如何检查端口是否开放（从你的网络外部） | Check Host

了解如何测试 22、443、3389 或 25565 等 TCP 端口是否开放并可从互联网访问，以及端口不通时常见原因的解决方法。

你启动了服务器，在防火墙里放行了端口，在路由器上做了端口转发——结果谁都连不上。在自己电脑上测试端口没有用：这会绕过路由器、运营商以及中间所有的防火墙。要知道端口是否真的开放，必须从外部测试。

"开放"到底意味着什么

TCP 端口开放，是指有程序在该端口上监听，并且来自互联网的连接能够完成 TCP 握手。以下三点必须同时满足：

1. 有程序在该端口上监听，并绑定在正确的网卡上（而不仅仅是 127.0.0.1）。
2. 主机防火墙允许该端口的入站连接。
3. 主机前面的每个网络设备——路由器、NAT、云安全组——都转发或放行了流量。

同时从多个国家测试

端口检测会从全球各地的服务器尝试与你的主机和端口完成 TCP 握手，并报告每个地点的连接时间。输入主机名或 IP 以及端口，例如 example.com 和 443。

• 所有地点都连接成功——端口对互联网开放。
• 所有地点都超时——数据包被悄悄丢弃，通常是防火墙或缺少端口转发。
• 所有地点都被拒绝——主机可达，但该端口上没有程序在监听。
• 结果不一——地区屏蔽、地区性路由问题，或 DDoS 防护过滤了部分网络。

常用端口

端口	服务
22	SSH
25 / 587	SMTP（邮件）
80 / 443	HTTP / HTTPS
3306 / 5432	MySQL / PostgreSQL
3389	Windows 远程桌面
25565	Minecraft Java 服务器

端口显示关闭的原因

• 只监听了 localhost。用 ss -tlnp（Linux）或 netstat -an（Windows）检查；本地地址应为 0.0.0.0 或 ::，而不是 127.0.0.1。
• 主机防火墙。ufw、firewalld、iptables 或 Windows Defender 防火墙拦截了连接。
• 云安全组。AWS、GCP、Azure 以及大多数 VPS 服务商都在机器前面有自己的防火墙。
• 缺少端口转发。在家用路由器后面，需要把端口转发到你电脑的局域网 IP。
• CGNAT。很多运营商让多个用户共用一个公网 IP。如果路由器的 WAN IP 与你的公网 IP 不同（见 IP 查询），端口转发就无法生效。
• 运营商封锁。家庭宽带常常封锁 25 端口，有时还会封锁 80 或 445 端口。

只能测试 TCP

TCP 检测无法判断 UDP 端口（53 端口的 DNS、WireGuard、许多游戏服务器）是否开放：UDP 没有握手过程，不响应的端口和被过滤的端口看起来完全一样。请使用对应协议的客户端测试 UDP 服务。

• Check Host
• 博客
• Telegram 机器人
• Discord 机器人
• 文档