فاحص منافذ TCP

بمساعدة الخادم جديد الإنترنت والشبكات

يفتح من اتصال إلى ثلاثة اتصالات TCP بالمنفذ الذي تختاره — HTTPS أو SSH أو قاعدة بيانات أو أي منفذ من 1 إلى 65535 — من حافة Cloudflare التي يعمل عليها خادم متقن، ويغلق كل اتصال فور قبوله، ثم يبيّن هل المنفذ مفتوح أو مرفوض أو محجوب بصمت. لا يمكن اختبار المضيفات التي تعمل عبر Cloudflare بهذه الطريقة، والمنفذ 25 غير مسموح به؛ وتشرح الصفحة السببين.

الخصوصية: يرسل خادم متقن طلبات الاختبار الصغيرة والثابتة الموصوفة في هذه الصفحة إلى المضيف الذي تحدده، ولا يُخزَّن أي شيء. استخدمه فقط مع الأنظمة المصرّح لك باختبارها.

ماذا يعني أن يكون منفذ TCP مفتوحاً أو مغلقاً أو محجوباً؟

يبدأ اتصال TCP بمصافحة ثلاثية (RFC 9293). فإن ردّ المضيف على حزمة SYN الافتتاحية بـ SYN-ACK فهناك برنامج يستمع والمنفذ مفتوح؛ وإن ردّ بحزمة reset فالمضيف قابل للوصول لكن لا شيء يستمع، فالمنفذ مغلق؛ وإن لم يعد شيء قبل انتهاء المهلة فهناك جدار ناري يُسقط الحزم أو أن المضيف متوقف، ويسمّى ذلك محجوباً. المنفذ المفتوح يثبت إمكانية الوصول، لا أن الخدمة خلفه تعمل.

ملاحظة أمنية: منافذ قواعد البيانات والتخزين المؤقت وسطح المكتب البعيد المتاحة من الإنترنت العام سبب متكرر للاختراقات؛ أبقها خلف قائمة سماح في الجدار الناري أو خلف VPN، ولا تختبر إلا مضيفات مصرّحاً لك باختبارها.

كيفية استخدام فاحص منافذ TCP

  1. أدخل اسم المضيف أو عنوان IP؛ وإذا لصقت رابطاً يُؤخذ منه اسم المضيف، وإذا كتبت منفذاً بعد اسم المضيف (example.com:8443) فهو الذي يُختبر ما لم تملأ خانة «منفذ آخر».
  2. اختر الخدمة من قائمة المنفذ، أو اكتب أي رقم منفذ في خانة «منفذ آخر».
  3. يمكنك رفع عدد المحاولات إلى 2 أو 3 لترى هل النتيجة ثابتة، ثم اضغط «فحص المنفذ».
  4. اقرأ حالة المنفذ أولاً، ثم جدول المحاولات والشرح أسفله.

مزايا فاحص منافذ TCP

  • اختبار أي منفذ TCP من 1 إلى 65535، مع قائمة بالخدمات الشائعة: HTTPS وSSH وإرسال البريد وIMAPS وDNS عبر TCP وTLS وMySQL وPostgreSQL وRedis وسطح المكتب البعيد وغيرها
  • من محاولة اتصال إلى ثلاث، لكل منها مهلة 5 ثوانٍ وزمن اتصال خاص بها
  • حكم واضح: مفتوح أو مغلق (مرفوض) أو بلا رد (محجوب) أو غير قابل للوصول، مع معنى كل حالة بالنسبة للمضيف
  • تحذير عندما يكون منفذ قاعدة بيانات أو سطح مكتب بعيد متاحاً من الإنترنت العام
  • رفض صريح ومشروح: المنفذ 25 والمضيفات التي تعمل عبر Cloudflare تُشرح بدلاً من الإبلاغ عنها كمنافذ مغلقة
  • جدول المحاولات قابل للتنزيل بصيغة CSV

المدخلات والمخرجات

المدخلات

  • اسم المضيف أو عنوان IP (أهداف عامة فقط).
  • المنفذ: خدمة شائعة من القائمة أو أي رقم من 1 إلى 65535 عدا 25؛ وعدد محاولات الاتصال من 1 إلى 3.

المخرجات

  • النتيجة: حالة المنفذ، والمنفذ وخدمته المعتادة، وأسرع زمن اتصال، والعنوان الذي اختُبر مع إصدار IP.
  • محاولات الاتصال: نتيجة كل محاولة (connected أو refused أو timeout أو unreachable) وزمنها بالملّي ثانية.
  • شرح الحالة والتفاصيل: المضيف والعنوان المحلول وزمن حل DNS ومكان إجراء الاختبار.

مثال على فاحص منافذ TCP

هل منفذ SSH متاح على github.com؟ (تتغير القيم)

الإدخال:

المضيف: github.com · المنفذ: SSH (22) · محاولات الاتصال: 2

النتيجة:

Port state: Open · Port: 22 (SSH) · Fastest connection: 38 ms · Address tested: 140.82.121.4 (IPv4)
# | Result | Time (ms)
1 | connected | 41
2 | connected | 38
Finding: Port 22 accepted a TCP connection from the Cloudflare edge: something is listening there and no firewall blocked this path. The check does not show which software answers or whether it works correctly.

كيف تقرأ نتائج فاحص منافذ TCP

مفتوح: اكتملت مصافحة TCP، فالمنفذ متاح من الإنترنت العام. أما هل تعمل الخدمة خلفه فمسألة أخرى.

مغلق (مرفوض): ردّ المضيف بحزمة reset. المضيف يعمل، لكن لا شيء يستمع على المنفذ، أو أن جداراً نارياً يرفض الاتصالات صراحة.

بلا رد (محجوب): لم يعد شيء خلال 5 ثوانٍ. غالباً يُسقط جدار ناري الحزم، وقد يعني أيضاً أن المضيف متوقف.

غير قابل للوصول: فشل الاتصال ولم تذكر المنصة السبب. فحزمة reset والاتصال الذي أُسقط والرفض الذي لا تسمّيه المنصة كلها تنتهي إلى هذه الحالة، فقد يكون المنفذ مغلقاً ببساطة؛ أعد الفحص وقارن بمنفذ تعرف أن المضيف يخدم عليه.

اختلاف المحاولات (بعضها نجح وبعضها فشل) يشير إلى وصول متقطع: فقدان حزم، أو خادم معطّل خلف موزّع الحمل، أو تقييد لمعدل الاتصالات.

متى تستخدم فاحص منافذ TCP

  • التأكد من أن تعديل الجدار الناري أو مجموعة الأمان السحابية فتح المنفذ المقصود أو أغلقه.
  • التحقق من أن منفذ قاعدة البيانات أو Redis أو سطح المكتب البعيد غير مكشوف للإنترنت العام.
  • التأكد من أن خادم البريد يقبل الإرسال على 587 أو 465 قبل إعداد برنامج البريد.
  • التمييز بين المنفذ المغلق والمحجوب عندما يتعذر الوصول إلى خدمة من الخارج.

استكشاف الأخطاء وإصلاحها

  • رسالة «هذا المضيف يعمل عبر Cloudflare»: الاسم يُحلّ إلى عناوين Cloudflare التي لا تسمح المنصة لـ Worker بالاتصال بها. استخدم اختبار Ping بوضع اتصال TCP الذي يعمل من مجسّات Globalping، أو اختبر من جهازك.
  • رفض المنفذ 25 قبل أي اختبار: المنصة تمنع SMTP الصادر. افحص 587 أو 465، أو افحص 25 من خادم تديره.
  • رسالة «has no A or AAAA record»: الاسم لا يُحلّ. تحقق من سجلات DNS الخاصة به أولاً.
  • رسالة حد المعدل: يمكن تشغيل الفحص 20 مرة في الدقيقة لكل زائر؛ انتظر قليلاً وأعد المحاولة.

الأسئلة الشائعة حول فاحص منافذ TCP

لماذا لا تستطيع الأداة فحص المواقع التي تستخدم Cloudflare؟

يعمل الفحص على Cloudflare Workers، والمنصة لا تسمح لـ Worker بفتح اتصالات TCP خام إلى نطاقات عناوين Cloudflare نفسها. لذلك يتلقى المضيف الذي يُحلّ اسمه إلى هذه النطاقات، وهي تغطي نسبة كبيرة من المواقع، رسالة واضحة بأنه «يعمل عبر Cloudflare» بدلاً من نتيجة. استخدم اختبار Ping بوضع اتصال TCP، الذي يعمل من مجسّات Globalping، لهذه المضيفات.

لماذا لا يُسمح بفحص المنفذ 25؟

لا يُسمح لـ Cloudflare Workers بفتح اتصالات صادرة إلى المنفذ 25، وهو منفذ SMTP بين خوادم البريد، حتى لا تُستغل المنصة في إرسال الرسائل المزعجة. افحص منفذي الإرسال 587 (STARTTLS) أو 465 (TLS مباشر)، أو افحص المنفذ 25 من خادم تديره أنت.

ما الفرق بين المنفذ المغلق والمحجوب؟

المغلق (المرفوض) يعني أن المضيف ردّ بحزمة TCP reset: يمكن الوصول إليه، لكن لا شيء يستمع على هذا المنفذ. أما المحجوب فيعني أنه لم يصل أي رد خلال 5 ثوانٍ: جدار ناري أسقط محاولة الاتصال بصمت، أو أن المضيف متوقف.

هل المنفذ المفتوح يعني أن خدمتي تعمل؟

لا. «مفتوح» يعني فقط أن مصافحة TCP اكتملت. لا يرسل الفحص أي بيانات، فلا يمكنه معرفة هل خادم الويب أو قاعدة البيانات أو خادم البريد خلف المنفذ يجيب بشكل صحيح؛ استخدم لذلك فحصاً على مستوى البروتوكول، مثل أداة فحص صحة واجهات API لخدمات HTTP.

هل هذه أداة لمسح المنافذ؟

لا. كل تشغيل يختبر منفذاً واحداً لمضيف واحد بثلاث محاولات اتصال على الأكثر، ويستطيع الزائر تشغيلها 20 مرة في الدقيقة. لا تختبر إلا مضيفات تملكها أو مصرّحاً لك باختبارها.

هل ستطابق النتيجة ما أراه من شبكة مكتبي؟

ليس بالضرورة. يأتي الاتصال من حافة Cloudflare التي خدمت طلبك، وهي عادةً الأقرب إليك، عبر الإنترنت العام. والجدار الناري الذي لا يقبل إلا عناوين مصدر معينة، أو الخدمة المتاحة داخل VPN فقط، سيظهران بشكل مختلف عن شبكتك.

ملاحظات تقنية

ينفّذ الفحص مصافحة TCP الثلاثية الواردة في RFC 9293: يُرسل SYN، فإن عاد SYN-ACK فهناك مستمع قبِل الاتصال؛ وإن عاد RST فالمنفذ مغلق؛ والصمت حتى انتهاء المهلة يعني أن الحزم أُسقطت. ويُغلق المقبس فوراً دون إرسال أي بيانات تطبيق.

يحلّ خادم متقن الاسم أولاً عبر DNS over HTTPS، ولا يتصل إلا إذا كانت كل العناوين عامة. وتحجب Cloudflare Workers المقابس الصادرة إلى نطاقات Cloudflare نفسها وإلى المنفذ 25، لذا يُجاب عن هاتين الحالتين بشرح (503 PLATFORM_LIMIT، أو رفض قبل أي اتصال) لا بنتيجة «مغلق» خاطئة.

تسجّل IANA أرقام المنافذ والخدمات المعتادة عليها (RFC 6335)؛ لكن أي برنامج يمكنه الاستماع على أي منفذ، فاسم الخدمة المعروض هو المعتاد لا نتيجة كشف فعلي.

الحدود ومنهجية القياس

القياس من حافة Cloudflare التي خدمت طلبك (عادةً الأقرب إليك)، لا من جهازك أو شبكة مكتبك؛ والجدران النارية التي تقبل عناوين مصدر محددة فقط تعطي هناك نتيجة مختلفة.

يُختبر TCP فقط. أما خدمات UDP مثل DNS التقليدي على 53/udp أو QUIC فلا يمكن فحصها باتصال عادي.

لا يمكن إطلاقاً اختبار المضيفات التي تقع عناوينها في نطاقات Cloudflare ولا المنفذ 25، بحكم قواعد المنصة.

منفذ واحد في كل تشغيل وثلاث محاولات على الأكثر: هذا فحص وصول لا مسح للمنافذ.

المنصة التي تفتح الاتصال لا تذكر دائماً سبب فشله؛ فالرفض الذي لا تسمّيه يظهر بحالة «غير قابل للوصول»، وقد يظهر المنفذ المغلق بهذه الحالة بدلاً من «مغلق (مرفوض)».

الأمان والخصوصية

يُرسَل المضيف والمنفذ إلى خادم متقن الذي يفتح الاتصال من حافة Cloudflare ولا يخزّن شيئاً. ويرى الهدف اتصالاً من عنوان تابع لـ Cloudflare لا منك أنت.

لا تختبر إلا مضيفات تملكها أو مصرّحاً لك باختبارها.

المراجع