ابزار رایگان · بدون ثبت‌نام

بررسی از سرور ایران‌کلاد

چک پورت آنلاین: تست باز بودن پورت TCP

دامنه یا آی‌پی عمومی سرور و تا ده پورت را وارد کنید. سرور ایران‌کلاد در تهران به هر پورت یک اتصال TCP می‌زند و نشان می‌دهد پورت از اینترنت باز، بسته یا پشت فایروال فیلتر است.

بدون https:// و مسیر؛ اگر آدرس کامل بچسبانید، خودکار مرتب می‌شود. آی‌پی خصوصی و IPv6 پذیرفته نمی‌شود. Esc خانه را پاک می‌کند.

فهرست‌های آماده

هر پورت حداکثر ۳ ثانیه و به‌ترتیب بررسی می‌شود؛ ده پورت تا حدود ۳۰ ثانیه طول می‌کشد. پورت در حال بررسی است؛ ثانیه

راهنمای کامل

راهنمای کامل چک پورت: باز، بسته یا فیلتر بودن پورت‌ها را درست تفسیر کنید

سرویس را نصب کرده‌اید، روی خود سرور هم کار می‌کند، اما از بیرون کسی به آن وصل نمی‌شود؛ یا برعکس، نمی‌دانید دیتابیس‌تان از اینترنت قابل دسترسی است یا نه. چک پورت دقیقاً برای همین سؤال‌هاست. در این راهنما توضیح می‌دهیم ابزار چک پورت TCP ایران‌کلاد از کجا و چطور تست می‌کند، سه وضعیت باز، بسته و فیلتر چه معنایی دارند، کدام پورت‌ها هرگز نباید روی اینترنت باز باشند و با چه دستورهای لینوکسی مشکل را روی خود سرور پیدا کنید.

۱۰ بخش حدود ۸ دقیقه مطالعه

فهرست مطالب

پورت چیست و چک پورت آنلاین دقیقاً چه کار می‌کند؟

هر سرور با یک آدرس IP شناخته می‌شود، اما روی همان سرور ده‌ها سرویس هم‌زمان کار می‌کنند. پورت شماره‌ای بین ۱ تا ۶۵۵۳۵ است که مشخص می‌کند بستهٔ ورودی به کدام سرویس برسد: SSH معمولاً روی ۲۲، وب روی ۸۰ و ۴۴۳، MySQL روی ۳۳۰۶ و PostgreSQL روی ۵۴۳۲. باز بودن پورت یعنی برنامه‌ای روی آن گوش می‌دهد و فایروال هم اجازهٔ عبور داده است.

این ابزار برای هر پورتی که وارد می‌کنید یک اتصال TCP کامل برقرار می‌کند؛ یعنی همان کاری که یک کلاینت واقعی هنگام وصل شدن انجام می‌دهد. اگر اتصال برقرار شود، بلافاصله بسته می‌شود و هیچ داده‌ای به سرویس شما فرستاده نمی‌شود. تا ده پورت در هر بار بررسی پذیرفته می‌شود و پورت‌ها پشت سر هم و نه هم‌زمان تست می‌شوند، با سقف سه ثانیه انتظار برای هر کدام.

ورودی می‌تواند نام دامنه یا آی‌پی عمومی IPv4 باشد. اگر دامنه به آدرس شبکهٔ داخلی resolve شود، بررسی انجام نمی‌شود. آی‌پی که دامنه به آن resolve شده در بالای جدول نتیجه نمایش داده می‌شود تا مطمئن شوید سرور درست را تست کرده‌اید. فرم پیش از ارسال، ورودی را در مرورگر بررسی می‌کند: اگر آدرس کامل یک صفحه را بچسبانید، فقط نام دامنه نگه داشته می‌شود و آی‌پی خصوصی، IPv6، بازهٔ پورت یا بیش از ده پورت همان‌جا با توضیح فارسی رد می‌شوند تا وقتتان برای یک درخواست ناموفق تلف نشود.

معنی سه وضعیت باز، بسته و فیلتر

مهم‌ترین بخش کار، تفسیر درست نتیجه است. سه وضعیت، سه داستان متفاوت دربارهٔ مسیر بسته تا سرور شما تعریف می‌کنند:

وضعیتچه اتفاقی افتادهمعمولاً یعنی
بازاتصال TCP برقرار شدسرویس فعال است و فایروال اجازه داده است
بستهسرور فوراً اتصال را رد کرد یا خطای دیگری برگشتسرور در دسترس است ولی برنامه‌ای روی این پورت گوش نمی‌دهد
فیلتر (timeout)در سه ثانیه هیچ پاسخی نیامدفایروالی بسته را بی‌صدا دور ریخته یا سرور خاموش است

اگر همهٔ پورت‌ها حتی ۸۰ و ۴۴۳ فیلتر هستند، اول مطمئن شوید سرور روشن است و آی‌پی نمایش‌داده‌شده درست است؛ احتمالاً مشکل از مسیر یا خاموش بودن سرور است، نه از یک پورت خاص.

بازگشت به فهرست مطالب

روش استفاده و چند سناریوی واقعی

دامنه یا آی‌پی را وارد کنید و پورت‌ها را با کاما جدا کنید؛ مثلاً 22,80,443,3306. پیش‌فرض ابزار همان سه پورت رایج SSH‏، HTTP و HTTPS است. بالای جدول نتیجه، خلاصهٔ تعداد پورت‌های باز، بسته و فیلتر می‌آید. در ستون سرویس، کنار نام شناخته‌شدهٔ هر پورت سطح ریسک آن با برچسب متنی «رایج»، «مدیریتی»، «حساس» یا «قدیمی و ناامن» نوشته شده و ستون زمان پاسخ، مدت تلاش برای اتصال را به میلی‌ثانیه نشان می‌دهد. دکمه‌های فهرست آماده، پورت‌های وب، ایمیل، دیتابیس و پنل‌های مدیریتی را با یک کلیک در خانهٔ پورت‌ها می‌گذارند.

چند سناریو که مشتریان ما بیشتر با آن روبه‌رو می‌شوند: سایت تازه راه‌اندازی شده ولی باز نمی‌شود؛ اگر ۴۴۳ بسته است، وب‌سرور روی HTTPS گوش نمی‌دهد یا گواهی نصب نشده است. پنل مدیریتی روی پورت ۸۰۸۰ نصب کرده‌اید و از بیرون باز نمی‌شود؛ اگر فیلتر است، باید در فایروال قانون اضافه کنید. یا می‌خواهید مطمئن شوید Redis شما از اینترنت قابل دسترسی نیست؛ وضعیت فیلتر یا بسته در اینجا خبر خوبی است.

عادت خوبی است که بعد از هر تغییر در فایروال، نصب سرویس جدید یا ارتقای سیستم‌عامل، فهرست کامل پورت‌هایی را که باید باز یا بسته باشند یک بار با این ابزار مرور کنید. بعضی بسته‌ها هنگام نصب سرویس جانبی مثل رابط وب مدیریتی را هم روشن می‌کنند و صاحب سرور تا مدت‌ها متوجه باز بودن آن نمی‌شود. یک بررسی دودقیقه‌ای این غافلگیری را زود آشکار می‌کند.

بازگشت به فهرست مطالب

پورت‌های رایج و سرویس پشت هر کدام

شماره‌های زیر پیش‌فرض رایج هر سرویس‌اند و ابزار هنگام نمایش نتیجه همین نام‌ها را کنار پورت می‌نویسد. پیش‌فرض بودن به این معنی نیست که سرویس حتماً روی همین پورت است؛ مدیر سرور می‌تواند هر سرویسی را روی هر پورتی اجرا کند. برای همین اگر مثلاً SSH را روی پورت دیگری برده‌اید، همان شماره را تست کنید.

تغییر پورت SSH از ۲۲ به عددی دیگر حجم تلاش‌های خودکار ورود را کم می‌کند، اما جای کلید SSH و غیرفعال کردن ورود با رمز را نمی‌گیرد. اگر پورت را عوض کردید، فراموش نکنید قبل از بستن پورت قبلی، قانون فایروال پورت جدید را اضافه و با همین ابزار تست کنید تا دسترسی خودتان قطع نشود.

پورتسرویستوضیح
۲۲SSHمدیریت سرور از راه دور؛ با کلید SSH امن‌تر است
۸۰ و ۴۴۳HTTP و HTTPSوب‌سایت و API؛ ۸۰ معمولاً فقط به ۴۴۳ ریدایرکت می‌کند
۲۵، ۴۶۵ و ۵۸۷SMTPارسال و دریافت ایمیل؛ ۵۸۷ برای ارسال از کلاینت
۹۹۳IMAPSخواندن ایمیل با اتصال رمزنگاری‌شده
۳۳۰۶ و ۵۴۳۲MySQL و PostgreSQLدیتابیس؛ نباید برای همه باز باشد
۶۳۷۹Redisکش و صف؛ فقط از شبکهٔ خصوصی یا localhost

بازگشت به فهرست مطالب

کدام پورت‌ها نباید روی اینترنت باز باشند؟

ابزار پورت‌های شناخته‌شده را در چهار سطح دسته‌بندی می‌کند. پورت‌های «رایج» مثل ۲۲، ۸۰، ۴۴۳ و پورت‌های ایمیل معمولاً عمداً باز هستند. پورت‌های «مدیریتی» مثل ۸۰۸۰، ۸۴۴۳، ۳۰۰۰ یا رابط مدیریتی RabbitMQ اگر باز باشند باید حتماً رمز قوی و محدودیت تعداد تلاش داشته باشند. پورت‌های «حساس» شامل دیتابیس‌ها و کش‌ها هستند و پورت‌های «قدیمی» پروتکل‌های بدون رمزنگاری مثل Telnet و FTP.

دیتابیس باز روی اینترنت یکی از رایج‌ترین دلایل نشت اطلاعات است. ربات‌ها شبانه‌روز کل فضای IP را برای پورت‌های ۳۳۰۶، ۵۴۳۲، ۶۳۷۹، ۹۲۰۰ و ۲۷۰۱۷ اسکن می‌کنند و Redis یا MongoDB بدون رمز در چند ساعت پیدا می‌شود. اگر اپلیکیشن و دیتابیس روی دو سرور هستند، ارتباط را از طریق شبکهٔ خصوصی برقرار کنید یا دسترسی را فقط به آی‌پی سرور اپلیکیشن محدود کنید.

  • حساس: MySQL ۳۳۰۶‏، PostgreSQL ۵۴۳۲‏، Redis ۶۳۷۹‏، MongoDB ۲۷۰۱۷‏، Elasticsearch ۹۲۰۰‏، Memcached ۱۱۲۱۱
  • حساس: RDP ۳۳۸۹‏، VNC ۵۹۰۰ و Docker بدون TLS روی ۲۳۷۵ که کنترل کامل سرور را می‌دهد
  • قدیمی: FTP ۲۱‏، Telnet ۲۳‏، POP3 ۱۱۰ و SMB ۴۴۵؛ جایگزین رمزنگاری‌شده استفاده کنید
  • مدیریتی: Grafana ۳۰۰۰‏، Prometheus ۹۰۹۰ و HTTP جایگزین ۸۰۸۰ فقط با احراز هویت قوی

بازگشت به فهرست مطالب

فایروال سرورهای ایران‌کلاد و نتیجهٔ چک پورت

هر سروری که در ایران‌کلاد ساخته می‌شود از همان ابتدا فایروال فعال دارد: ترافیک ورودی به‌طور پیش‌فرض دور ریخته می‌شود و فقط پورت‌های ۲۲ برای SSH، ۸۰ و ۴۴۳ برای وب و پینگ ICMP باز هستند. به همین دلیل اگر سرویسی روی پورت دیگری نصب کنید و آن را تست کنید، نتیجه «فیلتر» خواهد بود و نه «بسته»؛ این یعنی فایروال کارش را درست انجام می‌دهد.

برای باز کردن پورت جدید، از بخش فایروال پنل یک قانون اضافه کنید و در صورت امکان مبدأ را محدود کنید؛ مثلاً پورت دیتابیس را فقط برای آی‌پی دفتر خودتان باز کنید که با ابزار آی‌پی من پیدا می‌شود. اگر اپلیکیشن را با نصب یک‌کلیکی راه‌اندازی کرده باشید، پورت‌های لازم همان اپلیکیشن به قوانین اضافه می‌شوند و SSH بسته نمی‌شود. جزئیات بیشتر در صفحهٔ فایروال ابری آمده است.

بازگشت به فهرست مطالب

عیب‌یابی پورت با دستورهای لینوکس

وقتی ابزار می‌گوید پورت بسته یا فیلتر است، قدم بعدی بررسی روی خود سرور است. اول ببینید برنامه واقعاً روی پورت گوش می‌دهد یا نه، و روی کدام آدرس. سرویسی که فقط روی 127.0.0.1 گوش می‌دهد، از بیرون همیشه بسته دیده می‌شود، حتی اگر فایروال باز باشد. این تنظیم برای دیتابیس درست و برای وب‌سرور اشتباه است.

اگر برنامه روی 0.0.0.0 گوش می‌دهد ولی نتیجه فیلتر است، فایروال داخل سیستم‌عامل مثل ufw یا nftables را هم بررسی کنید؛ این فایروال جدا از فایروال پنل است و هر دو باید اجازه بدهند.

کاردستور
پورت‌هایی که روی سرور گوش می‌دهندsudo ss -tlnp
بررسی یک پورت خاصsudo ss -tlnp | grep :5432
تست اتصال از سرور دیگرnc -vz -w 3 203.0.113.10 443
وضعیت فایروال ufwsudo ufw status verbose
باز کردن پورت در ufwsudo ufw allow 8080/tcp
بررسی وضعیت سرویسsudo systemctl status nginx

بازگشت به فهرست مطالب

تست از کجا انجام می‌شود و چه چیزی ذخیره می‌شود؟

این ابزار سمت سرور اجرا می‌شود. نام دامنه و فهرست پورت‌ها به سرور ایران‌کلاد ارسال می‌شود و اتصال‌ها از سرور ما در دیتاسنتر تهران به مقصد برقرار می‌شوند، نه از مرورگر یا اینترنت شما. پس نتیجه نشان می‌دهد پورت از داخل ایران قابل دسترسی است یا نه. اگر سرور خارجی دارید و فایروال آن فقط آی‌پی‌های کشور خاصی را می‌پذیرد، نتیجه ممکن است با تست شما از جای دیگر فرق کند.

نتیجهٔ بررسی و نام دامنه در پایگاه دادهٔ ما ذخیره نمی‌شود و ثبت‌نام هم لازم نیست. فقط لاگ عمومی درخواست‌های وب، مثل هر سایتی، ممکن است ثبت شود. در لاگ یا سیستم تشخیص نفوذ سرور مقصد، اتصال از آی‌پی سرور ما دیده می‌شود.

لطفاً فقط سرورهایی را بررسی کنید که مالک یا مدیرشان هستید. سقف ده پورت و تست ترتیبی عمداً طوری انتخاب شده که ابزار برای اسکن گستردهٔ سرورهای دیگران مناسب نباشد.

بازگشت به فهرست مطالب

محدودیت‌ها: UDP‏، IPv6 و پورت‌هایی که دیر جواب می‌دهند

ابزار فقط پورت‌های TCP را بررسی می‌کند. سرویس‌های مبتنی بر UDP مثل DNS روی UDP‏، WireGuard یا بازی‌های آنلاین با این روش قابل تست نیستند، چون UDP اتصالی برقرار نمی‌کند که بشود باز بودنش را با اطمینان سنجید. برای این موارد بهتر است از خود کلاینت آن سرویس استفاده کنید.

بررسی بر اساس آدرس IPv4 دامنه انجام می‌شود و اگر دامنه چند آدرس داشته باشد، اولین آن‌ها در نتیجه نمایش داده می‌شود. سرویسی که بیش از سه ثانیه برای پذیرش اتصال وقت بگذارد، فیلتر گزارش می‌شود. بازهٔ پورت مثل ⁦8000-8010⁩ پذیرفته نمی‌شود و پورت‌ها باید جدا نوشته شوند. اگر پاسخ کل بررسی در زمان معقول به مرورگر نرسد، فرم آن را لغو می‌کند و پیام می‌دهد؛ در این حالت با پورت‌های کمتر دوباره امتحان کنید. باز بودن پورت هم فقط یعنی اتصال برقرار شد؛ ابزار بررسی نمی‌کند که سرویس پشت آن سالم است یا نسخهٔ به‌روز دارد. برای وب‌سایت‌ها، بررسی هدرهای HTTP و تست SSL تصویر کامل‌تری می‌دهند.

بازگشت به فهرست مطالب

سرویس خودتان را روی زیرساخت داخل ایران اجرا کنید

اگر سرویسی دارید که کاربرانش در ایران هستند، میزبانی آن روی سرور ابری ایران‌کلاد تأخیر را کم و مسیر را کوتاه می‌کند. سرور با فایروال فعال و قوانین پایه تحویل داده می‌شود و پرداخت ساعتی و تومانی است؛ پلن mini از ۱٬۱۰۰ تومان در ساعت شروع می‌شود و جزئیات همهٔ پلن‌ها در صفحهٔ قیمت‌ها است.

اگر نمی‌خواهید پورت دیتابیس را خودتان مدیریت کنید، MySQL مدیریت‌شده و PostgreSQL مدیریت‌شده گزینه‌های ساده‌تری هستند. برای سایت‌ها هم اج پراکسی کمک می‌کند فایل‌های ایستا از لبهٔ داخل ایران سرو شوند.

بازگشت به فهرست مطالب بازگشت به ابتدای راهنما

پرسش و پاسخ،  ۱۰ پرسش

سؤالات متداول

پاسخ پرسش خود را پیدا نکردید؟ با پشتیبانی در تماس باشید.

چک پورت از کجا انجام می‌شود؛ از کامپیوتر من یا سرور ایران‌کلاد؟
از سرور ایران‌کلاد در دیتاسنتر تهران. دامنه و پورت‌ها به سرور ما ارسال می‌شوند و اتصال TCP از آنجا به مقصد برقرار می‌شود. پس نتیجه نشان می‌دهد پورت از داخل ایران و از اینترنت عمومی قابل دسترسی است، نه از شبکهٔ محلی شما.
فرق وضعیت بسته و فیلتر چیست؟
بسته یعنی سرور در دسترس است و فوراً اتصال را رد کرده؛ معمولاً برنامه‌ای روی آن پورت گوش نمی‌دهد. فیلتر یعنی در سه ثانیه هیچ پاسخی نیامده؛ معمولاً فایروالی بسته را بی‌صدا دور ریخته یا سرور خاموش یا غیرقابل دسترس است.
چند پورت را می‌توانم هم‌زمان بررسی کنم؟
حداکثر ده پورت در هر بار بررسی. پورت‌ها را با کاما یا فاصله جدا کنید. شماره‌های تکراری حذف می‌شوند؛ اگر شماره‌ای خارج از بازهٔ ۱ تا ۶۵۵۳۵ یا بیش از ده پورت وارد کنید، فرم پیش از ارسال خطا می‌دهد. پورت‌ها به ترتیب، هرکدام با سقف سه ثانیه، تست می‌شوند.
آیا می‌توانم پورت‌های UDP را هم تست کنم؟
خیر، ابزار فقط TCP را بررسی می‌کند. UDP اتصالی برقرار نمی‌کند و نبودِ پاسخ در آن معنای قطعی ندارد. برای سرویس‌هایی مثل WireGuard یا DNS روی UDP، با کلاینت همان سرویس اتصال را امتحان کنید.
سرور تازه در ایران‌کلاد ساخته‌ام؛ چرا پورت ۳۰۰۰ فیلتر نشان داده می‌شود؟
چون فایروال سرورهای جدید فعال است و فقط پورت‌های ۲۲، ۸۰، ۴۴۳ و پینگ را باز می‌گذارد. برای پورت‌های دیگر باید از بخش فایروال پنل قانون اضافه کنید. این رفتار عمدی است تا سرویس تازه‌نصب‌شده ناخواسته روی اینترنت باز نماند.
آیا نتیجه یا نام دامنهٔ من ذخیره می‌شود؟
خیر. ابزار دامنه و نتیجه را در پایگاه داده ذخیره نمی‌کند. مثل هر وب‌سایتی، لاگ عمومی درخواست‌ها ممکن است ثبت شود. سرور مقصد هم در لاگ خودش اتصال را از آی‌پی سرور ما می‌بیند.
پورت در ابزار باز است ولی سرویس کار نمی‌کند؛ چرا؟
باز بودن پورت فقط یعنی اتصال TCP برقرار شد. ممکن است سرویس پشت آن خطا بدهد، پروتکل اشتباه باشد یا برنامهٔ دیگری روی آن پورت گوش بدهد. با دستور sudo ss -tlnp روی سرور ببینید کدام برنامه پورت را گرفته است.
آیا باز بودن پورت دیتابیس خطرناک است؟
بله، اگر برای همه باز باشد. ربات‌ها مدام پورت‌های ۳۳۰۶، ۵۴۳۲، ۶۳۷۹ و ۲۷۰۱۷ را اسکن می‌کنند. دسترسی را با فایروال فقط به آی‌پی سرور اپلیکیشن یا دفتر خودتان محدود کنید یا ارتباط را از طریق شبکهٔ خصوصی برقرار کنید.
می‌توانم به‌جای دامنه آی‌پی وارد کنم؟
بله، آی‌پی عمومی IPv4 هم پذیرفته می‌شود. آدرس‌های شبکهٔ داخلی و دامنه‌هایی که به آن‌ها resolve می‌شوند رد می‌شوند. آدرس IPv6 به‌صورت مستقیم پشتیبانی نمی‌شود.
آیا استفاده از این ابزار برای اسکن سرور دیگران مجاز است؟
لطفاً فقط سرورهایی را بررسی کنید که مالک یا مدیرشان هستید. ابزار برای عیب‌یابی سرویس‌های خودتان طراحی شده و سقف ده پورت و تست ترتیبی آن را برای اسکن گسترده نامناسب می‌کند.

پاسخ پرسش خود را پیدا نکردید؟ با پشتیبانی در تماس باشید.

سرور ابری

سرور ابری ایران‌کلاد در کمتر از ۶۰ ثانیه آماده می‌شود؛ با دیسک NVMe SSD، پورت اختصاصی ۱۰ گیگابیت و صورت‌حساب ساعتی تومانی، از ۱٬۱۰۰ تومان در ساعت.