Kỹ thuật Mạng & Cổng Giao tiếpIANA Standard
Bảng Tra cứu Cổng & Giao thức Mạng (Port Reference)
Tra cứu nhanh số cổng (TCP/UDP), dịch vụ tương ứng và các khuyến nghị an toàn thông tin khi cấu hình Firewall, Access Control List (ACL).
| Port | Protocol | Service | Mô tả & Công dụng | Lưu ý Bảo mật / Hardening |
|---|---|---|---|---|
| 20 | TCP | FTP-DATA | Truyền dữ liệu giao thức FTP | Gửi dữ liệu dạng plain text, nên thay thế bằng SFTP (cổng 22). |
| 21 | TCP | FTP-CONTROL | Kênh điều khiển giao thức FTP | Truyền thông tin đăng nhập không mã hóa, dễ bị đánh cắp tài khoản. |
| 22 | TCP | SSH / SFTP | Truy cập dòng lệnh bảo mật SSH & truyền file SFTP | Nên vô hiệu hóa đăng nhập root trực tiếp, chỉ dùng SSH Key + MFA, đổi cổng mặc định hoặc dùng Fail2ban/WireGuard. |
| 23 | TCP | Telnet | Dòng lệnh từ xa không mã hóa | NGUY HIỂM: Tuyệt đối không dùng trên thiết bị mạng mới, luôn dùng SSHv2. |
| 25 | TCP | SMTP | Chuyển thư điện tử giữa các Mail Server (MTA) | Thường bị các ISP chặn outbound để chống spam mail botnet. |
| 53 | TCP/UDP | DNS | Phân giải tên miền (Domain Name System) | UDP 53 dễ bị lợi dụng trong tấn công DNS Amplification DDoS. Nên triển khai DNSSEC & DoH/DoT. |
| 67 | UDP | DHCP-SERVER | Máy chủ cấp phát IP tự động (BOOTP/DHCP Server) | Kích hoạt tính năng DHCP Snooping trên switch để chặn Rogue DHCP Server. |
| 68 | UDP | DHCP-CLIENT | Máy trạm nhận IP tự động (DHCP Client) | - |
| 80 | TCP | HTTP | Duyệt web không mã hóa | Luôn chuyển hướng (HTTP 301) sang HTTPS cổng 443 kèm cấu hình HSTS Preload. |
| 88 | TCP/UDP | Kerberos | Xác thực phân tán Active Directory / Kerberos v5 | Mục tiêu tấn công phổ biến của Kerberoasting và AS-REP Roasting trong môi trường AD. |
| 123 | UDP | NTP | Đồng bộ thời gian mạng (Network Time Protocol) | Đồng bộ thời gian chuẩn xác là điều kiện tiên quyết để kiểm tra SSL cert và đối soát log SIEM. |
| 137 | UDP | NetBIOS Name Service | Phân giải tên NetBIOS trong mạng LAN Windows | Dễ bị tấn công Responder / LLMNR-NBTNS Poisoning. Khuyến nghị tắt LLMNR và NetBIOS qua GPO. |
| 389 | TCP/UDP | LDAP | Truy vấn thư mục người dùng Active Directory / OpenLDAP | Plain text LDAP dễ bị đánh cắp thông tin đăng nhập; nên bắt buộc chuyển sang LDAPS (cổng 636) hoặc STARTTLS. |
| 443 | TCP | HTTPS | Duyệt web an toàn có mã hóa TLS/SSL | Đảm bảo chỉ kích hoạt TLS 1.2 và 1.3, vô hiệu hóa hoàn toàn SSL v3, TLS 1.0, 1.1 và các ciphers yếu. |
| 445 | TCP | SMB / CIFS | Chia sẻ file và máy in mạng Windows (Server Message Block) | CỰC KỲ NGUY HIỂM: Tuyệt đối không mở ra Internet! Cổng bị khai thác bởi WannaCry, EternalBlue, NotPetya. |
| 514 | UDP | Syslog | Gửi nhật ký hệ thống về máy chủ thu thập Log / SIEM | UDP Syslog không đảm bảo chuyển phát và không mã hóa; nên dùng Syslog qua TLS (TCP 6514). |
| 636 | TCP | LDAPS | Truy vấn thư mục bảo mật qua SSL/TLS (LDAP over TLS) | - |
| 3306 | TCP | MySQL / MariaDB | Cơ sở dữ liệu MySQL và MariaDB | Chỉ bind vào localhost (127.0.0.1) hoặc mạng nội bộ riêng tư; không mở trực tiếp ra IP Public. |
| 3389 | TCP/UDP | RDP (Remote Desktop) | Điều khiển máy tính từ xa Microsoft Remote Desktop | Mục tiêu tấn công brute-force hàng đầu của Ransomware. Bắt buộc đặt sau VPN/RD Gateway/Zero Trust và bật NLA. |
| 5432 | TCP | PostgreSQL | Cơ sở dữ liệu PostgreSQL | Giới hạn IP truy cập trong file pg_hba.conf và kích hoạt sslmode=verify-full. |
| 6379 | TCP | Redis | In-memory Key-Value Cache & Message Broker | Không mở cổng ra WAN mà không có mật khẩu; hacker có thể ghi đè SSH authorized_keys từ xa. |
| 51820 | UDP | WireGuard | Giao thức VPN thế hệ mới tốc độ cao WireGuard | Sử dụng mật mã hiện đại (Curve25519, ChaCha20-Poly1305), không phản hồi các gói tin rà quét không hợp lệ. |