ポート番号とは？一覧でわかる種類・用途とファイアウォールの設定方法

ポート番号とは通信の入り口を示す番号

ポート番号を理解する第一歩は、IPアドレスとの役割分担を押さえることです。ここでは、1台の機器の中で通信の届け先を仕分ける仕組みと、送信元側でも番号が使われること、TCPとUDPで別々に管理される点を説明します。

IPアドレスが住所ならポート番号は部屋番号

ポート番号は、1台のコンピューターの中で「どのソフトウェアあての通信か」を示す番号です。IPアドレスが建物の住所にあたるのに対し、ポート番号は建物内の部屋番号に相当します。宛先のIPアドレスだけでは、届いた通信をWebサーバーが処理すべきか、メールサーバーが処理すべきかを判断できません。

ポート番号は16ビットの数値で表され、0から65535までを使います。通信する機器どうしが宛先の番号をあらかじめ取り決めているため、余計なやり取りなしに正しいソフトウェアへ通信が届きます。Webブラウザーでアドレスの末尾に番号を書かなくてもページが開くのは、HTTPSなら443番という既定の番号が使われているためです。

送信元にも割り当てられTCPとUDPで別管理

ポート番号は宛先だけでなく送信元にも割り当てられます。パソコンがWebサイトを閲覧するとき、宛先はサーバーの443番ですが、送信元にはその通信専用の番号が一時的に割り当てられます。サーバーからの応答はこの送信元番号あてに返るため、同じパソコンで複数のタブやアプリが同時に通信しても応答が混ざりません。

また、ポート番号はTCPとUDPで別々に管理されます。TCPは相手と接続を確立して順序や再送を確認する方式、UDPは確認を省いて軽く速く送る方式です。同じ53番でも、TCPの53番とUDPの53番は別の入り口として扱われます。ファイアウォールを設定する際も、番号だけでなくプロトコルの指定が必要です。

用途で分かれる3つのポート番号の区分

0から65535までの番号は、用途に応じて3つの範囲に区分されています。インターネットの番号資源を管理するIANAが割り当てを管理する区分で、どの範囲かによって割り当ての厳密さも、運用上の注意点も変わります。

0から1023のウェルノウンポート

0番から1023番は、ウェルノウンポートと呼ばれ、広く使われるサービスにあらかじめ割り当てられています。システムポートとも呼ばれ、WebのHTTPが80番、暗号化通信のHTTPSが443番、メール送信に使うSMTPが25番といった対応は、この範囲に含まれます。番号を見ればおおよその用途が推測できる範囲です。

LinuxなどのUNIX系OSでは、この範囲で通信を待ち受けるために管理者権限が必要です。一般の利用者が代表的な番号を勝手に使えないようにする仕組みといえます。一方で、攻撃者にもよく知られた番号であるため、外部に公開する場合は接続元を限定し、通信の記録を継続的に確認する運用が欠かせません。

1024から49151の登録済みポート

1024番から49151番は登録済みポートで、ユーザーポートとも呼ばれます。企業や開発者が申請し、特定のソフトウェア向けに用途を登録できる範囲です。データベースのMySQLが3306番、Microsoft SQL Serverが1433番、画面を遠隔操作するリモートデスクトップが3389番など、業務システムでなじみのある番号が並びます。

この範囲はウェルノウンポートほど固定的ではなく、製品側の設定で別の番号に変更できる場合もあります。社内システムを導入するときは、既定の番号をそのまま使うのか変更するのかを設計段階で決め、資料に残しておくと安心です。記録があれば、ファイアウォールの設定や障害時の切り分けを進めやすくなります。

49152から65535の動的・プライベートポート

49152番から65535番は、動的ポートまたはプライベートポートと呼ばれます。特定のサービスには割り当てず、通信のたびに一時的な送信元番号として使う範囲です。一時ポートとも呼ばれ、通信が終われば解放され、別の通信に再び使われます。利用者が意識して指定する場面はほとんどありません。

ただし、実際に一時ポートとして使う範囲はOSによって異なります。近年のWindowsは49152番以降を既定としますが、Linuxでは32768番以降を使う設定が一般的です。戻りの通信をファイアウォールでどう扱うかを検討するときは、利用している機器やOSの設定値を確認しておくと、想定外の通信遮断を防げます。

業務でよく使う主要なポート番号の一覧

ファイアウォールの設定を考えるうえで、代表的な番号と用途を把握しておくと判断が速くなります。ここでは、社内で使う機会が多いものを、Webやメールと、遠隔操作や社内基盤の2つに分けて整理します。

Webとメールで使う代表的な番号

インターネット閲覧では、暗号化されていないHTTPが80番、暗号化されたHTTPSが443番を使います。現在は通信内容を守るため、原則として443番を使う構成が主流です。80番は、接続を443番へ転送する目的に限って残す構成も見られます。

メールは役割ごとに番号が分かれます。サーバー間の配送は25番、利用者のソフトからの送信は587番が使われ、受信はPOP3が110番、IMAPが143番です。暗号化した受信にはPOP3が995番、IMAPが993番を使います。番号の違いは暗号化の有無や送信経路の違いを表すため、設定変更時は用途を確かめてください。

遠隔操作やファイル共有、社内基盤の番号

運用管理でよく登場するのが、暗号化された遠隔操作とファイル転送に使う22番です。同じ遠隔操作でも、暗号化されないTelnetの23番や、平文で認証情報を扱うFTPの21番は、今日では利用を避けるか、社内の限られた区間に閉じる判断が一般的です。Windows画面の遠隔操作には3389番を使います。

社内の基盤を支える番号も押さえておきましょう。名前解決のDNSは53番、時刻同期のNTPは123番、利用者情報を扱うLDAPは389番、暗号化したLDAPSは636番です。Windowsのファイル共有に使う445番は、外部との通信を遮断する対象として真っ先に挙がります。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

ファイアウォールはポート番号をどう判断するか

ファイアウォールは、通過する通信を1つずつ確認し、あらかじめ定めた条件に照らして通すか止めるかを決めます。その条件の中心にあるのがポート番号です。判断に使う要素と、通信の向きによる考え方の違いを見ていきます。

番号とプロトコルの組み合わせで許可と遮断を決める

基本的な判断材料は、送信元のIPアドレスとポート番号、宛先のIPアドレスとポート番号、そしてTCPかUDPかというプロトコルの5つです。「この拠点からWebサーバーの443番あてのTCP通信だけ許可する」といった形で条件を組み立てます。番号だけを見て一律に開けるのではなく、接続元をあわせて絞り込むことが重要です。

現在の製品の多くは、通信の状態を記録するステートフルインスペクションという方式を備えます。内部から外部への通信を許可すると、その応答だけを自動で通す仕組みです。応答が戻る一時ポートを手作業で開ける必要がなく、無関係な通信が同じ番号で入り込むことも防げます。

インバウンドとアウトバウンドで基準を変える

外部から社内へ向かうインバウンド通信は、原則としてすべて遮断し、公開が必要なサーバーの番号だけを例外として開けます。開ける場合も、接続元の範囲を限定できないか、社外からの接続をVPNに集約できないかを先に検討すると、開放する範囲を小さく保てます。

一方、社内から外部へ向かうアウトバウンド通信は、業務を止めないために広めに許可されがちです。しかし、不正なプログラムが外部の指令サーバーと通信したり、情報を外部へ持ち出したりする経路にもなります。利用するサービスの番号だけを許可し、通信の記録を残す設定にしておくと、異常の発見が早まります。

不要なポートを閉じる運用の進め方

ポート番号の管理で最も効果が高いのは、使っていない入り口を残さないことです。開いた経緯が分からない設定は事故のもとになります。棚卸しから恒常的な運用へつなげる手順を整理します。

開いているポートを棚卸しして用途を確かめる

まず、現在どの番号が外部から見えているか、機器ごとに一覧化します。ファイアウォールの設定と、サーバー側で待ち受けているサービスの一覧を突き合わせると、設定表には残っているのに実際には使われていない項目が見つかります。試験用に一時的に開けたまま放置された設定も、この段階で洗い出せます。

洗い出した項目には、用途、必要とする部門、設定した時期、接続を許す範囲を記録します。担当者が交代しても判断の根拠が残り、閉じてよいかどうかを短時間で判断できます。クラウド上の仮想サーバーは設定変更が手軽な分、意図せず外部に開いたままになりやすいため、対象に含めてください。

原則遮断を基本にし、変更と記録を運用に組み込む

設定の考え方は、必要なものだけを許可し、それ以外はすべて遮断する形が基本です。新しく開ける際は、申請、承認、設定、確認までを一連の手順として定め、誰がいつ何のために開けたのかを残します。期限のある用途であれば、閉じる日付をあわせて決めておくと放置を防げます。

設定後も、四半期ごとなど時期を決めて見直し、不要になった項目を閉じます。遮断した通信の記録を確認すると、外部からの探索が集中している番号や、許可した覚えのない通信に気づけます。ポートを閉じる作業は一度きりではなく、継続して回す運用として定着させることが大切です。

ポートの許可・遮断を任せるファイアウォール製品

ここでは、番号とプロトコルの組み合わせによる通信制御に加え、設定変更やログの確認といった日々の運用まで支えてくれる製品を集めました。自社で手を動かせる範囲と、任せたい範囲を思い描きながら見比べてみてください。

ビジネスセキュリティ（VSR）nシリーズ

株式会社 USEN ICT Solutions

資料請求リストに追加

製品詳細ページへ ＞

製品・サービスのPOINT

1. 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
2. 管理者負担軽減！導入から運用、保守まですべて一括対応
3. 24時間365日の障害検知・切り分けから復旧対応までサポート！

まとめ

ポート番号は、届いた通信をどのソフトウェアに渡すかを示す番号で、0から65535までがウェルノウンポート、登録済みポート、動的ポートの3つに区分されます。80番や443番のように用途が定まった番号を把握しておくと、ファイアウォールでどこを開け、どこを閉じるかを判断しやすくなります。原則遮断を基本に、開いている入り口を定期的に棚卸しし、記録を残す運用を続けていきましょう。