Перейти к основному содержимому

Справочник по сетевым протоколам и портам


Назначение

Краткая напоминалка по прикладным протоколам, которые чаще всего встречаются в работе с сетью, вебом, почтой и администрированием. Учебный контекст — основы раздела и статья «Сетевые протоколы, порты и установка соединения».

Полная схема шести типов серверов (веб, почта, DNS, прокси, FTP, origin) с цепочками запросов — в основах раздела.

Порт — это номер службы на хосте (0–65535). В паре с IP он образует сокет; транспорт — TCP (надёжный поток байтов) или UDP (датаграммы без гарантии доставки). Подробнее о диапазонах well-known / эфемерных — в основах.


Девять ключевых протоколов — кратко

Компактная напоминалка по протоколам, которые чаще всего встречаются в курсах по сетям. Развёрнутый разбор с уровнями OSI/TCP/IP — в учебной статье про протоколы.

ПротоколПолное названиеРоль
IPInternet ProtocolАдреса устройств в сети; маршрутизация пакетов
TCPTransmission Control ProtocolНадёжная доставка данных с подтверждениями
UDPUser Datagram ProtocolБыстрая доставка датаграмм без гарантии целостности
HTTPHypertext Transfer ProtocolЗапрос и выдача веб-страниц и API
HTTPSHTTP SecureHTTP с шифрованием TLS
FTPFile Transfer ProtocolПередача файлов по сети
SMTPSimple Mail Transfer ProtocolОтправка электронной почты между серверами
SSHSecure ShellЗащищённый удалённый доступ и управление
IMAPInternet Message Access ProtocolЧтение почты с удалённого сервера, синхронизация папок

18 основных портов

Порт задаёт прикладную службу на узле. Сервер слушает well-known номер (например, 22 для SSH или 443 для HTTPS); клиент подключается к IP:порт со своего эфемерного порта. Так разделяются десятки одновременных сессий на одном хосте — это основа любого обмена «клиент ↔ сервер».

Ниже — восемнадцать портов, которые чаще всего встречаются в учебниках, на собеседованиях и в правилах firewall. Расширенные таблицы по шифрованию, почте submission (587) и современным VPN — в следующих разделах.

СлужбаТранспортПортНазначение
FTPTCP21Передача файлов (управление сессией; данные — порт 20 в активном режиме)
SSHTCP22Безопасный удалённый вход, SFTP и туннели
TelnetTCP23Удалённый терминал без шифрования (устарел)
SMTPTCP25Обмен почтой между серверами (MTA)
DNSTCP / UDP53Имя домена → IP и другие записи
DHCP (сервер)UDP67Выдача IP, маски, шлюза и DNS в LAN
DHCP (клиент)UDP68Запрос и продление аренды адреса
HTTPTCP80Веб-страницы и API без TLS
POP3TCP110Скачивание почты на клиент
NTPUDP123Синхронизация времени узлов
NetBIOSTCP139Имена и сеансы в сетях Windows (legacy)
IMAPTCP143Почта на сервере, синхронизация папок
HTTPSTCP443HTTP внутри TLS — сайты и API
SMBTCP445Общие папки и сетевые диски Windows
Oracle (SQL*Net)TCP1521Сетевой доступ к Oracle DB
MySQL / MariaDBTCP3306Сетевой доступ к MySQL
RDPTCP3389Удалённый рабочий стол Windows
PostgreSQLTCP5432Сетевой доступ к PostgreSQL
Как читать пару 67 / 68

DHCP — это обмен UDP-датаграммами: клиент шлёт Discover с порта 68, сервер отвечает с 67. Порты 139 и 445 связаны с Windows: NetBIOS устарел, файловый обмен в LAN идёт через SMB на 445. Telnet (23) и открытый FTP (21) в интернет не публикуют — для администрирования и файлов используют SSH (22) и SFTP.

Учебный разбор портов в курсе — статья про протоколы и соединение. Проброс и риски открытия в интернет — NAT и проброс портов.


Сетевые сервисы по ролям

В backend, DevOps и инфраструктурной работе удобнее запоминать службы по задаче, которую они решают до входа запроса в ваш код. Ниже — шесть типовых групп с стандартными портами (на практике службу могут перенести на другой номер).

РольСлужбаПротоколПорт(ы)Зачем вам
Базовая инфраструктураDNSUDP / TCP53Переводит example.com в IP; первый шаг при открытии сайта или вызове API
DHCPUDP67 (сервер), 68 (клиент)Выдаёт IP, маску, шлюз и DNS в локальной сети
NTPUDP123Синхронизирует время узлов (логи, TLS, срок действия JWT)
Доступ и администрированиеSSH / SFTPTCP22Удалённая shell, деплой, туннель к БД без открытия 5432 в интернет
RDPTCP / UDP3389Графический рабочий стол Windows (в веб-стеке реже SSH)
Веб и приложенияSMTP submissionTCP587Исходящая почта от приложения (уведомления, сброс пароля)
HTTPSTCP443Сайты, REST API, вебхуки; TLS поверх TCP
HTTP/3 (QUIC)UDP443Тот же смысл для браузера, другой транспорт
Идентификация и каталогLDAP / LDAPSTCP389 / 636Корпоративный каталог пользователей (Active Directory, OpenLDAP)
OAuth 2.0 / OpenID ConnectHTTPS443«Войти через Google» и делегирование прав без передачи пароля вашему сайту
Базы данныхMySQL / MariaDBTCP3306Сетевой доступ к реляционной БД
PostgreSQLTCP5432То же для PostgreSQL
Oracle (SQL*Net)TCP1521Клиенты к экземпляру Oracle
Защищённая связностьWireGuardUDP51820Лёгкий VPN-туннель к внутренней сети
IPsec (IKE)UDP500 (+ 4500 NAT-T)Корпоративные site-to-site и remote-access VPN

Базовая инфраструктура работает «под» HTTP. Без DNS клиент не узнает IP балансировщика или origin. DHCP нужен при поднятии ВМ и контейнеров в частной сети. NTP критичен в распределённых системах: расхождение часов ломает сравнение логов и проверку сертификатов.

Доступ и администрирование — то, чем пользуются разработчик и SRE. SSH — стандарт для Linux-серверов и туннелей (ssh -L 5432:localhost:5432). SFTP использует тот же порт 22. RDP встречается в гибридных Windows-ландшафтах.

Веб и приложения — слой, который видит браузер и мобильный клиент. Публичный API почти всегда на 443 (HTTPS). Порт 587 — для исходящей почты от приложения, не путать с 25 (обмен между почтовыми серверами).

Идентификация в enterprise часто идёт через LDAP; в потребительских и B2B SaaS — через OAuth 2.0 и OpenID Connect поверх HTTPS (редиректы и token endpoint на том же 443).

Базы данных слушают перечисленные порты внутри периметра. В продакшене их не открывают в интернет — доступ из приложения в той же VPC или через VPN/SSH-туннель.

Защищённая связность даёт доступ к внутренним службам с ноутбука или между дата-центрами. WireGuard популярен на VPS и в mesh-сетях; IPsec — в корпоративных шлюзах.

Типовая цепочка для https://api.example.com/v1/users:

  1. DNS (53) — IP балансировщика или API Gateway.
  2. HTTPS (443) — TLS, HTTP-запрос к приложению.
  3. Приложение внутри сети обращается к PostgreSQL (5432) или Redis (6379).
  4. Вход через OAuth/OIDC (443) к внешнему IdP.

Разбор DNS по шагам — статья про DNS; проброс портов — NAT и проброс портов; как из портовых, IP- и протокольных правил собирают политику фаервола — шесть сценариев в статье про фаерволы.


Как читать таблицы

КолонкаСмысл
ПортНомер по умолчанию (IANA / де-факто стандарт). На практике службу можно перенести на другой порт.
ТранспортTCP, UDP или оба. Некоторые протоколы используют оба (DNS, SIP, RDP).
ЗащитаЕсть ли шифрование и целостность «из коробки» на этом порту. «Открытый текст» — перехват в сети может раскрыть содержимое.
Про «зашифровано»

Колонка Защита описывает типичный режим на указанном порту. RDP и LDAPS могут работать без строгой политики TLS; SMTP на порту 25 часто дополняют STARTTLS. Для DNS в интернете всё чаще используют DoT (853) и DoH (443) — это отдельные схемы, не замена знания порта 53.


Обзор — протоколы при разработке, деплое и отладке

На практике достаточно держать в голове несколько ролей: надёжная доставка (TCP), низкая задержка (UDP), шифрование канала (TLS), имена (DNS), веб (HTTP/HTTPS), удалённое администрирование (SSH), идентификация в приложениях (OAuth 2.0, OpenID Connect). Остальное подключается по задаче.

Связанные компоненты веб-стека (HTTP/2–3, HPACK, QUIC, CDN, WAF, gRPC) — в карте «Современная HTTP-экосистема».

КатегорияПротоколТранспорт / портЗачем нужен
ТранспортTCPTCPГарантированная доставка, порядок байтов, рукопожатие SYN → SYN+ACK → ACK
ТранспортUDPUDPМинимальные задержки, без повторной доставки (игры, VoIP, DNS, QUIC)
ТранспортQUICUDP / 443HTTP/3, TLS 1.3 встроен, быстрый старт сессии
ВебHTTPTCP / 80Страницы и API; модель запрос–ответ
ВебWebSocketTCP / 80, 443 (WSS)Постоянный двунаправленный канал (чаты, котировки)
ВебWebRTCUDP (медиа)Аудио/видео P2P в браузере, STUN/TURN при NAT
БезопасностьTLSповерх TCP или в QUICШифрование и проверка сервера (HTTPS, SMTPS, LDAPS)
ИдентификацияOAuth 2.0HTTPSДелегирование прав приложению без передачи пароля
ИдентификацияOpenID ConnectHTTPSПодтверждение личности поверх OAuth (ID Token)
Удалённый доступSSHTCP / 22Shell, туннели, ключи
ФайлыSFTPTCP / 22 (поверх SSH)Передача файлов в том же защищённом канале
ФайлыSMBTCP / 445Общие папки Windows, сетевые диски
ИменаDNSUDP/TCP / 53Домен → IP и другие записи
ИменаDoHHTTPS / 443DNS-запросы внутри HTTPS (приватность резолвинга)
КаталогLDAPTCP / 389, LDAPS / 636Пользователи и группы (AD, OpenLDAP)
RPC / сообщенияgRPCTCP / 443 (HTTP/2)Вызовы между сервисами, Protobuf
IoTMQTTTCP / 1883, 8883 (TLS)Pub/sub, датчики, брокеры
ИнфраструктураDHCPUDP / 67–68Выдача IP, маски, шлюза, DNS в LAN
ИнфраструктураNTPUDP / 123Синхронизация времени
IPv6ICMPv6ICMPОшибки и служебные сообщения IPv6 (в т.ч. NDP)
VPNWireGuardUDP / 51820Современный туннель, мало накладных расходов
VPNIPsecUDP (IKE) + ESPКорпоративные VPN, шифрование на сетевом уровне
ПочтаSMTPTCP / 25, 587Отправка писем
ПочтаIMAPTCP / 143, 993Почта на сервере, папки на клиенте

Подробный разбор TCP/UDP, HTTP и WebSocket — в учебной статье. OAuth, OpenID Connect и эволюция способов входа — в аутентификации и авторизации.


Транспорт и шифрование канала

ПротоколПортТранспортЗащитаНазначение
TCPлюбой (сервис задаёт well-known)TCPЗависит от приложенияНадёжный поток байтов, установка соединения
UDPлюбойUDPОбычно нетДатаграммы без гарантии доставки
QUIC443 (де-факто)UDPTLS 1.3 встроенТранспорт для HTTP/3, мультиплексирование потоков
TLS443, 993, 636, …поверх TCPTLSШифрование и аутентификация сервера (и клиента при mTLS)

TLS не заменяет HTTP: браузер сначала устанавливает TLS-сессию на 443, затем внутри неё отправляет HTTP-запросы. Сертификаты и цепочки доверия — в HTTP как основа веб-интеграций.


Веб в реальном времени и RPC

ПротоколПортТранспортЗащитаНазначение
WebSocket80 / 443 (WSS)TCPWSS = TLSДвунаправленный обмен после Upgrade с HTTP
WebRTCдинамические UDPUDPDTLS-SRTPЗвонки и видео в браузере; сигнализация часто по HTTPS
gRPC443 (типично)TCP (HTTP/2)TLSRPC между сервисами, бинарные сообщения Protobuf

Справочник по gRPC в микросервисах — 8.05 / 1202.


Веб и имена

ПротоколПортТранспортЗащитаНазначение
HTTP80TCPОткрытый текстВеб-страницы и API без TLS.
HTTPS443TCPTLSТот же HTTP внутри TLS; стандарт для сайтов.
DNS53TCP, UDPОткрытый текст (классический DNS)Имя домена → IP и другие записи. Крупные ответы часто идут по TCP.
DoH443TCP (HTTPS)TLSDNS-запросы в теле HTTPS; резолвер не виден как UDP/53
DoT853TCPTLSDNS поверх отдельного TLS-порта

Примеры из практики: браузер открывает https://example.com → DNS на 53, затем TCP на 443. Разбор цепочки — в как работают сайты и DNS; пошагово (кэш → резолвер → Root → TLD → Authoritative → HTTP) — DNS-резолв. DoH и DoT — в статье про DNS.


Удалённый доступ и передача файлов

ПротоколПортТранспортЗащитаНазначение
SSH22TCPSSHУдалённая shell-сессия, туннели, ключи.
SFTP22TCPSSHПередача файлов поверх SSH (тот же порт, другой подпротокол).
Telnet23TCPОткрытый текстУдалённый терминал (устарел, заменяют SSH).
FTP21 (управление), 20 (данные, активный режим)TCPОткрытый текстКлассическая передача файлов; за NAT часто проблемен.
TFTP69UDPОткрытый текстПростая загрузка без аутентификации (PXE, прошивки).
NetBIOS139TCPОткрытый текстИмена и сеансы Windows (legacy); файлы — чаще SMB на 445.
SMB445TCPЗависит от настройки (часто SMB3 + шифрование)Общие папки Windows, «сетевые диски».
RDP3389TCP, UDPОбычно TLS / NLAУдалённый рабочий стол Windows.

Подробнее про SSH — в основах информационной безопасности.


Почта

Как устроена доставка

Цепочка MUA → MTA → MX в DNS → очередь → ящик, различие SMTP-конверта и заголовков From: / To:, разбор SPF, DKIM и DMARC — в учебной статье «Электронная почта». Ниже — компактная таблица портов для справки.

ПротоколПортТранспортЗащитаНазначение
SMTP25TCPЧасто STARTTLS; иначе открытый текстПередача писем между серверами (MTA).
SMTP submission587TCPSTARTTLS → TLSИсходящая почта от клиента к провайдеру.
SMTPS465TCPTLS с первого байтаУстаревший, но ещё встречающийся «implicit TLS».
POP3110TCPОткрытый текстСкачивание почты на клиент.
POP3S995TCPTLSPOP3 поверх SSL/TLS.
IMAP143TCPОткрытый текстПочта на сервере, синхронизация папок.
IMAPS993TCPTLSIMAP поверх SSL/TLS.

Аутентификация исходящей почты (SPF, DKIM, DMARC)

Порты SMTP описывают транспорт. Отдельно настраивают доверие к домену отправителя — DNS-записи TXT:

МеханизмСуть
SPFКакие хосты/IP могут слать письма от @ваш-домен
DKIMЗаголовки письма подписывают закрытым ключом домена; получатель проверяет открытым ключом из DNS (TXT). Тот же принцип, что у TLS-сертификата — асимметричная криптография
DMARCПолитика при несовпадении SPF/DKIM и адрес для агрегированных отчётов

При ошибках письмо часто уходит «успешно» с вашей стороны, но попадает в спам или отбрасывается у получателя. Архитектура рассылки, bounces и suppression — в email-рассылка как распределённая система; записи TXT в панели DNS — в настройке DNS.


Инфраструктура сети

ПротоколПортТранспортЗащитаНазначение
DHCP67 (сервер), 68 (клиент)UDPОткрытый текстВыдача IP, маски, шлюза, DNS в LAN.
NTP123UDPОткрытый текстСинхронизация времени.
LDAP389TCP, UDPОткрытый текстКаталог пользователей (Active Directory и др.).
LDAPS636TCPTLSLDAP поверх SSL/TLS.
SNMP161 (запросы), 162 (ловушки)UDPSNMPv3 — шифрование; v1/v2c — слабая защитаМониторинг маршрутизаторов, принтеров, UPS.
Syslog514UDP (классика), 6514 (TLS)514 — открытый текстЦентрализованные логи.
SIP5060, 5061 (TLS)TCP, UDP5061 — TLSСигнализация VoIP и видеозвонков.
ICMPv6ICMPv6Нет шифрованияОшибки, ping6, Neighbor Discovery в IPv6

Обмен сообщениями и IoT

ПротоколПортТранспортЗащитаНазначение
MQTT1883TCPОткрытый текстPub/sub для датчиков и брокеров
MQTTS8883TCPTLSMQTT поверх TLS

VPN

ПротоколПортТранспортЗащитаНазначение
WireGuard51820UDPСовременная криптографияЛёгкий туннель, часто на VPS и в mesh-сетях
IPsec (IKE)500, 4500 (NAT-T)UDPIKE + ESPSite-to-site и remote-access VPN в корпорациях

Контекст VPN в сети — основы раздела (типы VPN). Открытый Wi‑Fi и утечки — 113.


Базы данных (типовые порты по умолчанию)

Протокол / СУБДПортТранспортЗащитаНазначение
Microsoft SQL Server1433TCPЗависит от настройки TLSДоступ к БД SQL Server.
Oracle (SQL*Net)1521TCPЗависит от настройкиКлиенты Oracle к экземпляру БД.
MySQL / MariaDB3306TCPОпционально TLSСетевой доступ к MySQL.
PostgreSQL5432TCPОпционально TLSСетевой доступ к PostgreSQL.

В продакшене БД обычно не выставляют в интернет; доступ только из VPN или внутренней сети.


Сводная таблица (все перечисленные службы)

ПротоколПортTCP / UDPЗащита
FTP20, 21TCPОткрытый текст
SSH / SFTP22TCPSSH
Telnet23TCPОткрытый текст
SMTP25TCPSTARTTLS или открытый текст
TFTP69UDPОткрытый текст
HTTP80TCPОткрытый текст
POP3110TCPОткрытый текст
NTP123UDPОткрытый текст
IMAP143TCPОткрытый текст
SNMP161, 162UDPv3 — шифрование
LDAP389TCP, UDPОткрытый текст
HTTPS443TCPTLS
NetBIOS139TCPОткрытый текст
SMB445TCPSMB3 при включении
SMTP submission587TCPSTARTTLS
LDAPS636TCPTLS
DHCP67, 68UDPОткрытый текст
Syslog514UDPОткрытый текст
SIP5060, 5061TCP, UDPTLS на 5061
SMTPS465TCPTLS
IMAPS993TCPTLS
POP3S995TCPTLS
MSSQL1433TCPОпционально TLS
Oracle1521TCPОпционально TLS
MySQL3306TCPОпционально TLS
RDP3389TCP, UDPTLS / NLA
PostgreSQL5432TCPОпционально TLS
DNS53TCP, UDPКлассический DNS — открытый текст
DoH443TCPTLS
DoT853TCPTLS
MQTT1883TCPОткрытый текст
MQTTS8883TCPTLS
WireGuard51820UDPШифрование протокола

Частые путаницы

  • Один порт — несколько ролей. На 22 одновременно «живут» SSH и SFTP; различаются протоколом поверх одного TCP-соединения.
  • HTTP и HTTPS — разные порты. Редирект с 80 на 443 настраивают на веб-сервере или балансировщике.
  • DNS по 53 не шифрует запросы; приватность — через DoH/DoT или VPN.
  • «Открытый порт» в firewall не означает, что служба запущена и отвечает — нужна проверка (ss, nmap, логи).
  • Проброс портов на роутере перенаправляет внешний порт на внутренний хост — см. NAT и проброс портов.

Проверка на своей машине

Linux / macOS — какие порты слушает ОС:

sudo ss -tulnp

Windows:

netstat -ano | findstr LISTENING

Сканирование порта на удалённом хосте (только на своих системах или с разрешения):

nc -zv example.com 443

Python-инструменты по протоколам

Если нужно вызвать протокол из кода, а не только из терминала, в Python есть готовые библиотеки. Краткая карта «протокол → типичный пакет»:

Протокол / задачаPython
TCP/UDP, TLSsocket, ssl, asyncio
HTTP-клиентrequests, httpx, aiohttp
HTTP-сервер / APIFlask, Django, FastAPI
DNSdnspython, aiodns
SSH / SFTPparamiko
SMTP / IMAPsmtplib, imaplib, aiosmtplib
MQTT / Kafka / AMQPpaho-mqtt, aiokafka, aio-pika
gRPCgrpcio
SNMP / NETCONFpysnmp, ncclient
Анализ пакетовScapy, pyshark

Полный справочник по 18 категориям (QUIC, SDN, прокси, Linux netlink и др.) — Сетевое программирование на Python.


Связанные материалы

См. также

Другие статьи этого же раздела в боковом меню (как на странице "О разделе").