Le porte note e il loro significato
Una porta è un numero a 16 bit che indica a un computer quale programma deve ricevere i dati di rete in arrivo. L'indirizzo IP individua la macchina giusta e la porta individua il servizio giusto su quella macchina, ad esempio la 443 per HTTPS o la 25 per la consegna della posta. Le porte vanno da 0 a 65535 e un servizio resta «in ascolto» su una porta finché un client non si connette.
Cos'è una porta
Una connessione è identificata da cinque valori: il protocollo (TCP o UDP), l'indirizzo e la porta di origine, l'indirizzo e la porta di destinazione. Il browser sceglie una porta di origine casuale per ogni connessione, ma la porta di destinazione è stabilita dal servizio. Per questo i numeri di porta standard sono importanti: un browser sa che https:// significa porta 443 senza che gli venga detto.
TCP e UDP
- TCP è orientato alla connessione. Stabilisce una connessione, numera i dati, ritrasmette le parti perse e le consegna in ordine. Web, posta elettronica, SSH e database usano TCP.
- UDP invia datagrammi indipendenti, senza connessione e senza ritrasmissione. Ha latenza inferiore e meno overhead. Le query DNS, DHCP, NTP e molti servizi voce e video usano UDP.
La porta TCP 80 e la porta UDP 80 sono cose diverse. Alcuni servizi usano entrambe, ad esempio il DNS sulla porta 53. Per approfondire come si combinano i livelli, consulta il modello OSI.
Intervalli di porte
L'Internet Assigned Numbers Authority (IANA) suddivide le porte in tre intervalli:
| Intervallo | Nome | Uso |
|---|---|---|
| 0 – 1023 | Porte note (di sistema) | Servizi fondamentali come HTTP, SSH e SMTP. Sui sistemi di tipo Unix solo i processi privilegiati possono mettersi in ascolto qui. |
| 1024 – 49151 | Porte registrate | Applicazioni registrate presso IANA, ad esempio MySQL (3306) e PostgreSQL (5432). |
| 49152 – 65535 | Porte dinamiche (effimere) | Porte di origine temporanee scelte dai client. Alcuni sistemi operativi usano un intervallo predefinito diverso, ad esempio Linux usa 32768 – 60999. |
La registrazione non è una garanzia. Qualsiasi programma può mettersi in ascolto su una porta libera, e alcuni servizi funzionano su porte non standard, come SSH sulla 2222.
Porte comuni e loro utilizzo
| Porta | Protocollo | Servizio | A cosa serve | |
|---|---|---|---|---|
| 20 | TCP | FTP data | Condivisione file | Canale dati FTP (modalità attiva). |
| 21 | TCP | FTP | Condivisione file | Canale di controllo del File Transfer Protocol. Invia le password in chiaro; meglio preferire SFTP o FTPS. |
| 22 | TCP | SSH | Accesso remoto | Secure Shell: accesso remoto cifrato, trasferimento file SFTP e SCP, tunnel. |
| 23 | TCP | Telnet | Accesso remoto | Terminale remoto non cifrato. Non dovrebbe essere esposto a internet. |
| 25 | TCP | SMTP | Posta | Trasferimento della posta tra server. Molti ISP bloccano la porta 25 in uscita per gli utenti domestici. |
| 53 | TCP/UDP | DNS | Servizi di rete | Query del Domain Name System. UDP per la maggior parte delle query, TCP per risposte di grandi dimensioni e trasferimenti di zona. |
| 67 | UDP | DHCP server | Servizi di rete | Server DHCP: assegna indirizzi IP su una rete locale. |
| 68 | UDP | DHCP client | Servizi di rete | Lato client del DHCP. |
| 69 | UDP | TFTP | Condivisione file | Trivial FTP, usato per l'avvio da rete (PXE) e per il firmware dei dispositivi. |
| 80 | TCP | HTTP | Web | Traffico web non cifrato. Oggi per lo più reindirizza a HTTPS. |
| 110 | TCP | POP3 | Posta | Download della posta da una casella (non cifrato). |
| 123 | UDP | NTP | Servizi di rete | Network Time Protocol: sincronizzazione dell'orologio. |
| 135 | TCP | MS RPC | Condivisione file | Endpoint mapper RPC di Microsoft. Tenerlo fuori da internet. |
| 137 | UDP | NetBIOS name | Condivisione file | Servizio nomi NetBIOS (reti Windows legacy). |
| 139 | TCP | NetBIOS session | Condivisione file | Servizio di sessione NetBIOS, SMB legacy. |
| 143 | TCP | IMAP | Posta | Lettura della posta sul server (non cifrato, oppure con STARTTLS). |
| 161 | UDP | SNMP | Monitoraggio | Simple Network Management Protocol: monitoraggio dei dispositivi. |
| 162 | UDP | SNMP trap | Monitoraggio | Trap SNMP: avvisi inviati dai dispositivi. |
| 179 | TCP | BGP | Servizi di rete | Border Gateway Protocol: instradamento tra reti (ISP). |
| 389 | TCP | LDAP | Directory | Accesso alle directory (Active Directory, OpenLDAP). |
| 443 | TCP/UDP | HTTPS | Web | Traffico web cifrato (TLS). La porta UDP 443 trasporta HTTP/3 (QUIC). |
| 445 | TCP | SMB | Condivisione file | Condivisione file di Windows. Bersaglio frequente di attacchi: non esporla mai a internet. |
| 465 | TCP | SMTPS | Posta | Invio della posta tramite TLS implicito. |
| 500 | UDP | IKE | VPN | Scambio di chiavi per VPN IPsec. |
| 514 | UDP | Syslog | Monitoraggio | Inoltro dei log di sistema. |
| 587 | TCP | Submission | Posta | Invio della posta da parte dei client, con STARTTLS e autenticazione. |
| 636 | TCP | LDAPS | Directory | LDAP su TLS. |
| 853 | TCP | DNS over TLS | Servizi di rete | DNS cifrato (DoT). |
| 873 | TCP | rsync | Condivisione file | Demone rsync per la sincronizzazione dei file. |
| 993 | TCP | IMAPS | Posta | IMAP su TLS. |
| 995 | TCP | POP3S | Posta | POP3 su TLS. |
| 1194 | UDP | OpenVPN | VPN | Porta predefinita di OpenVPN. |
| 1433 | TCP | MS SQL | Database | Microsoft SQL Server. |
| 1521 | TCP | Oracle | Database | Listener del database Oracle. |
| 1701 | UDP | L2TP | VPN | VPN L2TP. |
| 1723 | TCP | PPTP | VPN | VPN PPTP: obsoleta e non sicura. |
| 1883 | TCP | MQTT | IoT e dispositivi | Messaggistica MQTT per dispositivi IoT. |
| 2049 | TCP | NFS | Condivisione file | Network File System (NFS). |
| 3306 | TCP | MySQL | Database | MySQL / MariaDB. Tenere i database dietro un firewall. |
| 3389 | TCP | RDP | Accesso remoto | Desktop remoto di Windows. Bersaglio di molti attacchi brute force; metterlo dietro una VPN. |
| 3478 | UDP | STUN/TURN | VoIP | NAT traversal per WebRTC, videochiamate e giochi. |
| 4500 | UDP | IPsec NAT-T | VPN | IPsec attraverso NAT. |
| 5060 | TCP/UDP | SIP | VoIP | Segnalazione delle chiamate VoIP. |
| 5061 | TCP | SIP TLS | VoIP | SIP su TLS. |
| 5432 | TCP | PostgreSQL | Database | Database PostgreSQL. |
| 5900 | TCP | VNC | Accesso remoto | Desktop remoto VNC. |
| 6379 | TCP | Redis | Database | Archivio in memoria Redis. Spesso lasciato aperto senza password. |
| 8080 | TCP | HTTP alt | Web | Porta HTTP alternativa: proxy, application server, pannelli di amministrazione. |
| 8443 | TCP | HTTPS alt | Web | Porta HTTPS alternativa. |
| 9100 | TCP | Printer | IoT e dispositivi | Stampa di rete diretta (JetDirect). |
| 9200 | TCP | Elasticsearch | Database | API REST di Elasticsearch. |
| 11211 | TCP | Memcached | Database | Cache Memcached. |
| 25565 | TCP | Minecraft | Giochi | Server Minecraft Java Edition. |
| 27015 | TCP/UDP | Steam / Source | Giochi | Server di gioco con motore Source (CS, TF2…). |
| 27017 | TCP | MongoDB | Database | Database MongoDB. |
| 51820 | UDP | WireGuard | VPN | Porta predefinita della VPN WireGuard. |
Come verificare se una porta è aperta
Puoi testare una porta dall'esterno con il nostro strumento di verifica porte. Tenta di aprire una connessione TCP verso l'host e la porta indicati e riporta uno di tre risultati:
- Aperta: un servizio ha accettato la connessione. L'host è raggiungibile e qualcosa è in ascolto.
- Chiusa: l'host ha risposto, ma ha rifiutato la connessione (un TCP reset). Il percorso di rete funziona, ma nessun programma è in ascolto su quella porta.
- Filtrata: nessuna risposta è arrivata prima del timeout. Probabilmente un firewall scarta i pacchetti in silenzio. Può significare anche che l'host è offline.
Dal tuo computer puoi eseguire il test con questi comandi:
Test-NetConnection -ComputerName example.com -Port 443 (Windows PowerShell)
nc -vz example.com 443 (Linux, macOS)
ss -tlnp (Linux: list local listening ports)
netstat -ano (Windows: list local connections)Testare UDP è più difficile, perché l'assenza di risposta può significare sia «aperta» sia «filtrata». Per questo motivo gli strumenti online di verifica delle porte testano soprattutto TCP.
Consigli di sicurezza: porte da non esporre
Ogni porta aperta è un possibile punto di accesso. Apri solo ciò che serve e chiudi il resto. Alcuni servizi non dovrebbero quasi mai essere raggiungibili da tutta internet:
- Telnet (23): invia le password in chiaro. Usa invece SSH (22).
- SMB (445) e NetBIOS (137-139): condivisione file di Windows. È stato bersaglio di molti worm e attacchi ransomware. Non esporlo mai a internet.
- RDP (3389): il desktop remoto è un bersaglio frequente di attacchi di password guessing. Mettilo dietro una VPN o un gateway con autenticazione a più fattori.
- Database: MySQL (3306), PostgreSQL (5432), SQL Server (1433), MongoDB (27017), Redis (6379) ed Elasticsearch (9200). Consenti l'accesso solo ai server applicativi che ne hanno bisogno.
- FTP (21): non cifrato. Usa SFTP o FTPS.
- SSH (22): accettabile se usi le chiavi, disattivi l'accesso con password e limiti gli indirizzi di origine, ma aspettati tentativi di accesso automatizzati continui.
Regole generali: nega per impostazione predefinita tutto il traffico in ingresso e consenti solo porte specifiche; limita per indirizzo di origine ove possibile; mantieni aggiornato il software dietro ogni porta; e scansiona regolarmente i tuoi server per confrontare ciò che è aperto con ciò che ti aspetti. Una porta aperta senza un motivo noto va approfondita.
Letture correlate
Per capire il rapporto tra porte e indirizzi IP, leggi cos'è un indirizzo IP. Per testare subito un servizio specifico, usa lo strumento di verifica porte.