Проверка открытых портов

Введите номер порта (или выберите из пресетов) и нажмите Проверить. Наш сервер во Франкфурте пытается установить TCP-соединение с вашим публичным адресом по этому порту и сообщает открыт, закрыт, фильтруется или недоступен с временем отклика. До десяти портов за запрос, двадцать запросов в минуту. Проверка умеет тестировать только адрес, с которого вы подключились; другие цели она отвергает, поэтому для сканирования третьих лиц её использовать нельзя.

Открыт: соединение установлено; что-то слушает порт, и роутер его пробрасывает. Закрыт: ваш адрес ответил отказом — порт достижим, но его никто не слушает (правило проброса работает, приложение не запущено или слушает другой порт). Фильтруется: ответа за три секунды нет — файрвол или NAT молча отбрасывает пакет; это нормальное состояние домашнего подключения без правила проброса. Недоступен: до вашего адреса вообще нет маршрута.

Пресеты охватывают порты, которые люди действительно пробрасывают. В статье основные номера портов их больше.

Игровые серверы в основном используют UDP, который TCP-тест проверить не может; проверьте TCP-порт из документации игры (например, 25565 для Minecraft Java, 27015 для игр на Source) и считайте результат открыт доказательством, что проброс и файрвол настроены верно, — правила для UDP обычно настраивают вместе. Консолям со строгим NAT больше помогут UPnP или тест типа NAT, чем отдельные порты.

22 (SSH), 3389 (RDP), 5900 (VNC). Результат открыт для них из интернета нужен, только если вы так и задумали — и тогда с аутентификацией по ключу или надёжным паролем, обновлениями и желательно VPN впереди. Если вы не открывали их намеренно, удалите правило проброса.

80 и 443 для веб-сервера, 25 (SMTP между серверами), 465/587 (отправка почты), 993/995 (IMAP/POP через TLS). Многие домашние провайдеры блокируют входящий 25, а иногда и 80; результат фильтруется на 25 с домашней линии обычно означает провайдера, а не роутер.

Если все порты показывают фильтруется, что бы вы ни пробрасывали, а WAN-адрес роутера начинается с 100.64–100.127 или отличается от адреса на этом сайте, провайдер делит один публичный адрес между многими абонентами (carrier-grade NAT). Никакое правило проброса на роутере не поможет; попросите у провайдера публичный адрес, используйте IPv6 или туннельный сервис. Проверка CGNAT это подтвердит.

Идите снаружи внутрь. 1) Убедитесь, что публичный адрес на этом сайте совпадает с WAN-адресом в роутере; если нет, см. CGNAT выше. 2) В роутере пробросьте внешний порт на частный адрес устройства и порт, который слушает приложение, с нужным протоколом (TCP, UDP или оба). 3) Закрепите за устройством постоянный частный адрес (резервирование DHCP), чтобы правило не сломалось через неделю. 4) Разрешите порт в файрволе самого устройства (брандмауэр Windows, файрвол macOS, ufw в Linux). 5) Убедитесь, что приложение запущено и слушает на всех интерфейсах, а не только на 127.0.0.1. 6) Повторите проверку: закрыт значит, что шаги 1–3 работают и остались шаги 4 или 5; фильтруется — что шаг 2 или 3 всё ещё неверен.

Чтобы увидеть, слушает ли программа локально, прежде чем проверять снаружи, используйте встроенные средства системы.

В PowerShell: Test-NetConnection -ComputerName 192.168.1.20 -Port 25565 проверяет порт на другом устройстве в локальной сети; Get-NetTCPConnection -State Listen перечисляет всё, что слушает на этом компьютере. TcpTestSucceeded: True означает, что порт отвечает локально — если эта страница при этом говорит фильтруется, проблема в правиле роутера.

nc -zv 192.168.1.20 25565 проверяет порт на устройстве в локальной сети; sudo lsof -iTCP -sTCP:LISTEN -n -P (macOS) или ss -ltnp (Linux) перечисляет локальных слушателей. Логика та же: работает локально, но не отсюда — значит, роутер или провайдер.