M03-04 · Open、Closed、Filtered 狀態

CEH M03-04｜Open、Closed、Filtered：把連接埠狀態讀成有依據的判斷

一句話結論：連接埠狀態是「從這個位置、用這種方法、在這次測試中，得到什麼回應」的判讀；把狀態和回應證據一起記下來，就能選對後續查核方向。

上一單元認識了 TCP Connect、SYN 與 UDP 三種掃描方式。今天把焦點放在讀懂結果：同樣看到 open、closed 或 filtered，我們要如何理解、記錄，並用它驗收自己的服務與防火牆設定？

1｜從辦公大樓的分機開始理解

想像你打電話到一棟辦公大樓：

- 有人接起指定分機：這條聯絡路徑上，有人正在提供服務。

- 總機明確說這個分機目前沒人接聽：你收到了一個具體的拒絕回覆。

- 總機依規定擋下外部來電：你看見的是聯絡政策的效果，下一步可以向管理者核對開放條件。

電腦裡的 Port（連接埠），可以先想成讓網路程式接收通訊的分機號碼。IP Address（IP 位址）協助封包找到網路端點；傳輸協定與連接埠則進一步區分通訊方式及服務入口。

例如「192.0.2.20 的 TCP 443」和「192.0.2.20 的 UDP 443」是兩個分別查核的入口。TCP 是 Transmission Control Protocol，傳輸控制協定；UDP 是 User Datagram Protocol，使用者資料包協定。

本課使用的位址與情境都是合成教材。實作範圍沿用自己的隔離實驗環境及事先核准的設備。

2｜先把三個核心狀態分清楚

Nmap 是網路探索與安全稽核工具。它會根據探測方式和回應，把連接埠分類；本課主要掌握以下三種：

這裡的重點是觀察視角。同一個管理入口，可以讓管理網段連線，並讓其他網段的探測被過濾。兩份結果可以同時正確：它們分別描述各自的存取條件。Nmap：連接埠狀態

將結果寫成「從管理網段測得 TCP 443 open」，會比只寫「443 開著」更容易讓其他人重現與確認。

整張圖依欄位寬度等比縮放，不裁切。小螢幕的圖中文字也會變小，可開啟原圖放大，或閱讀下方會自動換行的文字解說。

讀圖重點

三種分類與觀察條件並列，沒有流程箭頭。

並列卡片比較不同類別；排列順序沒有流程意涵。

1. open｜開放

   服務接受相應通訊

   接著查用途、版本與保護設定

2. closed｜關閉

   明確回覆，工具判為無服務接聽

   接著查程式啟動與綁定位置

3. filtered｜受到過濾

   探測呈現過濾情況

   接著查路徑、規則與日誌

4. 共同條件｜保留觀察視角

   來源位置＋方法＋時間

   同一入口可有不同存取條件

狀態配上證據，下一步就清楚。

開啟原尺寸 SVG下載 SVG 圖檔

3｜TCP SYN 掃描：用回應讀懂三種狀態

SYN 是 TCP 用來發起連線的旗標；ACK 表示確認；RST 是重設連線的旗標。旗標就是封包裡用來表示控制意思的欄位。

對一般的 TCP SYN 掃描，可以用下面這張表讀取常見結果：

ICMP 是 Internet Control Message Protocol，網際網路控制訊息協定，用來傳遞網路錯誤等控制資訊。例如「管理政策禁止通訊」這類 ICMP 回覆，就能協助解釋路徑上的限制。

Nmap 的 SYN 掃描會把收到的訊息對應到狀態；重試與等待是判讀流程的一部分。因此，記錄結果時也要保留採用的掃描方法。Nmap：TCP SYN 掃描

補充一個好用的讀法：把「收到 RST」放在觀察欄，把「Nmap 分類為 closed」放在判讀欄，再到設備端查服務接聽狀態。如此可以把網路回應和設備設定接起來。

TCP 的 RST 有其協定處理規則，實際網路設備也可能依政策產生回應；查核回應來源、主機與防火牆紀錄，可以進一步確認原因。TCP 規範：RFC 9293

整張圖依欄位寬度等比縮放，不裁切。小螢幕的圖中文字也會變小，可開啟原圖放大，或閱讀下方會自動換行的文字解說。

讀圖重點

SYN掃描三種常見回應與紀錄方式的並列比較。

並列卡片比較不同類別；排列順序沒有流程意涵。

1. 收到 SYN／ACK → open

   對方回應連線請求

   查核服務與允許來源

2. 收到 RST → closed

   觀察欄記下重設回應

   到設備端核對接聽設定

3. 重試無回應／特定 ICMP → filtered

   保留等待與重試條件

   查核政策與路徑紀錄

4. 每筆都記｜方法與回應

   方法：TCP SYN 掃描

   觀察、工具分類、設備證據分開

這是同一方法下的結果比較。

開啟原尺寸 SVG下載 SVG 圖檔

4｜UDP 的沉默，要保留兩個可能方向

UDP 以資料包傳送訊息，沒有 TCP 那套建立連線的三向交握。應用程式收到資料後，可能回覆，也可能只處理符合自己格式的請求。

因此，讀 UDP 掃描時，特別要認識 open|filtered。中間的「|」在這裡表示兩種候選狀態：開放，或受到過濾。

例如一個 UDP 服務只處理特定格式的資料，你送去的探測資料若不符合格式，就可能保持沉默；防火牆丟棄探測也可能得到相同表面結果。工具保留兩個候選，正好提醒我們補上哪一類證據。Nmap：UDP 掃描

先看掃描方法，再看回應，最後讀狀態。這個順序能幫助你理解：TCP SYN 的逾時常被分類為 filtered，UDP 的逾時則常被分類為 open|filtered。

整張圖依欄位寬度等比縮放，不裁切。小螢幕的圖中文字也會變小，可開啟原圖放大，或閱讀下方會自動換行的文字解說。

讀圖重點

UDP回應與四個候選分類並列，沉默保留兩種可能。

並列卡片比較不同類別；排列順序沒有流程意涵。

1. 相應 UDP 回覆 → open

   有可核對的回覆內容

   查核服務設定

2. IPv4 ICMP Type 3／Code 3 → closed

   連接埠無法到達

   查核該入口的接聽程式

3. 其他符合條件的 ICMP → filtered

   依訊息判讀過濾情況

   查核路徑與政策

4. 重試後無回應 → open|filtered

   開放或過濾，保留兩個方向

   比對服務格式、服務與防火牆日誌

先看方法，再看回應，最後讀狀態。

開啟原尺寸 SVG下載 SVG 圖檔

5｜另外兩個標籤：知道它在回答哪個問題

除了前三種與 open|filtered，Nmap 還有兩個狀態：

- unfiltered：未受該探測所見的過濾。這是 ACK 掃描常用的分類，用來描述該探測可得到回應；服務開放與否需要再用適合的方法查核。

- closed|filtered：關閉或受到過濾。這是特定 IP ID 閒置掃描使用的分類，本單元先記住它同樣是在保留候選狀態。

ACK 掃描關心過濾規則的行為；SYN 掃描則可協助區分開放、關閉與過濾。兩者是在問不同問題，所以要搭配方法閱讀結果。Nmap：掃描方式與分類

記憶法：open 看服務接受通訊，closed 看明確拒絕回應，filtered 看過濾判讀；帶「|」的標籤保留兩個查核方向。

6｜讀一次完整的合成案例

假設你受託驗收實驗室的一台測試伺服器。事前核准只檢查 TCP 443、TCP 8443 與 UDP 53，並安排兩個觀察位置：管理網段與一般測試網段。

以下是教材用的整理結果：

接著按任務目的整理：

第一，TCP 443 的兩個觀察位置呈現不同結果。若原先需求是「只讓管理網段使用」，這是可以進一步驗收的線索。管理者可以對照允許與拒絕規則，以及測試時間附近的日誌。

第二，TCP 8443 得到 closed。若服務原本應該開在這裡，就查程式是否啟動、是否接聽這個連接埠，以及是否只綁定在特定介面；若原本就沒有安排這個服務，則把結果與資產清單對照即可。

第三，UDP 53 留在 open|filtered。DNS 是 Domain Name System，網域名稱系統。若這台設備原本應提供 DNS，就使用經核准、符合服務格式的查詢，並對照 DNS 與防火牆紀錄，讓下一步證據回答剩下的問題。

這份案例的收穫是：狀態不是評語，而是查核工作的路標。每個結果都能對應一個清楚的下一步。

7｜把掃描報告寫成別人能重現的紀錄

一筆有用的紀錄，至少包含：

1. 目標與授權範圍：設備、IP、傳輸協定、連接埠與核准用途。

2. 觀察條件：來源網段、時間與時區、掃描方式、工具版本及重要設定。

3. 結果與理由：工具顯示的狀態，以及相應封包或錯誤回覆。

4. 交叉證據：服務接聽設定、應用程式日誌、防火牆規則及日誌。

5. 後續處理：預期與實際的差異、負責人、核准的重測安排。

Nmap 的 `--reason` 選項會顯示狀態判定理由，可協助留下「為什麼被分成這類」的紀錄；保存原始輸出也方便前後比較。Nmap：輸出與判定理由

例如可以寫：

「本次從管理測試網段，以 TCP SYN 探測測試主機的 443 埠，收到 SYN／ACK，工具分類為 open。下一步依變更單核對服務設定與允許來源，並保存同時段防火牆日誌。」

這種寫法把觀察、判讀與行動分開，閱讀者很容易知道查到哪裡。

整張圖依欄位寬度等比縮放，不裁切。小螢幕的圖中文字也會變小，可開啟原圖放大，或閱讀下方會自動換行的文字解說。

讀圖重點

從測試條件到觀察判讀、交叉查核與核准下一步。

箭頭表示教學步驟順序；各步依其條件執行。

1. 1｜記錄測試條件

   目標、授權範圍、來源網段

   時間時區、方法、版本與設定

   ↓

2. 2｜分開觀察與判讀

   保存回應與原始輸出

   記錄工具狀態與 --reason 理由

   ↓

3. 3｜交叉核對設計

   服務接聽設定與應用程式日誌

   防火牆規則與同時段紀錄

   ↓

4. 4｜安排下一步

   預期與實際差異、負責人

   依核准範圍安排重測

每一步都留下可追溯的證據。

開啟原尺寸 SVG下載 SVG 圖檔

8｜防護怎麼做，驗收就怎麼看

從防護角度，可以把檢查分成三層：

- 服務層：每個開放入口都有業務用途、維護人與更新安排；停用不需要的服務。

- 存取層：依必要來源與用途設定規則；管理入口限定管理網段或核准管道。

- 驗收層：從允許與限制的觀察位置分別測試，對照服務設定與日誌，再確認結果符合設計。

例如同樣是 open，公開網站的服務入口與只供管理者使用的入口，原本就有不同的政策目標。是否符合需求，要將結果放回資產用途與存取政策一起判斷。

本課的練習是讀取合成輸出與設計查核紀錄；實際探測依授權範圍、核准速率與維護安排進行。

9｜小檢核：把狀態翻成下一步

先試著用自己的話回答：

1. 同一個 TCP 443，從管理網段測得 open，從其他網段測得 filtered。你會如何解釋這兩個結果，並補哪兩類證據？

2. TCP SYN 探測收到 RST，與 UDP 探測重試後沒有回覆，分別通常對應哪個狀態？

3. ACK 掃描顯示 unfiltered 時，下一步要怎麼確認服務是否開放？

4. 一份報告只寫「UDP 53 open|filtered」。請補出至少四項資訊，讓管理者能接續查核。

今天帶走的核心：把「觀察位置＋掃描方法＋回應證據＋狀態＋下一步」串在一起，掃描結果就會成為可以驗收與協作的紀錄。

下一單元 M03-05 接著學習服務版本與橫幅資訊，進一步理解開放入口背後提供的是什麼服務。

參考解答：1. 同一入口、不同位置

兩份結果分別描述不同來源的存取條件：管理網段的 SYN 探測收到服務接受連線的回應，其他網段的探測呈現過濾情況。若政策原本只允許管理網段，這是可繼續驗收的線索。補上兩類證據：一、服務接聽與綁定設定；二、防火牆允許／拒絕規則與同時段日誌。一起核對來源、時間及方法，就能確認結果是否符合設計。

參考解答：2. RST 與 UDP 沉默

TCP SYN 探測收到 RST，通常分類為 **closed**。UDP 探測重試後仍沒有回應，通常分類為 **open|filtered**：服務可能只回覆符合格式的資料，路徑上的過濾也可能造成沉默。保留原始回應與測試條件，再依服務與防火牆紀錄查核。

參考解答：3. unfiltered 的下一步

ACK 掃描的 unfiltered 表示該探測可得到回應，重點是過濾行為。接著在核准範圍內使用 TCP SYN 或 Connect 等適合的方法，觀察服務是否接受連線，並對照設備端的接聽設定；若要確認應用程式用途，再做核准的應用層查核。

參考解答：4. 補齊查核紀錄

至少補四項，例如：目標 IP 與核准用途、來源網段、時間與時區、UDP 掃描方式與工具版本、等待／重試設定、探測資料格式、無回應的原始輸出與判定理由、服務接聽與 DNS 日誌、防火牆規則與日誌。保留 UDP 53 的傳輸協定和埠號，並列出下一步核准的服務格式查詢及負責人，讓其他人可以重現並接續處理。