Netzwerk / Bekannte, registrierte und dynamische Portbereiche
Netzwerkports werden von 0 bis 65535 nummeriert. Die IANA unterscheidet bekannte Ports (0–1023), registrierte Ports (1024–49151) und dynamische beziehungsweise private Ports (49152–65535). Diese Bereiche beschreiben die Nummernvergabe. Eine Portnummer allein identifiziert weder das kommunizierende Programm noch den Verkehr, den eine Firewall zulassen sollte.
Die drei Portnummernbereiche
Die Internet Assigned Numbers Authority (IANA) verwaltet Dienstnamen und Portnummern je Transportprotokoll. Die Bereichsdefinitionen aus RFC 6335 lauten wie folgt.
| Kategorie | Portnummern | Bedeutung |
|---|---|---|
| Bekannte Ports System / Well-Known Ports |
0~1023 | Dienstnummern nach den strengeren IANA-Verfahren für Systemports |
| Registrierte Ports User / Registered Ports |
1024~49151 | Bereich für von IANA registrierte und zugewiesene Dienstnummern |
| Dynamische oder private Ports Dynamic / Private Ports |
49152~65535 | Lokale und dynamische Nutzung; keine IANA-Zuweisung als Dienstkennung |
Nicht jede Nummer im registrierten Bereich ist tatsächlich registriert. Unterscheiden Sie zugewiesene, nicht zugewiesene und reservierte Nummern. Die 0 gehört zwar zum Zahlenraum, ist im IANA-Register aber für TCP und UDP reserviert und kein Beispiel für einen gewöhnlichen Dienstport.
Warum Portnummer und TCP oder UDP zusammengehören
Eine IP-Adresse bezeichnet eine Quell- oder Zieladresse; der Port unterscheidet dort den Dienst oder Socket für die Kommunikation. TCP (Transmission Control Protocol) und UDP (User Datagram Protocol) haben getrennte Portnummernräume. TCP 53 und UDP 53 müssen trotz identischer Zahl getrennt betrachtet werden.
Typische Beispiele sind HTTP auf TCP 80, HTTPS auf TCP 443 und SSH (Secure Shell) auf TCP 22. DNS (Domain Name System) verwendet Port 53 mit TCP und UDP. Im registrierten Bereich liegen etwa MySQL auf TCP 3306 und Remotedesktop auf TCP 3389. Das sind typische Nutzungen, keine vollständige Liste registrierter Transportprotokolle und kein Ersatz für die tatsächliche Konfiguration.
Ein Server kann auf einer anderen Nummer lauschen, und ein anderes Programm kann eine bekannte Nummer nutzen. Ein offener TCP 3306 beweist weder MySQL noch sicheren Datenverkehr. Auch die IANA betont, dass eine Registrierung keine Produktempfehlung ist und nicht garantiert, dass der Verkehr zum zugewiesenen Dienst gehört.
Serverports und kurzlebige Clientports
Verbindet sich ein Client mit TCP 443 eines Servers, verwenden nicht zwangsläufig beide Seiten 443. Das folgende hypothetische Beispiel nutzt Quellport 51514. Die tatsächliche Nummer hängt von Betriebssystem und Verbindung ab.
TCP: client:51514 -> server:443
TCP: server:443 -> client:51514Die 443 des Servers ist der Zielport des Dienstes; die 51514 des Clients ist sein lokaler kurzlebiger Port. Bei der Antwort tauschen Quelle und Ziel die Rollen. Eine TCP-Verbindung wird durch Protokoll und beide IP-Adress-/Portpaare unterschieden. Ein Port bedeutet deshalb nicht nur eine Verbindung.
„Privat“ bedeutet hier weder private IP-Adresse noch automatische Sperre externer Zugriffe. Eine Nummer in diesem Bereich ist auch nicht immer frei. Ändert ein Gerät oder eine zwischengeschaltete Netzwerkadressübersetzung (NAT, Network Address Translation) Adressen oder Ports, können die sichtbaren Verbindungsdaten je Beobachtungspunkt abweichen.
Den tatsächlichen kurzlebigen Portbereich abfragen
Unterscheiden Sie den dynamischen IANA-Bereich vom automatisch verwendeten Betriebssystembereich. Die Microsoft-Dokumentation zu dynamischen Ports nennt seit Windows Vista und Server 2008 den Standard 49152–65535. Die aktuelle Gerätekonfiguration sollte jedoch direkt abgefragt werden.
Führen Sie unter Windows diese Abfragen in PowerShell oder der Eingabeaufforderung aus. Prüfen Sie IPv4, IPv6, TCP und UDP jeweils getrennt. Die Befehle ändern keine Einstellungen.
netsh int ipv4 show dynamicport tcp
netsh int ipv4 show dynamicport udp
netsh int ipv6 show dynamicport tcp
netsh int ipv6 show dynamicport udpLesen Sie Startport und Anzahl der Ports ab. Bei Start 49152 und Anzahl 16384 ist der letzte Port 49152 + 16384 - 1 = 65535. Verwechseln Sie die Anzahl nicht mit der letzten Nummer. Das Ergebnis beschreibt den automatischen Auswahlbereich, nicht die aktuelle Verfügbarkeit jeder Nummer.
Unter Linux lässt sich der lokale Bereich mit der folgenden Datei prüfen. Führen Sie die Abfrage in der Linux-Umgebung aus, die tatsächlich kommuniziert.
cat /proc/sys/net/ipv4/ip_local_port_rangeDie beiden Ganzzahlen sind erste und letzte Portnummer. Die Linux-Kerneldokumentation zu ip_local_port_range nennt die Standardwerte 32768 und 60999; Distribution und Umgebung können abweichen. Auch reservierte Ports beeinflussen die automatische Zuweisung, sodass nicht zwangsläufig jede Nummer auswählbar ist.
Prüfschritte bei Verbindungsproblemen und Firewallregeln
- Ziel und Protokoll bestimmen. Klären Sie Server-IP, TCP oder UDP und Zielport. Gleichen Sie den IANA-Eintrag mit der tatsächlichen Dienstkonfiguration ab.
- Den lauschenden Endpunkt prüfen. Eine laufende Anwendung kann einen anderen Port oder nur eine lokale Adresse nutzen. Installierte Software ist nicht gleichbedeutend mit einem Dienst auf gewünschter Adresse und Port.
- Den Kommunikationsweg untersuchen. Prüfen Sie Host- und Netzwerkfirewalls, Cloudregeln, Portweiterleitung und NAT. Legen Sie Richtung, Quelle und Ziel fest; der bekannte kurzlebige Bereich rechtfertigt keine pauschale Freigabe des gesamten Bereichs.
- Mit der tatsächlichen Anwendung prüfen. Eine erfolgreiche TCP-Verbindung beweist weder Anmeldung noch Anwendungsfunktion. Übertragen Sie TCP-Testergebnisse nicht auf UDP; verwenden Sie eine dienstgerechte Prüfung.
