How to Read a Port Scan: Open, Closed and Filtered Ports Explained
2026-09-05 · undefined min
A port scan is one of the fastest ways to learn what a machine is actually doing on the network. Instead of guessing whether a service is running, it asks each of the 65,535 TCP ports the same question - are you listening? - and collects the answers. The output can look cryptic, but each of the three possible states tells you something precise about the machine.
The short version: open means something is listening, closed means nothing is there, and filtered means a firewall refused to answer. Most of the value of a scan is in reading that distinction correctly.
1981
TCP and ports are specified
RFC 793 defines TCP and its port-based multiplexing, establishing the 0-65535 port space and the idea that one host can run many services.
1990s
Port scanning becomes a diagnostic
Administrators start scanning their own networks to inventory services, while the same technique becomes a reconnaissance tool for attackers.
2000s
Firewalls and the filtered state
Stateful firewalls introduce the filtered result: a port that silently drops packets rather than rejecting them, hiding what is behind it.
Today
Scanning as routine hygiene
Regular scans of your own machines reveal forgotten services, misconfigured firewalls and ports that should have been closed long ago.
The three states and what each one means
Open means a service is listening on that port and answered the connection attempt. This is the state that matters most: something is reachable, and you should know what it is. It is not automatically bad - a web server on port 80 or 443 being open is expected - but every open port is a surface that could be probed.
Closed means the host answered but no service is listening there. The packet reached the machine and it said no. This is the reassuring result: it tells you the machine is reachable, the stack is alive, and there is simply nothing on that port.
Filtered: the firewall's silence
Filtered means the scan got no answer at all - no acceptance, no rejection. The most common cause is a firewall dropping packets silently, either to hide the port or as part of a default-deny policy. From the outside, a filtered port is indistinguishable from an unreachable host, which is often exactly what the administrator intended.
Because a filtered port gives no response, the scanner cannot tell whether a service is actually there. This is why a scan that shows many filtered results can still hide an active service behind a restrictive firewall - the state is information about the network, not about the host.
Which ports are normal to see open
Some ports are so common that seeing them open on a server is unremarkable. Port 22 (SSH), 25 (SMTP), 80 (HTTP), 443 (HTTPS) and 53 (DNS) are the everyday ones. A port list full of these is usually a healthy server, not an alarm.
The unusual ports are the interesting ones: high-numbered listening services, database ports like 3306 or 5432 exposed to the internet, or remote-management ports like 3389 (RDP) reachable from outside. Those are the ones worth investigating, because they expand the attack surface well beyond what the machine was intended to expose.
The risk scale: commonly-open ports are low risk, while unexpected exposed ports climb the scale.
When a port list should worry you
A scan is worrying when it reveals ports you did not know were open, or when services that should be internal-only are reachable from the internet. An open database, an unpatched management console, or a legacy service still listening years after it was retired are the patterns that matter.
Run a scan against your own machines as a periodic check rather than once in a panic. Changes in the port list - a new service appearing, an old one disappearing - are the clearest signals that something on the network has changed and should be reviewed.
In sintesi
A port scan is only as useful as your ability to read it. Open means exposed, closed means absent, filtered means hidden. Scan your own systems regularly, know which ports are supposed to be open, and treat anything unexpected as something to investigate rather than ignore.
Il tuo indirizzo IP pubblico e la posizione di rete, rilevati automaticamente.
Si carica automaticamente all'apertura di NetChecks — nessun dato da inserire. Usa il pulsante Aggiorna dopo aver cambiato rete o riconnesso la VPN.
Il tuo browser
Scansione All-in-One
Esegue in un'unica passata tutti i controlli rilevanti su un IP o hostname: DNS, whois, ping, traceroute, una scansione delle porte note (1-1024), header HTTP e certificato SSL.
Inserisci un dominio o un indirizzo IP ed esegui la scansione per controllare DNS, whois, ping, traceroute, porte comuni, intestazioni HTTP e certificato SSL in un solo passaggio.
La maggior parte dei controlli viene eseguita in parallelo - di solito termina in circa 30 secondi, di più se il target è lento o irraggiungibile.
Il passaggio di scansione delle porte viene eseguito solo se la casella di consenso sopra è selezionata - tutti gli altri controlli vengono eseguiti comunque.
Ping
Invia richieste echo ICMP a un host per verificare raggiungibilità e latenza.
Inserisci un nome host o un indirizzo IP e premi Ping per inviare richieste ICMP echo e misurare la latenza di andata e ritorno.
Scopri di più su Ping
Cos'è
Ping invia pacchetti ICMP Echo Request a un host e misura il tempo impiegato dai pacchetti ICMP Echo Reply per tornare indietro. È il test di connettività di rete più elementare che esista: risponde esattamente a una domanda, "questa macchina è raggiungibile, e con quale rapidità?". Il protocollo ICMP (RFC 792) è stato progettato nel 1981 specificamente per trasportare messaggi di controllo e diagnostica sulle reti IP, al di fuori di qualsiasi traffico applicativo - Ping ne è l'implementazione più nota e universalmente disponibile, presente praticamente su ogni sistema operativo e dispositivo di rete fin dalle prime versioni.
Come funziona
Ogni pacchetto ICMP trasporta un campo TTL (Time To Live) decrementato di uno a ogni router attraversato; se raggiunge zero prima di arrivare al target, il pacchetto viene scartato e un errore viene rimandato al mittente. Il tempo di andata e ritorno (RTT), misurato in millisecondi, riflette la latenza di rete cumulativa sull'intero percorso, non solo l'ultimo tratto vicino al target - un punto spesso frainteso, poiché un risultato di ping lento può avere la sua causa in qualsiasi punto del percorso, non necessariamente vicino al server testato. Un ping in genere invia più pacchetti di seguito anziché uno solo, il che permette di distinguere un picco di latenza occasionale da un problema ricorrente e di calcolare un tasso di perdita di pacchetti sul campione.
Interpretare i risultati
Un RTT basso e stabile - pochi millisecondi su una rete locale, tra 10 e 50 ms per una destinazione nello stesso paese, e notevolmente di più per un collegamento intercontinentale - indica una connessione sana. Anche una piccola perdita di pacchetti (oltre l'1-2%) è particolarmente dannosa per usi sensibili alla latenza come VoIP o sessioni remote interattive, dove ogni pacchetto perso si manifesta come un'interruzione o un'interferenza udibile. Una latenza molto variabile da un pacchetto all'altro (jitter) è spesso, per questi stessi usi, un problema maggiore di una latenza elevata ma perfettamente stabile. "Richiesta scaduta" significa che non è arrivata alcuna risposta entro il tempo previsto - l'host potrebbe essere effettivamente offline, un firewall potrebbe bloccare silenziosamente l'ICMP, oppure un percorso potrebbe essere interrotto in qualche punto del tragitto; "Destinazione irraggiungibile" è diverso e più informativo: un router intermedio ha esplicitamente rimandato indietro un messaggio dicendo di non essere riuscito a inoltrare il pacchetto, il che aiuta a circoscrivere dove si trovi realmente il problema.
Errori comuni
L'errore di interpretazione più comune è concludere che un host sia "offline" nel momento in cui un ping fallisce, quando in realtà moltissimi server e dispositivi - specialmente dietro un firewall ben configurato, o ospitati presso i grandi provider cloud - bloccano deliberatamente l'ICMP in ingresso per policy, pur essendo pienamente operativi e raggiungibili sui loro servizi reali (HTTP, un database, ecc.). L'assenza di risposta a un ping è quindi una prova significativa di inattività solo se combinata con altri segnali, come il fatto che anche l'applicazione stessa non risponda. Al contrario, un ping riuscito non garantisce affatto che il servizio applicativo ospitato su quella macchina funzioni correttamente - sono due livelli dello stack di rete del tutto indipendenti.
Quando usarlo
La prima cosa da verificare prima di escalare un ticket: la macchina risponde almeno, prima di indagare oltre? Confermare la connettività dopo una modifica a una regola firewall o a una tabella di routing, per assicurarsi che la modifica non abbia interrotto l'accesso. Stabilire una misurazione di latenza di riferimento prima di un rollout VoIP o di un failover di un collegamento operatore, in modo da avere un punto di confronto oggettivo se in seguito arrivano lamentele sulla qualità delle chiamate. Un controllo di stato periodico e leggero per un MSP che monitora più sedi cliente in parallelo, sempre come complemento - mai come sostituto - di un monitoraggio più approfondito a livello applicativo.
Traceroute
Traccia il percorso di rete (hop per hop) verso un host di destinazione.
Inserisci un nome host o un indirizzo IP ed esegui la scansione per vedere ogni salto di rete tra questo server e la destinazione, con la latenza di ciascun salto.
Ricerca DNS (Nslookup)
Interroga i record DNS: A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV, CAA.
Inserisci un dominio, scegli un tipo di record (A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV o CAA) ed esegui la ricerca.
Whois
Cerca le informazioni di registrazione per un dominio o un indirizzo IP.
Inserisci un dominio o un indirizzo IP per consultarne i dati di registrazione: registrar, organizzazione proprietaria e date importanti.
Controllo blacklist
Verifica se un indirizzo IP o un dominio è presente in blacklist pubbliche anti-spam/abuso (DNSBL).
Inserisci un indirizzo IPv4 o un dominio ed esegui per controllare contemporaneamente 7 blacklist pubbliche (DNSBL/RBL) - ciascuna viene mostrata come elencata, non elencata o controllo non riuscito.
Scansione porte TCP
Verifica se le porte TCP sono aperte su un host o IP: porte comuni, un elenco personalizzato o l'intero intervallo 1-65535.
Inserisci un host o un IP, scegli porte comuni, un elenco personalizzato o l'intervallo completo, quindi esegui la scansione per vedere quali porte TCP rispondono.
Una scansione dell'intero intervallo può richiedere fino a ~100 secondi. Le scansioni grandi (più di 100 porte, inclusi intervalli/elenchi personalizzati) sono limitate a 1 al minuto per visitatore.
Porte aperte (0)
Analizzatore di header HTTP
Recupera lo stato della risposta HTTP e gli header per un URL.
Inserisci un URL per ottenere il suo codice di stato HTTP e tutte le intestazioni di risposta inviate dal server.
Verifica certificato SSL/TLS
Esamina il certificato TLS di un host: emittente, date di validità e giorni rimanenti.
Inserisci un nome host per ispezionare il suo certificato TLS: emittente, date di validità e giorni rimanenti prima della scadenza.
Ricerca Geo-IP
Cerca la posizione geografica e le informazioni di rete per un indirizzo IP. Lascia vuoto per cercare il tuo indirizzo IP pubblico.
Inserisci un indirizzo IP qualsiasi, oppure lascia vuoto per cercare il tuo, per vedere la posizione approssimativa e le informazioni di rete/ISP.
Calcolato interamente nel tuo browser — nessun dato inviato al server.
Inserisci un indirizzo IP e un prefisso CIDR (es. 192.168.1.0/24) per calcolare all'istante l'intervallo di rete, l'indirizzo di broadcast e il numero di host utilizzabili.
Test di velocità
Test di base della velocità di download/upload rispetto a questo server (la precisione dipende dalla connessione in uplink del server stesso).
Premi Avvia per misurare la velocità di download e upload verso questo server. La precisione dipende dalla connessione di questo server.
Dizionario dei codici paese
Codici paese ISO 3166-1 alpha-2 — ricerca eseguita interamente nel tuo browser.
Cerca o sfoglia l'elenco dei codici paese ISO 3166-1 alpha-2, ricercato interamente nel tuo browser.
Paese
Codice ISO
Dizionario dei prefissi telefonici
Prefissi internazionali per paese — ricerca eseguita interamente nel tuo browser.
Cerca o sfoglia i prefissi telefonici internazionali per paese, ricercati interamente nel tuo browser.
Paese
Prefisso
Orologio mondiale
Scegli un fuso orario per vedere l'ora attuale — trascina il globo per farlo girare.
Scegli un fuso orario dall'elenco, oppure trascina il globo, per vedere l'ora attuale in quel luogo.
Il tuo orario
--:--:--
—
—
Orario selezionato
--:--:--
—
—UTC±00:00
Differenza rispetto a te—
—
Trascina per ruotare il globo.
Stato della rete mobile francese
Siti di antenne mobili guasti o in manutenzione in Francia, per operatore (Orange, Free, SFR, Bouygues Telecom), dai dati pubblici dell'ARCEP. Istantanea aggiornata una volta al giorno dall'ARCEP - non un flusso minuto per minuto.
Sfoglia i dati sui guasti delle antenne mobili e della fibra per operatore francese — nessun dato da inserire, aggiornato automaticamente dai dati pubblici di Arcep.
Fonte: ARCEP, dataset "Sites indisponibles", pubblicato con Licence Ouverte / Etalab 2.0 - riuso commerciale esplicitamente consentito, a differenza dei dati IODA/CAIDA usati in precedenza in questa scheda. Il badge Normale/Attenzione/Allerta è una stima interna (numero di guasti odierno rispetto alla mediana dei giorni precedenti), non una classificazione ufficiale dell'ARCEP. Link alle fonti qui sotto.
Dipartimenti più colpiti
Numero di siti attualmente guasti o in manutenzione, per dipartimento. Fai clic su un operatore sopra per filtrare.
Qualità della rete in fibra (FTTH) per operatore: tasso di guasti segnalati e tasso di errore di connessione, dai dati pubblici dell'ARCEP. Indicatori mensili, media mobile su 6 mesi - non un flusso in tempo reale come la sezione mobile.
Fonte: ARCEP, dataset "Qualité des réseaux en fibre optique", pubblicato con Licence Ouverte / Etalab 2.0 - riuso commerciale esplicitamente consentito. Link alle fonti qui sotto.
Per operatore (gruppo madre)
Medie sugli ultimi 6 mesi disponibili, per gruppo madre dell'operatore infrastrutturale.
NetChecks è fornito esclusivamente per scopi legittimi di diagnostica di rete ed educativi, su sistemi, domini e indirizzi IP di tua proprietà o per i quali sei esplicitamente autorizzato a effettuare test.
L'esecuzione di scansioni delle porte, ricerche DNS/whois, traceroute o altri controlli su sistemi di terze parti senza autorizzazione potrebbe violare le leggi sull'uso improprio dei computer nella tua giurisdizione (ad esempio il Computer Fraud and Abuse Act negli USA, la "Loi Godfrain" in Francia, o normative locali equivalenti). Sei l'unico responsabile di assicurarti di avere il diritto di testare qualsiasi target inserito qui.
Questo sito e i suoi risultati sono forniti "così come sono", senza garanzia di alcun tipo. Il gestore di questo sito non si assume alcuna responsabilità per eventuali danni diretti, indiretti o consequenziali, conseguenze legali o usi impropri derivanti dall'uso di questo sito.
Le richieste sono limitate in frequenza per prevenire abusi. L'operatore di questa istanza può abilitare facoltativamente la registrazione dell'attività delle richieste - in tal caso, ogni richiesta a uno strumento (il tuo indirizzo IP, la data/ora, lo strumento utilizzato e l'obiettivo/query inserito) potrebbe essere registrata in un database per finalità di sicurezza, prevenzione degli abusi e analisi dell'utilizzo. Questa funzione è disattivata per impostazione predefinita. Utilizzando questo sito accetti questi termini; se non sei d'accordo, non utilizzarlo.
L'uso programmatico (API) di questo sito è soggetto agli stessi termini, incluso il requisito di autorizzazione sopra indicato.
Invia feedback
Segnala un problema, lascia un commento o suggerisci una nuova funzionalità.
Questo sito utilizza annunci pubblicitari e, se accetti, cookie dei partner pubblicitari per contribuire a finanziare l'hosting. Puoi rifiutare e continuare a usare tutti gli strumenti senza pubblicità.