一台电脑可能有多个网络应用程序与多台网络上的主机或服务器通信，但硬件连接接口是非常有限的，怎么办？网络技术通过通信协议的IP地址+软件端口来解决。

计算机A（pcA)与计算机机B（pcB）通信，涉及到协议（如http、IP）和端口（port，对应网络服务）的概念。

一般描述为某某主机通过某某协议在某某端口上的服务建立连接：

protocal(协议，如http，ftp):IP(pcA，如119.75.216.20):port(service，如445) ←→ IP(pcA):port(service)

为了将网络协议标准化，降低彼此依赖性，TCP/IP协议采用分层设计。

为了实现网络中设备的通信，就有了各种协议，它们规定了计算机以什么样的格式发送消息，规定了怎么确定怎么在茫茫“机”海中找到对方。

IP、UDP、TCP、HTTP都是通信协议，IP协议位于OSI的网络层，TCP、UDP位于传输层，HTTP属于应用层。IP是计算机主机在网络世界中的地址定位，主机不同的网络服务对应不同的逻辑端口（port）。

网络上传输数据的通信协议一般分为两类：

TCP（Transmission Control Protocol，传输控制协议），TCP协议面向连接（为了进行可靠通信，双方都要维持在线，server需要维护大量并发连接）；HTTP/S、POP3、IMAP、SMTP、FTP、SSH、Telnet等大家熟知的互联网协议包中的应用层协议都是基于TCP实现的。TCP设计的根本理念是在不稳定的底层网络之上通过TCP来保证数据传输的可靠性。

HTTP/S是超文本网页传输协议。

POP3一般用于邮件接收，SMTP用于邮件发送。FTP用于文件传输，Telnet用于远程登录。

SSH 为 Secure Shell的缩写，是建立在应用层基础上的安全协议。

IMAP全称是Internet Mail Access Protocol，即交互式邮件存取协议，它是跟POP3类似邮件访问标准协议之一。不同的是，开启了IMAP后，您在电子邮件客户端收取的邮件仍然保留在服务器上，同时在客户端上的操作都会反馈到服务器上，如：删除邮件，标记已读等，服务器上的邮件也会做相应的动作。所以无论从浏览器登录邮箱或者客户端软件登录邮箱，看到的邮件以及状态都是一致的。

UDP（User Datagram Protocol，用户数据包协议），UDP协议面向非连接（不需要维持双方在线）；UDP无“可靠性”的追求，更多是突出低消耗（low overhead）、低延迟（low latency）。

TCP比UDP复杂一些，因为互联网（IP）在设计之初就考虑了很多网络连接不稳定、断网、网络拥塞等因素，所以我们会看到，建立和终止TCP连接都有种反复握手（确认）的味道，因此在协议结构设计及程序实现方面TCP会相对复杂。相对而言，UDP的协议结构比较简单，追求的是效率，即能高效传输，因此没有TCP中对“冗余、拥塞、断网等不确定因素”的考量。

TCP与UDP的包头（header）都有包含包括源端口、目的地端口在内的多个域。TCP与UDP各自的端口号是相互独立的，列如 TCP可以有个255端口，UDP也可以有个255端口，他们两者并不冲突的。

ICMP不开放端口也能通信，ICMP是（InternetControlMessageProtocol）Internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。ICMP协议是一种面向无连接的协议，用于传输出错报告控制信息。它是一个非常重要的协议，它对于网络安全具有极其重要的意义。（如ping不用端口用的是icmp 协议）

一、查看已开放的端口

1、借助系统自带MS-DOS命令查看开放的端口

在开始-运行-输入cmd，打入netstat -an（注意-前有个小空格），在IP地址“，”后面就是端口号了。（-a表示显示当前所有连接和侦听端口，-n表示以数字格式显示地址和端口号）

2、借助第三方软件查看开放的端口

（1）Active Ports（SmartLine出品）：可以用来监视所有打开的TCP/IP/UDP端口，将你所有端口显示出来，还显示所有端口以及对应的程序所在的路径，查看本地IP和远端IP（试图连接你电脑的IP）是否正在活动。

（2）fpor命令行工具：特点小巧，但功能不亚于Active Ports哦，同样可以查看端口与相应程序路径。显示模式为：Pid Process Port Proto Path ，392 svchost -> 113 TCP，C:\WINNT\system32\vhos.exe 。

（3）防火墙或反毒工具的网络活动显示：比如瑞星防火墙就能及时刷新开放的端口和相关进程，反间谍专家也有此功能，这样的软件很多，就不一一举出了。

二、限制或关闭端口的方法：

1、通过系统自带防火墙

1.1、开启系统防火墙

1.2、利用系统防火墙高级设置阻止向445端口进行连接（该操作会影响使用445端口的服务）

1.3、打开系统自动更新，并检测更新进行安装

1.4 Win7、Win8、Win10的处理流程

1.4.1、打开控制面板-系统与安全-Windows防火墙，点击左侧启动或关闭Windows防火墙。

1.4.2、选择启动防火墙，并点击确定

1.4.3、点击高级设置

1.4.4、点击入站规则，新建规则

1.4.5、选择端口，下一步

1.4.6、特定本地端口，输入445，下一步

1.4.7、选择阻止连接，下一步

1.4.8、配置文件，全选，下一步

1.4.9、名称，可以任意输入(如TCP445stop)，完成即可。

1.5 XP系统的处理流程

1.5.1、依次打开控制面板，安全中心，Windows防火墙，选择启用

1.5.2、点击开始，运行，输入cmd，确定执行下面三条命令：net stop rdr 、net stop srv 、net stop netbt

可以看到新建的入站规则：

2、利用带有的“本地安全策略”功能关闭端口

关闭TCP：135（Win2000、WinXP防止RPC135溢出漏洞）、139、445（注册表 “HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\NetBT \\Parameters”中追加名为“SMBDeviceEnabled”的DWORD值，并将其设置为0能禁用445端口）、593、1025 和UDP：135、137、138、445 端口，关闭一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。步骤如下：

⑴ 控制面板-管理工具，打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗口的空白处右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导，在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。

⑵ 右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。

⑶ 进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。

⑷ 点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。

⑸ 重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。

⑹ 在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作，在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。

⑺ 进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。

⑻ 完后重启电脑，这些端口就被关闭了~~

3、利用关闭系统服务的同时关闭端口

控制面板→管理工具→服务。

⑴ 关闭7.9等等端口：关闭Simple TCP/IP Service,支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。

⑵ 关闭80端口：关掉WWW服务。在“服务”中显示名称为”World Wide Web Publishing Service”，通过 Internet 信息服务的管理单元提供 Web 连接和管理。

⑶ 关掉25端口：关闭Simple Mail Transport Protocol (SMTP)服务，它提供的功能是跨网传送电子邮件。

⑷ 关掉21端口：关闭FTP Publishing Service,它提供的服务是通过 Internet 信息服务的管理单元提供 FTP 连接和管理。

⑸ 关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。

⑹ 关闭server服务，此服务提供 RPC 支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，比如ipc$、c$、admin$等等，此服务关闭不影响您的共他操作。

⑺ 关闭139端口，139端口是NetBIOS Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。

关闭方法：在 “网络连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP /IP的NETBIOS”，打勾就关闭了139端口。对于个人用户来说，可以在各项服务属性设置中设为“禁用”，以免下次重启服务也重新启动，端口也开放了。

4、通过第三方防火墙来关闭端口

例如国内的：天网，金山，瑞星；国外的：诺顿，IIS。这类防火墙关闭端口就比较方便了，添加关闭就OK了，一般都有专门的设置选项。

－End－