المنافذ الشبكية والمقابس في الشبكاتNetwork Ports and Sockets

تخيّل عمارة سكنية ضخمة تحمل عنواناً بريدياً واحداً في الشارع؛ عندما يصل ساعي البريد إلى البوابة الرئيسية للعمارة، لا يكفي عنوان الشارع وحده لمعرفة أي ساكن يخصه الخطاب، بل لا بد من وجود رقم الشقة مكتوباً على الظرف. في شبكات الحاسوب، يمثل عنوان البروتوكول (IP Address) عنوان العمارة على الإنترنت، بينما يمثل رقم المنفذ الشبكي (Network Port) رقم الشقة أو البوابة الداخلية الدقيقة داخل نظام التشغيل.

ففي اللحظة الواحدة، يشغّل حاسوبك عشرات البرامج المتصلة بالشبكة معاً — مثل متصفح الويب، ومحرّر الأكواد، وخادم قواعد البيانات المحلي، وتطبيق المحادثات الصوتية — وكلها تتشارك عنوان IP واحداً فقط. هنا يأتي دور المنفذ الشبكي (Port)، وهو رقم منطقي برمجي بطول 16 بت (يتراوح من 0 إلى 65535) يُكتب داخل رأس حزمة طبقة النقل (TCP أو UDP) ليُمكّن نظام التشغيل من إنجاز مهمتين حاسمتين:

• تجميع التدفقات عند الإرسال ()‏: استلام البيانات الصادرة من عدة تطبيقات مختلفة على جهازك، ودمغ كل حزمة برقم منفذ المصدر ومنفذ الوجهة، ثم إرسالها عبر بطاقة شبكة واحدة.
• توزيع الحزم عند الاستلام ()‏: قراءة حقل منفذ الوجهة (Destination Port) فور وصول الحزمة من الشبكة، وتسليم محتواها مباشرةً إلى البرنامج الصحيح الذي يستمع على ذلك المنفذ دون اختلاط بين بيانات المتصفح وبيانات البرامج الأخرى.
• استقلال فضاء منافذ TCP عن UDP: يمتلك بروتوكول TCP قائمة منافذ مستقلة تماماً عن قائمة منافذ UDP؛ أي أن المنفذ والمنفذ هما بوابتان برمجيتان منفصلتان يمكن تشغيلهما معاً في الوقت نفسه دون أي تعارض.

لأن حقل رقم المنفذ في رأسي TCP وUDP يتكون من 16 بت، فإن العدد الإجمالي للمنافذ الممكنة هو $2^{16} = 65,536$ منفذاً (تبدأ من 0 وتنتهي عند 65535). ولمنع الفوضى وتضارب البرامج، قسّمت هيئة أرقام الإنترنت المخصصة (IANA في المعيار القياسي RFC 6335) هذا الفضاء إلى ثلاثة نطاقات رسمية:

• 1. المنافذ القياسية المعروفة أو منافذ النظام (Well-Known / System Ports: 0 – 1023): مخصصة للبروتوكولات العالمية الأساسية مثل الويب HTTP (80) وHTTPS (443)، والإدارة الآمنة SSH (22)، ونظام النطاقات DNS (53). تشترط أنظمة التشغيل صلاحيات مدير النظام (root / Administrator) لفتح خدمة تستمع على أي منفذ أقل من 1024، وذلك لمنع أي برنامج غير موثوق من انتحال صفة خدمات النظام الأساسية (بينما يُحجز المنفذ 0 برمجياً لطلب تخصيص منفذ متاح تلقائياً من النواة).
• 2. المنافذ المسجلة أو منافذ المستخدم (Registered / User Ports: 1024 – 49151): تُسجّل لدى IANA لصالح أنظمة قواعد البيانات والتطبيقات الشهيرة وأطر تطوير الويب — مثل MySQL (3306)، وPostgreSQL (5432)، وRDP (3389)، وخوادم التطوير (3000 و5173 و8000 و8080). ويمكن لأي حساب مستخدم عادي تشغيل برامجه عليها دون الحاجة لصلاحيات الجذر.
• 3. المنافذ الديناميكية أو المؤقتة للعميل (Dynamic / Ephemeral Ports: 49152 – 65535): لا تُحجز لأي خادم ثابت؛ بل يستخدمها نظام التشغيل تلقائياً عندما يفتح جهازك اتصالاً خارجياً (مثل فتح موقع في المتصفح)، فيمنح المتصفح منفذاً مؤقتاً (Ephemeral Source Port) من هذا النطاق ليستقبل عليه رد الخادم، ثم يحرره فور إغلاق الاتصال.

يوضح المخطط الهندسي الآتي تقسيم النطاقات الثلاثة للمنافذ الشبكية ووظيفة كل نطاق:

سواء كنت ترفع موقع ويب على خادم سحابي، أو تضبط قواعد جدار الحماية (Firewall)، أو تفحص حركة الشبكة في اختبار أمني، فإن حفظ أشهر أرقام المنافذ القياسية وبروتوكول النقل الخاص بكل منها يُعد مهارة يومية أساسية:

• منافذ الويب وتطبيقات الإنترنت:
  • المنفذ 80 (TCP — HTTP): المنفذ الافتراضي لتصفح الويب غير المشفر.
  • المنفذ 443 (TCP وUDP — HTTPS / HTTP/3): المنفذ القياسي للويب المشفر عبر TLS/TCP وكذلك للجيل الثالث HTTP/3 العامل عبر QUIC/UDP.
• منافذ الإدارة عن بُعد ونقل الملفات:
  • المنفذان 20 / 21 (TCP — FTP): بروتوكول نقل الملفات التقليدي (المنفذ 21 لأوامر التحكم والمنفذ 20 لنقل البيانات).
  • المنفذ 22 (TCP — SSH / SFTP): القناة المشفرة القياسية لإدارة الخوادم عن بُعد ونقل الملفات بأمان.
  • المنفذ 23 (TCP — Telnet): بروتوكول إدارة قديم غير مشفر يرسل كلمات المرور كنص واضح، ويجب تعطيله دائماً واستبداله بـ SSH.
  • المنفذ 3389 (TCP / UDP — RDP): سطح المكتب البعيد في أنظمة ويندوز (ويجب عدم كشفه للإنترنت العام مباشرةً دون شبكة خاصة VPN).
• منافذ البنية التحتية للشبكة والبريد الإلكتروني:
  • المنفذ 53 (UDP / TCP — DNS): ترجمة أسماء النطاقات (يعتمد على UDP للاستعلامات السريعة وعلى TCP للردود الكبيرة ومزامنة السجلات).
  • المنفذان 67 / 68 (UDP — DHCP): التوزيع التلقائي لعناوين IP (يستمع الخادم على 67 ويستقبل العميل على 68).
  • المنفذ 123 (UDP — NTP): مزامنة الوقت الشبكي بين الخوادم.
  • المنافذ 25 و465 و587 (SMTP) و110 / 995 (POP3) و143 / 993 (IMAP): منافذ إرسال واستقبال البريد الإلكتروني عبر TCP.
• منافذ قواعد البيانات ومشاركة الملفات الداخلية:
  • المنفذ 445 (TCP — SMB): مشاركة الملفات والطابعات في الشبكة المحلية (ومن أخطر المنافذ إذا تُرك مفتوحاً للإنترنت).
  • المنفذ 3306 (MySQL / MariaDB) والمنفذ 5432 (PostgreSQL) والمنفذ 6379 (Redis): منافذ قواعد البيانات والتخزين المؤقت التي يجب عزلها دائماً داخل الشبكة الداخلية للخادم.

يلخص الجدول المرجعي التالي أشهر هذه المنافذ كما تُسجّل في ملف /etc/services القياسي داخل أنظمة التشغيل:

عندما تزور موقعاً عاماً على الإنترنت مثل https://www.closetag.com، فإنك لا تكتب رقم المنفذ في شريط العنوان لأن المتصفح يعوض تلقائياً بالمنفذ الافتراضي 80 لبروتوكول http والمنفذ 443 لبروتوكول https. لكن أثناء برمجة وتطوير المواقع على حاسوبك الشخصي (localhost أو 127.0.0.1)، ستلاحظ أن أطر العمل تشغّل خوادم التطوير دائماً على منافذ مسجلة مرتفعة مثل 3000 أو 5173 أو 8000 أو 8080:

• لماذا تتجنب بيئات التطوير المنفذين 80 و443؟ لأن المنافذ الأقل من 1024 تتطلب صلاحيات مدير النظام (root / Administrator)، كما أن المنفذ 80 قد يكون محجوزاً مسبقاً لخادم مثل Apache أو Nginx؛ لذا فإن تشغيل أدوات التطوير في نطاق المنافذ المسجلة () أكثر أماناً ولا يحتاج لصلاحيات إدارية.
• أشهر منافذ خوادم التطوير المحلية:
  • — المنفذ الافتراضي لتطبيقات Node.js وExpress وReact وNext.js.
  • — المنفذ الافتراضي لأداة البناء السريعة Vite.
  • — المنفذ الافتراضي لإطار Laravel (الأمر php artisan serve) وإطار Django وخادم بايثون المحلي.
  • و — المنافذ البديلة الشهيرة لـ HTTP/HTTPS وخوادم Spring Boot وTomcat.
• تأثير رقم المنفذ على سياسة المصدر الواحد في المتصفح ()‏: يحسب المتصفح هوية الموقع (Origin) من ثلاثية: البروتوكول + اسم النطاق + رقم المنفذ. هذا يعني أن واجهة أمامية تعمل على وتخاطب واجهة برمجية خلفية على تُعامل في المتصفح كاتصال بين مصدرين مختلفين (Cross-Origin) لمجرد اختلاف رقم المنفذ!

بينما يمثل رقم المنفذ مجرد عدد منطقي، فإن المقبس الشبكي (Network Socket) هو نقطة النهاية البرمجية الحية التي ينشئها نظام التشغيل لربط التطبيق بالشبكة، ويتكون عنوان المقبس (Socket Address) من دمج عنوان IP + رقم المنفذ (مثل ):

• النوعان الأساسيان لمقابس الإنترنت:
  • مقابس التدفق المتصل (Stream Sockets — SOCK_STREAM): تعتمد على بروتوكول TCP لنقل تدفق بايتات موثوق ومرتب.
  • مقابس الحزم المستقلة (Datagram Sockets — SOCK_DGRAM): تعتمد على بروتوكول UDP لإرسال رسائل مستقلة فورية دون فتح جلسة.
• الخماسية الفريدة للاتصال (The 5-Tuple) — كيف يخدم المنفذ 443 عشرات آلاف الزوار في اللحظة نفسها؟ يتساءل الكثير من المبتدئين: "إذا كان خادم الويب يستمع على المنفذ 443، فلماذا لا ينشغل هذا المنفذ بمجرد دخول الزائر الأول؟". الجواب الهندسي هو أن نواة نظام التشغيل لا تميز الاتصال برقم منفذ الخادم وحده، بل عبر البصمة الخماسية الفريدة (5-Tuple):
  [1. نوع البروتوكول + 2. عنوان IP للمصدر + 3. منفذ المصدر المؤقت + 4. عنوان IP للوجهة + 5. منفذ الوجهة].
  فعندما يقبل مقبس الاستماع العام (Listening Socket) على المنفذ 443 زائراً جديداً، ينشئ النظام مقبس محادثة فرعياً مخصصاً للبصمة الخماسية لهذا الزائر، ويبقى منفذ الاستماع 443 متاحاً لاستقبال آلاف الزوار الآخرين! بل حتى لو فتحت تبويبين في متصفحك لنفس الموقع من نفس الحاسوب، سيأخذ التبويب الأول منفذ مصدر مؤقتاً مثل 52410 والتبويب الثاني 52411، فتكون لكل تبويب خماسية مستقلة تماماً.

تأمّل المخطط الهندسي الآتي الذي يوضح تكوين مقبس العميل ومقبس الخادم والبصمة الخماسية (5-Tuple):

عندما يفحص مهندس النظم أو مختبر الأمن السيبراني منافذ خادم معين للتحقق من جاهزيته أو تدقيق حمايته، يصنّف كل منفذ في واحدة من ثلاث حالات رئيسية:

• 1. منفذ مفتوح (Open Port — LISTENING): يوجد برنامج خادم نشط مرتبط بالمنفذ وينتظر استقبال الاتصالات؛ فعند إرسال حزمة استكشاف TCP SYN إليه، يرد الخادم فوراً بحزمة SYN-ACK معلناً قبول الاتصال.
• 2. منفذ مغلق (Closed Port — Connection Refused): تصل الحزمة إلى نظام تشغيل الخادم دون أن يمنعها جدار حماية، ولكن لا يوجد أي برنامج يستمع على هذا المنفذ حالياً. عندئذٍ يرد نظام التشغيل فوراً برفض صريح: إما بإرسال مقطع TCP RST (إعادة ضبط) في حالة TCP، أو رسالة ICMP Port Unreachable في حالة UDP. أمنياً، يدل المنفذ المغلق على أن الخادم موجود ومتصل بالشبكة لكن الخدمة غير مشغّلة عليه.
• 3. منفذ مفلتر أو محجوب (Filtered Port — Firewall Drop): يعترض جدار الحماية (Firewall) الحزمة القادمة ويسقطها بصمت تام (DROP) دون إرسال أي رد للمرسل؛ فينتظر المرسل حتى تنتهي مهلة الاتصال (Connection Timeout) دون أن يتمكن من معرفة ما إذا كان المنفذ مفتوحاً أم مغلقاً خلف الجدار الناري.

يقارن المخطط الهندسي الآتي بين استجابة الشبكة في الحالات الثلاث (Open وClosed وFiltered):

يوفر كل نظام تشغيل أدوات سطر أوامر مدمجة تتيح لك فحص جميع المنافذ المفتوحة والمقابس النشطة على جهازك في ثوانٍ، ومعرفة معرّف العملية (PID) واسم البرنامج الذي يحجز كل منفذ:

• في أنظمة لينكس (الأمر ss -tulnp): الأداة الحديثة لعرض إحصائيات المقابس مباشرةً من النواة؛ حيث تعني الرايات: -t لعرض منافذ TCP، و-u لمنافذ UDP، و-l للمنافذ التي في حالة استماع (LISTEN)، و-n لعرض أرقام المنافذ والعناوين رقمياً بدقة، و-p لإظهار اسم البرنامج ورقم عمليته PID.
• في أنظمة ويندوز (الأمر netstat -ano): يعرض جميع المنافذ والمقابس النشطة رقمياً مع عمود معرّف العملية (PID) لمعرفة البرنامج المسؤول عن كل اتصال.

تأمّل مخرجات الأمر ss -tulnp الواقعية التالية على خادم لينكس، ولاحظ الفرق الدقيق في عمود العنوان المحلي (Local Address:Port):

وفي أنظمة ويندوز، يعرض الأمر netstat -ano جدول المقابس النشطة وحالتها ومعرّف العملية المالكة لكل منفذ كما يلي:

يمثل كل منفذ مفتوح على بطاقة الشبكة العامة بوابة دخول محتملة إلى خادمك، وهو ما يُعرف في الأمن السيبراني باسم سطح الهجوم (Attack Surface). يساعدك إتقان إدارة المنافذ على حل أشهر أخطاء البرمجة اليومية وتأمين خوادمك باحترافية:

• الفرق الأمني الحاسم بين الربط بـ 127.0.0.1 والربط بـ 0.0.0.0:
  • عند ربط الخدمة بالعنوان المحلي (أو ::1 في IPv6)، فإنها تستمع حصرياً داخل دائرة الاسترجاع الداخلية للجهاز؛ فلا يستطيع أي جهاز آخر في الشبكة المحلية أو الإنترنت الوصول إليها مطلقاً. لذلك يجب دائماً ربط قواعد البيانات (مثل MySQL 3306 وPostgreSQL 5432 وRedis 6379) وخوادم التطوير المحلية بالعنوان 127.0.0.1.
  • أما عند ربط الخدمة بالعنوان الشامل ، فإنها تستمع على جميع بطاقات الشبكة المتصلة بالجهاز؛ فإذا شغّلت خادم تطوير مع الخيار وأنت متصل بشبكة عامة، يصبح مشروعك مكشوفاً لأي جهاز على نفس الشبكة!
• حل مشكلة تعارض المنافذ (Address already in use / EADDRINUSE): لا يسمح نظام التشغيل لبرنامجين بالاستماع على نفس (البروتوكول + عنوان IP + رقم المنفذ) في اللحظة نفسها. فإذا ظهرت لك رسالة الخطأ الشهيرة EADDRINUSE عند تشغيل مشروعك على المنفذ 3000 أو 8000، فهذا يعني وجود عملية سابقة لا تزال تحجز المنفذ في الخلفية؛ ويمكنك كشف رقمها PID بالأمر ss -tulnp أو netstat -ano وإيقافها أو تشغيل المشروع الثاني على منفذ آخر.
• قاعدة الحجب الافتراضي وتقليص المنافذ المكشوفة: أوقف أي خدمة غير مستخدمة على الخادم، واضبط جدار الحماية (مثل UFW في لينكس) على سياسة منع جميع الاتصالات الواردة افتراضياً (Default Deny Incoming)، مع السماح فقط بالمنافذ العامة الضرورية للعمل (مثل 80 و443، وتقييد منفذ الإدارة 22).

جرّب المعمل التفاعلي الآتي لاختبار البصمة الخماسية 5-Tuple، والفرق بين 127.0.0.1 و0.0.0.0، ومعالجة خطأ تعارض المنفذ EADDRINUSE: