ポート：開放すべきポートと確認方法

一般的なサービスに必要なポート、マシンがリッスンしているポートの確認方法、外部からの到達性の確認方法、ポートが閉じている場合の対処方法を説明します。

更新日 2026年8月23日

ポートは、着信接続をどのサービスが受け取るかをシステムに伝える番号です。ルールはシンプルです。実際に使用するものだけを開放してください。余分に開いたポートは、誰かが弱点を探るもう一つの扉になります。

一般的なポート番号

ポート	サービス	外部への開放
22	SSH	はい。できればアドレスで制限することを推奨
80	HTTP	はい。ウェブサイトがある場合
443	HTTPS	はい。ウェブサイトがある場合
25、465、587	メール	受信 — 自前のメールサーバーを運用する場合のみ。送信は当社側で閉じており、申請により開放
3306	MySQL	いいえ。ローカルのみ
5432	PostgreSQL	いいえ。ローカルのみ
6379	Redis	いいえ。ローカルのみ
27017	MongoDB	いいえ。ローカルのみ
25565	Minecraft	はい。ゲームサーバーの場合

メールに関する注意：受信接続は制限されませんが、25、465、587 の送信接続は、お客様からの申請により開放するまでノードレベルで閉じられています。マシン内のルールではこれは変わりません。詳細はメールサーバー：なぜ難しいのか、何を考慮すべきかをご覧ください。

データベースが外部に公開されることはほとんどありません。職場のコンピューターからアクセスする必要がある場合、正しい方法は SSH トンネルであり、ポートを開放することではありません：

ssh -L 5432:127.0.0.1:5432 artem@<address>

マシンがリッスンしているもの

ss -tulpn
ss -tlpn | grep 443
lsof -i -P -n | grep LISTEN

ポート番号の前のアドレスに注目してください。127.0.0.1:5432 は、そのサービスが内部からのみ利用可能であることを意味します。どんなにルールを追加しても外部からは到達できません。0.0.0.0:5432 は、そのサービスがすべてのネットワークインターフェースで開放されていることを意味し、ファイアウォールで保護する必要があります。

外部からの確認

お使いのコンピューターから：

nc -vz <address> 443
curl -I http://<address>

ping での確認は無意味です。ICMP と TCP は別物であり、ping がブロックされていてもポートは機能することがあり、その逆もあります。

ポートが閉じている：段階的なトラブルシューティング

サービスは実行されていますか？ systemctl status <service>
正しいアドレスでリッスンしていますか？ ss -tulpn — 127.0.0.1 ではないこと
ファイアウォールが許可していますか？ ufw status verbose または nft list ruleset
Docker が干渉していませんか？公開されたコンテナポートは ufw をバイパスします
サービスのログを確認する： journalctl -u <service> -n 50

順序が重要です。ほとんどの場合、問題はファイアウォールではなく手順 2 にあります。

サービスポートの変更

たとえば SSH を移動する場合：

sed -i "s/^#\?Port 22/Port 2222/" /etc/ssh/sshd_config
ufw allow 2222/tcp
sshd -t
systemctl restart ssh

別のウィンドウで新しいポートにログインできることを確認してから、ポート 22 のルールを削除してください。詳細は SSH の堅牢化をご覧ください。

よくある間違い

症状	原因	解決策
`Connection refused`	サービスが実行されていない	`systemctl status`、ログを確認
`Connection timed out`	パケットがファイアウォールで破棄されている	ルールを確認
ローカルでは動作するが外部からは動作しない	`127.0.0.1` にバインドされている	設定のアドレスを変更
`Address already in use`	ポートが別のサービスに占有されている	`ss -tulpn` で確認し、余分なサービスを停止

ポートを開放する前に、そこで何が応答しているかを必ず確認してください。古い実験で忘れられたポートは、ハッキングの典型的な侵入経路です。侵害の兆候をご覧ください。