Kiểm tra cổng mở

Nhập số port (hoặc chọn một trong các port có sẵn) rồi bấm Kiểm tra. Máy chủ của chúng tôi tại Frankfurt thử một kết nối TCP tới địa chỉ công khai của bạn trên port đó và báo mở, đóng, bị lọc hoặc không kết nối được kèm thời gian phản hồi. Tối đa mười port mỗi yêu cầu, hai mươi yêu cầu mỗi phút. Công cụ chỉ kiểm tra được địa chỉ mà bạn đang kết nối từ đó; nó từ chối các mục tiêu khác nên không thể bị dùng để quét bên thứ ba.

Mở: kết nối hoàn tất; có ứng dụng đang lắng nghe và router của bạn chuyển tiếp nó. Đóng: địa chỉ của bạn trả lời bằng một lệnh từ chối — port truy cập được nhưng không có gì lắng nghe ở đó (quy tắc mở port hoạt động, ứng dụng chưa chạy hoặc lắng nghe ở port khác). Bị lọc: không có trả lời trong ba giây — tường lửa hoặc NAT âm thầm bỏ gói tin, là trạng thái bình thường của một kết nối gia đình chưa có quy tắc mở port. Không kết nối được: hoàn toàn không có đường đi tới địa chỉ của bạn.

Các port có sẵn là những port mà người ta thực sự hay mở. Bài các số port thông dụng liệt kê thêm.

Máy chủ game phần lớn dùng UDP, thứ mà bài kiểm tra kết nối TCP không dò được; hãy kiểm tra port TCP mà game ghi trong tài liệu (ví dụ 25565 cho Minecraft Java, 27015 cho các game Source) và coi kết quả mở là bằng chứng rằng việc mở port và tường lửa đã đúng, vì quy tắc UDP thường được thiết lập cùng lúc. Máy chơi game bị NAT nghiêm ngặt hưởng lợi từ UPnP hoặc kiểm tra loại NAT nhiều hơn là từ từng port lẻ.

22 (SSH), 3389 (RDP), 5900 (VNC). Kết quả mở từ Internet trên các port này chỉ đáng mong muốn khi bạn chủ ý — và khi đó phải dùng xác thực bằng khóa hoặc mật khẩu mạnh, cập nhật đầy đủ và lý tưởng là có VPN đứng trước. Nếu bạn không cố ý mở chúng, hãy xóa quy tắc chuyển tiếp.

80 và 443 cho máy chủ web, 25 (SMTP giữa các máy chủ), 465/587 (gửi email), 993/995 (IMAP/POP qua TLS). Nhiều nhà mạng gia đình chặn port 25 đến và đôi khi cả port 80; kết quả bị lọc trên port 25 từ đường truyền gia đình thường do nhà mạng chứ không phải router của bạn.

Nếu mọi port đều bị lọc dù bạn mở gì đi nữa, và địa chỉ WAN của router bắt đầu bằng 100.64–100.127 hoặc khác với địa chỉ hiển thị trên trang này, nhà mạng đang chia một địa chỉ công khai cho nhiều khách hàng (carrier-grade NAT). Không quy tắc nào trên router giúp được; hãy xin nhà mạng cấp địa chỉ công khai, dùng IPv6, hoặc dùng dịch vụ tunnel. Kiểm tra CGNAT sẽ xác nhận.

Làm từ ngoài vào trong. 1) Xác nhận địa chỉ công khai trên trang này khớp với địa chỉ WAN trong router; nếu không, xem phần CGNAT ở trên. 2) Trong router, chuyển tiếp port bên ngoài tới địa chỉ riêng của thiết bị và port mà ứng dụng lắng nghe, đúng giao thức (TCP, UDP hoặc cả hai). 3) Gán cho thiết bị một địa chỉ riêng cố định (đặt trước DHCP) để quy tắc không hỏng vào tuần sau. 4) Cho phép port trong tường lửa của chính thiết bị (Windows Defender Firewall, tường lửa macOS, ufw trên Linux). 5) Đảm bảo ứng dụng đang chạy và gắn với mọi giao diện, không chỉ 127.0.0.1. 6) Chạy lại bài kiểm tra; đóng nghĩa là bước 1–3 đã ổn và còn bước 4 hoặc 5; bị lọc nghĩa là bước 2 hoặc 3 vẫn sai.

Để xem một chương trình có đang lắng nghe cục bộ trước khi kiểm tra từ bên ngoài, hãy dùng các công cụ có sẵn trong hệ thống.

Trong PowerShell: Test-NetConnection -ComputerName 192.168.1.20 -Port 25565 kiểm tra một port trên thiết bị khác trong LAN; Get-NetTCPConnection -State Listen liệt kê mọi thứ đang lắng nghe trên máy này. TcpTestSucceeded: True nghĩa là port trả lời cục bộ — nếu trang này sau đó báo bị lọc, vấn đề nằm ở quy tắc của router.

nc -zv 192.168.1.20 25565 kiểm tra một port trên thiết bị trong LAN; sudo lsof -iTCP -sTCP:LISTEN -n -P (macOS) hoặc ss -ltnp (Linux) liệt kê các tiến trình đang lắng nghe cục bộ. Logic giống nhau: chạy cục bộ nhưng không chạy từ đây nghĩa là router hoặc nhà mạng.