Ports TCP/IP : fonctionnement, types et communication réseau

1. Qu'est-ce qu'un port TCP/IP ?

Un port réseau est un numéro utilisé par les protocoles de transport pour identifier un point de communication sur une machine. Les ports permettent notamment de différencier plusieurs services ou communications qui utilisent la même adresse IP.

Une adresse IP permet d'identifier la destination réseau, mais elle ne suffit pas à indiquer à quel service les données doivent être remises. Le numéro de port complète donc l'adressage.

Par exemple, un serveur peut utiliser une même adresse IP pour proposer plusieurs services. Un service Web peut écouter sur le port 443 tandis qu'un autre service utilise un port différent.

Le port n'est pas un élément physique. Il ne correspond pas à une prise située à l'arrière d'un ordinateur. Il s'agit d'une notion logique utilisée par les protocoles réseau.

Les noms de services et les numéros de ports sont recensés dans le registre officiel de l'IANA. Celui-ci distingue notamment les System Ports, les User Ports et les Dynamic and/or Private Ports.

2. Adresse IP et port : quelle différence ?

Pour comprendre simplement le rôle d'un port, imaginez un immeuble.

L'adresse IP permet de localiser l'immeuble sur le réseau. Le port permet ensuite de différencier le service ou le point de communication auquel les données doivent être associées.

Une machine peut donc utiliser une seule adresse IP tout en ayant de nombreuses communications réseau simultanées, chacune pouvant être associée à des ports différents.

Cette distinction est essentielle lorsqu'on examine une connexion sous Windows : voir une adresse IP sans connaître le port, le protocole et le processus associé donne une information incomplète.

3. Qu'est-ce qu'un socket réseau ?

Le terme socket est souvent utilisé lorsqu'on parle de programmation réseau. Il désigne une extrémité de communication permettant à une application d'échanger des données à travers les mécanismes réseau du système d'exploitation.

Dans une communication TCP, on peut représenter une connexion à l'aide de plusieurs informations : adresse IP source, port source, adresse IP destination et port destination, avec le protocole TCP.

Cette combinaison permet au système d'exploitation de distinguer différentes communications simultanées.

Cette notion explique pourquoi un ordinateur peut ouvrir plusieurs connexions simultanément vers le même serveur. Les connexions peuvent être distinguées grâce à leurs différents paramètres réseau.

4. TCP et UDP : comprendre la différence

Les ports sont associés à des protocoles de transport. Les deux plus connus sont TCP et UDP.

TCP : fiabilité et ordre des données

TCP, ou Transmission Control Protocol, établit une communication orientée connexion. Il utilise différents mécanismes permettant notamment de confirmer la réception des données, de gérer leur ordre et de retransmettre certaines données lorsque cela est nécessaire.

Cette architecture est adaptée aux applications pour lesquelles la transmission fiable et ordonnée des données est importante.

UDP : simplicité et faible surcharge

UDP, ou User Datagram Protocol, est beaucoup plus simple. Il transporte des datagrammes en utilisant notamment des ports source et destination, mais ne fournit pas les mêmes mécanismes de fiabilité et d'ordre que TCP.

UDP peut donc être utilisé lorsque l'application privilégie la simplicité, la rapidité ou une gestion de la fiabilité directement au niveau applicatif.

Il ne faut donc pas considérer UDP comme une version « moins sécurisée » de TCP. Les deux protocoles répondent à des besoins différents et la sécurité dépend également du protocole applicatif et de sa configuration.

5. Port source et port destination

Une communication réseau comporte généralement un port source et un port destination.

Le port destination correspond au service que la machine distante doit contacter. Le port source permet notamment au système de distinguer la communication du côté de l'émetteur.

Lorsqu'un navigateur ouvre plusieurs connexions, il peut donc utiliser plusieurs ports source différents tout en contactant le même port de destination sur un serveur.

Cette distinction explique une partie des informations affichées par netstat et par les outils d'analyse réseau.

6. Comment se déroule une communication réseau ?

Lorsqu'une application communique sur un réseau IP, plusieurs couches interviennent. Une application produit des données, le protocole de transport ajoute notamment les informations nécessaires à la communication, puis IP permet leur acheminement entre les réseaux.

Dans le cas d'une communication TCP, le système établit d'abord une connexion avant l'échange normal des données. Le mécanisme de démarrage de TCP est généralement appelé three-way handshake.

Le principe du three-way handshake TCP

1. Le client envoie un segment SYN pour demander l'établissement d'une connexion.
2. Le serveur répond avec SYN-ACK.
3. Le client répond avec ACK.

La connexion TCP peut ensuite être utilisée pour transférer les données de l'application.

Cette procédure permet aux deux extrémités de synchroniser certains paramètres nécessaires au fonctionnement de la connexion.

7. Les plages de ports TCP et UDP

Les numéros de ports vont de 0 à 65535. Cette plage correspond au champ de 16 bits utilisé pour représenter le numéro de port dans TCP et UDP.

L'IANA répartit actuellement les numéros en trois grandes catégories.

Le port 0 est réservé. Il ne faut donc pas interpréter la plage 0 à 65535 comme une liste de 65 536 services utilisables librement.

8. Les principaux ports réseau à connaître

Certains ports reviennent régulièrement lorsqu'on analyse un réseau ou les connexions d'un ordinateur.

Cette liste n'est pas exhaustive. Un service peut également être configuré pour utiliser un autre port que celui généralement associé à son protocole.

Il faut donc éviter de déduire automatiquement la nature d'un programme à partir d'un simple numéro de port.

9. À quoi servent les ports dynamiques ?

Lorsqu'un ordinateur client établit une connexion sortante, il doit pouvoir distinguer cette communication des autres connexions déjà actives.

Le système peut donc utiliser un port source dynamique. Ces ports sont particulièrement fréquents sur les ordinateurs personnels et les serveurs qui établissent de nombreuses connexions.

Par exemple, un navigateur peut établir plusieurs communications simultanées vers différents serveurs Web. Chaque connexion peut utiliser un port source différent sur l'ordinateur local.

10. Ports, IPv4 et IPv6

Les ports fonctionnent avec les protocoles de transport et ne sont pas réservés à IPv4. Ils peuvent également être utilisés avec IPv6.

La différence essentielle entre IPv4 et IPv6 concerne notamment la représentation et l'espace d'adressage des adresses IP. Le mécanisme de port reste utilisé pour distinguer les services et communications au niveau transport.

Vous pouvez donc rencontrer dans les outils Windows des adresses IPv4 comme 192.168.1.25 ou des adresses IPv6 beaucoup plus longues.

Une connexion IPv6 ne doit donc pas être considérée comme suspecte simplement parce que l'adresse ne ressemble pas à une adresse IPv4 classique.

11. Ports et NAT : le rôle de la box Internet

Dans de nombreux réseaux domestiques, plusieurs appareils utilisent une seule adresse IPv4 publique fournie par le fournisseur d'accès à Internet. Le NAT permet notamment de traduire les communications entre le réseau privé et le réseau public.

Votre ordinateur peut par exemple avoir une adresse privée comme 192.168.1.25, tandis que votre box possède une adresse publique utilisée pour communiquer avec Internet.

La box maintient alors les informations nécessaires pour associer les communications internes aux communications externes.

Pourquoi cela compte pour les ports ?

Un service qui écoute sur le port 443 de votre ordinateur n'est pas automatiquement accessible depuis Internet. L'accessibilité dépend notamment de la configuration de la box, du NAT, d'une éventuelle redirection de port et des règles de pare-feu.

Une redirection de port peut volontairement rendre un service interne accessible depuis l'extérieur. Elle doit donc être configurée uniquement lorsque cela est nécessaire et avec les protections adaptées.

La sécurité du réseau domestique passe également par la configuration correcte du Wi-Fi et de la box. Notre guide consacré à la sécurisation du réseau Wi-Fi complète cette partie.

12. Port ouvert, fermé, filtré ou en écoute

Port en écoute

Lorsqu'un service TCP attend des connexions entrantes, le système peut afficher l'état LISTENING. Cela signifie qu'un processus est en attente de nouvelles connexions.

Port ouvert

Dans le langage courant, un port ouvert désigne généralement un port sur lequel un service accepte des communications. Mais il faut toujours préciser depuis quel réseau le port est considéré comme accessible.

Port fermé

Un port fermé signifie généralement qu'aucun service n'accepte actuellement de connexion sur ce port depuis le point de vue du système ou du réseau testé.

Port filtré

Un port peut également être filtré. Dans ce cas, un pare-feu ou un autre équipement intermédiaire peut empêcher de déterminer directement si un service est présent ou empêcher l'établissement de la communication.

13. Un port ouvert est-il dangereux ?

Un port ouvert n'est pas automatiquement dangereux. Il faut identifier le service qui l'utilise, son niveau d'exposition et sa configuration.

Un serveur Web qui écoute volontairement sur le port 443 n'est pas dans la même situation qu'un logiciel inconnu installé sur un ordinateur personnel et qui ouvre soudainement un service accessible depuis Internet.

Le niveau de risque dépend donc du contexte. Il faut notamment considérer la présence éventuelle d'une vulnérabilité, l'authentification, le chiffrement, les restrictions d'accès et la maintenance du logiciel.

La présence d'un numéro de port connu ne constitue pas une garantie de sécurité. L'IANA précise qu'un numéro enregistré ne signifie pas que le trafic observé est légitime ni qu'il correspond nécessairement au service associé au numéro.

14. Le rôle du pare-feu

Le pare-feu constitue une couche de filtrage capable d'autoriser ou de bloquer certaines communications selon des règles définies par le système ou l'administrateur.

Il peut notamment prendre en compte le programme concerné, le protocole, les adresses réseau, les profils réseau et les conditions définies dans les règles de filtrage.

Le pare-feu ne doit cependant pas être considéré comme une protection magique. Il ne corrige pas une vulnérabilité logicielle, ne remplace pas les mises à jour et ne détecte pas nécessairement tous les comportements malveillants.

Pour approfondir ce sujet, consultez notre article sur le pare-feu informatique.

Il est également important de maintenir Windows et les logiciels à jour afin de réduire l'exposition aux vulnérabilités connues. Notre guide sur les mises à jour de Windows présente les principales bonnes pratiques.

15. Comment voir les ports utilisés sous Windows ?

Windows possède plusieurs outils permettant de surveiller les connexions réseau. Parmi les plus utiles figurent :

• netstat dans l'invite de commandes ;
• PowerShell avec les commandes réseau intégrées ;
• Moniteur de ressources ;
• Gestionnaire des tâches pour retrouver un processus à partir de son PID ;
• des outils spécialisés de diagnostic réseau.

Lorsqu'une connexion est observée, il est particulièrement utile de relever :

• l'adresse IP locale ;
• le port local ;
• l'adresse IP distante ;
• le port distant ;
• le protocole ;
• l'état de la connexion ;
• le PID du processus ;
• le nom et l'emplacement du programme concerné.

Une analyse sérieuse doit toujours mettre ces informations en relation. Une adresse IP inconnue ou un port inhabituel ne suffit pas à conclure qu'un ordinateur est infecté.

16. Utiliser netstat pour analyser les connexions

netstat permet d'afficher les connexions réseau et différents ports utilisés par Windows.

Ouvrez l'invite de commandes puis utilisez :

netstat -ano

Pour rechercher plus facilement les ports TCP en écoute :

netstat -ano | findstr LISTENING

La dernière colonne correspond notamment au PID du processus associé. Vous pouvez ensuite rechercher ce PID dans le Gestionnaire des tâches afin d'identifier le programme concerné.

Exemple d'interprétation

TCP    0.0.0.0:443    0.0.0.0:0    LISTENING    1234

Dans cet exemple fictif, un processus identifié par le PID 1234 écoute sur le port 443. L'adresse 0.0.0.0 indique que l'écoute est associée aux interfaces IPv4 disponibles, sous réserve de la configuration du système.

Il faut ensuite identifier le processus avant de décider si cette écoute est normale ou nécessite une investigation.

17. Vérifier les connexions avec PowerShell

PowerShell fournit également des commandes permettant d'obtenir des informations détaillées sur les connexions TCP.

Get-NetTCPConnection

Pour rechercher uniquement les connexions établies :

Get-NetTCPConnection -State Established

Lorsqu'un PID est connu, il est possible de rechercher les connexions associées à ce processus :

Get-NetTCPConnection -OwningProcess 1234

Remplacez 1234 par le PID réellement affiché sur votre ordinateur.

Ces commandes sont particulièrement utiles pour comprendre quelles applications utilisent le réseau et pour distinguer une connexion sortante normale d'un service local en écoute.

18. Comment analyser un port inconnu ?

Lorsqu'un utilisateur découvre un port qu'il ne reconnaît pas, la première erreur serait de conclure immédiatement à une infection.

Il vaut mieux procéder méthodiquement.

Il faut également vérifier si le service est accessible uniquement localement, sur le réseau domestique ou depuis Internet.

Un programme connu qui communique vers un serveur distant sur le port 443 peut être parfaitement normal. À l'inverse, un exécutable inconnu situé dans un emplacement inhabituel et qui écoute sur une interface réseau mérite une analyse plus approfondie.

En cas de comportement réellement suspect, il est préférable de réaliser une analyse globale du système plutôt que de se concentrer uniquement sur le port observé.

19. Comment sécuriser les ports réseau ?

Limiter les services inutiles

Un service qui n'est pas nécessaire n'a généralement aucune raison d'être exposé. Il est donc préférable de limiter les services accessibles au strict nécessaire.

Utiliser correctement le pare-feu

Le pare-feu doit être activé et configuré selon les besoins du système et du réseau.

Éviter les redirections de ports inutiles

Une redirection de port sur une box peut exposer un service interne à Internet. Elle doit être créée uniquement lorsque son utilisation est comprise et nécessaire.

Maintenir les logiciels à jour

Les services réseau peuvent être concernés par des vulnérabilités. Les mises à jour réduisent notamment l'exposition aux failles déjà corrigées par les éditeurs.

Utiliser des logiciels provenant de sources fiables

Un logiciel malveillant peut établir des communications réseau ou installer un service. La prudence lors des téléchargements reste donc importante.

Les fausses applications et les campagnes de malvertising constituent notamment un moyen de distribuer des programmes indésirables. Consultez notre guide sur les fausses applications IA pour mieux comprendre ce type de menace.

Sécuriser également le réseau local

Un PC ne doit pas être considéré isolément. La box, le Wi-Fi, les autres ordinateurs et les objets connectés peuvent également influencer la sécurité du réseau.

20. Les erreurs fréquentes concernant les ports

« Un port ouvert signifie que j'ai un virus »

Non. De nombreux services légitimes utilisent des ports en écoute.

« Tous les ports élevés sont dangereux »

Non. Les ports dynamiques sont couramment utilisés par les ordinateurs clients pour leurs communications sortantes.

« Le port 443 garantit que la connexion est sûre »

Non. Le port 443 est couramment associé à HTTPS, mais le numéro de port ne suffit pas à juger la fiabilité de la communication.

« Il faut fermer tous les ports »

Non. Le fonctionnement normal de nombreux logiciels et services nécessite des communications réseau. La bonne approche consiste à contrôler les services et leurs accès.

« Une adresse IP inconnue est forcément celle d'un pirate »

Non. Une application peut communiquer avec des serveurs cloud, des CDN, des infrastructures de mise à jour ou des services tiers dont l'adresse IP n'est pas immédiatement reconnaissable.

« TCP/IP est un seul protocole »

Non. TCP/IP désigne une suite de protocoles. IP intervient notamment pour l'adressage et l'acheminement tandis que TCP est un protocole de transport. UDP est un autre protocole de transport.

21. FAQ sur les ports TCP/IP

Conclusion : les ports TCP/IP sont essentiels au fonctionnement des réseaux

Les ports TCP/IP permettent aux ordinateurs et aux équipements réseau de distinguer les différents services et communications qui utilisent une même machine. Ils constituent donc un élément fondamental du fonctionnement d'Internet et des réseaux locaux.

Comprendre la différence entre adresse IP, port, protocole, socket, port source et port destination permet de mieux interpréter les connexions affichées sur un ordinateur.

Il faut également retenir qu'un numéro de port ne permet jamais, à lui seul, de déterminer si une connexion est légitime ou malveillante. Pour analyser correctement une communication, il faut examiner le service, le processus, le protocole, l'adresse distante, l'état de la connexion et son niveau d'exposition.

Cette compréhension devient particulièrement utile lorsqu'on configure un pare-feu, une box Internet, une redirection de port ou lorsqu'on cherche à diagnostiquer une connexion inhabituelle sous Windows.

Articles recommandés