Ferramenta gratuita
91 portas, faixas e protocolos conferidos no registro da IANA e nos RFCs, com o que é padrão oficial e o que é só costume de cada software.
91 entradas na tabela.
Sinalização (SIP, IAX2, H.323, MGCP, SCCP), mídia (RTP e SRTP), travessia de NAT (STUN e TURN) e as portas de gerência dos PBX.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 5060 | UDP e TCP | SIPserviço: sip | Sinalização de chamadas e registro de ramais e troncos SIP. | IANARFC 3261 | Bidirecional (ramal → PBX; PBX ↔ operadora) | Sinalização em texto claro. Não abra 5060 para a internet inteira: restrinja aos IPs da operadora ou use SBC e VPN; é alvo de varredura constante. |
| 5061 | TCP | SIPS (SIP sobre TLS)serviço: sips | Sinalização SIP cifrada com TLS. | IANARFC 3261 | Bidirecional (ramal → PBX; PBX ↔ operadora) | SIP sobre TLS. Cifra só a sinalização: a voz continua aberta se a mídia não for SRTP. O registro também lista 5061/udp, mas TLS roda em TCP. |
| 5080 | UDP e TCP | SIP (perfil external do FreeSWITCH) | Perfil SIP do FreeSWITCH voltado para operadoras e troncos. | Convençãovars.xml do FreeSWITCH (external_sip_port) | Bidirecional (FreeSWITCH ↔ operadora) | Padrão do FreeSWITCH: perfil internal na 5060 (ramais) e external na 5080 (troncos), com TLS em 5081. Na IANA, 5080 é de outro serviço. |
| 5004 | UDP | RTP (par padrão do perfil AVP)serviço: avt-profile-1 | Porta registrada para o fluxo RTP de aplicações que querem um par fixo. | IANARFC 3551 | Bidirecional | Pouco usada em telefonia: PBX e telefones abrem uma porta por chamada dentro de uma faixa. O próprio RFC diz que não se pode exigir porta fixa. |
| 5005 | UDP | RTCP (par padrão do perfil AVP)serviço: avt-profile-2 | Relatórios de controle (perda, jitter, atraso) do par RTP 5004. | IANARFC 3551 | Bidirecional | O RTCP usa a porta seguinte à do RTP, salvo quando o SDP traz a=rtcp ou a=rtcp-mux (RTP e RTCP na mesma porta, RFC 5761). |
| 10000–20000 | UDP | RTP e RTCP do Asterisk | Faixa de onde o Asterisk tira as portas de mídia de cada chamada. | Convençãortp.conf de exemplo do Asterisk (rtpstart e rtpend) | Bidirecional | RTP usa faixa configurável, não é fixa: a porta de cada chamada vem na linha m= do SDP. Sem rtp.conf, o padrão compilado é 5000 a 31000. Libere a faixa só para quem fala com o PBX. |
| 16384–32768 | UDP | RTP e RTCP do FreeSWITCH | Faixa de onde o FreeSWITCH tira as portas de mídia de cada chamada. | Convençãoswitch_rtp.c (RTP_START_PORT e RTP_END_PORT) e switch.conf.xml do FreeSWITCH | Bidirecional | Faixa configurável em switch.conf.xml (rtp-start-port e rtp-end-port). A porta usada em cada chamada é negociada no SDP. |
| Negociada | UDP | SRTP | Mídia de voz e vídeo cifrada. | NegociadaRFC 3711 | Bidirecional | SRTP não tem porta própria: usa a mesma faixa do RTP, com a porta negociada no SDP (perfil RTP/SAVP; chave por a=crypto, RFC 4568, ou DTLS-SRTP, RFC 5763). |
| 4000–4999 | UDP | T.38 (UDPTL) do Asterisk | Faixa de portas para fax T.38 sobre UDPTL no Asterisk. | Convençãoudptl.conf de exemplo do Asterisk (udptlstart e udptlend) | Bidirecional | O T.38 entra por re-INVITE com m=image no SDP, que diz a porta. Esquecer esta faixa no firewall é causa clássica de fax que só falha na troca para T.38. |
| 4569 | UDP | IAX2serviço: iax | Protocolo do Asterisk para troncos entre servidores: sinalização e mídia juntas. | IANARFC 5456 | Bidirecional (PBX ↔ PBX) | Sinalização e voz na mesma porta UDP, o que facilita NAT. A IANA também lista 4569/tcp, mas o IAX2 roda só em UDP. |
| 2427 | UDP | MGCP (gateway)serviço: mgcp-gateway | Porta em que o gateway de mídia recebe comandos do call agent. | IANARFC 3435 | Call agent → gateway | Comum em gateways Cisco controlados pelo CUCM. A mídia é RTP em faixa dinâmica. |
| 2727 | UDP | MGCP (call agent)serviço: mgcp-callagent | Porta em que o call agent recebe notificações dos gateways. | IANARFC 3435 | Gateway → call agent | As duas portas andam juntas: 2427 no gateway e 2727 no call agent. |
| 1720 | TCP | H.323 (sinalização H.225.0)serviço: h323hostcall | Estabelecimento de chamadas H.323 (mensagens Q.931). | IANAITU-T H.225.0 | Bidirecional (terminal ou gateway ↔ gateway) | Só a abertura da chamada usa porta fixa: o controle H.245 e a mídia usam portas dinâmicas. Firewall sem inspeção de H.323 costuma quebrar o áudio. |
| 1719 | UDP | H.323 RAS (gatekeeper)serviço: h323gatestat | Registro, admissão e status de terminais junto ao gatekeeper. | IANAITU-T H.225.0 | Terminal → gatekeeper | Só existe se houver gatekeeper na rede. |
| 1718 | UDP | H.323 descoberta de gatekeeperserviço: h323gatedisc | Descoberta automática do gatekeeper por multicast. | IANAITU-T H.225.0 | Terminal → rede local (multicast) | Fica dentro da rede local; não há motivo para liberar na borda. |
| 2944 | UDP e TCP | H.248/Megaco (texto)serviço: megaco-h248 | Controle de gateways de mídia por um media gateway controller, em codificação texto. | IANAITU-T H.248.1 | Controlador ↔ gateway | Usado em redes de operadora e IMS. A codificação binária usa a 2945. |
| 2945 | UDP e TCP | H.248/Megaco (binário)serviço: h248-binary | Controle de gateways de mídia em codificação binária (ASN.1). | IANAITU-T H.248.1 | Controlador ↔ gateway | Mesma função da 2944, em outra codificação. |
| 2000 | TCP | SCCP (Skinny)serviço: cisco-sccp | Protocolo proprietário da Cisco entre telefones IP e o CUCM. | IANARegistro da IANA (Cisco) | Telefone → CUCM | Protocolo proprietário; telefones Cisco mais novos usam SIP. A mídia é RTP em faixa dinâmica. |
| 3478 | UDP e TCP | STUNserviço: stun | Descobre o IP e a porta públicos de quem está atrás de NAT. | IANARFC 8489 | Cliente → servidor STUN | Usado por telefones, softphones e WebRTC (ICE). O cliente só precisa de saída para a 3478. |
| 3478 | UDP e TCP | TURNserviço: turn | Retransmite a mídia quando a conexão direta entre as pontas não é possível. | IANARFC 8656 | Cliente → servidor TURN | Mesma porta do STUN. A mídia retransmitida sai por uma faixa de portas do servidor (relay), configurada à parte. |
| 5349 | TCP e UDP | STUN e TURN sobre TLS/DTLSserviço: stuns | STUN e TURN cifrados: TLS em TCP, DTLS em UDP. | IANARFC 8489, RFC 8656 e RFC 7350 | Cliente → servidor STUN/TURN | O registro lista stuns e turns nesta porta. TURN sobre TLS ajuda a passar por redes que só deixam sair TLS. |
| 49152–65535 | UDP | Relay do TURN (coturn) | Faixa de portas em que o coturn aloca os relays de mídia. | Convençãoturnserver.conf de exemplo do coturn (min-port e max-port) | Bidirecional (pontas ↔ servidor TURN) | É a faixa dinâmica da IANA (RFC 6335). Precisa estar liberada no servidor TURN, senão o ICE escolhe o relay e o áudio não passa. |
| Negociada | UDP | Mídia WebRTC (ICE) | Áudio e vídeo de chamadas no navegador, cifrados com DTLS-SRTP. | NegociadaRFC 8445 e RFC 8827 | Bidirecional | Sem porta fixa: cada lado anuncia candidatos ICE (IP e porta) no SDP e testa os pares. Se nada direto funcionar, a mídia passa pelo TURN. |
| 2855 | TCP | MSRPserviço: msrp | Mensagens instantâneas e transferência de arquivos em sessões SIP. | IANARFC 4975 | Bidirecional | A sessão MSRP é aberta por um INVITE com m=message no SDP, que traz o endereço msrp: a usar. |
| 80 | TCP | SIP sobre WebSocket (WS) | SIP dentro de WebSocket sem criptografia. | ConvençãoRFC 7118 (não fixa porta) e RFC 6455 (porta padrão do esquema ws) | Navegador → servidor | Porta padrão do esquema ws://, emprestada do HTTP. Navegadores bloqueiam ws:// em páginas HTTPS: na prática, use WSS. |
| 443 | TCP | SIP sobre WebSocket seguro (WSS) | SIP dentro de WebSocket com TLS, como fazem os softphones WebRTC. | ConvençãoRFC 7118 (não fixa porta) e RFC 6455 (porta padrão do esquema wss) | Navegador → servidor | A 443 é a porta padrão do wss://, mas cada servidor escolhe a sua (Asterisk 8089, FreeSWITCH 7443). Atrás de proxy reverso, costuma ficar na 443. |
| 8088 | TCP | HTTP do Asterisk (WS e ARI) | Servidor HTTP embutido do Asterisk: WebSocket SIP em /ws, ARI e AJAM. | Convençãohttp.conf de exemplo do Asterisk (bindport) | Cliente → Asterisk | Vem desligado (enabled=no). A ARI controla chamadas: não exponha. Na IANA, 8088 é de outro serviço. |
| 8089 | TCP | HTTPS do Asterisk (WSS) | Versão TLS do servidor HTTP do Asterisk; é onde fica o WSS para WebRTC. | Convençãohttp.conf de exemplo do Asterisk (tlsbindaddr) | Navegador → Asterisk | URI típico: wss://pbx.example.com:8089/ws. Precisa de certificado válido, senão o navegador recusa sem aviso claro. |
| 5066 | TCP | WebSocket SIP do FreeSWITCH (WS) | SIP sobre WebSocket no perfil internal do FreeSWITCH. | Convençãointernal.xml do FreeSWITCH (ws-binding) | Navegador → FreeSWITCH | Sem TLS. Na IANA, 5066 é de outro serviço. |
| 7443 | TCP | WebSocket SIP do FreeSWITCH (WSS) | SIP sobre WebSocket com TLS no perfil internal do FreeSWITCH. | Convençãointernal.xml do FreeSWITCH (wss-binding) | Navegador → FreeSWITCH | É a porta usada por clientes WebRTC no FreeSWITCH. Na IANA, 7443 é de outro serviço. |
| 5038 | TCP | AMI do Asterisk | Asterisk Manager Interface: monitorar e comandar o PBX por socket. | Convençãomanager.conf de exemplo do Asterisk (port) | Aplicação → Asterisk | Dá controle total do PBX (originar chamadas, ler eventos). Nunca exponha à internet: libere só para a rede de gerência ou acesse por VPN. |
| 8021 | TCP | Event Socket do FreeSWITCH | Interface de controle do FreeSWITCH por socket (ESL). | Convençãoevent_socket.conf.xml do FreeSWITCH (listen-port) | Aplicação → FreeSWITCH | A configuração de exemplo escuta em todas as interfaces com senha padrão conhecida: troque a senha e limite o listen-ip. Nunca exponha à internet: libere só para a rede de gerência ou acesse por VPN. |
DNS, DHCP, TFTP e HTTP para provisionar telefones, NTP, SNMP e Syslog para operar, SSH e RDP para administrar.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 53 | UDP e TCP | DNSserviço: domain | Resolução de nomes, incluindo os registros SRV e NAPTR que localizam servidores SIP. | IANARFC 1035 e RFC 7766 | Cliente → resolvedor | Libere TCP também: respostas grandes (DNSSEC, muitos SRV) e transferências de zona usam TCP. |
| 853 | TCP | DNS sobre TLS (DoT)serviço: domain-s | Consultas DNS cifradas com TLS. | IANARFC 7858 | Cliente → resolvedor | Muito usado por celulares (DNS privado do Android). |
| 853 | UDP | DNS sobre QUIC (DoQ)serviço: domain-s | Consultas DNS cifradas com QUIC. | IANARFC 9250 | Cliente → resolvedor | O registro também reserva 853/udp para DNS sobre DTLS (RFC 8094), pouco implementado. |
| 67 | UDP | DHCP (servidor)serviço: bootps | Servidor que entrega IP, gateway, DNS e opções aos clientes. | IANARFC 2131 | Cliente (68) → servidor (67), por broadcast | Telefones IP descobrem o servidor de provisionamento pelas opções 66 (RFC 2132) e 150 (RFC 5859). Em outra VLAN, precisa de relay (ip helper-address). |
| 68 | UDP | DHCP (cliente)serviço: bootpc | Porta em que o cliente recebe as respostas do servidor DHCP. | IANARFC 2131 | Servidor (67) → cliente (68) | Sempre em par com a 67. |
| 546 | UDP | DHCPv6 (cliente)serviço: dhcpv6-client | Porta em que o cliente DHCPv6 recebe as respostas. | IANARFC 9915 | Servidor (547) → cliente (546) | No IPv6, o cliente fala com o grupo multicast ff02::1:2 na porta 547. |
| 547 | UDP | DHCPv6 (servidor e relay)serviço: dhcpv6-server | Servidores e relays DHCPv6. | IANARFC 9915 | Cliente (546) → servidor (547) | Sempre em par com a 546. |
| 69 | UDP | TFTPserviço: tftp | Transferência simples de arquivos: firmware e configuração de telefones IP. | IANARFC 1350 | Telefone → servidor de provisionamento | Só o primeiro pacote vai para a 69; a transferência segue em portas efêmeras (o firewall precisa de inspeção TFTP). Sem autenticação: não exponha. |
| 123 | UDP | NTPserviço: ntp | Sincronização de relógio. | IANARFC 5905 | Cliente → servidor de hora | Hora errada quebra TLS (certificado “ainda não válido”) e bagunça CDR e logs. No Brasil, o NTP.br oferece a.ntp.br e b.ntp.br. |
| 161 | UDP | SNMPserviço: snmp | Consulta de contadores e estado de equipamentos pelo sistema de monitoração. | IANARFC 3417 | Gerente → agente | Prefira SNMPv3 (autenticação e criptografia). Community “public” aberta na internet vaza a configuração e serve de amplificador de DDoS. |
| 162 | UDP | SNMP trapserviço: snmptrap | Alertas enviados espontaneamente pelo equipamento. | IANARFC 3417 | Agente → gerente | Direção inversa da 161: quem escuta é o servidor de monitoração. |
| 514 | UDP | Syslogserviço: syslog | Envio de logs para um coletor central. | IANARFC 5426 | Equipamento → coletor | Sem confirmação nem criptografia: mensagens podem se perder. Para algo confiável, use TLS na 6514. |
| 514 | TCP | Syslog sobre TCP | Logs sobre TCP sem TLS, como muitos coletores aceitam. | ConvençãoRFC 6587 (diz que não há porta padronizada) | Equipamento → coletor | Convenção de mercado: na IANA, 514/tcp é do serviço shell (rsh), não do Syslog. A porta padronizada para Syslog em TCP é a 6514, com TLS. |
| 6514 | TCP | Syslog sobre TLSserviço: syslog-tls | Envio de logs cifrado e confiável. | IANARFC 5425 | Equipamento → coletor | O registro também lista 6514/udp para Syslog sobre DTLS (RFC 6012). |
| 22 | TCP | SSHserviço: ssh | Acesso remoto seguro ao terminal e cópia de arquivos (SCP, SFTP). | IANARFC 4251 | Administrador → servidor | Restrinja por IP ou VPN e use chave em vez de senha; mudar a porta só reduz ruído nos logs. |
| 23 | TCP | Telnetserviço: telnet | Acesso remoto ao terminal, sem criptografia. | IANARFC 854 | Administrador → equipamento | Usuário e senha trafegam em texto claro. Desligue e use SSH. |
| 21 | TCP | FTP (controle)serviço: ftp | Transferência de arquivos; ainda aparece em provisionamento de telefones e backups. | IANARFC 959 | Cliente → servidor | Os dados vão em outra conexão: porta 20 no modo ativo ou porta dinâmica no passivo. Senha em texto claro: prefira SFTP (porta 22) ou HTTPS. |
| 80 | TCP | HTTPserviço: http | Web sem criptografia; interface web de PBX e telefones, provisionamento. | IANARFC 9110 | Cliente → servidor | Em produção, use só para redirecionar para HTTPS e para validação de certificados (ACME). |
| 443 | TCP | HTTPSserviço: https | Web com TLS; interface web de PBX, APIs e provisionamento seguro. | IANARFC 9110 | Cliente → servidor | A interface administrativa do PBX (FreePBX, por exemplo) não deve ficar aberta para a internet, mesmo em HTTPS. |
| 443 | UDP | HTTP/3 (QUIC)serviço: https | HTTP sobre QUIC, usado por navegadores modernos. | IANARFC 9114 | Cliente → servidor | Bloquear 443/udp não quebra a web: o navegador volta para HTTP/2 em TCP. |
| 8080 | TCP | HTTP alternativoserviço: http-alt | HTTP em porta alternativa: proxies, consoles e servidores de aplicação. | IANARegistro da IANA (http-alt) | Cliente → servidor | Muito usada por painéis de gerência; confira o que está escutando nela antes de liberar. |
| 3389 | TCP e UDP | RDPserviço: ms-wbt-server | Área de trabalho remota do Windows. | IANARegistro da IANA (ms-wbt-server) | Administrador → servidor | Alvo frequente de ataques de força bruta e de ransomware. Nunca exponha à internet: libere só para a rede de gerência ou acesse por VPN. |
| 830 | TCP | NETCONF sobre SSHserviço: netconf-ssh | Configuração programática de roteadores e switches (YANG). | IANARFC 6242 | Ferramenta de automação → equipamento | Base de automação de rede com Python (ncclient) e Ansible. |
BGP e RIP usam portas; OSPF, EIGRP, VRRP e PIM não usam TCP nem UDP: são protocolos IP com número próprio.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 179 | TCP | BGPserviço: bgp | Troca de rotas entre sistemas autônomos e com a operadora. | IANARFC 4271 | Bidirecional entre vizinhos (peers) | Qualquer um dos vizinhos pode abrir a sessão TCP. Libere 179 só entre os IPs dos peers. |
| IP 89 | Protocolo IP 89 | OSPFprotocolo 89: OSPFIGP | Roteamento interno por estado de enlace. | IANARFC 2328 (OSPFv2) e RFC 5340 (OSPFv3) | Bidirecional entre vizinhos | OSPF não usa porta: é o protocolo IP 89, sem TCP nem UDP. Usa multicast 224.0.0.5 e 224.0.0.6 (IPv4); no firewall, libere o protocolo 89. |
| IP 88 | Protocolo IP 88 | EIGRPprotocolo 88: EIGRP | Roteamento interno da Cisco, publicado como RFC informativo. | IANARFC 7868 | Bidirecional entre vizinhos | EIGRP não usa porta: é o protocolo IP 88 (multicast 224.0.0.10). Não confundir com o Kerberos, que usa a porta 88 de UDP e TCP. |
| 520 | UDP | RIPserviço: router | Roteamento interno por vetor de distância (contagem de saltos). | IANARFC 2453 | Bidirecional entre roteadores | Ao contrário do OSPF e do EIGRP, o RIP usa porta UDP. RIPv2 usa multicast 224.0.0.9. Na IANA, 520/tcp é de outro serviço. |
| 521 | UDP | RIPngserviço: ripng | Versão do RIP para redes IPv6. | IANARFC 2080 | Bidirecional entre roteadores | Usa o grupo multicast ff02::9. |
| IP 112 | Protocolo IP 112 | VRRPprotocolo 112: VRRP | Gateway padrão redundante entre dois ou mais roteadores. | IANARFC 9568 | Entre os roteadores do grupo (multicast) | Protocolo IP 112, sem porta, para o multicast 224.0.0.18. Bloquear entre os roteadores faz os dois virarem mestre. |
| 1985 | UDP | HSRPserviço: hsrp | Gateway redundante da Cisco, equivalente ao VRRP. | IANARFC 2281 | Entre os roteadores do grupo (multicast) | Diferente do VRRP, o HSRP roda sobre UDP. Versão 1 usa 224.0.0.2. |
| 3784 | UDP | BFD (controle)serviço: bfd-control | Detecção rápida de falha de enlace entre roteadores vizinhos (salto único). | IANARFC 5881 | Bidirecional entre vizinhos | Acelera a convergência de BGP e OSPF. O modo eco usa a 3785. |
| 646 | UDP e TCP | LDPserviço: ldp | Distribuição de rótulos MPLS. | IANARFC 5036 | Bidirecional entre roteadores | Descoberta por UDP e sessão por TCP, ambos na 646. |
| IP 103 | Protocolo IP 103 | PIMprotocolo 103: PIM | Roteamento multicast, como em paging e música de espera por multicast. | IANARFC 7761 | Bidirecional entre roteadores | Protocolo IP 103, sem porta. |
RADIUS, TACACS+, LDAP e Kerberos: login de administradores em equipamentos, Wi-Fi corporativo e diretórios.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 1812 | UDP | RADIUS (autenticação)serviço: radius | Autenticação e autorização de usuários em Wi-Fi 802.1X, VPN e equipamentos. | IANARFC 2865 | NAS (switch, AP, VPN) → servidor RADIUS | O segredo compartilhado protege só parte do pacote; dentro da rede, prefira caminhos confiáveis ou RadSec. |
| 1813 | UDP | RADIUS (accounting)serviço: radius-acct | Registro de início, fim e uso de sessões. | IANARFC 2866 | NAS → servidor RADIUS | Sempre em par com a 1812. |
| 1645 | UDP | RADIUS (autenticação, legado) | Porta antiga de autenticação RADIUS, ainda padrão em alguns equipamentos. | ConvençãoRFC 2865 (nota de implementação) | NAS → servidor RADIUS | Uso anterior à atribuição oficial: na IANA, 1645 é de outro serviço. Se a autenticação não chega, confira se os dois lados usam 1812 ou 1645. |
| 1646 | UDP | RADIUS (accounting, legado) | Porta antiga de accounting RADIUS. | ConvençãoRFC 2866 (nota de implementação) | NAS → servidor RADIUS | Na IANA, 1646 é do serviço sa-msg-port. A porta oficial é a 1813. |
| 3799 | UDP | RADIUS CoA e Disconnectserviço: radius-dynauth | Mudança de autorização ou desconexão de uma sessão já ativa. | IANARFC 5176 | Servidor RADIUS → NAS | Direção inversa da 1812: quem escuta é o NAS. Comum em portais cativos e NAC. |
| 2083 | TCP | RadSec (RADIUS sobre TLS)serviço: radsec | RADIUS cifrado por TLS, para atravessar redes não confiáveis. | IANARFC 6614 | NAS → servidor RADIUS | Usado no eduroam e em Wi-Fi gerenciado na nuvem. RADIUS sobre DTLS usa 2083/udp (RFC 7360). |
| 49 | TCP | TACACS+serviço: tacacs | Autenticação, autorização por comando e registro de administradores de roteadores e switches. | IANARFC 8907 | Equipamento → servidor TACACS+ | Diferente do RADIUS, ofusca o corpo inteiro (não só a senha) e autoriza comando a comando. A ofuscação é fraca (RFC 8907): mantenha o tráfego em rede de gerência. |
| 389 | TCP | LDAPserviço: ldap | Consulta e autenticação em diretório (Active Directory, OpenLDAP); agenda corporativa em telefones. | IANARFC 4511 | Cliente → diretório | Sem TLS, a senha do bind trafega aberta. Use StartTLS (RFC 4513) na 389 ou LDAPS na 636. |
| 636 | TCP | LDAPSserviço: ldaps | LDAP dentro de TLS desde o início da conexão. | IANARegistro da IANA (ldaps) | Cliente → diretório | Muito usado com Active Directory. O certificado do servidor precisa ser confiável para o cliente. |
| 88 | UDP e TCP | Kerberosserviço: kerberos | Autenticação por tíquetes; base do login no Active Directory. | IANARFC 4120 | Cliente → KDC (controlador de domínio) | Usa TCP quando o tíquete não cabe em UDP. Porta 88 de UDP e TCP, que não tem relação com o protocolo IP 88 (EIGRP). |
| 464 | UDP e TCP | Kerberos kpasswdserviço: kpasswd | Troca de senha pelo Kerberos. | IANARFC 3244 | Cliente → KDC | Faltar esta porta faz a troca de senha falhar enquanto o login funciona. |
IPsec, L2TP, OpenVPN, WireGuard e GRE, usados para ligar ramais remotos e filiais ao PBX sem expor o SIP.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 500 | UDP | IKE (IPsec)serviço: isakmp | Negociação de chaves e túneis IPsec. | IANARFC 7296 | Bidirecional entre os pontos da VPN | Libere junto com o protocolo ESP (50) ou com a 4500 quando há NAT no caminho. |
| 4500 | UDP | IPsec NAT-Tserviço: ipsec-nat-t | IKE e ESP encapsulados em UDP para atravessar NAT. | IANARFC 3948 e RFC 7296 | Bidirecional entre os pontos da VPN | Quando há NAT, o túnel muda da 500 para a 4500 e o ESP passa a ir em UDP. |
| IP 50 | Protocolo IP 50 | ESP (IPsec)protocolo 50: ESP | Carga cifrada do túnel IPsec. | IANARFC 4303 | Bidirecional entre os pontos da VPN | Protocolo IP 50, sem porta. Atrás de NAT, vai encapsulado na 4500/udp. |
| IP 51 | Protocolo IP 51 | AH (IPsec)protocolo 51: AH | Autenticação de pacotes IPsec, sem cifrar o conteúdo. | IANARFC 4302 | Bidirecional entre os pontos da VPN | Protocolo IP 51. Não atravessa NAT (o NAT altera o que o AH protege); hoje se usa ESP. |
| IP 47 | Protocolo IP 47 | GREprotocolo 47: GRE | Túnel genérico entre roteadores, muitas vezes protegido por IPsec. | IANARFC 2784 | Bidirecional entre os pontos do túnel | Protocolo IP 47, sem porta e sem criptografia própria. |
| 1701 | UDP | L2TPserviço: l2tp | Túnel de camada 2, normalmente dentro de IPsec (L2TP/IPsec). | IANARFC 2661 | Cliente → concentrador de VPN | O L2TP não cifra: com IPsec, o firewall vê 500 e 4500 (ou ESP), não a 1701. |
| 1194 | UDP e TCP | OpenVPNserviço: openvpn | VPN com TLS, comum para ramais e administradores remotos. | IANARegistro da IANA (openvpn) | Cliente → servidor de VPN | UDP é o recomendado para voz; TCP sobre TCP piora a latência quando há perda. |
| 51820 | UDP | WireGuard | VPN leve e rápida, boa para ligar ramais remotos ao PBX. | ConvençãoExemplos de configuração da documentação do WireGuard (ListenPort) | Bidirecional entre os pontos | Não está no registro da IANA e não há porta fixa: 51820 é o valor dos exemplos oficiais, adotado como costume. |
Envio e leitura de e-mail. No PBX, aparece no correio de voz enviado por e-mail e nos alertas.
| Porta | Transporte | Serviço | Para que serve | Origem | Direção típica | Nota prática |
|---|---|---|---|---|---|---|
| 25 | TCP | SMTPserviço: smtp | Entrega de e-mail entre servidores. | IANARFC 5321 | Servidor de e-mail ↔ servidor de e-mail | Muitos provedores de nuvem e de acesso bloqueiam saída na 25. Para o PBX mandar correio de voz, use a 587 com autenticação. |
| 587 | TCP | Submission (SMTP com autenticação)serviço: submission | Envio de e-mail por clientes e sistemas autenticados, com STARTTLS. | IANARFC 6409 | Cliente ou PBX → servidor de e-mail | É a porta certa para o PBX enviar correio de voz e alertas por um provedor. |
| 465 | TCP | Submissions (SMTP sobre TLS)serviço: submissions | Envio de e-mail com TLS desde o início da conexão. | IANARFC 8314 | Cliente ou PBX → servidor de e-mail | O RFC 8314 recomenda TLS implícito (465) em vez de STARTTLS (587). |
| 143 | TCP | IMAPserviço: imap | Leitura de e-mail mantendo as mensagens no servidor. | IANARFC 9051 | Cliente → servidor de e-mail | Sem TLS implícito; prefira a 993. |
| 993 | TCP | IMAPSserviço: imaps | Leitura de e-mail por IMAP dentro de TLS. | IANARFC 8314 | Cliente → servidor de e-mail | Também é usado por PBX que leem uma caixa postal (fax por e-mail, por exemplo). |
| 110 | TCP | POP3serviço: pop3 | Download de e-mail do servidor. | IANARFC 1939 | Cliente → servidor de e-mail | Sem TLS implícito; prefira a 995. |
| 995 | TCP | POP3Sserviço: pop3s | Download de e-mail por POP3 dentro de TLS. | IANARFC 8314 | Cliente → servidor de e-mail | Mesmo uso da 110, com TLS. |
Segurança
Um PBX exposto é alvo de varredura em minutos e de fraude em ligações internacionais. Libere o mínimo, sempre limitado por origem.
Nunca abra a 5060 (nem a 5061) para a internet inteira sem proteção. Se o SIP precisa receber tráfego de fora, restrinja aos IPs da operadora ou coloque um SBC na frente. Ramais remotos devem entrar por VPN ou por SBC, nunca direto no PBX.
Como usar
Digite um número para achar a porta exata, a faixa que a contém ou o número de protocolo IP. Palavras buscam no nome, no uso e nas notas, sem diferenciar acentos. Junte número e transporte (514/tcp). Cada linha tem link direto: /ferramentas/portas-voip-redes#5060. Sem JavaScript, a tabela completa continua aqui.
88 → EIGRP, Kerberos (a porta 88 de UDP e TCP e o protocolo IP 88 são coisas diferentes)15000 → RTP e RTCP do Asterisk (a busca por número também acha a faixa que contém a porta)514/tcp → Syslog sobre TCP (número com transporte)Categoria VoIP e SIP + UDP → 20 entradas (tudo o que um PBX pode precisar em UDP)Dúvidas
A sinalização SIP usa a porta 5060, em UDP ou TCP, e a 5061 para SIP sobre TLS (RFC 3261). Mas a voz não passa por ela: o áudio vai em RTP, numa porta escolhida para cada chamada dentro da faixa configurada no PBX e anunciada no SDP. Por isso liberar só a 5060 faz a chamada completar sem áudio.
Muitas vezes, sim. As causas mais comuns são a faixa de RTP fechada no firewall, o SDP anunciando um IP privado (NAT sem external_media_address, ou equivalente, configurado) e o SIP ALG do roteador reescrevendo os pacotes. Confira no trace a linha c= e a m= do SDP de cada lado e veja se o RTP chega ao IP e à porta anunciados.
Depende do software, porque a faixa é configuração e não padrão. O rtp.conf de exemplo do Asterisk usa 10000 a 20000 (sem o arquivo, o padrão compilado é 5000 a 31000); o FreeSWITCH usa 16384 a 32768. Leia a configuração do seu servidor, libere exatamente essa faixa em UDP e, de preferência, só para os IPs de mídia da operadora e da sua rede.
Nenhuma. OSPF e EIGRP não rodam sobre TCP nem UDP: são protocolos IP com número próprio, 89 para o OSPF e 88 para o EIGRP, no registro de números de protocolo da IANA. No firewall, a regra é por protocolo IP, não por porta. Já o BGP usa TCP 179 e o RIP usa UDP 520.
A IANA mantém o registro oficial de portas: 5060 é sip, 1812 é radius. Convenção é o padrão que um software escolheu, como a 8088 do HTTP do Asterisk ou a 51820 do WireGuard, sem registro para esse uso; às vezes a porta está até registrada para outro serviço. Na prática, as duas funcionam, mas a convenção muda de um produto para outro e pode ser trocada na configuração.
A porta oficial é a 1812 (e 1813 para accounting), conforme o RFC 2865. A 1645 (e a 1646) é a porta usada antes da atribuição oficial, que ficou como padrão em equipamentos antigos. Se a autenticação não chega ao servidor, confira se o equipamento e o servidor usam o mesmo par de portas.
Fontes: Service Name and Transport Protocol Port Number Registry e Assigned Internet Protocol Numbers da IANA (conferidos em outubro de 2026), os RFCs citados em cada linha e os arquivos de configuração de exemplo do Asterisk, do FreeSWITCH e do coturn para as convenções.
Quer dominar o assunto?
Neste curso apresentaremos os conceitos básicos de rede, protocolos, funcionamentos e mecanismos para captura, análise e diagnóstico de problemas de rede e VoIP usando a ferramenta de análise e captura de pacotes Wireshark.
Newsletter da EDCA
Um resumo por semana, só quando sai coisa nova: ferramentas, artigos e cursos de VoIP, redes e programação.