在线检测 TCP 端口是否开放

介绍

填一个公开主机和端口，服务器会对它建立一次 TCP 连接。这个观察位置就是全部价值所在：它回答的是这个端口从公网能不能连上，和它在你自己机器上好不好用是两个问题。

填主机名或 IP 和端口号，然后运行。结果说明连接是被接受、被拒绝还是超时。连接上不发送任何内容，随即关闭。

在托管服务的同一个网络里测端口，几乎证明不了什么，因为本地流量常常整个绕过防火墙。这里的连接从一台公网服务器发起，所以它会穿过你的服务商、路由器和主机防火墙对陌生人做的一切。这就是配完端口转发之后该跑的检查，也是为什么在自己笔记本上成功不算证据。

三种结果，含义各不相同。接受表示有东西在那个端口上完成了握手。拒绝是一次主动的回绝，通常说明没有程序在监听，对一台活着的机器来说这是个健康的答案。根本不回答是含糊的那一个：静默丢包的防火墙和一台不存在的主机看起来完全一样。把超时读成被过滤，而不是关闭。

443 和 80 确认 Web 服务对外暴露，22 用在从外面连不上 SSH 的时候，25565 用于家用路由器后面的游戏服务器，邮件端口用于怀疑服务商封端口时。3306 和 5432 这类数据库端口值得测，理由却相反：如果它们在公网上应答，那本身就是发现，应该去关掉而不是庆祝。

每次运行只对你指定的那一个端口建立一次短连接。它不扫端口段、不做服务指纹、不定时重复，所以想枚举一台主机暴露了什么的话，它不是那个工具。请把它指向你负责的基础设施，因为探测别人的主机是别人的事，不是你的。

端口开着是不是说明服务正常？

不是。接受连接只是第一寸。端口可以开在一个已经崩掉的应用、一张错误页，或者一个你过不去的登录提示前面。

能测 UDP 吗？

不能，只做 TCP。UDP 没有握手可以观察，所以 UDP 检测只能去解释沉默，那是另一件事，也可靠得多的少。

超时是不是就是端口关着？

通常不是。关着的端口一般会很快拒绝。超时更多说明防火墙在静默丢包，这在多数公网主机上是有意为之。

路由器上做了端口转发但这里还是不通。

先确认规则后面的设备真的在监听，再看运营商是不是把你放在了大规模 NAT 后面，那样无论路由器怎么设，入站转发都做不到。