Portas de rede: o que são e para que servem

O dia em que o "porta já em uso" me ensinou network

Subi um serviço novo em staging, rodei docker compose up e o container morreu na largada: bind: address already in use. Levei vinte minutos olhando para o lugar errado — achei que era o banco, era um processo zumbi de um deploy anterior segurando a porta 5432. O detalhe que faltava não estava no código, estava na camada de baixo: como uma máquina decide para qual programa entregar um pacote que chega. Esse é o trabalho das portas, e quase todo bug "de rede" começa por não entender isso direito.

A ideia aqui é desmontar o conceito de porta de rede sem teoria solta: o que é, como o sistema usa, e onde isso te morde no dia a dia. Como uma porta nunca existe sozinha — ela anda colada a um protocolo de transporte — vale ler também o comparativo de TCP vs UDP, porque metade das decisões de porta dependem de qual dos dois você está usando.

O que é uma porta, na prática

Um IP identifica uma máquina na rede. O problema é que uma máquina roda dezenas de programas ao mesmo tempo querendo falar com a rede: o servidor web, o banco, o SSH, o seu cliente de e-mail. Se só existisse o IP, o sistema operacional receberia um pacote e não saberia para quem entregar.

A porta é o número que resolve isso. Se o IP é o endereço do prédio, a porta é o número do apartamento. O pacote chega no prédio (IP) e o porteiro (kernel) olha a porta de destino para saber em qual apartamento (processo) entregar. É um número de 16 bits, então vai de 0 a 65535.

A unidade real de uma conexão não é a porta sozinha, é o que se chama de socket: a combinação ip:porta mais o protocolo. 192.168.0.10:443 em TCP é um socket diferente de 192.168.0.10:443 em UDP. São pilhas independentes. Por isso o mesmo número de porta pode estar "ocupado" em TCP e livre em UDP ao mesmo tempo.

Well-known, registradas e efêmeras

O range de 65536 portas não é uma bagunça plana. Ele é dividido por convenção:

• 0–1023 (well-known): as portas conhecidas, reservadas para serviços padrão. Em sistemas Unix, abrir uma dessas exige privilégio de root. Exemplos: 22 (SSH), 80 (HTTP), 443 (HTTPS), 53 (DNS).
• 1024–49151 (registradas): atribuídas a aplicações específicas, mas sem exigir root. É onde mora boa parte da infra: 5432 (PostgreSQL), 3306 (MySQL), 6379 (Redis), 8080 (HTTP alternativo).
• 49152–65535 (efêmeras/dinâmicas): o sistema usa essas para o lado do cliente. Quando seu navegador abre uma conexão com um servidor na 443, ele mesmo é atribuído a uma porta efêmera aleatória para receber a resposta.

Essa última parte confunde muita gente. A porta 443 é a do servidor. O seu lado da conversa usa uma porta alta e descartável, criada na hora e liberada quando a conexão fecha. É por isso que uma máquina consegue manter milhares de conexões simultâneas para o mesmo servidor: cada uma tem uma porta de origem diferente.

Quem escuta e quem conecta

Existem dois papéis bem distintos e vale separar na cabeça:

Um processo que escuta (listening) reserva uma porta e fica parado esperando conexões chegarem. É o servidor. Ele faz bind() na porta e listen(). Só um processo pode escutar uma dada combinação ip:porta:protocolo por vez — daí o address already in use.

Um processo que conecta (connecting) é o cliente: ele dispara um connect() para o ip:porta do servidor e o sistema lhe dá uma porta efêmera de origem automaticamente. Clientes não precisam reservar porta de antemão.

Quando você está depurando um endereço ou tentando entender qual porta um host expõe para fora, ajuda olhar o contexto de rede dele — bloco, tipo de IP, reverse DNS. A ferramenta de Informações de Endereço IP é útil exatamente aí: você cola o endereço e vê o que dá para inferir antes de sair fazendo scan.

Como ver o que está escutando

Quando algo não sobe ou uma porta parece "presa", você precisa olhar o estado real do kernel, não o seu palpite. No Linux moderno, ss é a ferramenta:

# TCP, escutando, com nome do processo e número da porta (sem resolver DNS)
ss -tlnp

# Filtrando uma porta específica
ss -tlnp 'sport = :5432'

Em máquinas mais antigas ou em outros sistemas, netstat faz o equivalente:

netstat -tlnp        # Linux
netstat -ano         # Windows (mostra o PID na última coluna)

A saída te dá o trio que importa: a porta, o estado (LISTEN, ESTABLISHED) e o PID do dono. Foi assim que matei meu zumbi do começo do texto — ss -tlnp mostrou o PID segurando a 5432, um kill resolveu, o compose up subiu.

Por que dá "porta já em uso" e firewall

O address already in use quase sempre é uma destas três coisas: tem um processo seu ainda rodando e segurando a porta; tem outra aplicação legítima usando aquele número; ou a conexão anterior está em estado TIME_WAIT e o socket ainda não foi liberado pelo kernel. As duas primeiras você resolve achando o PID e decidindo o que fazer. A terceira é normal e some sozinha em alguns segundos — ou você usa SO_REUSEADDR no servidor para permitir o rebind imediato.

Firewall é a outra metade da história, e a confusão clássica é achar que a porta está "fechada" quando na verdade o serviço nem está escutando. São coisas diferentes:

• Nada escutando: conexão recusada na hora (connection refused).
• Firewall bloqueando: o pacote é descartado em silêncio e você toma timeout, não recusa.

Expor uma porta para a internet é uma decisão de segurança, não de conveniência. Regra prática: só exponha o que precisa ser público (geralmente 443), e mantenha banco, Redis e SSH atrás de firewall, VPN ou bind em 127.0.0.1. Banco escutando em 0.0.0.0:5432 aberto para o mundo é um dos jeitos mais rápidos de virar manchete.

Perguntas frequentes

Duas aplicações podem usar a mesma porta?

Não escutando na mesma combinação ip:porta:protocolo ao mesmo tempo. Mas o mesmo número pode estar livre em protocolos diferentes (TCP vs UDP) ou em IPs diferentes da mesma máquina. E qualquer número de clientes pode se conectar a uma porta de servidor — o que é único é o socket de cada conexão, não a porta de destino.

Por que algumas portas exigem root para abrir?

Em sistemas Unix, as portas de 0 a 1023 são privilegiadas por convenção histórica de segurança: só processos com privilégio elevado podem se ligar a elas, para evitar que um programa qualquer se passe por um serviço padrão como HTTP ou SSH. Por isso servidores web normalmente sobem como root só para fazer o bind na 80/443 e depois largam o privilégio.

Qual a diferença entre porta fechada e filtrada?

Fechada significa que ninguém está escutando ali — a máquina responde ativamente recusando a conexão. Filtrada significa que um firewall está descartando os pacotes sem responder, então você só percebe pelo timeout. Do lado de fora, "recusou rápido" sugere porta fechada; "ficou pendurado" sugere firewall.

Mudar a porta de um serviço melhora a segurança?

Só marginalmente. Rodar SSH na 2222 em vez da 22 reduz o ruído de bots que varrem a porta padrão, mas não para um atacante que faz scan de verdade. É camuflagem, não defesa. Segurança de verdade vem de autenticação forte, firewall e expor o mínimo — não de esconder o número.

O que levar disso

Porta é o mecanismo que permite uma única máquina conversar com a rede em nome de dezenas de processos ao mesmo tempo. O que importa lembrar: a unidade real é o socket (ip:porta + protocolo), não a porta solta; servidor escuta numa porta fixa e cliente recebe uma efêmera; e quase todo problema que parece "de rede" é, na prática, ou um processo segurando uma porta, ou um firewall descartando pacote em silêncio. Quando der ruim, não chute — rode ss -tlnp e olhe o estado real antes de mexer em qualquer config.