常用端口速查
搜索 70+ 个常用 TCP/UDP 端口及其说明。
您的数据永远不会离开浏览器
| 端口 | 协议 | 服务 | 说明 | |
|---|---|---|---|---|
| 80 | TCP | HTTP | Standard unencrypted web traffic. Usually redirects to HTTPS (443) on modern sites. | |
| 443 | TCP | HTTPS | HTTP over TLS/SSL. The default for secure websites and APIs. | |
| 591 | TCP | FileMaker HTTP | FileMaker Pro web publishing over HTTP (alternate for port 80). | |
| 8000 | TCP | HTTP Alt / Django | Common alternative HTTP port; default for Django and many Python dev servers. | |
| 8008 | TCP | HTTP Alt | Official IANA alternative for HTTP; used by some appliances and admin panels. | |
| 8080 | TCP | HTTP Alt / Proxy | The most common HTTP alternative — Tomcat, proxies, caching services, and dev servers. | |
| 8443 | TCP | HTTPS Alt | Alternative HTTPS port, typical for Tomcat SSL and admin consoles. | |
| 20 | TCP | FTP (Data) | FTP data transfer channel in active mode. | |
| 21 | TCP | FTP (Control) | FTP command/control channel. Plain-text credentials — prefer SFTP or FTPS. | |
| 22 | TCP | SSH / SFTP | Secure Shell for encrypted logins, tunneling, and SFTP file transfer. | |
| 69 | UDP | TFTP | Trivial File Transfer Protocol. Lightweight, no auth — used for PXE boot and device firmware. | |
| 115 | TCP | SFTP (legacy) | Simple File Transfer Protocol, an early predecessor — not the SSH-based SFTP. | |
| 873 | TCP | rsync | rsync daemon protocol for fast incremental file synchronization. | |
| 989 | TCP | FTPS (Data) | FTP data channel over TLS/SSL. | |
| 990 | TCP | FTPS (Control) | FTP control channel over TLS/SSL (implicit FTPS). | |
| 2049 | TCP/UDP | NFS | Network File System for sharing directories between Unix/Linux systems. | |
| 25 | TCP | SMTP | Server-to-server email relay. Often blocked for outbound use by ISPs and cloud hosts. | |
| 110 | TCP | POP3 | Post Office Protocol v3 — downloads mail to one device, usually deleting it from the server. | |
| 143 | TCP | IMAP | Internet Message Access Protocol — mail stays on the server and syncs across devices. | |
| 465 | TCP | SMTPS | SMTP over implicit TLS. Deprecated once, now re-standardized for message submission. | |
| 587 | TCP | SMTP (Submission) | Message submission with STARTTLS. The recommended port for sending mail from clients. | |
| 993 | TCP | IMAPS | IMAP over TLS/SSL. The standard for secure mailbox access. | |
| 995 | TCP | POP3S | POP3 over TLS/SSL for encrypted mail retrieval. | |
| 53 | TCP/UDP | DNS | Domain Name System. UDP for queries, TCP for zone transfers and large responses. | |
| 67 | UDP | DHCP (Server) | DHCP server side — hands out IP addresses and network configuration to clients. | |
| 68 | UDP | DHCP (Client) | DHCP client side — receives address leases and renewals from the server. | |
| 88 | TCP/UDP | Kerberos | Kerberos authentication, central to Active Directory domains. | |
| 123 | UDP | NTP | Network Time Protocol for clock synchronization across systems. | |
| 137 | TCP/UDP | NetBIOS-NS | NetBIOS name service on legacy Windows networks. | |
| 138 | UDP | NetBIOS-DGM | NetBIOS datagram service on legacy Windows networks. | |
| 139 | TCP | NetBIOS-SSN | NetBIOS session service; older SMB file sharing transport. | |
| 161 | UDP | SNMP | Simple Network Management Protocol for monitoring routers, switches, and servers. | |
| 162 | UDP | SNMP Trap | Receives asynchronous SNMP trap alerts from managed devices. | |
| 179 | TCP | BGP | Border Gateway Protocol — the routing protocol of the internet backbone. | |
| 389 | TCP/UDP | LDAP | Lightweight Directory Access Protocol for directory services like Active Directory. | |
| 445 | TCP | SMB | Server Message Block — Windows file and printer sharing (SMB direct over TCP). | |
| 514 | UDP | Syslog | Syslog for forwarding log messages to a central collector. | |
| 515 | TCP | LPD | Line Printer Daemon protocol for network printing. | |
| 631 | TCP/UDP | IPP / CUPS | Internet Printing Protocol, used by CUPS on Linux and macOS. | |
| 636 | TCP | LDAPS | LDAP over TLS/SSL for encrypted directory access. | |
| 1194 | TCP/UDP | OpenVPN | Default port for OpenVPN tunnels (usually UDP). | |
| 1723 | TCP | PPTP | Point-to-Point Tunneling Protocol VPN. Legacy and considered insecure. | |
| 5060 | TCP/UDP | SIP | Session Initiation Protocol for VoIP call setup. | |
| 5061 | TCP | SIP over TLS | Encrypted SIP signaling. | |
| 23 | TCP | Telnet | Unencrypted remote terminal. Obsolete and insecure — use SSH instead. | |
| 3389 | TCP/UDP | RDP | Remote Desktop Protocol for Windows remote administration. | |
| 5900 | TCP | VNC | Virtual Network Computing for graphical remote desktop access. | |
| 1433 | TCP | Microsoft SQL Server | Default MSSQL database engine port. | |
| 1434 | UDP | MSSQL Browser | SQL Server Browser service for resolving named instances. | |
| 1521 | TCP | Oracle DB | Oracle Database listener default port. | |
| 3306 | TCP | MySQL / MariaDB | Default port for MySQL and MariaDB servers. | |
| 5432 | TCP | PostgreSQL | Default PostgreSQL server port. | |
| 5984 | TCP | CouchDB | Apache CouchDB HTTP API. | |
| 6379 | TCP | Redis | Redis in-memory data store. Never expose to the public internet without auth. | |
| 9042 | TCP | Cassandra (CQL) | Apache Cassandra native CQL transport. | |
| 9200 | TCP | Elasticsearch | Elasticsearch REST/HTTP API. | |
| 9300 | TCP | Elasticsearch (Transport) | Elasticsearch inter-node cluster communication. | |
| 11211 | TCP/UDP | Memcached | Memcached distributed memory caching system. | |
| 27017 | TCP | MongoDB | Default MongoDB server port. | |
| 27018 | TCP | MongoDB (Shard) | MongoDB shard server default port. | |
| 1883 | TCP | MQTT | MQTT lightweight publish/subscribe messaging, common in IoT. | |
| 4222 | TCP | NATS | NATS messaging system client connections. | |
| 5672 | TCP | AMQP (RabbitMQ) | Advanced Message Queuing Protocol — default RabbitMQ port. | |
| 8883 | TCP | MQTT over TLS | Secure MQTT over TLS/SSL. | |
| 9092 | TCP | Kafka | Apache Kafka broker default port. | |
| 15672 | TCP | RabbitMQ Management | RabbitMQ web management console and HTTP API. | |
| 61613 | TCP | STOMP (ActiveMQ) | STOMP text-based messaging protocol on ActiveMQ. | |
| 2181 | TCP | Zookeeper | Apache Zookeeper coordination service client port. | |
| 2375 | TCP | Docker (unencrypted) | Docker REST API without TLS. Extremely dangerous if exposed publicly. | |
| 2376 | TCP | Docker (TLS) | Docker REST API over TLS — the secure way to expose the Docker daemon. | |
| 3000 | TCP | Dev Server | Default for many dev servers: React (create-react-app), Rails, Grafana, Express demos. | |
| 5000 | TCP | Dev Server | Default for Flask and many Python/Node dev servers (also Docker Registry, UPnP on some systems). | |
| 5601 | TCP | Kibana | Kibana web UI for visualizing Elasticsearch data. | |
| 6443 | TCP | Kubernetes API | Kubernetes API server default port. | |
| 8081 | TCP | HTTP Alt | Common secondary admin/proxy port; React Native Metro runs on 8081 by default. | |
| 8500 | TCP | Consul | HashiCorp Consul HTTP API and web UI. | |
| 9000 | TCP | PHP-FPM / SonarQube | Used by PHP-FPM, SonarQube, Portainer, and many admin panels. | |
| 10250 | TCP | Kubelet API | Kubernetes kubelet HTTPS API on each node. | |
| 1080 | TCP | SOCKS Proxy | SOCKS proxy protocol, widely used for tunneling traffic. | |
| 3128 | TCP | Squid Proxy | Squid caching web proxy default port. |
未找到端口。
端口速查是一份可搜索、按分类筛选的 TCP/UDP 端口目录，收录你日常真正会遇到的端口——Web 与邮件标准、数据库、消息队列、开发服务器和基础设施服务。不必再翻论坛帖子去回忆 Elasticsearch 到底是 9200 还是 9300，几秒钟就能查到。它面向的是编写防火墙规则的开发者、阅读连接日志的运维工程师，以及任何想审计机器上有什么在监听的人。
搜索与筛选
工具提供两种方式从大约八十条条目中缩小范围。搜索框接受端口号（443）、服务名（redis）或描述里的词（proxy）。数字查询先做精确匹配，若无精确结果就退回前缀匹配，因此 80 会连同 80 端口本身一起带出 8000、8008、8080 和 8443。文本查询不区分大小写，会同时匹配服务名和描述。
搜索框下方是分类标签，用来一次只显示一个门类：Web、文件传输、邮件、网络、远程访问、数据库、消息队列和开发工具。每行显示端口号、协议、服务名和一行说明，并带一个复制号码的按钮。所有内容都是本地静态数据集，结果即时出现，不发起任何网络请求。
三个端口区间
端口号从 0 到 65535，被 IANA 划分为三段。0–1023 是分配给核心协议的知名端口——22 SSH、25 SMTP、53 DNS、80 HTTP、443 HTTPS。1024–49151 是注册端口，应用服务多在此段，例如 MySQL 的 3306、PostgreSQL 的 5432、Redis 的 6379、MongoDB 的 27017。49152–65535 是动态/临时端口，操作系统把它们临时分配给每条出站连接的客户端一侧。
区间本身并不能说明一个服务是否安全。注册端口上的数据库，如果没有鉴权又绑定在公网接口上，其暴露程度和知名端口上的服务没有区别。
实操查询示例
| 你搜索 | 返回结果 | 为什么重要 |
|---|---|---|
443 | HTTPS，TCP | 几乎所有安全 Web 和 API 流量的目标端口 |
22 | SSH / SFTP，TCP | 加密远程登录与文件传输共用此端口 |
5432 | PostgreSQL，TCP | 连接串和 Docker Compose 文件里的默认值 |
9200 | Elasticsearch REST，TCP | 在云主机上常被误开放，应当用防火墙隔离 |
5000 | 开发服务器，TCP | Flask 和许多 Node 开发服务器；某些系统上还是 Docker Registry 和 UPnP |
netstat 风格的 LISTEN 审计 | 数据库与开发工具分类 | 暴露你本不打算对外开放的服务 |
有两个条目挨得很近，容易让人混淆：Elasticsearch 的 REST API 是 9200，内部集群传输是 9300；MongoDB 服务器是 27017，而分片服务器默认是 27018。
开发工具在低四位数区间频繁撞车。React 的 create-react-app 和 Express 示例默认用 3000，Flask 和许多 Python 服务器用 5000，Django 用 8000，Tomcat 用 8080，React Native 的 Metro 打包器用 8081。两个项目抢占同一个端口时，第二个会以 EADDRINUSE 报错——解决方法是覆盖框架的 PORT 设置，而不是停掉服务。搜索开发分类，是快速判断 lsof -i 输出中某个端口归属哪个工具的办法。
绝不应对外暴露的端口
有些默认端口一旦面对互联网就很危险。Redis（6379）、MongoDB（27017）、Elasticsearch（9200）和 Memcached（11211）常常不带鉴权就上线，曾是许多大规模数据泄露的幕后推手。更糟的是 Docker 在 2375 上的未加密 API——它等于把主机的 root 控制权交出去。Telnet（23）以明文传输凭据，老旧的 PPTP（1723）使用了已被攻破的加密。
安全的做法是把这些服务绑定到 127.0.0.1、放进私有子网，或要求通过 VPN/SSH 隧道访问，其余一律用防火墙拦掉。端口速查能告诉你一个服务用哪个号码，但它并不会让这个服务变得可以安全地公开。
TCP 与 UDP 及双协议服务
每个条目都会标明协议。DNS（53）、LDAP（389）、NFS（2049）、SIP（5060）、与 SMB 相关的 NetBIOS 服务以及 NTP（123）都按真实传输协议标出，其中不少是双协议。UDP 适合小而可重试的请求-响应流量，TCP 承载一切需要有序、可靠投递的内容。SNMP 分成 161 用于轮询、162 用于 trap，二者都是 UDP。当防火墙规则不生效时，协议不匹配——服务说的是 UDP，你却放行了 TCP——是首先要检查的问题之一。
常见错误
- 按描述而不是号码开放端口。 云安全组只认数字，先把服务名换算成端口号。
- 把临时客户端端口当成监听服务。 大的源端口是客户端一侧，不是服务。
- 为了调试”临时”留着数据库端口。 自动化扫描器几分钟内就能找到它。
- 把 587 和 25 混为一谈。 587 是客户端提交，25 是服务器之间中继，常被封禁。
- 忘了 Docker 默认把端口发布在
0.0.0.0上。 一条-p 3306:3306映射就可能把 MySQL 暴露到本机之外，除非绑定到127.0.0.1。
相关工具
常见问题
为什么有些服务会在同一个端口号上同时使用 TCP 和 UDP？
端口号和传输协议属于两套独立的名字空间，所以 53 端口既可以用 UDP 承载快速的 DNS 查询，也可以用 TCP 承载区域传送和大响应。389（LDAP）和 2049（NFS）也是同样的双协议情况。配置防火墙时，先确认该服务只需要其中一种协议，还是两种都要放行。
为什么搜索 80 会连带显示 8000、8080 和 8443？
搜索会先尝试端口号的精确匹配。如果没有条目正好等于这个数字，就退回到前缀匹配，于是 80 会返回所有以 80 开头的端口。想只得到一个结果，就输入完整号码；想查看相关服务，可以改用 http 这样的关键词。
反向代理后面的 Web 应用该开放哪个端口？
只把 443 暴露到公网，把上游应用留在 3000 或 8080 这样的内部端口上。代理在 443 上终止 TLS，内部用明文 HTTP 转发。若直接开放应用端口，就会绕过代理的 TLS、限流和访问控制。
为什么 25 端口经常被 ISP 和云服务商封禁？
25 用于服务器之间的邮件中继，长期被垃圾邮件滥用。许多家用 ISP 和云主机封禁出站 25，以阻止被入侵的机器直接外发垃圾邮件。应用提交邮件应改用带 STARTTLS 的 587 端口。
什么是临时端口？为什么服务器日志里会有很高的客户端端口号？
客户端建立连接时，操作系统会从动态范围（通常是 49152 到 65535）临时分配一个源端口。日志里那些大号端口是连接的客户端一侧，并不是客户端正在监听的服务。真正标识服务的是目标端口。
怎么判断表里某个端口是 TCP 还是 UDP？
协议列会为每个条目标出 TCP、UDP 或 TCP/UDP。一般规律是：请求-响应型服务倾向用 UDP，面向连接或要求可靠传输的用 TCP，但表格本身才是准的。命令行里，ss -tlnp 列出 TCP 监听，ss -ulnp 列出 UDP 监听。
由 HandyTools Hub 团队审校 · 最后更新