Cos’è una porta aperta
Una porta aperta è una porta TCP su cui un dispositivo accetta connessioni in arrivo da Internet, perché un programma è in ascolto e né il router né il firewall la bloccano. Le porte sono numerate da 0 a 65535 e ogni servizio ha la sua: un server web ascolta sulla 443, un desktop remoto Windows sulla 3389. L’elenco ufficiale delle assegnazioni è tenuto dalla IANA.
Per ogni porta il risultato è “aperta”, se la connessione è riuscita, oppure “chiusa o filtrata”, se l’IP ha rifiutato la connessione o non ha risposto affatto perché un firewall scarta i pacchetti. Lo strumento non distingue questi due ultimi casi, che per la sicurezza hanno lo stesso significato: da Internet la porta non è raggiungibile. Su una linea di casa il risultato atteso è “chiusa o filtrata” per tutte.
Come controllare le porte aperte
- Apri questa pagina dalla rete che vuoi controllare, con VPN e proxy spenti, altrimenti verrà testato l’IP del loro server.
- Avvia il controllo: il nostro server tenta una connessione TCP verso ogni porta dell’elenco.
- Leggi l’esito porta per porta: aperta oppure chiusa o filtrata.
- Se trovi aperta una porta che non usi, chiudila dal pannello del router o dal firewall del dispositivo.
Porte comuni e rischi se restano aperte
| Porta | Servizio | Rischio se esposta |
|---|---|---|
| 21 | FTP | Credenziali e file viaggiano in chiaro. |
| 22 | SSH | Bersaglio costante di tentativi di accesso automatici: usa solo chiavi, mai password deboli. |
| 23 | Telnet | Tutto in chiaro, spesso su router e telecamere vecchie. Va chiusa. |
| 25 | SMTP | Su una linea di casa può indicare un server di posta mal configurato o un dispositivo infetto. |
| 53 | DNS | Un resolver aperto può essere sfruttato per attacchi di amplificazione. |
| 80 / 443 | HTTP / HTTPS | Spesso è il pannello del router o di una telecamera esposto su Internet. |
| 110 / 143 | POP3 / IMAP | Posta senza cifratura, se non si usano le varianti 995 e 993. |
| 445 | SMB | Condivisione file Windows: è la porta sfruttata dal ransomware WannaCry nel 2017. Non va mai esposta. |
| 3306 | MySQL | Database raggiungibile da chiunque. Limitalo alla rete interna. |
| 3389 | RDP | Desktop remoto Windows, tra le vie d’ingresso più usate dagli attacchi ransomware. |
| 5900 | VNC | Controllo remoto spesso protetto solo da una password breve. |
| 8080 | HTTP alternativo | Pannelli di amministrazione, proxy o NAS. |
Se ti serve accedere da fuori a un servizio di casa o dell’ufficio, la soluzione più sicura è una VPN verso la tua rete invece di aprire la porta del servizio direttamente su Internet.
Router, NAT e CGNAT: perché le porte risultano chiuse
Nella maggior parte delle case nessuna porta risulta aperta, e va bene così. Il router usa il NAT: accetta da Internet solo le risposte a connessioni partite dall’interno e scarta tutto il resto. Una porta diventa raggiungibile solo se apri un inoltro (port forwarding) nel router, se il router stesso espone un servizio o se un dispositivo la apre da solo tramite UPnP. L’UPnP è comodo per console e programmi di chiamata, ma lascia ai dispositivi la libertà di aprire porte senza chiederti nulla: se non ti serve, disattivalo.
Se il tuo provider usa il CGNAT (Carrier-Grade NAT), l’IP pubblico è condiviso con altri clienti e le connessioni in arrivo non raggiungono il tuo router: le porte risultano chiuse o filtrate anche se hai configurato il port forwarding. In questo caso devi chiedere al provider un IP pubblico dedicato o usare IPv6. Per capire se sei dietro CGNAT confronta l’IP WAN del router con quello mostrato nella pagina qual è il mio indirizzo IP.
Se temi che il tuo IP sia già stato segnalato, controllalo nelle blacklist antispam.
Domande frequenti
Come faccio a sapere se una porta è aperta?
Apri questa pagina dalla rete da controllare e avvia il test: il nostro server prova a connettersi al tuo IP pubblico su ogni porta dell’elenco e ti dice quali rispondono. Per una porta che non è in elenco, dal computer puoi usare il comando Test-NetConnection di PowerShell, ma il risultato è attendibile solo se lo lanci da una rete esterna alla tua.
Posso controllare le porte di un altro indirizzo IP?
No, lo strumento controlla soltanto l’indirizzo IP pubblico da cui visiti la pagina, perché analizzare le porte di sistemi altrui senza autorizzazione può configurare un accesso abusivo o un tentativo di intrusione. Se devi verificare un server che gestisci, apri la pagina da quella rete oppure usa strumenti come nmap con l’autorizzazione del proprietario.
Ho aperto la porta sul router ma risulta chiusa: perché?
Le cause più frequenti sono tre: il provider ti assegna un IP dietro CGNAT, il programma sul dispositivo non è in ascolto su quella porta, oppure il firewall del computer blocca la connessione. Controlla anche che il port forwarding punti all’IP privato corretto del dispositivo, che può cambiare se non è riservato nel DHCP del router.
È pericoloso avere la porta 443 aperta?
La porta 443 aperta non è pericolosa di per sé: è la porta del traffico HTTPS e su un server web deve essere aperta. Su una linea di casa, però, indica che qualcosa espone un’interfaccia web su Internet, spesso il pannello del router, un NAS o una telecamera. Verifica di cosa si tratta e, se non ti serve l’accesso da fuori, chiudila.
Fonti e riferimenti
Pagina aggiornata il