Daftar Port Penting di Server dan Fungsinya

Sebagian besar server cukup membuka dua atau tiga port ke internet, dan sisanya sebaiknya tertutup.

Kenapa ini penting? Setiap port yang terbuka adalah pintu yang bisa diketuk siapa saja. Bot pemindai bekerja terus-menerus mencari port database, panel admin, atau layanan cache yang lupa dikunci. Kalau kamu tahu fungsi tiap port, kamu bisa memutuskan dengan tenang mana yang memang harus melayani publik dan mana yang cukup didengar dari dalam server.

Apa itu port, singkatnya?

Satu alamat IP bisa menjalankan banyak layanan sekaligus. Port adalah nomor yang membedakan layanan itu: permintaan ke port 443 diterima web server, permintaan ke port 22 diterima SSH. Ada dua jenis yang sering kamu temui, TCP (koneksi yang memastikan data sampai berurutan) dan UDP (lebih ringan, dipakai misalnya oleh DNS dan HTTP/3).

Nomor port hanyalah kebiasaan. Database bisa saja kamu jalankan di port lain, tapi angka standar di bawah ini yang dicari pertama kali oleh pemindai otomatis.

Daftar port yang paling sering ditemui

Beberapa catatan agar tabel itu tidak disalahpahami.

Port 22 hampir selalu perlu terbuka di VPS, karena itu jalur kamu masuk. Yang membuatnya aman bukan menutupnya, melainkan login dengan kunci dan mematikan login password. Penjelasannya ada di SSH key vs password.

Port 80 masih berguna walau websitemu sudah HTTPS penuh. Pengunjung yang mengetik alamat tanpa https:// masuk lewat port ini lalu dialihkan, dan banyak penerbit sertifikat otomatis memverifikasi domain lewat port 80.

Port 25, 465, 587, dan 993 hanya relevan bila server itu sendiri menjadi server email. Kalau email bisnismu memakai layanan terpisah, port ini tidak perlu dibuka sama sekali di server web.

Port 53 sering ikut terbuka tanpa disadari di server yang memasang resolver DNS. DNS yang menjawab siapa saja dari internet bisa disalahgunakan untuk serangan pantulan, jadi tutup kecuali server itu memang ditugaskan sebagai DNS publik.

Port mana yang tidak boleh terbuka ke internet?

Kelompok yang paling sering bocor adalah database dan cache.

• 3306 (MySQL/MariaDB) dan 5432 (PostgreSQL). Aplikasi di server yang sama terhubung lewat localhost, jadi tidak ada alasan membuka port ini ke publik. Kalau aplikasi ada di server lain, pakai jaringan privat atau batasi ke IP server aplikasi saja.
• 6379 (Redis). Redis dirancang untuk diakses dari jaringan tepercaya. Instance Redis yang terbuka ke internet adalah sasaran klasik pemindai.
• Port panel dan dashboard seperti 2083, 2087, 8443, 2222, atau port aplikasi seperti Grafana dan phpMyAdmin. Panel ini memang harus bisa kamu buka, tapi idealnya hanya dari IP kantor, lewat VPN, atau minimal dengan autentikasi dua langkah.
• Port pengembangan seperti 3000, 5000, 8000, atau 8080 yang dipakai aplikasi Node.js, Python, atau container. Biasanya aplikasi ini seharusnya berada di belakang reverse proxy, bukan langsung menghadap internet.

Bagaimana cara mengecek port yang terbuka?

Ada dua sudut pandang, dan keduanya perlu.

Dari dalam server, lihat layanan apa saja yang sedang mendengarkan:

sudo ss -tulpn

Perhatikan kolom alamat. 127.0.0.1:3306 artinya MySQL hanya mendengar dari dalam server, aman. 0.0.0.0:3306 atau [::]:3306 artinya mendengar di semua alamat, termasuk IP publik, dan nasibnya bergantung pada firewall.

Dari luar server, uji apa yang benar-benar bisa dijangkau. Dari komputer lain, jalankan pemindai port seperti nmap ke IP servermu sendiri:

nmap -Pn IP_SERVER

Hasil dari luar inilah yang dilihat penyerang. Lakukan hanya terhadap server milikmu sendiri.

Lalu cocokkan dengan aturan firewall. Di Ubuntu dengan UFW, sudo ufw status verbose menampilkan port yang diizinkan. Langkah dasar menyiapkan firewall dari nol dibahas di cara mengamankan VPS baru.

Kebiasaan sederhana yang menjaga port tetap rapi

Mulai dari prinsip "tolak semua, izinkan yang perlu". Firewall menolak semua koneksi masuk secara default, lalu kamu membuka 22, 80, dan 443 satu per satu.

Ikat layanan internal ke localhost di konfigurasinya, bukan hanya mengandalkan firewall. Untuk MySQL, opsi bind-address = 127.0.0.1. Untuk Redis, opsi bind 127.0.0.1. Dengan begitu, kalau suatu hari firewall tidak sengaja dimatikan, database tetap tidak terlihat dari luar.

Untuk panel admin, batasi sumbernya. Mengizinkan port 2087 hanya dari IP kantor jauh lebih kuat daripada membukanya untuk semua orang. Bila IP kantormu berubah-ubah, VPN adalah jalan tengah yang rapi.

Terakhir, ulangi pengecekan setiap kali memasang aplikasi baru. Banyak aplikasi membuka port sendiri saat instalasi, dan itu baru ketahuan bila kamu memeriksanya.

Bagaimana dengan mengganti nomor port?

Memindahkan SSH dari 22 ke port lain mengurangi jumlah percobaan login dari bot yang hanya memindai port standar, sehingga log lebih bersih. Tapi ini bukan pengamanan utama. Pemindai yang serius tetap menemukan layanan di port mana pun. Anggap saja sebagai lapisan tambahan setelah SSH key, firewall, dan pembaruan rutin sudah beres.

Kalau harus diringkas: buka 80 dan 443 untuk web, jaga 22 dengan SSH key, buka port email hanya di server email, dan biarkan database, cache, serta panel tersembunyi di balik localhost, jaringan privat, atau daftar IP yang diizinkan.