Référence des ports
4 min · 7 rubriques
Ce qui écoute sur chaque port, qui l’ouvre et lequel on peut toucher dans le routeur et lequel non. C’est le tableau qu’il faut avoir sous les yeux quand on configure le pare-feu, qu’on ouvre quelque chose vers internet ou qu’on cherche pourquoi un dispositif n’arrive pas au NAS.
Deux choses avant de le lire :
- Le pare-feu du NAS est géré par le panneau. Chaque service ouvre son port quand il s’allume et le ferme quand il s’éteint ; il n’y a rien à ouvrir à la main.
Panneau de configuration → Pare-feumontre ce qui est ouvert en ce moment. - Ouvrir un port dans le routeur est une autre histoire, et la plupart de ce tableau ne s’ouvre jamais. La colonne de droite le dit.
Le panneau
| Port | Ce que c’est | Dans le routeur ? |
|---|---|---|
| 5001 /tcp | Le panneau, chiffré. C’est l’adresse habituelle | Seulement avec un vrai domaine et un vrai certificat — voir Accès depuis internet |
| 5000 /tcp | Redirection en clair : elle t’envoie seulement vers le 5001 | Non |
Partager des fichiers
| Port | Ce que c’est | Dans le routeur ? |
|---|---|---|
| 445 /tcp | SMB — dossiers en réseau pour Windows et Mac | Jamais. C’est le port le plus attaqué depuis internet |
| 139 /tcp | NetBIOS, pour les vieux dispositifs | Jamais |
| 5353 /udp · 3702 /udp · 5357 /tcp | Pour que le NAS apparaisse tout seul dans « Réseau » (mDNS et WSD) | Non. Ils n’ont de sens qu’à la maison |
| 2049 /tcp · 111, 20048, 32765, 32767 /tcp+udp | NFS et ses auxiliaires (rpcbind, mountd, statd et lockd, sur des ports fixes) | Jamais |
| 8081 /tcp | WebDAV (modifiable) | Seulement à travers le proxy inverse |
| 873 /tcp | Serveur rsync : là où un autre NAS dépose ses sauvegardes | Seulement vers l’autre NAS, et de préférence par VPN |
| 22 /tcp | SSH et SFTP | Seulement si tu sais ce que tu fais ; mieux vaut le VPN |
Services de la maison
| Port | Ce que c’est | Dans le routeur ? |
|---|---|---|
| 51820 /udp | VPN WireGuard | Oui. C’est le seul qu’il faut ouvrir pour entrer depuis l’extérieur |
| 53 /tcp+udp | Serveur DNS du NAS | Jamais. Un DNS ouvert sert à attaquer les autres |
| 67 /udp | Serveur DHCP | Jamais. Il ne sort pas du réseau local, par conception |
| 631 /tcp | Imprimante en réseau | Non |
| 161 /udp | SNMP, pour le surveiller depuis un autre système | Non |
| 3260 /tcp | Disques en réseau (iSCSI) | Jamais. C’est un disque entier : ça passe par le VPN |
| 3493 /tcp | Onduleur partagé avec d’autres dispositifs de la maison | Jamais. Il donne l’état de la batterie à qui le demande |
| 9980 /tcp | L’éditeur de documents, seulement sur le dispositif lui-même | Non |
| 6881 /tcp+udp | Torrents : c’est par là que les autres te rejoignent | Oui, si tu utilises les torrents. Sans lui, ils téléchargent beaucoup plus lentement |
Caméras
Les caméras n’écoutent pas sur le NAS : c’est le NAS qui les appelle sur leur réseau. Il n’y a rien à ouvrir et surtout il ne faut pas ouvrir le port de la caméra dans le routeur — c’est la façon la plus courante de retrouver la caméra de la maison publiée dans un moteur de recherche de caméras.
Voir Caméras.
Comment vérifier
Depuis un autre dispositif du réseau :
nc -vz 192.168.1.50 5001 # le panneau répond-il ?Depuis le NAS lui-même, qui occupe chaque port :
sudo ss -tulpn | grep -E ':(445|5001|51820)\b'Et depuis le panneau, Panneau de configuration → Pare-feu montre les règles en place, et la section Tests réseau propose une vérification des ports sans quitter le navigateur.
La règle courte
Si tu as un doute sur un port, ne l’ouvre pas dans le routeur : monte le VPN et entre par là. Il donne accès à tout le réseau de la maison, ne publie rien sur internet et n’utilise qu’un seul port UDP. C’est dans Services réseau.
Voir aussi
- Accès depuis internet — la seule bonne façon de publier le panneau.
- Quand quelque chose ne marche pas — « je ne vois pas le NAS depuis Windows ».