端口开放在线查询：结果只能当参考

端口开放在线查询跑出来的那行结果，最多算个线索，别当判决书用。干运维久了都懂一个道理：你从外面看到的东西，和机器里面实际在跑的东西，中间隔着安全组、防火墙、运营商策略、CDN回源好几层，任何一层动点手脚，屏幕上那句开放或者关闭就跟着变。拿它做初筛没问题，拿它当铁证去重装系统、去跟领导解释、去给客户写事故报告，那就容易闹笑话。

端口开放在线查询到底在扫什么

原理朴素得很。扫描器待在它自己的机房里，朝你的IP和端口发一个包，可能是TCP SYN，也可能是直接connect，然后看你回什么。回SYN-ACK，它记一个开放；回RST，记一个关闭；什么都没回，记一个被过滤。就这么点信息量。它不知道你那个端口后面挂的是nginx还是SSH，也不知道对面是不是蜜罐，更不知道你这台机器上还有没有别的服务在跑。它只知道从它那个位置、那个时间点、往你那个IP发了一个包，你没搭理或者搭理了。仅此而已。

这里头有个细节常被忽略——扫描节点在哪。扫描器在境外机房和在本地IDC，扫出来的结果可能完全不是一个样。有些云厂商的清洗设备对境外来源更敏感，有些运营商对特定方向的入站连接有限制。同一台机器，换几个查询站点跑一遍，出现两种结论一点不稀奇。

端口开放在线查询的三种结果，第三种最容易被忽略

开放、关闭、被过滤。大部分人只盯着前两个看，看到关闭就松一口气，看到开放就紧张。被过滤那种最坑，页面显示得模棱两可，或者干脆给你标成关闭。实际上被过滤往往说明你的防火墙把扫描源直接丢了包，服务可能开着，只是不对外应答。反过来也一样，你看到关闭，可能只是那家扫描站点的IP段早被你自己的安全策略拉黑了。

结果和实际对不上，八成是这几层在挡

第一层，云平台的安全组。面板上默认只放行22和80，你机器里服务确实监听了8080，外面扫当然扫不出来。第二层，系统自带的防火墙，iptables或者firewalld，规则写在里面，安全组放了也没用。第三层，运营商。25端口这种最容易中招，很多机房干脆封掉出站25，防垃圾邮件，你本地测着通的，外面就是连不上。第四层，CDN和高防。域名解析到CDN节点，你去扫那个IP，扫的是节点不是源站，结果毫无意义。第五层最滑稽，你自己把查询站点的IP封了，然后纳闷为什么总显示关闭。

本地能连、外网扫不到，先别改配置

十有八九是监听地址的问题。服务绑在127.0.0.1上，只有本机能连，外面当然进不来，改绑0.0.0.0就行。这个坑新手踩得多，但老手也会踩——改配置的时候复制了别人的模板，没注意bind那一行。还有一种是只监听了IPv6，IPv4扫过来自然没反应，而多数在线工具默认只测IPv4。碰上这种情况，先`ss -lntup`看一眼监听地址，比在查询页面刷十次有用。

自己动手验一遍，比刷网页靠谱

机器上跑`ss -lntup`或者`netstat -tunlp`，能看到端口、协议、监听地址、进程号，这是第一手信息，比任何第三方页面都可信。然后从另一台机器往外测：`nc -vz 你的IP 端口`，或者`telnet IP 端口`，再不行`curl -Iv http://IP:端口`看有没有响应头回来。测试机最好不在同一个内网，条件允许的话跨地域、跨运营商各测一次。三处结果一对，心里就有数了。

虚拟主机和共享空间，端口这事你基本管不着

买的是虚拟主机，那端口层面的事服务商早就定死了，对外一般只给80和443，控制面板里你也看不到端口状态。这时候拿在线查询工具去扫，扫出来什么其实指导不了你做什么。真碰上网站打不开，方向应该是域名解析、站点绑定、程序报错、资源超限，而不是端口。需要确认开放策略的，直接提交工单问服务商，一切以官方页面说明为准，别拿扫描结果去跟客服争。

这个结果能用来做什么，不能用来做什么

能用的地方还是有的：换服务器前后对比一下开放情况，看看是不是比原来多开了几个不该开的；给同事复现问题的时候贴个截图；批量初筛一批IP，把明显不对的挑出来人工看。不能用的地方也很明确：别拿它当入侵证据，别拿它当合规检查的结论，别拿它当唯一判断依据。真要做安全自查，从机器内部往外看：谁在监听、谁在连接、有没有陌生进程，配合日志一起看，那才叫证据链。

最后留个习惯吧。看到开放别慌，先确认那个端口是不是你自己开的；看到关闭别乐，先用另一台机器再测一次。中间隔着的那些层，一层一层捋过去，比盯着查询页面反复刷新强得多。