Заблокированные порты

Чтобы обезопасить инфраструктуру Servercore от вредоносной сетевой активности, мы ограничиваем доступ к некоторым TCP/UDP-портам. Блокируется входящий и исходящий трафик в момент прохождения бордеров (пограничных маршрутизаторов) на границе интернет-сети Servercore.

Для TCP-портов 25, 465, 587 блокируется только исходящий трафик в направлении публичных IPv4- и IPv6-адресов. Вместо этих портов рекомендуем использовать почтовый сервис Servercore.

Полный список заблокированных портов указан в таблице Список заблокированных портов. Если порт недоступен, но не указан в таблице, проверьте его доступность со стороны операционной системы с помощью утилиты Nmap.

Некоторые порты можно разблокировать по запросу.

Список заблокированных портов

Порт и прикладной протокол	Назначение порта	Транспортный протокол	Причина блокировки	Можно разблокировать
17 QOTD	Передача короткого текстового сообщения при подключении клиента к серверу	TCP/UDP	низкий уровень безопасности; риск amplification-атак	✗
25 SMTP	Отправка писем между серверами в незашифрованном виде	TCP	Предупреждение несанкционированных почтовых рассылок	✓
111 ONC RPC (SunRPC)	Сопоставление RPC-сервисов (nfs, mountd и др.) с номерами портов на сервере	TCP/UDP	риск обнаружения всех RPC-сервисов; риск несанкционированного доступа к файлам	✗
135 Microsoft EPMAP	Сопоставление вызовов RPC с конкретными службами и портами на удаленной системе	TCP/UDP	Риск несанкционированного доступа к системе	✓
137 NetBIOS Name Service	Разрешение имен компьютеров в локальной сети по протоколу NetBIOS	TCP/UDP	риск использования для разведки сети; риск несанкционированного доступа к ресурсам; подмена имен устройств в сети (спуфинг); DoS-атаки	✓
138 NetBIOS Datagram Service	Передача небольших сообщений между устройствами в сети без установления соединения	TCP/UDP	Риск атак через незащищенную передачу данных	✓
139 NetBIOS Session Service	Общий доступ к файлам, принтерам и портам в сетях Windows через NetBIOS	TCP/UDP	Риск атак на уязвимости SMB и NetBIOS	✓
389 LDAP	Подключение к каталогу LDAP для аутентификации и поиска данных	TCP/UDP	риск подбора паролей; риск несанкционированного доступа к данным каталога	✗
427 SLP	Обнаружение сетевых служб и устройств в локальной сети	TCP/UDP	риск amplification-атак; риск раскрытия структуры внутренней сети	✗
445 SMB	Общий доступ к файлам в Windows-сетях через TCP/IP без NetBIOS	TCP/UDP	Риск атак на уязвимости SMB	✓
465 SMTPS	Защищенная отправка писем (SMTPS) с использованием SSL/TLS-шифрования	TCP	риск атак понижения уровня шифрования; риск сокрытия вредоносного трафика от анализа	✓
520 RIP	Обмен маршрутной информацией в небольших сетях по протоколу RIP	UDP	Риск перенаправления трафика на злоумышленника (спуфинг маршрутов)	✗
587 SMTP	Защищенная отправка писем через SMTP с использованием STARTTLS	TCP	риск рассылки спама и фишинга при слабой защите; риск подбора паролей; риск утечки данных при отключённом или слабом шифровании	✗
1900 SSDP	Обнаружение устройств и служб в локальной сети (принтеры, телевизоры, маршрутизаторы)	UDP	риск DoS-атак через перегрузку запросами; риск автоматического открытия портов на роутере	✗
3702 WS-Discovery	Динамическое обнаружение веб-сервисов в локальной сети	UDP	риск amplification-атак; риск несанкционированного доступа к устройствам	✗
11211 Memcached	Доступ к кэш-серверу Memcached для ускорения веб-приложений	TCP/UDP	риск amplification-атак; риск утечки данных при отсутствии аутентификации	✗

Разблокировать порт

Каждый запрос о разблокировке рассматривается индивидуально — мы не гарантируем положительный ответ, а также оставляем за собой право отказать в разблокировке без объяснения причин.

Порты 135, 137, 138, 139, 445

Выделенные серверы

Нельзя разблокировать порт для публичных общих IP-адресов выделенного сервера.

Можно подать запрос о разблокировке порта для выделенных подсетей выделенного сервера.

1. Создайте тикет. В тикете укажите:

   • порт, который нужно разблокировать;
   • выделенную подсеть выделенного сервера. Можно посмотреть в панели управления: в верхнем меню нажмите Продукты → Выделенные серверы → Сеть → вкладка Публичные подсети;
   • причину для разблокировки.

2. Дождитесь в тикете ответа сотрудника Servercore о разблокировке указанного вами порта.

Облачные серверы

Нельзя разблокировать порт для публичных общих IP-адресов облачного сервера.

Можно подать запрос о разблокировке порта для публичных подсетей облачного сервера.

1. Создайте тикет. В тикете укажите:

   • порт, который нужно разблокировать;
   • публичную подсеть облачного сервера. Можно посмотреть в панели управления: в верхнем меню нажмите Продукты → Облачные серверы → Сеть → вкладка Публичные подсети;
   • причину для разблокировки.

2. Дождитесь в тикете ответа сотрудника Servercore о разблокировке указанного вами порта.

Порты 25, 465, 587

Выделенные серверы

Нельзя разблокировать порт для публичных общих IP-адресов выделенного сервера в пулах TAS-2, ALM-1, NBO-1.

Можно подать запрос о разблокировке порта для:

• выделенных подсетей выделенного сервера;

• публичных общих IP-адресов выделенных серверов.

1. Создайте тикет. В тикете укажите:

   • причину разблокировки;

   • публичную выделенную подсеть выделенного сервера. Можно посмотреть в панели управления: в верхнем меню нажмите Продукты → Выделенные серверы → Сеть → вкладка Публичные подсети;

   • публичный общий IP-адрес выделенного сервера. Можно посмотреть в панели управления: в верхнем меню нажмите Продукты → Выделенные серверы → страница сервера → вкладка Сеть. IP-адреса, которые находятся в подсети /32, являются общими.

2. Дождитесь в тикете ответа сотрудника Servercore о принятом решении. Если мы приняли решение снять блокировку, мы снимем блокировку с подсетей и IP-адресов, которые вы указали на шаге 1.

3. Проверьте отправку почты через порт.

Облачные серверы

Нельзя разблокировать порт:

• для публичных подсетей облачного сервера в пулах uz-2, kz-1, ke-1;

• публичных общих IP-адресов облачного сервера. Посмотреть, является ли публичный IP-адрес общим, можно в панели управления: в верхнем меню нажмите Продукты → Облачные серверы → раздел Сети → вкладка Публичные IP-адреса и Облачные роутеры — все IP-адреса на этих вкладках являются общими.

Можно подать запрос о разблокировке порта для публичных подсетей облачного сервера.

1. Создайте тикет. В тикете укажите:

   • причину разблокировки;

   • публичную подсеть облачного сервера. Подсеть можно посмотреть в панели управления: в верхнем меню нажмите Продукты → Облачные серверы → раздел Сеть → вкладка Публичные сети.

2. Дождитесь в тикете ответа сотрудника Servercore о принятом решении. Если мы приняли решение снять блокировку, мы снимем блокировку с подсетей, которые вы указали на шаге 1.

3. Проверьте отправку почты через порт.