TCP 端口可达性检查

这个测试能说明什么

检查你控制的服务能否经公网地址、路由器或 VPN 出口访问。端口开放仅意味着这条路径上的 TCP 连接成功，不意味着服务有漏洞、配置正确或从所有网络都可达。应只选择需要排查的端口，读清拒绝、超时与测试自身错误。

如何操作

1. 选择获准的公网目标及你控制的服务所需的一小组 TCP 端口。
2. 确认预期服务正在运行，再启动连接测试。
3. 逐端口阅读状态，包括拒绝、超时及本地或路由错误。

如何测量

我们的服务器尝试连接每个指定 TCP 端口，报告成功、被拒绝、超时或无法确定。

测试从服务器发起，不从浏览器发起。目标验证限制可测的公网地址；不测 UDP，也不测试应用登录。

解读结果

开放

目标接受了测试服务器的 TCP 连接。背后的应用仍可能要求身份验证或不通过协议检查。

连接被拒绝

这条路径明确拒绝连接，可能因服务未监听或防火墙主动拒绝。

无响应或无法确定

超时可能涉及过滤或路径不可达。本地权限、路由、地址族错误仍无法确定，不能归咎于目标。

比较调整前后

1. 记录目标地址、地址族、端口和服务运行状态。
2. 只改变一条相关防火墙或转发规则，从同一测试服务器重测。
3. 逐端口比较。如 VPN 改变公网目标地址，也应记录，因为测试端点已经不同。

测试的局限

• 托管网络的出站过滤和到目标的路线影响结果。
• 入站可达性依赖公网端点、路由和转发；仅 VPN 连接状态不能确定。

需要时如何调整

需要的服务被拒绝

检查服务是否监听预期地址和端口，再核对相关防火墙规则并重测。

需要的服务超时

先核对公网地址、路由器转发和上游限制，不要盲目增加开放端口。

常见问题

资料与技术参考

• RFC 9293 · TCP