Cách kiểm tra port đã mở hay chưa
Để kiểm tra port đã mở hay chưa, bạn lấy IP public của mạng nhà mình, nhập IP đó cùng số port vào ô phía trên, bấm kiểm tra rồi đọc trạng thái trả về. Điều kiện bắt buộc: thiết bị phía sau port phải đang bật và đang chạy dịch vụ.
- Bước 1: xem IP WAN (IP public) của bạn ở trang chủ CheckIP.
- Bước 2: nhập IP đó và port cần kiểm tra, ví dụ 8000 cho đầu ghi Hikvision hoặc 25565 cho server Minecraft Java.
- Bước 3: bấm nút kiểm tra.
- Bước 4: đọc trạng thái từng port, đối chiếu bảng ở mục dưới.
Port chỉ báo mở khi có phần mềm đang lắng nghe ở cổng đó. Camera mất điện, Pi Node chưa bật, server game chưa chạy thì kết quả luôn là đóng, kể cả khi modem đã cài đúng.
Kết quả Mở, Đóng, Bị lọc nghĩa là gì
Mở nghĩa là có dịch vụ nhận kết nối ở port đó. Đóng nghĩa là gói tin đã tới thiết bị nhưng không có gì lắng nghe ở cổng đó, thiết bị trả lời từ chối. Bị lọc nghĩa là không có phản hồi nào, thường do tường lửa trên đường đi bỏ gói tin.
| Trạng thái | Nguyên nhân hay gặp | Việc nên làm |
|---|---|---|
| Mở | Luật NAT đúng, dịch vụ đang chạy | Đặt mật khẩu mạnh cho thiết bị. Đóng port khi không còn dùng. |
| Đóng | Dịch vụ chưa chạy, nghe sai cổng, hoặc luật NAT trỏ nhầm máy | Kiểm tra thiết bị đang bật, số port trong cài đặt thiết bị và IP LAN trong luật NAT. |
| Bị lọc | Tường lửa Windows, tường lửa modem, modem 2 lớp hoặc nhà mạng chặn | Xem 6 nguyên nhân ở mục "Mở port rồi mà vẫn báo đóng". |
Bị lọc khó xử lý nhất. Bạn có thể kiểm tra ping và độ trễ tới IP public của mình để khoanh vùng. Ping có trả lời thì đường tới modem vẫn thông, lỗi nằm ở luật NAT hoặc thiết bị. Không trả lời thì chưa kết luận được, vì nhiều modem tắt phản hồi ping từ ngoài vào.
Kiểm tra port NAT trên modem Viettel, VNPT, FPT
Mở port (NAT port, port forwarding) là tạo luật trên modem: kết nối từ Internet tới cổng X thì chuyển vào thiết bị có IP LAN Y. Ví dụ đầu ghi camera có IP 192.168.1.64: tạo luật chuyển cổng 8000 vào máy đó thì ứng dụng trên điện thoại ở ngoài đường mới gọi được vào đầu ghi.
Modem Viettel, VNPT hay FPT đều theo cùng quy trình:
- Đăng nhập trang quản trị modem. Chưa biết địa chỉ và tài khoản thì xem cách đăng nhập modem của từng nhà mạng.
- Đặt IP LAN cố định cho thiết bị cần mở port (đặt trên thiết bị hoặc gán theo địa chỉ MAC trên modem).
- Tạo luật NAT: cổng ngoài, cổng trong, IP LAN của thiết bị, giao thức TCP hoặc UDP.
- Lưu, rồi quay lại trang này kiểm tra port NAT bằng IP public.
Mục tạo luật thường nằm trong phần có tên "NAT", "Port Forwarding", "Virtual Server" hoặc "Forward Rules", tùy hãng và đời modem. Từng bước điền luật NAT và điểm khác nhau giữa modem Viettel, VNPT, FPT có trong bài hướng dẫn mở port modem.
Mở port rồi mà vẫn báo đóng: 6 nguyên nhân thường gặp
Port đã NAT mà vẫn báo đóng hoặc bị lọc thường do một trong 6 nguyên nhân dưới đây. Hai nguyên nhân đầu phát hiện được bằng một phép so: lấy IP WAN trong trang trạng thái của modem so với IP public hiện trên CheckIP. Hai số khác nhau là có vấn đề.
- Modem 2 lớp (NAT 2 lần). Nhà lắp thêm router Wi-Fi như TP-Link, Tenda sau modem nhà mạng. Phải mở port trên cả hai thiết bị, hoặc chuyển modem nhà mạng sang chế độ bridge. Việc chuyển bridge nên nhờ kỹ thuật nhà mạng làm.
- Nhà mạng dùng CGNAT. IP WAN trên modem nằm trong dải 100.64.0.0 đến 100.127.255.255 là dấu hiệu chắc chắn. Dải này dành riêng cho NAT cấp nhà mạng theo RFC 6598. Modem không có IP public riêng nên mở port vô tác dụng. Hãy gọi nhà mạng xin IP public hoặc đăng ký IP tĩnh. Chưa rõ khác biệt thì đọc bài IP tĩnh và IP động khác nhau thế nào.
- Tường lửa Windows chặn. Vào Windows Defender Firewall, phần Advanced settings, tạo luật Inbound cho đúng số port và giao thức. Đừng tắt hẳn tường lửa.
- Thiết bị đổi IP LAN. Modem tắt bật lại, camera nhận IP 192.168.1.65 thay vì .64, luật NAT vẫn trỏ địa chỉ cũ. Gán IP cố định như ở mục trên là hết.
- Dịch vụ chưa chạy hoặc lắng nghe sai cổng. Người dùng đổi port HTTP của camera sang 8080 nhưng luật NAT vẫn trỏ cổng 80.
- Nhà mạng có thể chặn một số cổng phổ biến như 80 hoặc 25 với thuê bao gia đình. Thử đổi cổng ngoài sang số khác như 8080.
Check port Pi Node (31400-31409)
Pi Node cần mở đúng các port mà ứng dụng hiện ở màn hình kiểm tra port; dải TCP 31400 đến 31409 hay gặp trên mạng chỉ là thông tin cộng đồng. Nhập IP public cùng từng port đó vào ô phía trên để kiểm tra từ ngoài vào. Cách mở port trên modem, tường lửa và bật UPnP có trong bài check port Pi Node.
Port chỉ báo mở khi Docker và ứng dụng Pi Node đều đang chạy trên máy. Tắt ứng dụng, máy ngủ hoặc Docker chưa chạy thì cả dải báo đóng dù luật NAT đúng. Máy chạy node cũng cần IP LAN cố định để luật NAT không trỏ sai sau khi mất điện.
Kiểm tra port camera, server game và Remote Desktop
Mỗi loại thiết bị nghe ở một port mặc định riêng, nên kiểm tra port camera hay server game phải nhập đúng số cổng của thiết bị đó. Bảng dưới là port mặc định khi chưa đổi trong cài đặt. Đã đổi thì nhập số mới.
| Thiết bị, dịch vụ | Port mặc định | Giao thức |
|---|---|---|
| Camera, đầu ghi Hikvision | 80 (web), 554 (RTSP), 8000 (ứng dụng Hik-Connect, iVMS-4200) | TCP |
| Camera, đầu ghi Dahua, KBVision | 80 (web), 554 (RTSP), 37777 (ứng dụng), 37778 | TCP, riêng 37778 là UDP |
| Minecraft Java Edition | 25565 | TCP |
| Minecraft Bedrock Edition | 19132 | UDP |
| Remote Desktop (Windows) | 3389 | TCP |
| SSH | 22 | TCP |
| Website | 80 (HTTP), 443 (HTTPS) | TCP |
Port của Hikvision lấy theo trang hỗ trợ của Hikvision. Port dịch vụ phổ thông có trong danh sách đăng ký port của IANA.
Mở port 3389 hoặc trang quản trị camera thẳng ra Internet là rủi ro lớn. Nếu buộc phải mở, đặt mật khẩu dài, đổi tài khoản mặc định, cập nhật firmware camera. Cách an toàn hơn là dùng VPN để vào mạng nhà, hoặc xem camera qua ứng dụng P2P chính hãng (Hik-Connect, DMSS) vốn không cần mở port.
Kiểm tra port có hợp pháp không
Kiểm tra port trên IP, modem, camera hay máy chủ của chính bạn là việc quản trị bình thường. Quét port hệ thống của người khác khi chưa được phép thì khác: đó thường là bước dò đường trước khi tấn công.
Điều 289 Bộ luật Hình sự 2015 (sửa đổi năm 2017) quy định tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác. Nghị quyết 08/2021/NQ-UBTVQH15 giải thích khoản 1 của điều này, trong đó có hành vi cố ý vượt qua cảnh báo, mã truy cập, tường lửa, hoặc dùng quyền quản trị của người khác để xâm nhập. Kiểm tra port tự nó chỉ gửi kết nối. Dùng kết quả đó để vượt tường lửa, mật khẩu và vào hệ thống của người khác là hành vi nghị quyết nêu rõ.
CheckIP chỉ trả về trạng thái kết nối của từng port. Công cụ không dò lỗ hổng, không thử mật khẩu và không khai thác dịch vụ đang chạy.
Câu hỏi thường gặp
Kiểm tra port trong mạng LAN bằng cách nào?
Mở PowerShell và gõ Test-NetConnection 192.168.1.10 -Port 8000, thay IP và port bằng thiết bị của bạn. Dòng TcpTestSucceeded: True nghĩa là port đang mở trong mạng LAN. Công cụ online chỉ thấy từ ngoài vào, nên không thay được cách này.
Làm sao kiểm tra port đang mở trên Windows?
Mở Command Prompt và chạy netstat -ano | findstr LISTENING. Mỗi dòng là một port đang lắng nghe, cột cuối là mã tiến trình (PID). Đối chiếu PID trong Task Manager, tab Details, để biết phần mềm nào giữ port đó. Làm bước này trước khi mở port trên modem. Cách làm bằng PowerShell, Resource Monitor và TCPView có trong bài kiểm tra port đang mở trên Windows.
Vì sao port 80 báo đóng dù đã NAT?
Port 80 có thể đang bị trang quản trị từ xa của modem giữ, hoặc nhà mạng có thể chặn port này với thuê bao gia đình. Thử đổi cổng ngoài sang 8080 và chuyển vào cổng 80 của thiết bị. Nếu 8080 báo mở, vấn đề nằm ở cổng 80, không phải luật NAT của bạn.
Có kiểm tra được port UDP không?
Kiểm tra UDP khó hơn TCP vì UDP không có bước bắt tay. Port UDP đang mở thường im lặng, không trả lời gì, nên rất khó phân biệt với port bị tường lửa chặn. Với game dùng UDP như Minecraft Bedrock, cách chắc chắn nhất là nhờ một người ở mạng khác vào thử bằng IP public của bạn.
Mở port có nguy hiểm không?
Có, nếu thiết bị phía sau dùng mật khẩu yếu hoặc firmware cũ. Mỗi port mở là một cửa vào mạng nhà bạn mà máy quét tự động sớm muộn cũng tìm ra. Chỉ mở port thật sự cần, đóng khi không dùng và kiểm tra lại định kỳ.