22 — служба принимает соединения на всех интерфейсах;
• 127.0.0.1:5432 — только с этого же компьютера; снаружи подключиться нельзя, и это частая причина вопроса «порт открыт, а подключиться не получается».

На Windows:

netstat -ano

Столбец State со значением LISTENING показывает слушающие порты, последний столбец — идентификатор процесса. Утилита netstat в Linux устарела, её заменяет ss.

Если служба слушает, а снаружи порт недоступен

Порядок проверки:

1. Служба слушает нужный адрес (0.0.0.0, а не 127.0.0.1) — ss -tlnp.
2. Порт открыт в межсетевом экране сервера. Настройка UFW разобрана в статье «Защита Linux-сервера: Часть 1 — Межсетевой экран UFW».
3. Порт открыт у хостинг-провайдера (облачные группы безопасности) и проброшен на роутере, если сервер за NAT.

Итог

• nc -zv, Test-NetConnection -Port, telnet — проверка порта удалённого узла;
• refused — служба не слушает, timeout — пакеты отбрасываются по пути;
• ss -tulpn и netstat -ano — что слушает своя машина и на каком адресе.

Ресурсы

• ss (man7.org)
• Test-NetConnection (Microsoft Learn)
• nc (OpenBSD)