Протокол TCP/IP представляет собой фундамент Internet, с помощью которого компьютеры отправляют и принимают информацию из любой точки земного шара, независимо от географического положения. Обратиться к компьютеру с TCP/IP в другой стране так же просто, как к компьютеру, который находится в соседней комнате. Процедура доступа в обоих случаях идентична, хотя для соединения с машиной в другой стране может потребоваться на несколько миллисекунд больше. В результате граждане любой страны могут без труда делать покупки в Amazon.com; однако из-за логической близости усложняется задача информационной защиты: любой владелец подключенного к Internet компьютера в любой точке мира может попытаться установить несанкционированное соединение с любой другой машиной.
Обязанность ИТ-специалистов — установить брандмауэры и системы обнаружения подозрительного трафика. В ходе анализа пакетов извлекается информация об IP-адресах отправителя и назначения и задействованных сетевых портах. Значение сетевых портов не уступает IP-адресам; это важнейшие критерии для отделения полезного трафика от фальшивых и вредных посылок, поступающих в сеть и исходящих из нее. Основная часть сетевого трафика Internet состоит из пакетов TCP и UDP, которые содержат информацию о сетевых портах, используемых компьютерами для того, чтобы направлять трафик от одного приложения в другое. Необходимое условие безопасности брандмауэра и сети — исчерпывающее понимание администратором принципов использования этих портов компьютерами и сетевыми устройствами.
Зачем в Телевизоре USB Порт
Изучаем порты
Знание основных принципов работы сетевых портов пригодится любому системному администратору. Имея базовые знания об устройстве портов TCP и UDP, администратор может самостоятельно выполнить диагностику отказавшего сетевого приложения или защитить компьютер, которому предстоит обратиться в Internet, не вызывая сетевого инженера или консультанта по брандмауэрам.
В первой части данной статьи (состоящей из двух частей) дается описание основных понятий, необходимых для рассмотрения сетевых портов. Будет показано место сетевых портов в общей сетевой модели и роль сетевых портов и NAT (Network Address Translation — трансляция сетевых адресов) брандмауэра в соединениях компьютеров компании с Internet. И наконец, будут указаны точки сети, в которых удобно идентифицировать и фильтровать сетевой трафик по соответствующим сетевым портам. Во второй части рассматриваются некоторые порты, используемые широко распространенными приложениями и операционными системами, и рассказывается о некоторых инструментах для поиска открытых портов сети.
Краткий обзор сетевых протоколов
TCP/IP — набор сетевых протоколов, через которые компьютеры устанавливают связь друг с другом. Набор TCP/IP — не более чем фрагменты программного кода, установленные в операционной системе и открывающие доступ к этим протоколам. TCP/IP является стандартом, поэтому приложения TCP/IP на компьютере Windows должны успешно обмениваться данными с аналогичным приложением на машине UNIX.
ВЫГОРАНИЕ HDMI ПОРТОВ В ТВ БОКСАХ, КАК ЭТОГО ИЗБЕЖАТЬ? HDMI ЗАЩИТА
В начальный период развития сетей, в 1983 г., инженеры разработали семиуровневую модель взаимодействия OSI для описания процессов сетевого обмена компьютеров, от кабеля до приложения. Модель OSI состоит из физического, канального, сетевого, транспортного, сеансового представления данных и прикладного уровней. Администраторы, постоянно работающие с Internet и TCP/IP, в основном имеют дело с сетевым, транспортным и прикладным уровнями, но для успешной диагностики необходимо знать и другие уровни. Несмотря на солидный возраст модели OSI, ею по-прежнему пользуются многие специалисты. Например, когда сетевой инженер говорит о коммутаторах уровней 1 или 2, а поставщик брандмауэров — о контроле на уровне 7, они имеют в виду уровни, определенные в модели OSI.
В данной статье рассказывается о сетевых портах, расположенных на уровне 4 — транспортном. В наборе TCP/IP эти порты используются протоколами TCP и UDP. Но прежде чем перейти к подробному описанию одного уровня, необходимо кратко ознакомиться с семью уровнями OSI и той ролью, которую они выполняют в современных сетях TCP/IP.
Уровни 1 и 2: физические кабели и адреса MAC
Уровень 1, физический, представляет собственно среду, в которой распространяется сигнал, — например, медный кабель, волоконно-оптический кабель или радиосигналы (в случае Wi-Fi). Уровень 2, канальный, описывает формат данных для передачи в физической среде. На уровне 2 пакеты организуются в кадры и могут быть реализованы базовые функции управления потоком данных и обработки ошибок.
Стандарт IEEE 802.3, более известный как Ethernet,— самый распространенный стандарт уровня 2 для современных локальных сетей. Обычный сетевой коммутатор — устройство уровня 2, с помощью которого несколько компьютеров физически подключаются и обмениваются данными друг с другом. Иногда два компьютера не могут установить соединение друг с другом, хотя IP-адреса кажутся корректными: причиной неполадки могут быть ошибки в кэше протокола преобразования адресов ARP (Address Resolution Protocol), что свидетельствует о неисправности на уровне 2. Кроме того, некоторые беспроводные точки доступа (Access Point, AP) обеспечивают фильтрацию адресов MAC, разрешающую соединение с беспроводной AP только сетевым адаптерам с конкретным MAC-адресом.
Уровни 3 и 4: IP-адреса и сетевые порты
Уровень 3, сетевой, поддерживает маршрутизацию. В TCP/IP маршрутизация реализована в IP. IP-адрес пакета принадлежат уровню 3. Сетевые маршрутизаторы — устройства уровня 3, которые анализируют IP-адреса пакетов и пересылают пакеты другому маршрутизатору или доставляют пакеты в локальные компьютеры. Если в сети обнаружен подозрительный пакет, то в первую очередь следует проверить IP-адрес пакета, чтобы установить место происхождения пакета.
Вместе с сетевым уровнем 4-й уровень (транспортный) — хорошая отправная точка для диагностики сетевых неисправностей. В Internet уровень 4 содержит протоколы TCP и UDP и информацию о сетевом порте, который связывает пакет с конкретным приложением. Сетевой стек компьютера использует связь сетевого порта TCP или UDP с приложением, чтобы направить сетевой трафик в это приложение. Например, TCP-порт 80 связан с приложением Web-сервера. Такое соответствие портов с приложениями известно как служба.
TCP и UDP различаются. В сущности, TCP обеспечивает надежное соединение для обмена данными между двумя приложениями. Прежде чем начать обмен данными, два приложения должны установить связь, выполнив трехшаговый процесс установления сязи TCP. Для протокола UDP в большей степени характерен подход «активизировать и забыть». Надежность связи для приложений TCP обеспечивается протоколом, а приложению UDP приходится самостоятельно проверять надежность соединения.
Сетевой порт представляет собой число от 1 до 65535, указанное и известное обоим приложениям, между которыми устанавливается связь. Например, клиент, как правило, посылает незашифрованный запрос в сервер по целевому адресу на TCP-порт 80. Обычно компьютер посылает запрос DNS на DNS-сервер по целевому адресу на UDP-порт 53.
Клиент и сервер имеют IP-адрес источника и назначения, а также сетевой порт источника и назначения, которые могут различаться. Исторически все номера портов ниже 1024 получили название «известных номеров портов» и зарегистрированы в организации IANA (Internet Assigned Numbers Authority). В некоторых операционных системах только системные процессы могут использовать порты этого диапазона.
Кроме того, организации могут зарегистрировать в IANA порты с 1024 по 49151-й, чтобы связать порт со своим приложением. Такая регистрация обеспечивает структуру, которая помогает избежать конфликтов между приложениями, стремящимися использовать порт с одним номером. Однако в целом ничто не мешает приложению запросить конкретный порт, если он не занят другой активной программой.
Исторически сложилось так, что сервер может прослушивать порты с малыми номерами, а клиент — инициировать соединение от порта с большим номером (выше 1024). Например, Web-клиент может открыть соединение с Web-сервером через порт назначения 80, но ассоциировать произвольно выбранный порт-источник, например TCP-порт 1025. Отвечая клиенту, Web-сервер адресует пакет клиенту с портом-источником 80 и портом назначения 1025. Комбинация IP-адреса и порта называется сокетом (socket), она должна быть уникальной в компьютере. По этой причине при организации Web-сервера с двумя отдельными Web-сайтами на одном компьютере необходимо использовать несколько IP-адресов, например address1:80 и address2:80, или настроить Web-сервер на прослушивание нескольких сетевых портов, таких как address1:80 и address1:81. Некоторые Web-серверы обеспечивают работу нескольких Web-сайтов через один порт, запрашивая хост-заголовок, но в действительности эта функция выполняется приложением Web-сервера на более высоком уровне 7.
По мере того как в операционных системах и приложениях появлялись сетевые функции, программисты начали использовать порты с номерами выше 1024, без регистрации всех приложений в IANA. Выполнив в Internet поиск для любого сетевого порта, как правило, удается быстро найти информацию о приложениях, которые используют этот порт. Или же можно провести поиск по словам Well Known Ports и отыскать множество сайтов со списками наиболее типичных портов.
При блокировании сетевых приложений компьютера или устранении изъянов в брандмауэре основная часть работы приходится на классификацию и фильтрацию IP-адресов уровня 3, а также протоколов и сетевых портов уровня 4. Чтобы быстро отличать легальный и подозрительный трафик, следует научиться распознавать 20 наиболее широко используемых на предприятии портов TCP и UDP.
Умение распознавать сетевые порты и знакомство с ними не ограничивается назначением правил для брандмауэра. Например, в некоторых исправлениях для системы безопасности Microsoft описана процедура закрытия портов NetBIOS. Эта мера позволяет ограничить распространение «червей», проникающих через уязвимые места операционной системы. Зная, как и где следует закрыть эти порты, можно уменьшить угрозу безопасности сети во время подготовки к развертыванию важного исправления.
И сразу к уровню 7
В настоящее время редко приходится слышать об уровне 5 (сеансовом) и уровне 6 (представления данных), но уровень 7 (прикладной) — горячая тема среди поставщиков брандмауэров. Новейшая тенденция в развитии сетевых брандмауэров — контроль на уровне 7, который описывает методы, используемые для анализа работы приложения с сетевыми протоколами.
Анализируя полезную информацию сетевого пакета, брандмауэр может определить законность проходящего через него трафика. Например, Web-запрос содержит оператор GET внутри пакета уровня 4 (TCP-порт 80). Если в брандмауэре реализованы функции уровня 7, то можно проверить корректность оператора GET. Другой пример — многие одноранговые (P2P) программы обмена файлами могут захватить порт 80. В результате постороннее лицо может настроить программу на использование порта по собственному выбору — скорее всего, порта, который должен оставаться открытым в данном брандмауэре. Если сотрудникам компании нужен выход в Internet, необходимо открыть порт 80, но, чтобы отличить законный Web-трафик от трафика P2P, направленного кем-то в порт 80, брандмауэр должен обеспечивать контроль на уровне 7.
Роль брандмауэра
Описав сетевые уровни, можно перейти к описанию механизма связи между сетевыми приложениями через брандмауэры, уделив особое внимание используемым при этом сетевым портам. В следующем примере клиентский браузер устанавливает связь с Web-сервером по другую сторону брандмауэра, подобно тому как сотрудник компании обращается к Web-серверу в Internet.
Брандмауэр анализирует исходящий трафик и разрешает его в соответствии с правилами брандмауэра. Многие компании разрешают весь исходящий трафик из своей сети. Такой подход упрощает настройку и развертывание, но из-за отсутствия контроля данных, покидающих сеть, снижается безопасность. Например, «троянский конь» может заразить компьютер в сети предприятия и посылать информацию с этого компьютера другому компьютеру в Internet. Имеет смысл составить списки управления доступом для блокирования такой исходящей информации.
В отличие от принятого во многих брандмауэрах подхода к исходящему трафику, большинство из них настроено на блокирование входящего трафика. Как правило, брандмауэры разрешают входящий трафик только в двух случаях. Первый — трафик, поступающий в ответ на исходящий запрос, посланный ранее пользователем.
Например, если указать в браузере адрес Web-страницы, то брандмауэр пропускает в сеть программный код HTML и другие компоненты Web-страницы. Второй случай — размещение в Internet внутренней службы, такой как почтовый сервер, Web- или FTP-узел. Размещение такой службы обычно называется трансляцией порта или публикацией сервера.
Реализация трансляции порта у разных поставщиков брандмауэров различна, но в основе лежит единый принцип. Администратор определяет службу, такую как TCP-порт 80 для Web-сервера и внутренний сервер для размещения службы. Если пакеты поступают в брандмауэр через внешний интерфейс, соответствующий данной службе, то механизм трансляции портов пересылает их на конкретный компьютер сети, скрытый за брандмауэром. Трансляция порта используется в сочетании со службой NAT, описанной ниже.
Основы NAT
Благодаря NAT многочисленные компьютеры компании могут совместно занимать небольшое пространство общедоступных IP-адресов. DHCP-сервер компании может выделять IP-адрес из одного из блоков частных, Internet-немаршрутизируемых IP-адресов, определенных в документе Request for Comments (RFC) № 1918. Несколько компаний также могут совместно использовать одно пространство частных IP-адресов.
Примеры частных IP-подсетей — 10.0.0.0/8, 172.16.0.0/12 и 192.168.0.0/16. Маршрутизаторы Internet блокируют любые пакеты, направляемые в один из частных адресов. NAT — функция брандмауэра, с помощью которой компании, в которых используются частные IP-адреса, устанавливают связь с другими компьютерами в Internet. Брандмауэру известно, как транслировать входящий и исходящий трафик для частных внутренних IP-адресов, чтобы каждый компьютер имел доступ в Internet.
На рис. 1 показана базовая схема NAT-соединения между клиентом и Web-сервером. На этапе 1 трафик, направляемый в Internet с компьютера корпоративной сети, поступает на внутренний интерфейс брандмауэра. Брандмауэр получает пакет и делает запись в таблице отслеживания соединений, которая управляет преобразованием адресов.
Затем брандмауэр подменяет частный адрес источника пакета собственным внешним общедоступным IP-адресом и посылает пакет по месту назначения в Internet (этап 2). Компьютер назначения получает пакет и передает ответ в брандмауэр (этап 3). Получив этот пакет, брандмауэр отыскивает отправителя исходного пакета в таблице отслеживания соединений, заменяет IP-адрес назначения на соответствующий частный IP-адрес и передает пакет на исходный компьютер (этап 4). Поскольку брандмауэр посылает пакеты от имени всех внутренних компьютеров, он изменяет исходный сетевой порт, и данная информация хранится в таблице отслеживания соединений брандмауэра. Это необходимо, чтобы исходящие сокеты оставались уникальными.
Важно понимать принципы работы NAT, так как NAT изменяет IP-адрес и сетевые порты пакетов трафика. Такое понимание помогает в диагностике неисправностей. Например, становится понятным, почему один трафик может иметь разные IP-адреса и сетевые порты на внешнем и внутреннем интерфейсах брандмауэра.
Сначала фундамент, потом структура
Понимание основных принципов организации сети со стороны приложения, брандмауэра и порта необходимо не только сетевым инженерам. Сегодня редко встречается компьютерная система, не подключенная к сети, и даже системным администраторам гораздо проще решать свои проблемы, понимая хотя бы основы использования сетевых портов для связи приложений через Internet.
Во второй части статьи будет рассмотрен инструментарий для обнаружения приложений в сети путем анализа задействованных сетевых портов. Чтобы отыскать приложения, открывающие порты на прослушивание и доступные по сети, компьютер опрашивается через сеть (сканирование портов) и локально (хост-сканирование). Кроме того, просматривая журналы брандмауэра, можно исследовать сетевой трафик, который пересекает границу сети, и заглянуть в различные сетевые порты, используемые приложениями Windows и UNIX.
Источник: www.osp.ru
Как пробросить порт на роутере?
Данная статья полностью посвящена технологии проброса портов. Для чего он нужен, и как его настроить, сегодня попробуем разобраться.
Port Forwarding — позволяет открыть необходимые нам сервисы для решения разных задач:
- Удаленный просмотр видео с камер, которые подключены к домашней сети
- Запуск на домашнем компьютере сервера под разные задачи, например, при хранении коллекции любимых фильмов.
- Опубликовать небольшой сайт, развернув сервер на домашнем ПК
- Создать любой игровой сервер, и играть с друзьями через интернет в любимую игру
Некоторые программы, такие как uTorrent самостоятельно открывают для себя порты, при наличии на маршрутизаторе включенного uPnP (протокол для автоматизации настройки). Они обращаются к шлюзу и требуют перенаправить на себя требуемый порт, для корректной работы. Но далеко не все программы умеют это делать, и поэтому приходится настраивать все вручную. Постараемся кратко и без лишних подробностей донести суть вопроса.
Что такое IP? И каких типов он бывает?
IP адрес – это индивидуальный сетевой номер. Для правильной работы, он не должен повторяться с другими устройствами в одном сегменте сети.
Существуют две категории адресов:
- Белый (публичный) – доступный для всего мира уникальный адрес.
- Серый (локальный) – предоставленный провайдером или выданный роутером во внутренней домашней сети.
Как правило, операторы связи предоставляют серые IP, что позволяет значительно сэкономить и обслуживать большее количество абонентов. Это никак не сказывается на скорости или качестве, а даже наоборот, оберегает пользователей от внешнего воздействия и вирусных угроз.
Сетевой адрес – это временный идентификатор, он выдается всегда на определенный срок, как бы в аренду. Оператор предоставляет его из своего пула (диапазона), и его количество ограничено. Интернет-провайдеру владение белыми IP стоит денег.
Белые IP можно распределить на 2 категории:
- Динамический – выбирается случайно из свободных, и присваивается сетевому интерфейсу каждый раз при входе в сеть. В любой момент может измениться, даже в процессе работы.
- Статический – постоянно закреплен за конкретным узлом в сети. Назначается провайдером, и предоставляется как услуга «фиксированный IP» на платной основе.
Проброс портов настраивается только на белых IP. Только они доступны отовсюду из интернета и ведут на ваш компьютер или шлюз.
А при чем здесь роутер вообще?
Многие задаются вопросом, белый ip имеется, но компьютер не доступен с интернета. А происходит следующее: компьютерам, которые подключены к маршрутизатору, присвоены серые адреса из внутренней сети. А они, как мы уже знаем, не имеют прямого доступа снаружи, из интернета.
В основе работы роутера, лежит сложный механизм трансляции адресов (NAT), который позволяет использовать одно интернет-соединение на нескольких компьютеров одновременно. Своеобразный «разветвитель» интернета…
Работает он следующим образом: внутренние устройства, обращаются к шлюзу при выходе в интернет. Шлюз запоминает эти обращения и открывает для них «сессии». Ответы на запросы вернутся на компьютер, с которого они были отправлены.
Одновременно таких сессий может существовать большое количество, таким образом, все устройства имеют выход в интернет и данные приходят на правильные внутренние узлы. Вот именно в этом механизме и работает необходимый нам проброс портов. Создав определенное правило, мы сможем построить прямую связь между открытым портом и конкретным компьютером. Без такого правила наш роутер просто «не догадается», куда требуется направить соединение, и оно останется без ответа.
А что такое порт?
Это определенный номер, на котором «висит» сетевая служба. Например, если вы откроете web-страницу, то сервер отправит вам данные по 80 или 443 порту. На одном порту может быть только один сервис. Для распространенных сервисов определены стандартные номера, (в таблице ниже). К примеру, для удаленного рабочего стола, этот номер 3389, а для FTP – 21
Как открыть порт?
Во-первых, вам необходим фиксированный белый IP, обратитесь к своему интернет провайдеру для подключения данной услуги. Если вы уже имеете статический адрес, приступайте к следующему шагу.
Прежде всего определитесь с задачей, чтобы понять, какой конкретно номер требуется пробросить. Если это игровой сервер, то для его настройки имеется документация, в которой вы найдете нужные номера портов. Если это IP-камера, в её документации также имеется все необходимое.
| 80, 443 | Веб-сервер |
| 20, 21, 30000-35000 | FTP сервер |
| 3389 | Удаленный рабочий стол |
| 22 | SSH |
| 23 | Telnet |
| 3306 | MySQL |
Перейдите в настройки вашего маршрутизатора. О том, как попасть туда подробно изложено в инструкции пользователя. Как правило, это делается через адресную строку браузера. В поле адреса введите ip шлюза (http://192.168.0.1), а затем авторизуйтесь при помощи логина и пароля.
В меню роутера найдите настройки проброса портов или Port Forwarding. Создайте новое правило в котором укажите требуемые номера портов и внутренний ip адрес компьютера (определить его возможно через панель управления в состоянии сетевого подключения). В завершение, сохраните правило и настройки устройства.
И еще, ваш локальный IP может со временем поменяться. Зайдите в настройки DHCP сервера и зафиксируйте его с привязкой к текущему мак адресу.
Будьте предельно внимательны, некоторые открытые сервисы могут быть уязвимы для вирусов и злоумышленников. Во избежание проблем, установите программы, которые контролируют сетевой трафик: Firewall или Брандмауэр.
Источник: baza.net
Что такое порт и как узнать свои порты?
Сегодня нет программ еще, которые не используют для своей работы сетевой протокол. Довольно часто можно услышать про использование сетевых портов, но не все понимают, что это такое. И для начала давай дадим определение:
Что такое порты? Что такое порт? Какие порты бывают?
Сетевой порт это некое виртуальное расширение, дополнение к сетевому адресу (IP-адресу). Для большего понимания можно сказать, что без сетевого порта информация с другого устройства вряд ли дойдет до нашего компьютера, так как она будет идти только по IP. Компьютер просто не поймёт, как обработать её, с помощью какого приложения.
Для чего нужны порты?
Основным предназначением сетевых портов является прием и передача данных определенного вида, а также устранение ошибки неоднозначности при попытке установить связь с хостом по IP-адресу. Для обеспечения трансляции данных с веб-сервера необходимо указывать IP адрес хоста и номер порта, определяющий программу веб-сервера.
Теперь вы знаете что такое порт и для чего порты компьютера необходимы. Но как же именно через сетевой порт принимаются и передают данные?
Для передачи данных используются транспортные протоколы, самые популярные – это tcp порт, а именно TCP/IP (Transmission Control Protocol/Internet Protocol) и udp порт UDP (User Datagram Protocol) . Обычно приложение либо ожидает входящие данные (или запроса на соединение), либо посылает данные (или запрос на соединение) на известный порт, открытый приложением-сервером (роль клиента).
Как узнать свой порт? Как узнать порт компьютера? Как проверить порты?
Давайте разбираться. Ниже вы можете ознакомиться с наиболее легким вариантами того, чтобы узнать свой порт и сделать проверку своего порта по ip.
Как узнать мои порты на ПК с Windows?
- Откройте командную строку
- Введите ipconfig
- Далее введите netstat -a, после чего откроется список ваших номеров портов
Как узнать мои порты на Mac?
- Откройте меню System Preferences
- Далее откройте меню Network > Advanced
- Откройте вкладку Port Scan и введите IP-адрес, который хотите проверить
Все так просто. Теперь вы знаете как узнать свой порт.
В чем разница между портами UDP и TCP?
Порт TCP (Transmission Control Protocol) позволяет установить подключение перед отправкой данных, что делает его более надежным.
Порт UDP (User Datagram Protocol) позволяет отправить пакеты данных без предварительной установки подключения, что делает его более быстрым.
Проверка порта. Как узнать открыт ли порт?
Открытый порт на домашнем или рабочем компьютере – это фактически «дыра» в безопасности и риски утраты контроля над ситуацией. Именно через них проникают трояны и иные вирусы, которые имеют цель предоставить злоумышленнику возможность удаленного подключения к ПК без разрешения владельца. Поэтому проверка порта крайне необходима.
Узнать открыт ли порт довольно легко:
- Нужно нажать комбинацию клавиш .
- Ввести команду CMD и нажать кнопку Enter.
- Ввести команду netstat –a и повторно нажать Enter.
В консоли отобразится перечень занятых портов с указанием, какое приложение или служба ими «распоряжается». Такой вариант, чтобы проверить порт интересен тем, что он дает объективную картину. Если рассчитывать только на онлайн-сервисы, иногда создается впечатление, что открытых портов нет. Эффект создается из-за блокировки внешних запросов брандмауэром Windows или другим ПО.
Если хочется изучить список на предмет «посторонних» программ, его лучше выгрузить в файл при помощи команды netstat –a >имя.txt. По умолчанию список сохраняется в каталоге пользователя, в аккаунте которого происходил запуск утилиты (типа C:\ПользователиUser). При желании перед запуском утилиты можно перейти в корень диска командой cd c:.
Anastasia S.
Anastasia loves creating insightful articles that cover everything valuable for readers. She always wants to provide value for the users explaining how to protect their online privacy and get real Internet freedom.
Источник: zoogvpn.com