المنافذ: أيها تفتح وكيف تتحقق

المنفذ هو رقم يخبر النظام بالخدمة التي يجب أن تستقبل الاتصال الوارد. القاعدة بسيطة: لا يُفتح إلا ما تستخدمه فعلاً. كل منفذ إضافي مفتوح هو باب آخر سيبحث فيه أحدهم عن نقاط ضعف.

أرقام المنافذ الشائعة

ملاحظة بشأن البريد: الاتصالات الواردة غير مقيّدة، أما الاتصالات الصادرة على 25 و465 و587 فهي مغلقة على مستوى العقدة حتى تطلب منا فتحها. القواعد داخل الجهاز لا تغيّر ذلك — راجع خادم البريد: لماذا هو صعب وما يجب مراعاته للتفاصيل.

قواعد البيانات لا تُكشف للخارج تقريباً أبداً. إذا احتجت إلى الوصول من جهاز العمل، فالطريقة الصحيحة هي نفق SSH، لا منفذ مفتوح:

ssh -L 5432:127.0.0.1:5432 artem@<address>

ما الذي يستمع عليه الجهاز

ss -tulpn
ss -tlpn | grep 443
lsof -i -P -n | grep LISTEN

انظر إلى العنوان قبل رقم المنفذ. 127.0.0.1:5432 يعني أن الخدمة متاحة من الداخل فقط — ولا يمكن الوصول إليها من الخارج، مهما أضفت من قواعد. 0.0.0.0:5432 يعني أن الخدمة مفتوحة على جميع واجهات الشبكة ويجب حمايتها بجدار ناري.

التحقق من الخارج

من جهازك:

nc -vz <address> 443
curl -I http://<address>

التحقق باستخدام ping بلا جدوى: ICMP وTCP شيئان مختلفان؛ فقد يعمل المنفذ بينما يكون ping محظوراً، والعكس صحيح.

المنفذ مغلق: استكشاف الأخطاء خطوة بخطوة

1. هل الخدمة تعمل؟ systemctl status <service>
2. هل تستمع على العنوان الصحيح؟ ss -tulpn — وليس 127.0.0.1
3. هل يسمح الجدار الناري بها؟ ufw status verbose أو nft list ruleset
4. هل يعترض Docker؟ منافذ الحاويات المنشورة تتجاوز ufw
5. راجع سجلات الخدمة: journalctl -u <service> -n 50

الترتيب مهم: غالباً ما تكون المشكلة في الخطوة الثانية، لا في الجدار الناري.

تغيير منفذ خدمة

مثلاً، نقل SSH:

sed -i "s/^#\?Port 22/Port 2222/" /etc/ssh/sshd_config
ufw allow 2222/tcp
sshd -t
systemctl restart ssh

تأكد من قدرتك على تسجيل الدخول على المنفذ الجديد في نافذة منفصلة، وبعدها فقط احذف القاعدة الخاصة بالمنفذ 22. للتفاصيل، راجع تقوية SSH.

أخطاء شائعة

لا تفتح منفذاً إلا بعد التحقق مما يستجيب عليه. المنفذ المنسي من تجربة قديمة هو نقطة دخول نموذجية للاختراق؛ راجع علامات الاختراق.