运维 - nmap的closed是一个什么样的状态？

Question

nmap扫描的端口是closed是一个什么样的状态“？

我看这里又说：
https://zhuanlan.zhihu.com/p/621645945

关闭的端口对于Nmap也是可访问的(它接受Nmap的探测报文并作出响应)， 但没有应用程序在其上监听。 它们可以显示该IP地址上(主机发现，或者ping扫描)的主机正在运行up 也对部分操作系统探测有所帮助。 因为关闭的关口是可访问的，也许过会儿值得再扫描一下，可能一些又开放了。 系统管理员可能会考虑用防火墙封锁这样的端口。 那样他们就会被显示为被过滤的状态，下面讨论。

这里说关闭的端口对于Nmap也是可访问的如何理解呢？但没有应用程序在其上监听是怎么判断的呢？

Answer 1

没用过 nmap。

但从底层来讲任何端口嗅探工具的原理实质都是发个 Socket 过去看响应结果。对于 TCP 握手来说，有程序应答会返回 SYN/ACK，没有程序应答会由内核（Socket 是由操作系统内核维护的）返回 RST。

所以后者应该就是所谓的 closed 状态。

Answer 2

closed状态是指该端口在主机上没有服务或应用程序在监听。当Nmap扫描到这样的端口时，虽然它们能够接收Nmap的探测报文并作出响应，但没有任何应用程序在等待接收连接。因此，虽然端口是“可访问”的，但实际上没有服务或应用程序在运行。

在这种情况下，系统管理员可能会考虑使用防火墙来阻止对这些端口的访问，因为它们没有被任何应用程序使用，可能会被视为潜在的安全风险。

至于如何判断一个端口是否被应用程序监听，Nmap使用一系列的探测方法来确定这一点。它发送一系列不同类型的探测包到目标端口，并分析目标如何响应这些探测包。如果目标端口没有响应或响应不符合预期，那么Nmap会认为该端口没有被应用程序监听。

请注意，Nmap的扫描结果可能受到一些限制和条件的影响，例如防火墙设置、网络配置等等。因此，即使一个端口在Nmap扫描中被标记为“closed”，也可能存在其他方式来访问该端口。