Chapitre 168 minIntermédiaire
Aide-mémoire : ports et protocoles des services réseau
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- retrouver le port et le protocole de chaque service ;
- retrouver la commande de vérification de chaque service ;
- donner en une phrase la définition des notions du cours.
Cet aide-mémoire rassemble les ports, les protocoles, les commandes et les définitions des services réseau du cours, pour réviser avant un TP, un écrit E7 ou l'oral de l'E6. Les ports sont ceux qu'attribue l'IANA et qu'utilisent les logiciels dans leur configuration par défaut ; chaque ligne renvoie au chapitre qui l'explique.
Les ports à connaître par cœur
| Service | Protocole | Port | Chapitre |
|---|---|---|---|
| DNS | UDP et TCP | 53 | 1 |
| DNS over TLS (DoT) | TCP | 853 | 5 |
| DNS over HTTPS (DoH) | TCP (et UDP en HTTP/3) | 443 | 5 |
| DHCP (serveur / client) | UDP | 67 / 68 | 6 |
| DHCPv6 (client / serveur) | UDP | 546 / 547 | 6 |
| NTP | UDP | 123 | 7 |
| HTTP | TCP | 80 | 8 |
| HTTPS | TCP (et UDP pour HTTP/3) | 443 | 8 |
| SMTP entre serveurs | TCP | 25 | 10 |
| SMTP soumission (STARTTLS / TLS direct) | TCP | 587 / 465 | 10 |
| IMAP / IMAPS | TCP | 143 / 993 | 10 |
| POP3 / POP3S | TCP | 110 / 995 | 10 |
| SMB | TCP | 445 | 11 |
| NFS | TCP (et UDP en v3) | 2049 (et 111 pour le portmapper en v3) | 11 |
| SSH, SFTP, SCP | TCP | 22 | 11 |
| FTP (commandes / données en mode actif) | TCP | 21 / 20 | 11 |
| FTPS implicite | TCP | 990 | 11 |
| IPP (impression) | TCP | 631 | 11 |
| Impression directe (RAW) | TCP | 9100 | 11 |
| LDAP / LDAPS | TCP (et UDP pour LDAP) | 389 / 636 | 12 |
| Catalogue global (clair / TLS) | TCP | 3268 / 3269 | 12 |
| Kerberos | TCP et UDP | 88 | 12 |
| RADIUS (authentification / traçabilité) | UDP | 1812 / 1813 | 12 |
| SNMP (requêtes / notifications) | UDP | 161 / 162 | 13 |
| Syslog (clair / TLS) | UDP ou TCP / TCP | 514 / 6514 | 13 |
| RDP (bureau à distance) | TCP et UDP | 3389 | Cours Windows Server |
Les commandes de diagnostic
| Besoin | Windows | Linux |
|---|---|---|
| Configuration IP et DNS | ipconfig /all | ip a, ip r, cat /etc/resolv.conf |
| Renouveler le bail | ipconfig /release, ipconfig /renew | sudo ifdown <carte> && sudo ifup <carte> |
| Cache DNS | ipconfig /displaydns, ipconfig /flushdns | resolvectl flush-caches |
| Résoudre comme les applications | Resolve-DnsName nom | getent hosts nom |
| Interroger un serveur précis | Resolve-DnsName nom -Server ip, nslookup nom ip | dig @ip nom |
| Un type d'enregistrement | Resolve-DnsName nom -Type MX | dig nom MX |
| Résolution inverse | Resolve-DnsName 192.168.10.178 | dig -x 192.168.10.178 |
| Suivre la délégation | — | dig +trace nom |
| Tester un port | Test-NetConnection nom -Port 443 | nc -zv nom 443 |
| Contrôleurs du domaine | nltest /dsgetdc:ad.sorbier.example | dig _ldap._tcp.dc._msdcs.ad.sorbier.example SRV |
| Heure | w32tm /query /status, w32tm /query /source | chronyc tracking, chronyc sources -v |
| Certificat d'un site | curl.exe -vI https://nom | openssl s_client -connect nom:443 -servername nom |
| Capturer | pktmon start --capture | sudo tcpdump -ni <carte> port 53 |
Les commandes des serveurs
| Service | Vérifier | Recharger ou appliquer |
|---|---|---|
| BIND 9 | named-checkconf, named-checkzone zone fichier, rndc status | rndc reload [zone] |
| DNS Windows | Get-DnsServerZone, dcdiag /test:dns | Clear-DnsServerCache |
| DHCP Windows | Get-DhcpServerv4ScopeStatistics, Get-DhcpServerv4Lease | Invoke-DhcpServerv4FailoverReplication |
| Kea | kea-dhcp4 -t /etc/kea/kea-dhcp4.conf | systemctl restart kea-dhcp4-server |
| Nginx | nginx -t | systemctl reload nginx |
| HAProxy | haproxy -c -f /etc/haproxy/haproxy.cfg | systemctl reload haproxy |
| Postfix | postfix check, postconf -n, mailq | systemctl reload postfix |
| Samba | testparm, smbclient -L //localhost -U utilisateur | systemctl restart smbd |
| NFS | exportfs -v | exportfs -ra |
| chrony | chronyc sources -v, chronyc clients | systemctl restart chrony |
| Net-SNMP | snmpget -v3 -l authPriv … depuis le gestionnaire | systemctl restart snmpd |
| rsyslog | rsyslogd -N1 | systemctl restart rsyslog |
| OpenSSH | sshd -t | systemctl reload ssh |
Les enregistrements DNS
| Type | Rôle | Piège |
|---|---|---|
| SOA | Paramètres de la zone, serial | Augmenter le serial à chaque modification |
| NS | Serveurs faisant autorité | Au moins deux, sur des réseaux différents |
| A / AAAA | Nom → IPv4 / IPv6 | Le point final des noms complets |
| CNAME | Alias | Jamais à l'apex, jamais comme cible d'un MX ou d'un NS, rien d'autre sur le même nom |
| MX | Messagerie, avec une préférence | Le plus petit nombre est préféré |
| PTR | Adresse → nom | Octets à l'envers, zone in-addr.arpa |
| SRV | Service, port, serveur | Créés automatiquement par les contrôleurs de domaine |
| TXT | SPF, DKIM, DMARC, vérifications | Un seul enregistrement SPF par domaine |
| CAA | AC autorisées | À l'apex du domaine |
| DNSKEY, DS, RRSIG | DNSSEC | Le DS se publie chez le bureau d'enregistrement |
Les définitions à savoir donner
| Notion | En une phrase |
|---|---|
| Résolveur | Serveur qui cherche la réponse pour le compte d'un client et la garde en cache |
| Serveur faisant autorité | Serveur qui détient la réponse officielle pour sa zone |
| Requête récursive / itérative | « Trouve la réponse pour moi » / « Dis-moi ce que tu sais » |
| Redirecteur | Résolveur vers lequel un serveur DNS fait suivre les questions qu'il ne sait pas traiter |
| Split DNS | Un même nom reçoit une réponse différente à l'intérieur et à l'extérieur |
| DNSSEC | Signature des enregistrements DNS, vérifiée par le résolveur de la racine jusqu'à la zone |
| DoT / DoH | Requêtes DNS chiffrées dans TLS (port 853) ou dans HTTPS (port 443) |
| DORA | Discover, Offer, Request, Acknowledge : l'obtention d'un bail DHCP |
| Relais DHCP | Équipement qui transmet en unicast les diffusions DHCP d'un réseau vers un serveur d'un autre réseau, en indiquant le réseau d'origine (giaddr) |
| Étendue, exclusion, réservation | Plage d'un réseau ; adresses retirées de la plage ; adresse attribuée toujours au même appareil |
| Strate NTP | Distance à l'horloge de référence : 1 pour un serveur relié à une horloge GPS ou atomique |
| Reverse proxy | Serveur placé devant les serveurs web, qui reçoit les requêtes à leur place |
| Terminaison TLS | Le reverse proxy déchiffre TLS et parle au serveur en clair ou rechiffré |
| SPF / DKIM / DMARC | Serveurs autorisés / signature du message / politique et alignement avec le domaine affiché |
| SMB / NFS | Partage de fichiers de Windows (TCP 445) / d'Unix et des hyperviseurs (TCP 2049) |
| LDAP | Protocole d'interrogation d'un annuaire |
| RADIUS | Protocole par lequel un équipement réseau demande à un serveur central si un accès est autorisé |
| 802.1X | Contrôle d'accès au port : le port ne s'ouvre qu'après authentification par RADIUS |
| SNMPv3 authPriv | Supervision avec authentification par utilisateur et chiffrement des échanges |
| Syslog | Envoi des journaux à un serveur central, avec une gravité de 0 (urgence) à 7 (débogage) |
Les réflexes de sécurité
| Service | Ce qu'il ne faut jamais laisser |
|---|---|
| DNS | Un résolveur ouvert à Internet, des transferts de zone sans restriction, des postes qui interrogent des résolveurs extérieurs |
| DHCP | Des switchs sans surveillance DHCP, des prises actives inutilisées |
| NTP | Des serveurs qui ne se synchronisent pas, chacun sur sa propre source |
| Web | Du HTTP en clair, TLS 1.0 et 1.1, des certificats renouvelés à la main |
| Reverse proxy | X-Forwarded-For accepté de n'importe quelle source |
| Messagerie | Un relais ouvert, le port 25 sortant ouvert aux postes, DMARC absent ou en p=none pour toujours |
| Fichiers | SMB 1, l'accès invité, NFS avec * et no_root_squash, FTP en clair |
| Impression | Le Spouleur actif sur les contrôleurs de domaine |
| Annuaire | Des liaisons LDAP simples en clair, des comptes de service avec des droits d'administration |
| 802.1X | MAB sans VLAN restreint, PEAP sans contrôle du certificat du serveur |
| SNMP | v1 ou v2c, les communautés public et private, un accès en écriture |