Porty: ktoré otvoriť a ako ich overiť

Port je číslo, ktoré systému hovorí, ktorá služba má prijať prichádzajúce spojenie. Pravidlo je jednoduché: otvorené má byť len to, čo naozaj používaš. Každý ďalší otvorený port je ďalšie dvere, na ktorých niekto otestuje slabiny.

Bežné čísla portov

Poznámka k mailu: prichádzajúce spojenia nie sú obmedzené, zatiaľ čo odchádzajúce spojenia na portoch 25, 465 a 587 sú na úrovni node zatvorené, kým nás nepožiadaš o ich otvorenie. Pravidlá vnútri stroja to nezmenia — podrobnosti nájdeš v Mailový server: prečo je to ťažké a čo zvážiť.

Databázy sa takmer nikdy nevystavujú do vonkajšieho sveta. Ak potrebuješ prístup z pracovného počítača, správna cesta je SSH tunel, nie otvorený port:

ssh -L 5432:127.0.0.1:5432 artem@<address>

Na čom stroj počúva

ss -tulpn
ss -tlpn | grep 443
lsof -i -P -n | grep LISTEN

Pozri sa na adresu pred číslom portu. 127.0.0.1:5432 znamená, že služba je dostupná len zvnútra — zvonka sa k nej nedostaneš, nech pridáš akokoľvek veľa pravidiel. 0.0.0.0:5432 znamená, že služba je otvorená na všetkých sieťových rozhraniach a musí ju chrániť firewall.

Kontrola zvonka

Zo svojho počítača:

nc -vz <address> 443
curl -I http://<address>

Kontrola cez ping nemá zmysel: ICMP a TCP sú rozdielne veci; port môže fungovať, aj keď je ping blokovaný, a naopak.

Port je zatvorený: riešenie krok za krokom

1. Beží služba? systemctl status <service>
2. Počúva na správnej adrese? ss -tulpn — nie na 127.0.0.1
3. Povoľuje to firewall? ufw status verbose alebo nft list ruleset
4. Nezasahuje do toho Docker? Publikované porty kontajnerov obchádzajú ufw
5. Skontroluj logy služby: journalctl -u <service> -n 50

Na poradí záleží: najčastejšie je problém v druhom kroku, nie vo firewalle.

Zmena portu služby

Napríklad presun SSH:

sed -i "s/^#\?Port 22/Port 2222/" /etc/ssh/sshd_config
ufw allow 2222/tcp
sshd -t
systemctl restart ssh

Skontroluj, že sa na novom porte prihlásiš v samostatnom okne, a až potom odober pravidlo pre port 22. Podrobnosti nájdeš v Zabezpečenie SSH.

Časté chyby

Port otvor až po tom, čo skontroluješ, čo na ňom odpovedá. Zabudnutý port zo starého experimentu je typický vstupný bod pre hack; pozri príznaky napadnutia.