Referência de portas

3 min · 7 seções

O que escuta em cada porta, quem a abre e qual pode ser mexida no roteador e qual não. É a tabela que você precisa ter à frente quando configura o firewall, abre algo para a internet ou procura por que um dispositivo não chega ao NAS.

Duas coisas antes de ler:

O firewall do NAS é gerenciado pelo painel. Cada serviço abre sua porta ao ligar e a fecha ao desligar; não é preciso abrir nada à mão. Painel de controle → Firewall mostra o que está aberto neste momento.
Abrir uma porta no ROTEADOR é outra coisa, e a maior parte desta tabela nunca se abre. A coluna da direita diz isso.

O painel

Porta	O que é	No roteador?
5001 /tcp	O painel, criptografado. É o endereço de sempre	Só com domínio e certificado de verdade — veja Acesso pela internet
5000 /tcp	Desvio sem criptografia: só te manda para a 5001	Não

Compartilhar arquivos

Porta	O que é	No roteador?
445 /tcp	SMB — pastas em rede para Windows e Mac	Nunca. É a porta mais atacada pela internet
139 /tcp	NetBIOS, para dispositivos antigos	Nunca
5353 /udp · 3702 /udp · 5357 /tcp	Para o NAS aparecer sozinho em “Rede” (mDNS e WSD)	Não. Só fazem sentido dentro de casa
2049 /tcp · 111, 20048, 32765, 32767 /tcp+udp	NFS e seus auxiliares (rpcbind, mountd, statd e lockd, em portas fixas)	Nunca
8081 /tcp	WebDAV (pode ser alterada)	Só através do proxy reverso
873 /tcp	Servidor rsync: onde outro NAS deixa seus backups	Só para o outro NAS, e de preferência por VPN
22 /tcp	SSH e SFTP	Só se você souber o que está fazendo; melhor a VPN

Serviços da casa

Porta	O que é	No roteador?
51820 /udp	VPN WireGuard	Sim. É a única que precisa ser aberta para entrar de fora
53 /tcp+udp	Servidor DNS do NAS	Nunca. Um DNS aberto é usado para atacar outros
67 /udp	Servidor DHCP	Nunca. Não sai da rede local, por projeto
631 /tcp	Impressora em rede	Não
161 /udp	SNMP, para monitorá-lo a partir de outro sistema	Não
3260 /tcp	Discos em rede (iSCSI)	Nunca. É um disco inteiro: vai por VPN
3493 /tcp	Nobreak compartilhado com outros dispositivos da casa	Nunca. Conta o estado da bateria a quem perguntar
9980 /tcp	O editor de documentos, só no próprio dispositivo	Não
6881 /tcp+udp	Torrents: é por aqui que os outros chegam até você	Sim, se você usa torrents. Sem ela, baixam bem mais devagar

Câmeras

As câmeras não escutam no NAS: é o NAS que chama as câmeras na rede delas. Não é preciso abrir nada e, sobretudo, não se deve abrir a porta da câmera no roteador — é o jeito mais comum de acabar com a câmera de casa publicada num buscador de câmeras.

Veja Câmeras.

Como verificar

De outro dispositivo da rede:

nc -vz 192.168.1.50 5001      # o painel responde?

No próprio NAS, quem está ocupando cada porta:

sudo ss -tulpn | grep -E ':(445|5001|51820)\b'

E no painel, Painel de controle → Firewall mostra as regras configuradas, e a seção Testes de rede traz uma verificação de portas sem sair do navegador.

A regra curta

Na dúvida sobre uma porta, não a abra no roteador: configure a VPN e entre por ela. Ela dá acesso a toda a rede de casa, não publica nada na internet e é uma única porta UDP. Está em Serviços de rede.

Veja também

Acesso pela internet — o único jeito correto de publicar o painel.
Quando algo não funciona — “não vejo o NAS pelo Windows”.