Otwarte porty - co to jest i dlaczego bywają zagrożeniem
10 lipca 2026 · 4 min czytania · zaktualizowano 29 września 2026
Jeśli adres IP to adres budynku, to porty są jego drzwiami. Każda usługa sieciowa nasłuchuje na swoim numerze portu: strony na 80 i 443, poczta na 25, zdalny pulpit na 3389. „Otwarty port” oznacza, że za tymi drzwiami coś nasłuchuje i można się z tym połączyć. Poniżej wyjaśniamy, które porty są ryzykowne, jak je sprawdzić na serwerze i w domu oraz jak zamknąć te, których nie potrzebujesz.
Otwarty, zamknięty, filtrowany: co oznacza wynik skanowania
- Otwarty - za portem działa usługa i przyjmuje połączenia.
- Zamknięty - urządzenie odpowiada, ale na tym porcie nic nie nasłuchuje.
- Filtrowany - brak odpowiedzi, bo połączenie blokuje zapora. Dla portów, których nie używasz, to najlepszy stan: z zewnątrz nie widać nawet, że coś tam jest.
Proste skanery, w tym nasz, nie zawsze odróżniają stan zamknięty od filtrowanego i pokazują je razem. Dla bezpieczeństwa liczy się przede wszystkim to, czy port jest otwarty.
Dlaczego otwarte porty bywają groźne?
Każdy otwarty port to potencjalne wejście. Jeśli usługa za nim jest źle skonfigurowana, nieaktualna albo chroniona słabym hasłem, staje się celem ataku. Automaty bez przerwy skanują cały internet, więc nowo wystawiona usługa szybko dostaje pierwsze próby logowania. Szczególnie ryzykowne jest wystawianie usług, które powinny działać tylko w sieci lokalnej.
Porty, które najczęściej są otwarte niepotrzebnie
| Port | Usługa | Dlaczego nie wystawiać do internetu |
|---|---|---|
| 23 | Telnet | Hasła przesyłane bez szyfrowania |
| 21 | FTP | Bez szyfrowania; do przesyłania plików lepszy SFTP |
| 445 | SMB (udostępnianie plików w Windowsie) | Częsty cel ataków i robaków sieciowych |
| 3389 | Pulpit zdalny Windowsa (RDP) | Stały cel prób łamania haseł |
| 3306, 5432 | MySQL, PostgreSQL | Bazy danych powinny być dostępne tylko dla aplikacji |
| 6379, 27017, 9200 | Redis, MongoDB, Elasticsearch | W starszych wersjach lub przy nieuważnej konfiguracji bywają dostępne bez hasła |
| 5900 | VNC | Zdalny dostęp do pulpitu, często ze słabym hasłem |
Jeśli potrzebujesz zdalnego dostępu do takich usług, lepiej udostępnić je przez VPN niż wystawiać bezpośrednio. Znaczenie innych numerów znajdziesz w słowniku portów.
Otwarte porty w sieci domowej
W domu porty otwiera najczęściej router. Dzieje się to, gdy ręcznie ustawisz przekierowanie portu (np. do kamery, dysku sieciowego albo serwera gry) albo gdy urządzenie samo poprosi o nie przez UPnP. Warto raz na jakiś czas zajrzeć do panelu routera i:
- usunąć przekierowania, których już nie potrzebujesz,
- wyłączyć UPnP, jeśli nie jest potrzebne konsoli czy grze,
- sprawdzić, czy panel administracyjny routera nie jest dostępny z internetu (opcja „zdalne zarządzanie”).
Jeśli skaner nie widzi żadnych portów Twojego routera, a przekierowanie „nie działa”, możliwe, że jesteś za CGNAT operatora i nie masz własnego publicznego adresu. Wyjaśniamy to we wpisie CGNAT - dlaczego nie masz publicznego IP.
Jak sprawdzić porty: z zewnątrz i lokalnie
- Z zewnątrz: skaner portów pokazuje, co widać z internetu. To widok atakującego. Aby sprawdzić sieć domową, wpisz swój publiczny adres IP.
- Lokalnie na serwerze lub komputerze:
ss -tulpn(Linux),netstat -ano(Windows) albolsof -i -P | grep LISTEN(macOS) pokażą, które programy nasłuchują na jakich portach, także tych zablokowanych przez zaporę.
Port, który nasłuchuje lokalnie, ale nie jest widoczny z zewnątrz, jest chroniony przez zaporę lub router. Port widoczny z zewnątrz, którego nie rozpoznajesz, trzeba wyjaśnić.
Jak zamknąć niepotrzebny port
- Najlepiej wyłącz usługę, której nie używasz. Wtedy port nie jest otwarty w ogóle.
- Ogranicz usługę do sieci lokalnej: bazy danych i panele administracyjne ustaw tak, żeby nasłuchiwały tylko na
127.0.0.1lub adresie wewnętrznym. - Zablokuj port w zaporze: na serwerze z Ubuntu np.
sudo ufw deny 3306, w Windowsie w „Zaporze Windows Defender z zabezpieczeniami zaawansowanymi”. - Usuń przekierowanie w routerze, jeśli port jest otwarty w sieci domowej.
- Sprawdź ponownie skanerem z zewnątrz.
Jeśli na serwerze działo się coś podejrzanego, sprawdź też, czy jego adres nie trafił na czarną listę, np. po przejęciu przez atakującego.
Skanuj tylko swoje systemy
Skanuj wyłącznie serwery i urządzenia, którymi zarządzasz, albo takie, na których skanowanie masz zgodę właściciela. Skanowanie cudzej infrastruktury może zostać uznane za przygotowanie do ataku i zablokowane, a w skrajnych przypadkach mieć konsekwencje prawne.