TCP- en UDP-poorten
Overzicht van de meest gebruikte TCP- en UDP-poorten in servers, netwerken en ontwikkeling: welke dienst op elke poort luistert, via welk transportprotocol en welke onversleuteld zijn. Zoek op nummer of op naam van de dienst.
130 van 130 poorten
| Poort | Protocol | Dienst | Gebruik |
|---|---|---|---|
| 20Systeem | TCP | FTP-DATAOnversleuteld | FTP-datakanaal in actieve modus. Bestanden |
| 21Systeem | TCP | FTPOnversleuteld | FTP-besturing: gebruikersnaam, wachtwoord en opdrachten gaan onversleuteld over de lijn. Bestanden |
| 22Systeem | TCP | SSH | Versleutelde externe toegang; ook gebruikt door SFTP, SCP en Git via SSH. Externe toegang |
| 23Systeem | TCP | TelnetOnversleuteld | Onversleutelde externe terminal; nu alleen nog op oude netwerkapparatuur. Externe toegang |
| 25Systeem | TCP | SMTP | Mailbezorging tussen servers; veel providers blokkeren hem uitgaand. E-mail |
| 49Systeem | TCP | TACACS+ | Authenticatie en autorisatie van beheerders op netwerkapparatuur. Directory en authenticatie |
| 53Systeem | TCP/UDP | DNS | Naamresolutie; TCP voor grote antwoorden en zoneoverdrachten. Netwerkdiensten |
| 67Systeem | UDP | DHCP | DHCP-server: deelt IP-adressen uit op het lokale netwerk. Netwerkdiensten |
| 68Systeem | UDP | DHCP | DHCP-client: ontvangt het toegewezen IP-adres. Netwerkdiensten |
| 69Systeem | UDP | TFTPOnversleuteld | Overdracht zonder authenticatie, voor netwerkboot (PXE) en firmware. Bestanden |
| 80Systeem | TCP | HTTPOnversleuteld | Onversleuteld web; stuurt tegenwoordig bijna altijd door naar HTTPS. Web en ontwikkeling |
| 88Systeem | TCP/UDP | Kerberos | Kerberos-authenticatie, de basis van het aanmelden in Active Directory. Directory en authenticatie |
| 110Systeem | TCP | POP3Onversleuteld | Onversleuteld ophalen van mail; de beveiligde versie gebruikt 995. E-mail |
| 111Systeem | TCP/UDP | rpcbind | Unix RPC-portmapper, nodig voor NFS v3. Netwerkdiensten |
| 123Systeem | UDP | NTP | Tijdsynchronisatie met tijdservers. Netwerkdiensten |
| 135Systeem | TCP | MS-RPC | Windows RPC-endpointmapper, gebruikt door DCOM en WMI. Directory en authenticatie |
| 137Systeem | UDP | NetBIOS-NS | NetBIOS-naamdienst van oudere Windows-netwerken. Bestanden |
| 138Systeem | UDP | NetBIOS-DGM | NetBIOS-datagrammen om computers op het netwerk aan te kondigen. Bestanden |
| 139Systeem | TCP | NetBIOS-SSN | NetBIOS-sessies; SMB-shares via NetBIOS. Bestanden |
| 143Systeem | TCP | IMAPOnversleuteld | Onversleutelde toegang tot mailboxen; de beveiligde versie gebruikt 993. E-mail |
| 161Systeem | UDP | SNMPOnversleuteld | Monitoringquery's naar netwerkapparatuur; v1 en v2c versleutelen niet. Netwerkdiensten |
| 162Systeem | UDP | SNMP-TRAP | Meldingen (traps) die apparaten naar het monitoringsysteem sturen. Netwerkdiensten |
| 179Systeem | TCP | BGP | Uitwisseling van routes tussen routers en autonome systemen. Netwerkdiensten |
| 389Systeem | TCP/UDP | LDAPOnversleuteld | Directoryquery's (Active Directory, OpenLDAP) zonder TLS. Directory en authenticatie |
| 443Systeem | TCP/UDP | HTTPS | Web versleuteld met TLS; via UDP gebruikt HTTP/3 over QUIC hem. Web en ontwikkeling |
| 445Systeem | TCP | SMB | Windows-bestands- en printerdeling; zou nooit aan het internet blootgesteld mogen worden. Bestanden |
| 464Systeem | TCP/UDP | kpasswd | Kerberos-wachtwoordwijzigingen. Directory en authenticatie |
| 465Systeem | TCP | SMTPS | Mailverzending met impliciete TLS, aanbevolen door RFC 8314. E-mail |
| 500Systeem | UDP | IKE | Sleutelonderhandeling voor IPsec-VPN's. VPN en proxy's |
| 514Systeem | UDP | SyslogOnversleuteld | Logs naar een syslogserver sturen, onversleuteld en zonder ontvangstbevestiging. Netwerkdiensten |
| 520Systeem | UDP | RIP | Routeringsprotocol RIP in kleine netwerken. Netwerkdiensten |
| 546Systeem | UDP | DHCPv6 | DHCPv6-client. Netwerkdiensten |
| 547Systeem | UDP | DHCPv6 | DHCPv6-server. Netwerkdiensten |
| 548Systeem | TCP | AFP | Apple-bestandsdeling (AFP), in macOS vervangen door SMB. Bestanden |
| 554Systeem | TCP/UDP | RTSP | Besturing van videostreams, typisch voor IP-camera's. Spraak, video en berichten |
| 587Systeem | TCP | Submission | Geauthenticeerde mailverzending vanuit clients en applicaties, met STARTTLS. E-mail |
| 631Systeem | TCP/UDP | IPP | Netwerkprinten (IPP) en de webinterface van CUPS. Netwerkdiensten |
| 636Systeem | TCP | LDAPS | LDAP versleuteld met TLS. Directory en authenticatie |
| 853Systeem | TCP/UDP | DoT / DoQ | Versleutelde DNS: DNS over TLS via TCP en DNS over QUIC via UDP. Netwerkdiensten |
| 873Systeem | TCP | rsync | rsync-daemon om bestanden tussen servers te synchroniseren. Bestanden |
| 989Systeem | TCP | FTPS-DATA | FTP-datakanaal met impliciete TLS. Bestanden |
| 990Systeem | TCP | FTPS | FTP-besturing met impliciete TLS. Bestanden |
| 993Systeem | TCP | IMAPS | IMAP versleuteld met TLS; wat huidige mailclients gebruiken. E-mail |
| 995Systeem | TCP | POP3S | POP3 versleuteld met TLS. E-mail |
| 1080Geregistreerd | TCP | SOCKS | SOCKS-proxy; de poort die meestal wordt gekozen voor een dynamische tunnel met ssh -D. VPN en proxy's |
| 1194Geregistreerd | UDP | OpenVPN | OpenVPN-VPN; kan ook via TCP werken. VPN en proxy's |
| 1433Geregistreerd | TCP | MS SQL Server | Database-engine Microsoft SQL Server. Databases |
| 1434Geregistreerd | UDP | SQL Browser | Dienst die de poort van benoemde SQL Server-instanties doorgeeft. Databases |
| 1521Geregistreerd | TCP | Oracle | Listener van Oracle Database. Databases |
| 1701Geregistreerd | UDP | L2TP | L2TP-tunnels, meestal gecombineerd met IPsec. VPN en proxy's |
| 1723Geregistreerd | TCP | PPTPOnversleuteld | PPTP-VPN, verouderd: de authenticatie geldt sinds 2012 als gekraakt. VPN en proxy's |
| 1812Geregistreerd | UDP | RADIUS | RADIUS-authenticatie voor zakelijke wifi (802.1X) en VPN. Directory en authenticatie |
| 1813Geregistreerd | UDP | RADIUS-ACCT | RADIUS-gebruiksregistratie (accounting). Directory en authenticatie |
| 1883Geregistreerd | TCP | MQTTOnversleuteld | Onversleutelde IoT-berichten met MQTT; de TLS-versie gebruikt 8883. Spraak, video en berichten |
| 1900Geregistreerd | UDP | SSDP | UPnP-detectie van apparaten op het lokale netwerk. Netwerkdiensten |
| 1935Geregistreerd | TCP | RTMP | Livestreams versturen naar platforms als YouTube of Twitch. Spraak, video en berichten |
| 2049Geregistreerd | TCP/UDP | NFS | Netwerkbestandssysteem NFS. Bestanden |
| 2181Geregistreerd | TCP | ZooKeeper | Clustercoördinatie met Apache ZooKeeper. Containers en DevOps |
| 2222Geregistreerd | TCP | SSH (alt) | Veelgebruikte alternatieve poort voor SSH; niet officieel. Externe toegang |
| 2375Geregistreerd | TCP | Docker APIOnversleuteld | Docker-API zonder TLS: openstellen staat gelijk aan root-toegang tot de host geven. Containers en DevOps |
| 2376Geregistreerd | TCP | Docker API (TLS) | Docker-API beveiligd met wederzijdse TLS. Containers en DevOps |
| 2379Geregistreerd | TCP | etcd | Client-API van etcd, de statusdatabase van Kubernetes. Containers en DevOps |
| 2380Geregistreerd | TCP | etcd peer | Communicatie tussen de nodes van een etcd-cluster. Containers en DevOps |
| 2525Geregistreerd | TCP | SMTP (alt) | Onofficieel alternatief voor 587 dat verzenddiensten bieden als de provider poorten blokkeert. E-mail |
| 3000Geregistreerd | TCP | Node.js / Grafana | Node.js-ontwikkelservers en de webinterface van Grafana. Web en ontwikkeling |
| 3128Geregistreerd | TCP | Squid | Squid-HTTP-proxy. VPN en proxy's |
| 3260Geregistreerd | TCP | iSCSI | Externe schijven via het netwerk met iSCSI. Bestanden |
| 3268Geregistreerd | TCP | Global Catalog | Globale catalogus van Active Directory voor zoekopdrachten in het hele forest. Directory en authenticatie |
| 3269Geregistreerd | TCP | Global Catalog (TLS) | Globale catalogus van Active Directory met TLS. Directory en authenticatie |
| 3306Geregistreerd | TCP | MySQL | MySQL- en MariaDB-databases. Databases |
| 3389Geregistreerd | TCP/UDP | RDP | Windows Extern bureaublad; vaak doelwit van aanvallen als het is opengesteld. Externe toegang |
| 3478Geregistreerd | TCP/UDP | STUN / TURN | NAT-traversal voor WebRTC-videogesprekken. Spraak, video en berichten |
| 4200Geregistreerd | TCP | Angular CLI | Angular-ontwikkelserver (ng serve). Web en ontwikkeling |
| 4222Geregistreerd | TCP | NATS | Berichten tussen microservices met NATS. Containers en DevOps |
| 4500Geregistreerd | UDP | IPsec NAT-T | IPsec ingekapseld in UDP om NAT te passeren. VPN en proxy's |
| 5000Geregistreerd | TCP | Flask / Registry | Standaard voor Flask en de Docker-registry; op macOS bezet de AirPlay-ontvanger hem. Containers en DevOps |
| 5044Geregistreerd | TCP | Logstash Beats | Logstash-invoer voor Beats-agents. Containers en DevOps |
| 5060Geregistreerd | TCP/UDP | SIP | Onversleutelde signalering voor IP-telefonie. Spraak, video en berichten |
| 5061Geregistreerd | TCP | SIPS | Signalering voor IP-telefonie met TLS. Spraak, video en berichten |
| 5173Geregistreerd | TCP | Vite | Vite-ontwikkelserver. Web en ontwikkeling |
| 5222Geregistreerd | TCP | XMPP | Clientverbindingen voor XMPP-berichten (Jabber). Spraak, video en berichten |
| 5269Geregistreerd | TCP | XMPP S2S | Federatie tussen XMPP-servers. Spraak, video en berichten |
| 5349Geregistreerd | TCP | TURN (TLS) | STUN en TURN over TLS. Spraak, video en berichten |
| 5353Geregistreerd | UDP | mDNS | Multicast-DNS (Bonjour) om apparaten te vinden zonder DNS-server. Netwerkdiensten |
| 5355Geregistreerd | UDP | LLMNR | Lokale naamresolutie van Windows; beter uitschakelen vanwege spoofingrisico. Netwerkdiensten |
| 5432Geregistreerd | TCP | PostgreSQL | PostgreSQL-database. Databases |
| 5601Geregistreerd | TCP | Kibana | Webinterface van Kibana. Containers en DevOps |
| 5672Geregistreerd | TCP | AMQP | AMQP-berichtenwachtrijen, zoals RabbitMQ. Containers en DevOps |
| 5683Geregistreerd | UDP | CoAP | CoAP-protocol voor IoT-apparaten met weinig middelen. Spraak, video en berichten |
| 5900Geregistreerd | TCP | VNC | VNC-extern bureaublad; elk extra scherm telt er één bij op. Externe toegang |
| 5938Geregistreerd | TCP | TeamViewer | TeamViewer-verbindingen. Externe toegang |
| 5984Geregistreerd | TCP | CouchDB | HTTP-API van Apache CouchDB. Databases |
| 5985Geregistreerd | TCP | WinRM | Windows-beheer op afstand (PowerShell Remoting) via HTTP. Externe toegang |
| 5986Geregistreerd | TCP | WinRM (HTTPS) | Windows-beheer op afstand via HTTPS. Externe toegang |
| 6000Geregistreerd | TCP | X11 | X11-venstersysteem via het netwerk; nu getunneld via SSH. Externe toegang |
| 6379Geregistreerd | TCP | Redis | In-memory databases Redis en Valkey. Databases |
| 6443Geregistreerd | TCP | Kubernetes API | Kubernetes-API-server, waarmee kubectl verbinding maakt. Containers en DevOps |
| 6514Geregistreerd | TCP | Syslog (TLS) | Syslog over TLS. Netwerkdiensten |
| 6667Geregistreerd | TCP | IRCOnversleuteld | Onversleutelde IRC-chat; met TLS wordt 6697 gebruikt. Spraak, video en berichten |
| 7474Geregistreerd | TCP | Neo4j | HTTP-interface van de grafendatabase Neo4j; het Bolt-protocol gebruikt 7687. Databases |
| 8000Geregistreerd | TCP | HTTP (dev) | Ontwikkelservers zoals Django of python -m http.server. Web en ontwikkeling |
| 8080Geregistreerd | TCP | HTTP (alt) | Alternatief HTTP voor proxy's en applicatieservers zoals Tomcat of Jenkins. Web en ontwikkeling |
| 8081Geregistreerd | TCP | HTTP (alt) | Nog een alternatieve HTTP-poort; standaard gebruikt door Nexus Repository. Web en ontwikkeling |
| 8086Geregistreerd | TCP | InfluxDB | HTTP-API van de tijdreeksdatabase InfluxDB. Databases |
| 8123Geregistreerd | TCP | ClickHouse / Home Assistant | HTTP-interface van ClickHouse; ook de webinterface van Home Assistant. Databases |
| 8200Geregistreerd | TCP | Vault | API van HashiCorp Vault voor het beheren van geheimen. Containers en DevOps |
| 8443Geregistreerd | TCP | HTTPS (alt) | Alternatief HTTPS voor beheerpanelen en applicatieservers. Web en ontwikkeling |
| 8500Geregistreerd | TCP | Consul | HTTP-API en webinterface van HashiCorp Consul. Containers en DevOps |
| 8883Geregistreerd | TCP | MQTT (TLS) | MQTT versleuteld met TLS. Spraak, video en berichten |
| 8888Geregistreerd | TCP | Jupyter | Jupyter Notebook en JupyterLab. Web en ontwikkeling |
| 9000Geregistreerd | TCP | PHP-FPM | PHP-FPM achter Nginx; ook gebruikt door ClickHouse, SonarQube en Portainer. Web en ontwikkeling |
| 9042Geregistreerd | TCP | Cassandra | CQL-protocol van Apache Cassandra en ScyllaDB. Databases |
| 9050Geregistreerd | TCP | Tor SOCKS | SOCKS-proxy van de Tor-client. VPN en proxy's |
| 9090Geregistreerd | TCP | Prometheus | Prometheus-metriekserver. Containers en DevOps |
| 9092Geregistreerd | TCP | Kafka | Apache Kafka-brokers. Containers en DevOps |
| 9100Geregistreerd | TCP | JetDirect / node_exporter | Direct RAW-printen naar netwerkprinters; ook node_exporter van Prometheus. Netwerkdiensten |
| 9200Geregistreerd | TCP | Elasticsearch | REST-API van Elasticsearch en OpenSearch. Databases |
| 9300Geregistreerd | TCP | Elasticsearch transport | Communicatie tussen de nodes van een Elasticsearch-cluster. Databases |
| 9418Geregistreerd | TCP | GitOnversleuteld | Alleen-lezen git://-protocol, zonder authenticatie of versleuteling. Containers en DevOps |
| 10250Geregistreerd | TCP | kubelet | kubelet-API op elke Kubernetes-node. Containers en DevOps |
| 11211Geregistreerd | TCP/UDP | Memcached | Memcached-cache; via UDP misbruikt voor amplificatieaanvallen. Databases |
| 11434Geregistreerd | TCP | Ollama | Lokale Ollama-API voor het draaien van taalmodellen. Containers en DevOps |
| 15672Geregistreerd | TCP | RabbitMQ UI | Webbeheerinterface van RabbitMQ. Containers en DevOps |
| 19132Geregistreerd | UDP | Minecraft Bedrock | Servers voor Minecraft Bedrock Edition. Games |
| 25565Geregistreerd | TCP | Minecraft | Servers voor Minecraft Java Edition. Games |
| 27015Geregistreerd | TCP/UDP | Steam / Source | Gameservers op de Source-engine en Steam, zoals Counter-Strike. Games |
| 27017Geregistreerd | TCP | MongoDB | MongoDB-database. Databases |
| 32400Geregistreerd | TCP | Plex | Plex-mediaserver. Spraak, video en berichten |
| 50000Dynamisch | TCP | Db2 / Jenkins agent | Standaard voor IBM Db2; ook de verbinding van Jenkins-agents. Databases |
| 51820Dynamisch | UDP | WireGuard | Gangbare WireGuard-poort; er is geen officiële en hij is aan te passen. VPN en proxy's |
Hoe het werkt
Een poort is een 16-bitsgetal van 0 tot 65535 waarmee één IP-adres veel diensten tegelijk kan bedienen: het besturingssysteem levert elk pakket af bij het programma dat op de doelpoort luistert. TCP en UDP hebben elk hun eigen poorten, dus 53/TCP en 53/UDP zijn twee verschillende poorten, ook al gebruikt dezelfde dienst ze allebei.
IANA verdeelt het bereik in drie delen (RFC 6335). Van 0 tot 1023 de systeempoorten, toegewezen aan de klassieke protocollen, die op Linux standaard alleen een proces met rechten kan openen. Van 1024 tot 49151 de geregistreerde poorten, die applicaties bij IANA aanvragen. Van 49152 tot 65535 de dynamische poorten, die het systeem tijdelijk toewijst aan de clientkant van elke verbinding.
De tabel bundelt de poorten die een beheerder of ontwikkelaar in de praktijk tegenkomt, inclusief enkele die niet officieel zijn maar die iedereen gebruikt, zoals 8080, 3000 of 51820 van WireGuard. Een poort zegt wat er meestal draait, niet wat er draait: elke dienst kan op elk nummer luisteren, dus om te weten wat er op een machine antwoordt, moet je het de machine zelf vragen.
Voorbeelden
443/UDPHTTP/3 · QUICJarenlang was 443 alleen TCP. HTTP/3 draait op QUIC, dat UDP gebruikt, dus een firewall die alleen 443/TCP doorlaat dwingt de browser terug naar HTTP/2.ss -tulpn | grep :8080tcp LISTEN 0 100 *:8080 *:* users:(("java",pid=2314,fd=45))Op Linux toont ss welk proces op elke poort luistert. Op Windows is het equivalent netstat -ano, dat de PID geeft, of Get-NetTCPConnection in PowerShell; op macOS lsof -i :8080.sysctl net.ipv4.ip_local_port_range32768 60999Linux wijst ephemere poorten aan de clientkant standaard in dat bereik toe, niet in het door IANA aanbevolen en door Windows gebruikte bereik 49152-65535. Op een proxy of load balancer met veel uitgaande verbindingen kan dat bereik tekortschieten.Gebruiksscenario's
- Regels voor een firewall of een beveiligingsgroep in de cloud opstellen en weten wat elke dienst opent.
- Het resultaat van een poortscan van je eigen netwerk interpreteren.
- Opengestelde diensten opsporen die dat niet zouden moeten zijn, zoals SMB, RDP, Redis of de Docker-API.
- Een poort kiezen voor een nieuwe dienst zonder te botsen met een bekende.
- Een foutmelding "poort al in gebruik" begrijpen bij het starten van een ontwikkelserver of container.
- Nagaan welke protocollen in het netwerk nog onversleuteld reizen.
Veelgestelde vragen
Wat is het verschil tussen een TCP- en een UDP-poort?
TCP zet een verbinding op, garandeert dat gegevens volledig en in volgorde aankomen en verstuurt verloren gegevens opnieuw; het web, e-mail en SSH gebruiken het. UDP stuurt losse pakketten zonder bevestiging en met minder latentie; DNS, spraak, games en QUIC gebruiken het. Het zijn onafhankelijke nummerruimtes: 53/TCP openen in een firewall opent 53/UDP niet.
Hoe weet ik welk programma een poort gebruikt?
Op Linux toont ss -tulpn de luisterende poorten met het proces dat ze opende. Op Windows geeft netstat -ano de PID, die je daarna opzoekt in Taakbeheer, of gebruik Get-NetTCPConnection -LocalPort 8080 in PowerShell. Op macOS en Linux werkt ook lsof -i :8080. Toont het commando het proces niet, voer het dan uit met beheerdersrechten.
Wordt een dienst veiliger als je de poort verandert?
Nauwelijks. SSH van 22 naar 2222 verplaatsen vermindert de ruis van bots die wachtwoorden proberen op de standaardpoort, maar een volledige scan vindt de dienst binnen seconden. Echte bescherming zit in authenticatie met sleutels, beperken welke IP-adressen mogen verbinden en niets op internet zetten wat daar niet hoeft te staan.
Welke poorten mogen nooit open staan naar internet?
Beheer- en databasepoorten: SMB (445), RDP (3389), Telnet (23), databases zoals MySQL, PostgreSQL, Redis of MongoDB, de Docker-API (2375) en de kubelet (10250). Ze staan bovenaan het lijstje van geautomatiseerde scanners. Is toegang van buitenaf nodig, gebruik dan een VPN of een SSH-tunnel.
Waarom gebruikt een ontwikkelserver 8080 of 3000 en niet 80?
Omdat op Linux standaard alleen root poorten onder 1024 kan openen, en je een ontwikkelserver beter niet met rechten draait. Daarom koos elke tool een hoog nummer: 8080 voor Java-servers, 3000 voor Node.js, 4200 voor Angular, 5173 voor Vite, 8000 voor Django. In productie handelt een proxy zoals Nginx 80 en 443 af en stuurt door naar die interne poorten.