پورت بسته: دیوار آتش و باز کردن پورت
چرا سرویسی که روشن است از بیرون در دسترس نیست و چطور درستش کنید.
پورت بسته یعنی چه؟
هر سرویس روی یک پورت منتظر اتصال می‌ماند؛ مثلاً وب روی پورت ۴۴۳ و SSH روی پورت ۲۲. وقتی چک‌نت می‌گوید پورتی بسته است، یعنی اتصال TCP به آن برقرار نشد: یا کسی پشت آن پورت گوش نمی‌دهد، یا چیزی در مسیر (دیوار آتش، مودم یا اپراتور) اتصال را رد کرده یا بی‌جواب گذاشته است.
این آزمون از دیتاسنتر کلودفلرِ نزدیک شما انجام می‌شود، یعنی از بیرون شبکهٔ شما؛ درست مثل کسی که از اینترنت می‌خواهد به سرویس شما وصل شود. سرویسی که روی خود دستگاه کار می‌کند ممکن است از بیرون هنوز بسته باشد.
از سرویس تا اینترنت، قدم‌به‌قدم
- مطمئن شوید سرویس واقعاً روشن است و روی همان پورت گوش می‌دهد. در لینوکس با
ss -tlnpو در ویندوز باnetstat -anoفهرست پورت‌های باز را ببینید. - نشانی گوش دادن را نگاه کنید. اگر سرویس فقط روی
127.0.0.1گوش می‌دهد، فقط از خود دستگاه در دسترس است؛ در تنظیمات سرویس آن را روی0.0.0.0(همهٔ رابط‌ها) یا آدرس شبکهٔ دستگاه بگذارید. - دیوار آتش سیستم‌عامل را بررسی کنید و فقط همان پورت را باز کنید؛ مثلاً در اوبونتو با
ufw allow 443/tcp، و در ویندوز با یک قانون ورودی در دیوار آتش ویندوز. - اگر سرور ابری دارید، دیوار آتش یا گروه امنیتی (Security Group) پنل ارائه‌دهنده را هم ببینید؛ این لایه جدا از دیوار آتش سیستم‌عامل است و پیش‌فرضش معمولاً بستن همه چیز است.
- اگر سرویس در خانه یا دفتر پشت مودم است، در پنل مودم بخشی با نامی مثل
Port Forwarding،Virtual ServerیاNATپیدا کنید و پورت بیرونی را به آدرس داخلی دستگاه و همان پورت هدایت کنید. نام و جای این بخش در هر مودم فرق دارد؛ راهنمای مدل خودتان را ببینید. - به دستگاه در شبکهٔ داخلی یک آدرس ثابت بدهید (یا در مودم آدرسش را رزرو کنید) تا با روشن و خاموش شدن، هدایت پورت از کار نیفتد.
- دوباره با چک‌نت بررسی کنید. برای آی‌پی خودتان در صفحهٔ «دستگاه من» گزینهٔ «پورت باز روی آی‌پی من» را بزنید.
وقتی هیچ کدام کار نکرد: CGNAT و اپراتور
بسیاری از اتصال‌های موبایل و بعضی اتصال‌های خانگی آی‌پی عمومی اختصاصی ندارند: اپراتور یک آی‌پی عمومی را بین چند مشترک تقسیم می‌کند (CGNAT). در این حالت اتصال از بیرون اصلاً به مودم شما نمی‌رسد و با هیچ تنظیمی در مودم باز نمی‌شود.
- برای تشخیص، آدرس WAN یا اینترنت را در صفحهٔ وضعیت مودم با آی‌پی‌ای که چک‌نت نشان می‌دهد مقایسه کنید. اگر فرق دارند، پشت NAT اپراتور هستید.
- آدرس WAN در بازهٔ
100.64.0.0/10(از100.64.0.0تا100.127.255.255) نشانهٔ روشن CGNAT است؛ این بازه برای همین کار رزرو شده است. آدرس‌هایی که با10.،172.16.تا172.31.یا192.168.شروع می‌شوند هم آدرس خصوصی‌اند. - راه‌حل‌ها: از اپراتور آی‌پی عمومی (معمولاً ثابت) بخواهید، از IPv6 استفاده کنید اگر اپراتور می‌دهد، یا سرویس را روی یک سرور ابری یا از راه یک تونل در دسترس بگذارید.
- بعضی اپراتورها هم چند پورت را برای همهٔ مشترکان می‌بندند (مثلاً پورت ۲۵ برای ایمیل یا پورت‌های اشتراک فایل ویندوز). اگر فقط یک پورت بسته است و بقیه باز، سرویس را روی پورت دیگری امتحان کنید یا از پشتیبانی اپراتور بپرسید.
هر پورتی را که باز می‌کنید، کل اینترنت می‌بیند و ربات‌ها مدام آن را می‌آزمایند. پنل مدیریت مودم، پایگاه داده و دسکتاپ از راه دور ویندوز (RDP روی پورت ۳۳۸۹) را مستقیم باز نکنید؛ برای دسترسی از راه دور از VPN یا SSH با کلید استفاده کنید.
بررسی با چک‌نت
در صفحهٔ «بررسی پورت» چک‌نت، نشانی یا آی‌پی و یکی از پورت‌های رایج (۴۴۳، ۸۰، ۲۲، ۵۳، ۸۵۳، ۹۹۳، ۹۹۵، ۳۳۸۹، ۵۲۲۲، ۸۰۸۰ و ۸۴۴۳) را انتخاب کنید تا زمان اتصال را ببینید. آدرس‌های خصوصی آزموده نمی‌شوند، و سایت‌هایی که پشت پراکسی کلودفلر هستند هم از این راه قابل آزمون نیستند؛ چک‌نت در این حالت خودش این را می‌گوید.