Web 默认明文端口，浏览器输入域名不带 :端口 时使用。生产环境普遍 301 重定向到 443。
Web 默认明文端口，浏览器输入域名不带 :端口 时使用。生产环境普遍 301 重定向到 443。
TLS 加密的 HTTP，现代 Web 标准。HTTP/2 默认走 TCP/443，HTTP/3 走 UDP/443。
QUIC 走 UDP，承载 HTTP/3。同一域名 TCP/443 + UDP/443 都开放，Alt-Svc 头通告。
Tomcat / 各类 Web App 服务器 / 反代后端的事实标准默认端口，非特权进程可绑定。
8080 的 TLS 版本，Tomcat / Jenkins / 各类管理面板的默认 TLS 端口。
Python http.server、Django runserver、各类前端 dev server 默认端口。
Node.js / Express / Next.js / React dev server 习惯端口。Grafana 也默认监听这个端口。
Vite 默认 dev server 端口，对应 Vue/React/Svelte 现代项目脚手架。
Astro 框架 dev server 默认端口。
SOCKS4/5 代理事实标准端口。Shadowsocks / V2Ray 客户端本地代理常用。
Squid 缓存代理默认端口，企业出口代理常见。
Charles / Fiddler / 各类抓包代理常用端口。Jupyter Notebook 也默认监听这个。
Clash / Mihomo 混合（HTTP+SOCKS）代理默认端口。
MTA 之间转发邮件的标准端口。多数 ISP / 云厂商默认封禁出方向 25 防垃圾邮件，发邮件须用 587。
客户端到 MTA 提交邮件的端口，需 SMTP AUTH。STARTTLS 升级为 TLS 加密。
直接走 TLS 的邮件提交端口（曾被废弃后又复活，RFC 8314 推荐）。
客户端从服务端"取走"邮件的明文端口。现代邮件服务很少再开。
TLS 加密的 POP3。
客户端在线读取邮件，邮件保留在服务端。明文端口。
TLS 加密的 IMAP，现代邮件客户端默认。
SSH 登录、scp、SFTP 文件传输、git over ssh 都走这个端口。生产建议改非默认端口降低暴力破解。
明文远程登录，包括密码都明文传输。**严重过时**，仅在嵌入式设备 / 老网络设备调试时才会出现。
Windows 远程桌面默认端口。直接暴露公网极易被暴力破解，建议改端口或走 VPN。
VNC 远程桌面默认端口（5900 + display 编号）。多数 VNC 实现明文且认证弱，须配合 SSH 隧道。
TeamViewer 客户端到中转服务器的连接端口。
AnyDesk 客户端使用的本地端口范围之一（直连模式）。
FTP 控制连接。明文协议，**已严重过时**。新项目用 SFTP（22）或对象存储。
FTP 主动模式（PORT）的数据连接。被动模式（PASV）用动态端口，不走 20。
FTP over TLS 隐式加密版本。仍然存在 NAT 穿透问题，新项目仍推荐 SFTP。
PXE 网络引导、网络设备固件加载常用，UDP 无认证。仅用于受控内网。
Windows 网上邻居 / Samba 默认端口。WannaCry / EternalBlue 利用的就是这个端口，**禁止暴露公网**。
老版 SMB（NetBIOS over TCP）端口，与 137/138 配合。新系统已统一走 445。
Windows 局域网名字解析。常被 LLMNR/mDNS 替代。
NetBIOS 浏览公告广播。
Unix 标准文件共享。NFSv4 默认端口固定 2049，无需 portmap。
macOS 旧文件共享协议，已被 SMB 取代（macOS 10.9+ 默认 SMB）。
rsync :// URL 走的端口（rsync over ssh 走 22）。镜像站常用。
MySQL 和 MariaDB 默认端口。**绝对禁止暴露公网**，配合云内网或 VPN。
MySQL 8 引入的新协议（基于 protobuf），mysqlsh 默认走这个。
PostgreSQL 默认端口。**禁止暴露公网**。
Microsoft SQL Server 默认端口。
Oracle 数据库 TNS Listener 默认端口。
MongoDB 默认端口。早年默认无认证 + 暴露公网导致大量数据泄露事件。**生产必须开启认证**。
CouchDB HTTP API 端口。
Cassandra CQL native 协议端口（cqlsh 走这个）。
Cassandra 集群内节点通信端口（明文）。7001 是 SSL 版本。
Elasticsearch / OpenSearch HTTP API。早年默认无认证导致大量公网集群被勒索。
Elasticsearch 集群内节点通信（二进制协议）。
ClickHouse HTTP 接口，走 SQL over HTTP。
ClickHouse 原生 TCP 协议，clickhouse-client 默认。SonarQube / MinIO console 也用这个端口。
AWS Redshift 默认端口（继承自 PostgreSQL 但不同号）。
Redis 默认端口。早年大量公网开放无密码实例被植入挖矿木马。**必须 requirepass + bind 内网**。
Memcached TCP 端口。UDP/11211 曾被用于反射放大 DDoS（GitHub 1.35 Tbps 事件），**强烈建议禁用 UDP**。
已被滥用作 DDoS 反射放大，新版 Memcached 默认禁用。
etcd v3 客户端 API（gRPC）。Kubernetes 控制面状态都存这里。
etcd 集群成员之间的 raft 通信。
RabbitMQ AMQP 0-9-1 协议端口。
AMQP over TLS。
RabbitMQ Web 管理 UI / HTTP API。
Kafka broker 默认端口。生产环境多走 9093（TLS）。
Kafka TLS 监听端口（约定俗成，非 IANA）。
ZooKeeper 客户端端口。Kafka 旧版本依赖（KRaft 模式后可去除）。
NATS 客户端连接端口。
NATS HTTP 监控 / 健康检查端口。
IoT 标准消息协议，明文端口。物联网设备常用。
MQTT TLS 加密端口。云厂商 IoT 平台默认入口。
Apache ActiveMQ OpenWire 协议端口。
Temporal workflow 服务 gRPC 端口。
IP 摄像头 / NVR / VLC 推拉流标准协议。
直播推流事实标准（OBS、各大直播平台）。Adobe 已宣布弃用，但生态仍广泛使用。
VoIP 信令端口（明文），UDP 优先 TCP 兜底。
SIP over TLS。
WebRTC NAT 穿透协议，UDP/TCP 都开。配合 5349（TLS）。
STUN/TURN over (D)TLS，TCP+UDP 都开。
WebRTC SRTP 媒体流通常使用 16384–32767 这一段。
域名解析。UDP 优先（< 512 字节），TCP 用于大响应、DNSSEC、AXFR。
加密 DNS（TCP）。Android 9+ 默认支持。
DNS over QUIC，DoT 的 UDP 版本。
Bonjour / Avahi 局域网设备发现。.local 域名走这里。
Windows 局域网名称解析，逐渐被 mDNS 取代。
UPnP 设备发现。曾被用于 DDoS 反射放大，路由器应禁用 WAN 侧。
DHCP 服务端监听端口。
DHCP 客户端监听端口（接收服务端响应）。
校时协议。UDP 单包，对延迟敏感。
IKEv2 / IPsec VPN 在 NAT 后面时使用的端口。
IPsec 密钥交换协议。
OpenVPN 默认 UDP 端口（也支持 TCP/443）。
WireGuard 默认 UDP 监听端口。
互联网骨干路由协议，AS 之间路由通告。
AD 域控 / OpenLDAP 明文端口。建议用 LDAPS（636）或 STARTTLS。
LDAP over TLS。
AD 域 / Hadoop 安全模式 Kerberos KDC 端口。
Kerberos 密码变更协议端口。
802.1X / VPN / WiFi 企业认证常用。
RADIUS 计费记账端口（与 1812 配套）。
思科网络设备 AAA 认证协议。
路由器 / 交换机 / 服务器监控查询。SNMPv1/v2c 默认 community = "public" 是历史性安全雷区。
设备主动推送告警到管理站。
传统系统日志收集端口。生产环境常用 6514（TLS）。
TLS 加密 syslog。
Prometheus 服务自身 / 各类 exporter 默认端口。
Alertmanager Web UI / API。注意与 Kafka TLS 端口同号。
Prometheus node_exporter 默认端口（系统指标）。
短任务推送指标的中转网关。
Zipkin Web UI / span 上报端口。
Jaeger 查询 Web UI 默认端口。
OpenTelemetry Protocol over gRPC，可观测性事实标准入口。
OTLP over HTTP/protobuf，前端 / 浏览器兼容性更好。
Fluentd / Fluent Bit forward 协议端口。
Elastic Kibana / OpenSearch Dashboards Web UI。
Docker 远程 API 明文端口。**严禁暴露公网**——等于把宿主 root 权限挂网上，被植入挖矿是分钟级。
Docker 远程 API 双向 TLS 端口。需要 CA + 客户端证书。
Docker Swarm manager 集群通信端口。
Swarm 节点间 gossip 协议（UDP+TCP）。
Docker overlay 网络 / K8s 部分 CNI（如 Flannel VXLAN 后端）使用。
kube-apiserver 默认端口。
kubelet HTTPS API（节点上的 K8s 组件）。
kubelet 只读 HTTP 端口（已废弃，但老集群仍有暴露）。
Kubernetes Flannel CNI VXLAN 后端默认端口。
HashiCorp Consul HTTP API / Web UI。
Consul 内置 DNS 接口，提供服务发现。
Vault HTTP API / UI。
Docker / OCI 私有镜像仓库默认端口。Flask dev server 也常用此端口。
git daemon 明文协议端口（git clone git://… 走的）。无认证，仅适用公共只读。
IRC 服务器明文端口。6697 是 TLS 版本。
IRC TLS 加密端口。
TCP / UDP 端口完整速查——按 12 大类（Web / 邮件 / 远程 / 文件 / 数据库 / 缓存 / 消息队列 / 流媒体 / DNS / 认证 / 监控 / DevOps）整理 130+ 常用端口。每条给端口号 + TCP/UDP 协议 + 中文名 + 释义 + RFC 链接 + 公网暴露风险标记。
| 我要做… | 看哪些端口 |
|---|---|
| 搭网站 | 80 / 443 / 8080 / 8443 |
| 远程操作 | 22 (SSH) / 3389 (RDP) / 5900 (VNC) |
| 数据库直连 | 3306 (MySQL) / 5432 (PG) / 6379 (Redis) / 27017 (Mongo) |
| 容器 / K8s | 2375/2376 (Docker) / 6443 (kube-apiserver) / 10250 (kubelet) |
| 监控 | 9090 (Prom) / 3000 (Grafana) / 4317/4318 (OTLP) |
| 邮件接发 | 25/587 (SMTP) / 993 (IMAPS) / 995 (POP3S) |
| VPN | 1194 (OpenVPN) / 51820 (WireGuard) / 500/4500 (IPsec) |
姊妹工具：HTTP 状态码 / MIME 速查、HTTP 头速查 覆盖应用层；本工具补传输层端口部分，配合排错可一站搞定。
IANA 把 65536 个端口分三段：(1) 0–1023 系统端口（Well-Known），需 root 才能 bind，由 IANA 严格分配；(2) 1024–49151 用户端口（Registered），开发者可向 IANA 申请正式登记，本表大部分中间端口都属此段；(3) 49152–65535 动态端口（Ephemeral / Private），操作系统给客户端连接随机分配。自己开服务：避开常用号（本表收录的）和 0–1023（除非你要绑 80/443），从 49152 以上挑或用 6 位以上的 8443 / 9090 / 51820 等惯例号即可。
算。TCP/53 和 UDP/53 是两套独立监听，可以由不同进程持有。本表中标 TCP+UDP 的（如 53、5060、3478）表示该协议两边都用，需要同时开放。最常见的细节坑：DNS 默认走 UDP/53，但响应超过 512 字节（DNSSEC、大记录）会自动 fallback 到 TCP/53——只放行 UDP/53 会出现"有时不通"的诡异故障。
真有。本表打 ⚠ 标记的端口都对应过历史性大事件：(1) MongoDB 27017 默认无认证 + 暴露公网 → 2017–2020 间数万实例被勒索，索要比特币；(2) Redis 6379 同上 → 大量服务器被植入挖矿木马（CONFIG SET dir + RDB 写入 ~/.ssh/authorized_keys 是经典姿势）；(3) Docker 2375 明文 API → 等于公开 root，被攻陷分钟级；(4) Memcached UDP 11211 → 2018 年 GitHub 被反射放大打到 1.35 Tbps。操作建议：所有数据库 / 中间件端口默认 bind 到内网，对外通过应用层访问；公有云直接关安全组比配 iptables 安全。
不强制，但偏离会有副作用。技术上你可以让 nginx 监听 8080 / 4443，浏览器访问 http://example.com:8080 / https://example.com:4443 也能通。但你会丢掉：(1) 不带端口的 URL 美感（https://example.com/ 这种）；(2) 某些防火墙 / 公司代理的白名单（很多企业网络只放行 80/443 出方向）；(3) HSTS preload 等浏览器预置策略的便利。实操：对外公网服务一律 80→443；需要绕开 ISP 限制的小流量服务可以用 8443，但准备好被部分用户吐槽。
只代表 TCP 三次握手成功——端口在监听、防火墙放行、对方进程接收了 SYN。不代表：(1) 服务能正确响应业务协议（telnet 80 通了，但后端可能正在崩溃返回 502）；(2) UDP 服务可达（telnet 不能测 UDP，要用 nc -u -v）；(3) 性能 / 延迟可接受。正确分层验证：tcp 通 → 协议握手通（curl / mysql / redis-cli）→ 业务逻辑通（实际发个请求看返回）。测 UDP 可达：端口扫描器（nmap -sU）经常假通假断，最准的还是直接发协议包看回应。
最常见的三个坑：(1) 容器内服务 bind 到 127.0.0.1——只有容器内能访问，docker -p 映射不到。改成 0.0.0.0 或 ::；(2) docker -p 80:80 实际是宿主 0.0.0.0 暴露——会绕过 ufw / firewalld 防火墙规则（docker 直接改 iptables FORWARD 链）。要限制可绑 127.0.0.1:80:80；(3) 云安全组未放行——容器层和操作系统层都通了，但云控制台的安全组没改。三层独立配置，缺一个都不通。
只能选其一。本表中你会看到 9000 同时是 ClickHouse Native / Flask / SonarQube；9090 同时是 Prometheus / Cortex；9093 同时是 Kafka TLS / Alertmanager。这些不是规范冲突，而是各社区习惯——一台机器上同号服务只能跑一个。运维实操：(1) 单机部署多个相关组件时，给每个改非默认端口（如 Prometheus 8090、Alertmanager 9093）；(2) 容器化时通过 -p 映射隔离，容器内仍用默认端口；(3) 文档里固定写出"我们用 X:Y"避免下个人猜测。
Linux/macOS：lsof -i :3000 或 ss -tlnp \| grep :3000（需 sudo 看到进程名）。Windows：netstat -ano \| findstr :3000，拿到 PID 后 tasklist /FI "PID eq 1234" 查进程名。杀掉：kill -9 <PID>（Linux）/ taskkill /F /PID 1234（Windows）。生产环境慎用 -9——优雅关闭信号是 SIGTERM（15），大部分服务会清理资源；-9 是 SIGKILL，进程没机会写完盘上数据。