Référence des ports courants avec rôle, protocole et contexte de diagnostic ; un port connu n’implique jamais qu’il doive être exposé sur Internet.
Infrastructure de base
- 22/TCP — SSH / SFTPAdministration distante Unix/Linux ; préférez clés et filtrage réseau.
- 53/TCP+UDP — DNSUDP courant, TCP pour réponses volumineuses, transferts et autres cas.
- 67/68 UDP — DHCPv4 serveur/clientBroadcast/relay selon architecture.
- 123/UDP — NTPCritique pour Kerberos, logs et corrélation temporelle.
Supervision & annuaire
- 161/162 UDP — SNMP / trapsPrivilégiez SNMPv3 quand possible.
- 389/TCP+UDP — LDAPActive Directory utilise aussi d’autres ports RPC/Kerberos/DNS.
- 636/TCP — LDAPSLDAP sur TLS ; contrôlez certificat et chaîne de confiance.
- 3268/3269 TCP — Global Catalog / GC SSLUtilisé dans les forêts Active Directory multi-domaines.
Web & administration
- 80/TCP — HTTPSouvent redirigé vers HTTPS, mais peut rester nécessaire pour certains challenges/services.
- 443/TCP — HTTPSPort applicatif majeur ; inspectez TLS/SNI/Host en plus du TCP.
- 5985/TCP — WinRM HTTPAdministration PowerShell distante en environnement Windows.
- 5986/TCP — WinRM HTTPSWinRM avec TLS ; nécessite configuration et certificat cohérents.
Messagerie
- 25/TCP — SMTP MTA à MTATransport serveur à serveur.
- 465/TCP — Submission TLS impliciteSelon fournisseur/service.
- 587/TCP — SMTP SubmissionPort courant des clients/applications authentifiés.
- 993/995 TCP — IMAPS / POP3SAccès boîte aux lettres, distinct de l’envoi SMTP.
Windows & Active Directory
- 88/TCP+UDP — KerberosAuthentification AD ; dépend aussi fortement de DNS et NTP.
- 135/TCP — RPC Endpoint MapperRPC utilise ensuite des ports dynamiques selon OS/configuration.
- 445/TCP — SMB / SYSVOL / partagesTrès sensible à l’exposition Internet.
- 49152-65535/TCP — RPC dynamique Windows modernePlage par défaut moderne, modifiable ; à traiter selon architecture.
Bases de données
- 1433/TCP — Microsoft SQL ServerPort par défaut instance classique ; instances nommées peuvent différer.
- 3306/TCP — MySQL / MariaDBNe pas exposer publiquement sans justification forte et contrôles.
- 5432/TCP — PostgreSQLAccès DB à filtrer par source et authentification.
- 6379/TCP — RedisUne exposition non protégée est particulièrement risquée.
VPN, VoIP & virtualisation
- 500/UDP — IKE / IPsecNégociation IKE.
- 4500/UDP — IPsec NAT-TUtilisé lorsque NAT est détecté.
- 5060/5061 — SIP / SIP TLSLe port ne couvre pas le média RTP, dont la plage dépend du système.
- 443/902 TCP — VMware vSphere/ESXi — usages courantsLes besoins exacts dépendent des composants et du sens des flux.
Tester sans ouvrir inutilement
- PowerShell — Test-NetConnection serveur -Port 443Teste la connexion TCP depuis le point de vue du client.
- Linux nc — nc -vz serveur 443Teste un port TCP si netcat est installé.
- Écoutes Windows — Get-NetTCPConnection -State ListenConfirme qu’un service local écoute réellement.
- Écoutes Linux — ss -lntupAssocie port et processus lorsque les droits le permettent.
À retenir
- Un port standard ne prouve pas le service réellement présent derrière.
- Ne désactivez pas un pare-feu globalement pour tester un port : créez un test ciblé et temporaire.
- Pour Active Directory, raisonnez en ensemble de flux et pas uniquement en 389/636.
- Pour SIP/RTP, VPN et produits éditeurs, consultez la matrice de ports correspondant à la version déployée.