通俗的说，域名就相当于一个家庭的门牌号码，别人通过这个号码可以很容易的找到你。如果把IP地址比作一间房子 ，端口就是出入这间房子的门。 真正的房子只有几个门，但是一个IP地址的端口可以有65536（即：2^16）个之多！端口是通过端口号来标记的，端口号只有整数，范围是从0 到65535（2^16-1）。
我们知道，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区分不同的服务的。 需要注意的是，端口并不是一一对应的。比如你的电脑作为客户机访
问一台WWW服务器时，WWW服务器使用“80”端口与你的电脑通信，但你的电脑则可能使用“3457”这样的端口。
面向连接服务和无连接服务
ConnectionlessProtocols）面向连接服务的主要特点有：面向连接服务要经过三个阶段：数据传输前，先建立连接，连接建立后再传输数据，数据传送完后，释放连接。面向连接服务，可确保数据传送的次序和传输的可靠性。无连接服务的特点是：无连接服务只有传输数据阶段。消除了除数据通信外的其它开销。只要发送实体是活跃的，无须接收实体也是活跃的。它的优点是灵活方便、迅速，特别适合于传送少量零星的报文，但无连接服务不能防止报文的丢失、重复或失序。
区分"面向连接服务"和"无连接服务"的概念
区分特别简单、形象的例子是：打电话和写信。两个人如果要通电话，必须先建立连接--拨号，等待应答后才能相互传递信息，最后还要释放连接--挂电话。写信就没有那么复杂了，地址姓名填好以后直接往邮筒一扔，收信人就能收到。TCP/IP协议在网络层是无连接的（数据包只管往网上发，如何传输和到达以及是否到达由网络设备来管理）。而"端口"，是传输层的内容，是面向连接的。协议里面低于1024的端口都有确切的定义，它们对应着因特网上常见的一些服务。
- 面向连接服务使用TCP端口（打电话）是短连接？
- 无连接服务使用UDP端口（写信）是长连接？
域名（Domain Name），是由一串用点分隔的名字组成的Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置，地理上的域名，指代有行政自主权的一个地方区域）。域名是一个IP地址上有“面具” 。一个域名的目的是便于记忆和沟通的一组服务器的地址（网站，电子邮件，FTP等）。域名作为力所能及难忘的互联网参与者的名称
DNS即为域名解析服务。
域名解析器，是把域名转换成主机所在IP地址的中介。通常上网的时候，敲入一个域名地址，电脑会首先向DNS服务器搜索相对应的IP地址，服务器找到对应值之后，会把IP地址返回给你的浏览器，这时浏览器根据这个IP地址发出浏览请求，这样才完成了域名寻址的过程。操作系统会把你常用的域名IP地址对应值保存起来，当你浏览经常光顾的网站时，就可以直接从系统的DNS缓存里提取对应的IP地址，加快连线网站的速度
以一个常见的域名为例说明，baidu网址是由二部分组成，标号“baidu”是这个域名的主域名
体，而最后的标号“com”则是该域名的后缀，代表的这是一个com国际域名，是顶级域名。而前面的--用于商业机构。它是最常见的顶级域名。任何人都可以注册.COM 形式的域名。
.TOP--用于所有公司组织个人，顶级高端，事业突破。任何人都可以注册.TOP形式的域名。
.NET--最初是用于网络组织，例如因特网服务商和维修商。任何人都可以注册以.NET结尾的域名。
.ORG--是为各种组织包括非盈利组织而定的，任何人都可以注册以.ORG 结尾的域名。
国家代码由两个字母组成的顶级域名如.cn,.uk,.de和.jp称为国家代码顶级域名（ccTLDs),其中.cn是中国专用的顶级域名，其注册归CNNIC管理，以.cn结尾的二级域名我们简称为国内域名。注册国家代码顶级域名下的二级域名的规则和政策与不同的国家的政策有关。您在注册时应咨询域名注册机构，问清相关的注册条件及与注册相关的条款。某些域名注册商除了提供以.com,.net和.org结尾的域名的注册服务之外，还提供国家代码顶级域名的注册。ICANN并没有特别授权注册商提供国家代码顶级域名的注册服务。
端口是指接口电路中的一些寄存器，这些寄存器分别用来存放数据信息、控制信息和状态信息，相应的端口分别称为数据端口、控制端口和状态端口。
电脑运行的系统程序，其实就像一个闭合的圆圈，但是电脑是为人服务的，他需要接受一些指令，并且要按照指令调整系统功能来工作，于是系统程序设计者，就把这个圆圈截成好多段，这些线段接口就叫端口（通俗讲是断口，就是中断），系统运行到这些端口时，一看端口是否打开或关闭，如果关闭，就是绳子接通了，系统往下运行，如果端口是打开的，系统就得到命令，有外部数据输入，接受外部数据并执行.
"端口"是英文port的意译，可以认为是设备与外界通讯交流的出口。端口可分为虚拟端口和物理端口，其中虚拟端口指计算机内部或交换机路由器内的端口，不可见。例如计算机中的80端口、21端口、23端口等。物理端口又称为接口，是可见端口，计算机背板的RJ45网口，交换机路由器集线器等RJ45端口。电话使用RJ11插口也属于物理端口的范畴。
CPU通过接口寄存器或特定电路与外设进行数据传送，这些寄存器或特定电路称之为端口。
其中硬件领域的端口又称接口，如：并行端口、串行端口等。
在网络技术中，端口（Port）有好几种意思。集线器、交换机、路由器的端口指的是连接其他网络设备的接口，如RJ-45端口、Serial端口等。我们 这里所指的端口不是指物理意义上的端口，而是特指TCP/IP协议中的端口，是逻辑意义上的端口。
TCP[1] ：Transmission Control Protocol传输控制协议，TCP是一种面向连接（连接导向）的、可靠的、基于字节流的传输层（Transport layer）通信协议，由IETF的RFC 793说明（specified）。在简化的计算机网络OSI模型中，它完成第四层传输层所指定的功能，UDP是同一层内另一个重要的传输协议。
UDP[1] :User Datagram Protocol用户数据报协议，UDP是OSI参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。UDP 协议基本上是IP协议与上层协议的接口。UDP协议适用端口分别运行在同一台设备上的多个应用程序。
如果把IP地址比作一间房子 ，端口就是出入这间房子的门。真正的房子只有几个门，但是一个IP地址的端口可以有65536（即：2^16）个之多！端口是通过端口号来标记的，端口号只有整数，范围是从0 到65535（2^16-1）。
在Internet上，各主机间通过TCP/IP协议发送和接收数据包，各个数据包根据其目的主机的ip地址来进行互联网络中的路由选择,把数据包顺利的传送到目的主机。大多数操作系统都支持多程序（进程）同时运行，那么目的主机应该把接收到的数据包传送给众多同时运行的进程中的哪一个呢？显然这个问题有待解决，端口机制便由此被引入进来。
本地操作系统会给那些有需求的进程分配协议端口（protocol port，即我们常说的端口），每个协议端口由一个正整数标识，如：80，139，445，等等。当目的主机接收到数据包后，将根据报文首部的目的端口号，把数据发送到相应端口，而与此端口相对应的那个进程将会领取数据并等待下一组数据的到来。说到这里，端口的概念似乎仍然抽象，那么继续跟我来，别走开。
端口其实就是队，操作系统为各个进程分配了不同的队，数据包按照目的端口被推入相应的队中，等待被进程取用，在极特殊的情况下，这个队也是有可能溢出的，不过操作系统允许各进程指定和调整自己的队的大小。
不光接受数据包的进程需要开启它自己的端口，发送数据包的进程也需要开启端口，这样，数据包中将会标识有源端口，以便接受方能顺利地回传数据包到这个端口。
每种网络的服务功能都不相同，因此有必要将不同的封包送给不同的服务来处理，当你的主机同时开启了FTP与WWW服务时，别人送来的资料封包，就会依照 TCP 上面的 port 号码来给 FTP 这个服务或者是 WWW 这个服务来处理。
· 每一个 TCP 连接都必须由一端（通常为 client )发起请求，这个 port 通常是随机选择大于 1024 以上（因为0-1023一般被用作知名服务器的端口，被预定，如FTP、HTTP、SMTP等）的 port 号来进行！其 TCP封包会将（且只将） SYN旗标设定起来！这是整个联机的第一个封包；
· 如果另一端（通常为 Server ) 接受这个请求的话（特殊的服务需要以特殊的 port 来进行，例如 FTP 的 port 21 ），则会向请求端送回整个联机的第二个封包！其上除了 SYN旗标之外同时还将 ACK 旗标也设定起来，并同时在本机端建立资源以待联机之需；
· 然后，请求端获得服务端第一个响应封包之后，必须再响应对方一个确认封包，此时封包只带 ACK旗标（事实上，后继联机中的所有封包都必须带有 ACK 旗标）；
· 只有当服务端收到请求端的确认（ ACK ）封包（也就是整个联机的第三个封包）之后，两端的联机才能正式建立。这就是所谓的 TCP 联机的'三次握手（ Three-Way Handshake )'的原理。
经过三向交握之后，你的 client 端的 port 通常是高于 1024 的随机取得的 port，至于主机端则视当时的服务是开启哪一个 port 而定，例如 WWW 选择 80 而 FTP 则以 21 为正常的联机信道！
总而言之，我们这里所说的端口，不是计算机硬件的I/O端口，而是软件形式上的概念。根据提供服务类型的不同，端口分为两种，一种是TCP端口，一种是UDP端口。计算机之间相互通信的时候，分为两种方式：一种是发送信息以后，可以确认信息是否到达，也就是有应答的方式，这种方式大多采用TCP协议；一种是发送以后就不管了，不去确认信息是否到达，这种方式大多采用UDP协议。对应这两种协议的服务提供的端口，也就分为TCP端口和UDP端口。
那么，如果攻击者使用软件扫描目标计算机，得到目标计算机打开的端口，也就了解了目标计算机提供了哪些服务。我们都知道，提供服务就一定有服务软件的漏洞，根据这些，攻击者可以达到对目标计算机的初步了解。如果计算机的端口打开太多，而管理者不知道，那么，有两种情况：一种是提供了服务而管理者没有注意，比如安装IIS的时候，软件就会自动增加很多服务，而管理员可能没有注意到；一种是服务器被攻击者安装木马，通过特殊的端口进行通信。这两种情况都是很危险的，说到底，就是管理员不了解服务器提供的服务，减小了系统安全系数。
TCP端口和UDP端口。由于TCP和UDP 两个协议是独立的，因此各自的端口号也相互独立，比如TCP有235端口，UDP也 可以有235端口，两者并不冲突。
周知端口是众所周知的端口号，范围从0到1023，其中80端口分配给WWW服务，21端口分配给FTP服务等。我们在IE的地址栏里输入一个网址的时候是不必指定端口号的，因为在默认情况下WWW服务的端口是“80”。
网络服务是可以使用其他端口号的，如果不是默认的端口号则应该在 地址栏上指定端口号，方法是在地址后面加上冒号“：”（半角），再加上端口号。比如使用“8080”作为WWW服务的端口，则需要在地址栏里输入“网址：8080”。
但是有些系统协议使用固定的端口号，它是不能被改变的，比如139 端口专门用于NetBIOS与TCP/IP之间的通信，不能手动改变。
动态端口的范围是从49152到65535。之所以称为动态端口，是因为它 一般不固定分配某种服务，而是动态分配。
端口1024到49151，分配给用户进程或应用程序。这些进程主要是用户选择安装的一些应用程序，而不是已经分配好了公认端口的常用程序。这些端口在没有被服务器资源占用的时候，可以用用户端动态选用为源端口。
我们知道，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区分不同的服务的。
需要注意的是，端口并不是一一对应的。比如你的电脑作为客户机访 问一台WWW服务器时，WWW服务器使用“80”端口与你的电脑通信，但你的电脑则可能使用“3457”这样的端口。
有人曾经把服务器比作房子，而把端口比作通向不同房间（服务）的门，如果不考虑细节的话，这是一个不错的比喻。入侵者要占领这间房子，势必要破门而入（物理入侵另说），那么对于入侵者来说，了解房子开了几扇门，都是什么样的门，门后面有什么东西就显得至关重要。
入侵者通常会用扫描器对目标主机的端口进行扫描，以确定哪些端口是开放的，从开放的端口，入侵者可以知道目标主机大致提供了哪些服务，进而猜测可能存在的漏洞，因此对端口的扫描可以帮助我们更好的了解目标主机，而对于管理员，扫描本机的开放端口也是做好安全防范的第一步。
面向连接服务和无连接服务
ConnectionlessProtocols）面向连接服务的主要特点有：面向连接服务要经过三个阶段：数据传输前，先建立连接，连接建立后再传输数据，数据传送完后，释放连接。面向连接服务，可确保数据传送的次序和传输的可靠性。无连接服务的特点是：无连接服务只有传输数据阶段。消除了除数据通信外的其它开销。只要发送实体是活跃的，无须接收实体也是活跃的。它的优点是灵活方便、迅速，特别适合于传送少量零星的报文，但无连接服务不能防止报文的丢失、重复或失序。
区分"面向连接服务"和"无连接服务"的概念
区分特别简单、形象的例子是：打电话和写信。两个人如果要通电话，必须先建立连接--拨号，等待应答后才能相互传递信息，最后还要释放连接--挂电话。写信就没有那么复杂了，地址姓名填好以后直接往邮筒一扔，收信人就能收到。TCP/IP协议在网络层是无连接的（数据包只管往网上发，如何传输和到达以及是否到达由网络设备来管理）。而"端口"，是传输层的内容，是面向连接的。协议里面低于1024的端口都有确切的定义，它们对应着因特网上常见的一些服务。
划分为使用TCP端口（面向连接如打电话）和使用UDP端口（无连接如写信）两种。
网络中可以被命名和寻址的通信端口是操作系统的一种可分配资源。由网络OSI（开放系统互联参考模型，Open System Interconnection Reference
Model）七层协议可知，传输层与网络层最大的区别是传输层提供进程通信能力，网络通信的最终地址不仅包括主机地址，还包括可描述进程的某种标识。所以TCP/IP协议提出的协议端口，可以认为是网络通信进程的一种标识符。
应用程序（调入内存运行后一般称为：进程）通过系统调用与某端口建立连接（binding，绑定）后，传输层传给该端口的数据都被相应的进程所接收，相应进程发给传输层的数据都从该端口输出。在TCP/IP协议的实现中，端口操作类似于一般的I/O操作，进程获取一个端口，相当于获取本地唯一的I/O文件，可以用一般的读写方式访问类似于文件描述符，每个端口都拥有一个叫端口号的整数描述符，用来区别不同的端口。由于TCP/IP传输层的TCP和UDP两个协议是两个完全独立的软件模块，因此各自的端口号也相互独立。如TCP有一个255号端口，UDP也可以有一个255号端口，两者并不冲突。端口号有两种基本分配方式：第一种叫全局分配这是一种集中分配方式，由一个公认权威的中央机构根据用户需要进行统一分配，并将结果公布于众，第二种是本地分配，又称动态连接，即进程需要访问传输层服务时，向本地操作系统提出申请，操作系统返回本地唯一的端口号，进程再通过合适的系统调用，将自己和该端口连接起来（binding，绑定）。TCP/IP端口号的分配综合了以上两种方式，将端口号分为两部分，少量的作为保留端口，以全局方式分配给服务进程。每一个标准服务器都拥有一个全局公认的端口叫周知端口，即使在不同的机器上，其端口号也相同。剩余的为自由端口，以本地方式进行分配。TCP和UDP规定，小于256的端口才能作为保留端口。
按照端口号的大小分类，可分为如下几类[1] ：
（1）公认端口（WellKnownPorts）：从0到1023，它们紧密绑定（binding）于一些服务。通常这些端口的通讯明确表明了某种服务的协议。例如：80端口实际上总是HTTP通讯。
（2）注册端口（RegisteredPorts）：从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的。例如：许多系统处理动态端口从1024左右开始。
（3）动态和/或私有端口（Dynamicand/orPrivatePorts）：从49152到65535。理论上，不应为服务分配这些端口。实际上，机器通常从1024起分配动态端口。但也有例外：SUN的RPC端口从32768开始。
系统管理员可以"重定向"端口
一种常见的技术是把一个端口重定向到另一个地址。例如默认的HTTP端口是80，不少人将它重定向到另一个端口，如8080。如果是这样改了。实现重定向是为了隐藏公认的默认端口，降低受破坏率。这样如果有人要对一个公认的默认端口进行攻击则必须先进行端口扫描。大多数端口重定向与原端口有相似之处，例如多数HTTP端口由80变化而来：81，88，8000，8080，8888。同样POP的端口原来在110，也常被重定向到1100。也有不少情况是选取统计上有特别意义的数，象1234，23456，34567等。许多人有其它原因选择奇怪的数，42，69，666，31337。越来越多的远程控制木马（RemoteAccessTrojans,RATs）采用相同的默认端口。如NetBus的默认端口是12345。BlakeR.Swopes指出使用重定向端口还有一个原因，在UNIX系统上，如果你想侦听1024以下的端口需要有root权限。如果你没有root权限而又想开web服务，你就需要将其安装在较高的端口。此外，一些ISP的防火墙将阻挡低端口的通讯，这样的话即使你拥有整个机器你还是得重定向端口。
刚接触网络的朋友一般都对自己的端口很敏感，总怕自己的电脑开放了过多端口，更怕其中就有后门程序的端口，但由于对端口不是很熟悉，所以也没有解决办法，上起网来提心吊胆。其实保护自己的端口并不是那么难，只要做好下面几点就行了：
- 查看：经常用命令或软件查看本地所开放的端口，看是否有可疑端口；
- 判断：如果开放端口中有你不熟悉的，应该马上查找端口大全或木马常见端口等资料（网上多的很），看看里面对你那个可疑端口的作用描述，或者通过软件查看开启此端口的进程来进行判断；
- 关闭：如果真是木马端口或者资料中没有这个端口的描述，那么应该关闭此端口，你可以用防火墙来屏蔽此端口，也可以用本地连接－TCP/IP－高级－选项－TCP/IP筛选，启用筛选机制来筛选端口；
注意：判断时候要慎重，因为一些动态分配的端口也容易引起你多余的怀疑，这类端口一般比较低，且连续。还有，一些狡猾的后门软件，他们会借用80等一些常见端口来进行通信（穿透了防火墙），令人防不胜防，因此不轻易运行陌生程序才是关键。
一台服务器有大量的端口在使用，怎么来查看端口呢？有两种方式：一种是利用系统内置的命令，一种是利用第三方端口扫描软件。
在Windows 2000/XP中，可以在命令提示符下使用“netstat /an”查 看系统端口状态，可以列出系统正在开放的端口号及其状态．
2.用第三方端口扫描软件
第三方端口扫描软件有许多，界面虽然千差万别，但是功能却是类似 的。这里以“Fport” 为例讲解。“Fport”在命令提示符下使用，运行结果与“netstat -an”相似，但是它不仅能够列出正在使用的端口号及类型，还可以列出端口被哪个应用程序使用。
一些端口常常会被黑客利用，还会被一些木马病毒利用，对计算机系统进行攻击，以下是计算机端口的介绍以及防止被黑客攻击的简要办法。
端口说明：8080端口同80端口，是被用于WWW代理服务的，可以实现网页浏览，经常在访问某个网站或使用代理服务器的时候，会加上“：8080”端口号。
端口漏洞：8080端口可以被各种病毒程序所利用，比如Brown Orifice（BrO）特洛伊木马病毒可以利用8080端口完全遥控被感染的计算机。另外，RemoConChubo，RingZero木马也可以利用该端口进行攻击。
操作建议：一般我们是使用80端口进行网页浏览的，为了避免病毒的攻击，我们可以关闭该端口。
说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。
说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。
说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。
说明：用于网页浏览。木马Executor开放此端口。
说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。
服务：SUN公司的RPC服务所有端口
说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。
Server吗？什么版本？还有些DOS攻击直接针对这个端口。
说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。
说明：SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络
说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。
限制端口防非法入侵[分享]
一般来说，我们采用一些功能强大的反黑软件和防火墙来保证我们的系统安全，本文拟用一种简易的办法——通过限制端口来帮助大家防止非法入侵。
简单说来，非法入侵的方式可粗略分为4种：
1、扫描端口，通过已知的系统Bug攻入主机。
2、种植木马，利用木马开辟的后门进入主机。
3、采用数据溢出的手段，迫使主机提供后门进入主机。
4、利用某些软件设计的漏洞，直接或间接控制主机。
非法入侵的主要方式是前两种，尤其是利用一些流行的黑客工具，通过第一种方式攻击主机的情况最多、也最普遍；而对后两种方式来说，只有一些手段高超的黑客才利用，波及面并不广泛，而且只要这两种问题一出现，软件服务商很快就会提供补丁，及时修复系统。
对于个人用户来说，您可以限制所有的端口，因为您根本不必让您的机器对外提供任何服务；而对于对外提供网络服务的服务器，我们需把必须利用的端口（比如WWW端口80、FTP端口21、邮件服务端口25、110等）开放，其他的端口则全部关闭。
这里，对于采用Windows 2000或者Windows XP的用户来说，不需要安装任何其他软件，可以利用“TCP/IP筛选”功能限制服务器的端口。具体设置如下：
1、右键点击“网上邻居”，选择“属性”，然后双击“本地连接”（如果是拨号上网用户，选择“我的连接”图标），弹出“本地连接状态”对话框。
2、点击[属性]按钮，弹出“本地连接属性”，选择“此连接使用下列项目”中的“Internet协议（TCP/IP）”，然后点击[属性]按钮。
3、在弹出的“Internet协议（TCP/IP）”对话框中点击[高级]按钮。在弹出的“高级TCP/IP 设置”中，选择“选项”标签，选中“TCP/IP筛选”，然后点击[属性]按钮。
4、在弹出的“TCP/IP筛选”对话框里选择“启用TCP/IP筛选”的复选框，然后把左边“TCP端口”上的“只允许”选上。
这样，您就可以来自己添加或删除您的TCP或UDP或IP的各种端口了。
添加或者删除完毕，重新启动机器以后，您的服务器就被保护起来了。
最后，提醒个人用户，如果您只上网浏览的话，可以不添加任何端口。但是要利用一些网络联络工具，比如OICQ的话，就要把“4000”这个端口打开，同理，如果发现某个常用的网络工具不能起作用的时候，请搞清它在您主机所开的端口，然后在“TCP /IP“里把此端口打开。
位于公共或外部林中的应用程序服务器、客户端计算机和域控制器都具有服务依赖性，以使用户和计算机启动的操作（如域加入、登录身份验证、远程管理和 Active Directory 复制）可以正常工作。此类服务和操作要求通过特定端口和网络协议建立网络连接。
成员计算机和域控制器进行互操作或应用程序服务器访问 Active Directory 所需的服务、端口和协议的概括列表包括但不限于以下内容：
远程过程调用（RPC）
简单邮件传输协议（SMTP）（如果配置）
证书服务（特定配置所必需的）
DHCP 服务器（如果配置）
分布式链接跟踪服务器（可选项，但在 Windows 2000 计算机中将默认选择此项）
Macintosh文件服务器（如果配置）。
Internet 验证服务（如果配置）。
许可证记录（默认情况下使用）。
远程安装（如果配置）。
远程过程调用 （RPC） 定位器。
简单邮件传输协议 （SMTP）（如果配置）
控制面板-windows防火墙-例外-打开想打开的端口或再添加一个想要添加的端口。
IP地址是指互联网协议地址（英语：Internet Protocol Address，又译为网际协议地址），是IP Address的缩写。IP地址是IP协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来屏蔽物理地址的差异。目前还有些ip代理软件，但大部分都收费。
Protocol的缩写，意思是“网络之间互连的协议”，也就是为计算机网络相互连接进行通信而设计的协议。在因特网中，它是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。正是因为有了IP协议，因特网才得以迅速发展成为世界上最大的、开放的计算机通信网络。因此，IP协议也可以叫做“因特网协议”。
IP地址被用来给Internet上的电脑一个编号。大家日常见到的情况是每台联网的PC上都需要有IP地址，才能正常通信。我们可以把“个人电脑”比作“一台电话”，那么“IP地址”就相当于“电话号码”，而Internet中的路由器，就相当于电信局的“程控式交换机”。
IP地址是一个32位的二进制数，通常被分割为4个“8位二进制数”（也就是4个字节）。IP地址通常用“点分十进制”表示成（a.b.c.d）的形式，其中，a,b,c,d都是0~255之间的十进制整数。例：点分十进IP地址（100.4.5.6），实际上是32位二进制数（01.）。
IP地址编址方案：IP地址编址方案将IP地址空间划分为A、B、C、D、E五类，其中A、B、C是基本类，D、E类作为多播和保留使用。
IPV4就是有4段数字，每一段最大不超过255。由于互联网的蓬勃发展，IP位址的需求量愈来愈大，使得IP位址的发放愈趋严格，各项资料显示全球IPv4位址可能在2005至2010年间全部发完(实际情况是在2011年2月3日IPv4位地址分配完毕）。
地址空间的不足必将妨碍互联网的进一步发展。为了扩大地址空间，拟通过IPv6重新定义地址空间。IPv6采用128位地址长度。在IPv6的设计过程中除了一劳永逸地解决了地址短缺问题以外，还考虑了在IPv4中解决不好的其它问题。
——IP是当前热门的技术。与此相关联的一批新名词，如IP网络、IP交换、IP电话、IP传真等等，也相继出现。
——IP是怎样实现网络互连的？各个厂家生产的网络系统和设备，如以太网、分组交换网等，它们相互之间不能互通，不能互通的主要原因是因为它们所传送数据的基本单元（技术上称之为“帧”）的格式不同。IP协议实际上是一套由软件程序组成的协议软件，它把各种不同“帧”统一转换成“IP数据报”格式，这种转换是因特网的一个最重要的特点，使所有各种计算机都能在因特网上实现互通，即具有“开放性”的特点。
——那么，“数据报”是什么？它又有什么特点呢？数据报也是分组交换的一种形式，就是把所传送的数据分段打成“包”，再传送出去。但是，与传统的“连接型”分组交换不同，它属于“无连接型”，是把打成的每个“包”（分组）都作为一个“独立的报文”传送出去，所以叫做“数据报”。这样，在开始通信之前就不需要先连接好一条电路，各个数据报不一定都通过同一条路径传输，所以叫做“无连接型”。这一特点非常重要，它大大提高了网络的坚固性和安全性。
——每个数据报都有报头和报文这两个部分，报头中有目的地址等必要内容，使每个数据报不经过同样的路径都能准确地到达目的地。在目的地重新组合还原成原来发送的数据。这就要IP具有分组打包和集合组装的功能。
——在实际传送过程中，数据报还要能根据所经过网络规定的分组大小来改变数据报的长度，IP数据报的最大长度可达65535个字节。
——IP协议中还有一个非常重要的内容，那就是给因特网上的每台计算机和其它设备都规定了一个唯一的地址，叫做“IP地址”。由于有这种唯一的地址，才保证了用户在连网的计算机上操作时，能够高效而且方便地从千千万万台计算机中选出自己所需的对象来。
——电信网正在与IP网走向融合，以IP为基础的新技术是热门的技术，如用IP网络传送话音的技术（即VoIP）就很热门，其它如IP over ATM、IP over SDH、IP over WDM等等，都是IP技术的研究重点。
Internet上的每台主机(Host)都有一个唯一的IP地址。IP协议就是使用这个地址在主机之间传递信息，这是Internet
能够运行的基础。IP地址的长度为32位(共有2^32个IP地址)，分为4段，每段8位，用十进制数字表示，每段数字范围为0～255，段与段之间用句点隔开。例如159.226.1.1。IP地址可以视为网络标识号码与主机标识号码两部分，因此IP地址可分两部分组成，一部分为网络地址，另一部分为主机地址。IP地址分为A、B、C、D、E5类，它们适用的类型分别为：大型网络；中型网络；小型网络；多目地址；备用。常用的是B和C两类。
IP地址就像是我们的家庭住址一样，如果你要写信给一个人，你就要知道他（她）的地址，这样邮递员才能把信送到。计算机发送信息就好比是邮递员，它必须知道唯一的“家庭地址”才能不至于把信送错人家。只不过我们的地址使用文字来表示的，计算机的地址用二进制数字表示。
众所周知，在电话通讯中，电话用户是靠电话号码来识别的。同样，在网络中为了区别不同的计算机，也需要给计算机指定一个连网专用号码，这个号码就是“IP地址”。
将IP地址分成了网络号和主机号两部分，设计者就必须决定每部分包含多少位。网络号的位数直接决定了可以分配的网络数（计算方法2网络号位数-2）；主机号的位数则决定了网络中最大的主机数（计算方法2主机号位数-2）。然而，由于整个互联网所包含的网络规模可能比较大，也可能比较小，设计者最后聪明的选择了一种灵活的方案：将IP地址空间划分成不同的类别，每一类具有不同的网络号位数和主机号位数。
TCP/IP协议需要针对不同的网络进行不同的设置，且每个节点一般需要一个“IP地址”、一个“子网掩码”、一个“默认网关”。不过，可以通过动态主机配置协议（DHCP），给客户端自动分配一个IP地址，避免了出错，也简化了TCP/IP协议的设置。
InterNIC：负责美国及其他地区；
ENIC：负责欧洲地区；
PS：1998年，APNIC的总部从东京搬迁到澳大利亚布里斯班。
负责A类IP地址分配的机构是ENIC
负责北美B类IP地址分配的机构是InterNIC
负责亚太B类IP地址分配的机构是APNIC
最初设计互联网络时，为了便于寻址以及层次化构造网络，每个IP地址包括两个标识码（ID），即网络ID和主机ID。同一个物理网络上的所有主机都使用同一个网络ID，网络上的一个主机（包括网络上工作站，服务器和路由器等）有一个主机ID与其对应。Internet委员会定义了5种IP地址类型以适合不同容量的网络，即A类~E类。
其中A、B、C3类（如下表格）由InternetNIC在全球范围内统一分配，D、E类为特殊地址。
一个A类IP地址是指， 在IP地址的四段号码中，第一段号码为网络号码，剩下的三段号码为本地计算机的号码。如果用二进制表示IP地址的话，A类IP地址就由1字节的网络地址和3字节主机地址组成，网络地址的最高位必须是“0”。A类IP地址中网络的标识长度为8位，主机标识的长度为24位，A类网络地址数量较少，有126个网络，每个网络可以容纳主机数达1600多万台。
A类IP地址的子网掩码为255.0.0.0，每个网络支持的最大主机数为256的3次方-2=台。
一个B类IP地址是指，在IP地址的四段号码中，前两段号码为网络号码。如果用二进制表示IP地址的话，B类IP地址就由2字节的网络地址和2字节主机地址组成，网络地址的最高位必须是“10”。B类IP地址中网络的标识长度为16位，主机标识的长度为16位，B类网络地址适用于中等规模的网络，有16384个网络，每个网络所能容纳的计算机数为6万多台。
B类IP地址的子网掩码为255.255.0.0，每个网络支持的最大主机数为256的2次方-2=65534台。
一个C类IP地址是指，在IP地址的四段号码中，前三段号码为网络号码，剩下的一段号码为本地计算机的号码。如果用二进制表示IP地址的话，C类IP地址就由3字节的网络地址和1字节主机地址组成，网络地址的最高位必须是“110”。C类IP地址中网络的标识长度为24位，主机标识的长度为8位，C类网络地址数量较多，有209万余个网络。适用于小规模的局域网络，每个网络最多只能包含254台计算机。
D类IP地址在历史上被叫做多播地址(multicast address)，即组播地址。在以太网中，多播地址命名了一组应该在这个网络中应用接收到一个分组的站点。多播地址的最高位必须是“1110”，范围从224.0.0.0到239.255.255.255。
每一个字节都为0的地址（“0.0.0.0”）对应于当前主机；
IP地址中的每一个字节都为1的IP地址（“255．255．255．255”）是当前子网的广播地址；
IP地址中凡是以“11110”开头的E类IP地址都保留用于将来和实验使用。
IP地址中不能以十进制“127”作为开头，该类地址中数字127．0．0．1到127．255．255．255用于回路测试，如：127.0.0.1可以代表本机IP地址，用“http://127.0.0.1”就可以测试本机中配置的Web服务器。
网络ID的第一个8位组也不能全置为“0”，全“0”表示本地网络。
IP地址根据网络ID的不同分为5种类型，A类地址、B类地址、C类地址、D类地址和E类地址。
查找ip有个cmd命令：tracert 后面加ip地址，可以查所经过的路由!
在一个局域网中，有两个IP地址比较特殊，一个是网络号，一个是广播地址。网络号是用于三层寻址的地址，它代表了整个网络本身；另一个是广播地址，它代表了网络全部的主机。网络号是网段中的第一个地址，广播地址是网段中的最后一个地址，这两个地址是不能配置在计算机主机上的。
例如在192.168.0.0，255.255.255.0这样的网段中，网络号是192.168.0.0，广播地址是192.168.0.255。因此，在一个局域网中，能配置在计算机中的地址比网段内的地址要少两个（网络号、广播地址），这些地址称之为主机地址。在上面的例子中，主机地址就只有192.168.0.1至192.168.0.254可以配置在计算机上了。
现有的互联网是在IPv4协议的基础上运行的。IPv6是下一版本的互联网协议，也可以说是下一代互联网的协议，它的提出最初是因为随着互联网的迅速发展，IPv4定义的有限地址空间将被耗尽，而地址空间的不足必将妨碍互联网的进一步发展。为了扩大地址空间，拟通过IPv6以重新定义地址空间。IPv4采用32位地址长度，只有大约43亿个地址，估计在2005～2010年间将被分配完毕，而IPv6采用128位地址长度，几乎可以不受限制地提供地址。按保守方法估算IPv6实际可分配的地址，整个地球的每平方米面积上仍可分配1000多个地址。在IPv6的设计过程中除解决了地址短缺问题以外，还考虑了在IPv4中解决不好的其它一些问题，主要有端到端IP连接、服务质量（QoS）、安全性、多播、移动性、即插即用等。
与IPv4相比，IPv6主要有如下一些优势。第一，明显地扩大了地址空间。IPv6采用128位地址长度，几乎可以不受限制地提供IP地址，从而确保了端到端连接的可能性。第二，提高了网络的整体吞吐量。由于IPv6的数据包可以远远超过64k字节，应用程序可以利用最大传输单元（MTU），获得更快、更可靠的数据传输，同时在设计上改进了选路结构，采用简化的报头定长结构和更合理的分段方法，使路由器加快数据包处理速度，提高了转发效率，从而提高网络的整体吞吐量。第三，使得整个服务质量得到很大改善。报头中的业务级别和流标记通过路由器的配置可以实现优先级控制和QoS保障，从而极大改善了IPv6的服务质量。第四，安全性有了更好的保证。采用IPSec可以为上层协议和应用提供有效的端到端安全保证，能提高在路由器水平上的安全性。第五，支持即插即用和移动性。设备接入网络时通过自动配置可自动获取IP地址和必要的参数，实现即插即用，简化了网络管理，易于支持移动节点。而且IPv6不仅从IPv4中借鉴了许多概念和术语，它还定义了许多移动IPv6所需的新功能。第六，更好地实现了多播功能。在IPv6的多播功能中增加了“范围”和“标志”，限定了路由范围和可以区分永久性与临时性地址，更有利于多播功能的实现。
随着互联网的飞速发展和互联网用户对服务水平要求的不断提高，IPv6在全球将会越来越受到重视。实际上，并不急于推广IPv6，只需在现有的IPv4基础上将32位扩展8位到40位，即可解决IPv4地址不够的问题。这样一来可用地址数就扩大了256倍。
这种查任意一个人IP地址的基本思路是：若想知道对方的地址，只需设法让对方访问自己的IP地址就可以了，一旦对方来访问，也就建立了一个SOCKET连接，我们就可以轻松地捕获他(她)的IP地址。当然前提他得在线。
第一步：申请一个转向域名，如126com等，并在网上做一个主页(主页无论怎么简单都可以，目的是为了查IP地址嘛)；
第二步：在你想查别人IP的时候，到你申请域名的地方，将链接转到你的IP；
第三步：打开查IP地址的软件
第四步：告诉那个你想查其IP地址的人，想办法(是用甜言蜜语还是美…计，就看你的了)让他去你的网站看看，给他这个转向域名；
第五步：当他输入此网址以后，域名会自动指向你的IP，因此你就能知道他的IP了；
第六步：当你查到他的IP地址后，再将转向的地址改为你网站的地址，达到隐藏的目的。
如今的网上真的不大安静，总有些人拿着扫描器扫来扫去。如果你想查那个扫你电脑的人的IP，可用下面的方法。
一种做法是用天网，用软件默认的规则即可。如果有人扫描你的电脑，那么在“日志”中就可以看到那个扫你的人的IP了，他扫描你电脑的哪个端口也可从中看出。由于我们在前面已经讲了用天网查QQ用户IP的方法，因此在这里就不多说了。
另外一种做法是用黑客陷阱软件，这些软件可以欺骗对方你的某些端口已经打开，让他误以为你已经中了木马，当他与你的电脑产生连接时，他的IP就记录在这些软件中了。以“小猪快跑”为例，在该软件中有个非常不错的功能：“自定义密码欺骗端口设置”，你可以用它来自定义开启10个端口用来监听，不大明白？
设置本机的IP地址可以通过：网上邻居 -> 本地连接 -> 属性 -> TCP/IP 就可以开始设置了。
首先，我们看一个CCNA考试中常见的题型：一个主机的IP地址是202.112.14.137，掩码是255.255.255.224，要求计算这个主机所在网络的网络地址和广播地址。
常规办法是把这个主机地址和子网掩码都换算成二进制数，两者进行逻辑与运算后即可得到网络地址。其实大家只要仔细想想，可以得到另一个方法：255.255.255.224的掩码所容纳的IP地址有256－224=32个（包括网络地址和广播地址），那么具有这种掩码的网络地址一定是32的倍数。而网络地址是子网IP地址的开始，广播地址是结束，可使用的主机地址在这个范围内，因此略小于137而又是32的倍数的只有128，所以得出网络地址是202.112.14.128。而广播地址就是下一个网络的网络地址减1。而下一个32的倍数是160，因此可以得到广播地址为202.112.14.159。
还有一种题型，要你根据每个网络的主机数量进行子网地址的规划和计算子网掩码。这也可按上述原则进行计算。比如一个子网有10台主机，那么对于这个子网就需要10+1+1+1=13个IP地址。（注意加的第一个1是指这个网络连接时所需的网关地址，接着的两个1分别是指网络地址和广播地址。）13小于16（16等于2的4次方），所以主机位为4位。而256－16=240，所以该子网掩码为255.255.255.240。
如果一个子网有14台主机，不少同学常犯的错误是：依然分配具有16个地址空间的子网，而忘记了给网关分配地址。这样就错误了，因为14+1+1+1=17 ，大于16，所以我们只能分配具有32个地址（32等于2的5次方）空间的子网。这时子网掩码为：255.255.255.224。
子网、超网和无类域间路由
需要注意的是，不要以为同一网络的计算机分配不同的IP地址，就可以提高网络传输效率。事实上，同一网络内的计算机仍然处于同一广播域，广播包的数量不会由于IP地址的不同而减少，所以，仅仅是为计算机指定不同网段，并不能实现划分广播域的目的。若欲减少广播域，最根本的解决办法就是划分VLAN，然后为每个VLAN分别指定不同的IP网段。
传统IP地址分类的缺点是不能在网络内部使用路由，这样一来，对于比较大的网络，例如一个A类网络，会由于网络中主机数量太多而变得难以管理。为此，引入子网掩码(NetMask)，从逻辑上把一个大网络划分成一些小网络。子网掩码是由一系列的1和0构成，通过将其同IP地址做“与”运算来指出一个IP地址的网络号是什么。对于传统IP地址分类来说，A类地址的子网掩码是255.0.0.0；B类地址的子网掩码是255.255.0.0；C类地址的子网掩码是255.255.255.0。例如，如果要将一个B类网络166.111.0.0划分为多个C类子网来用的话，只要将其子网掩码设置为255.255.255.0即可，这样166.111.1.1和166.111.2.1就分属于不同的网络了。像这样，通过较长的子网掩码将一个网络划分为多个网络的方法就叫做划分子网(Subnetting)。
在选择专用（私有）IP地址时，应当注意以下几点：
1、为每个网段都分配一个C类IP地址段，建议使用192.168.2.0--192.168.254.0段IP地址。由于某些网络设备（如宽带路由器或无线路由器）或应用程序（如ICS）拥有自动分配IP地址功能，而且默认的IP地址池往往位于192.168.0.0和192.168.1.0段，因此，在采用该IP地址段时，往往容易导致IP地址冲突或其他故障。所以，除非必要，应当尽量避免使用上述两个C类地址段。
2、可采用C类地址的子网掩码，如果有必要，可以采用变长子网掩码。通常情况下，不要采用过大的子网掩码，每个网段的计算机数量都不要超过250台计算机。同一网段的计算机数量越多，广播包的数量越大，有效带宽就损失得越多，网络传输效率也越低。
3、即使选用10.0.0.1--10.255.255.254或172.16.0.1--172.31.255.254段IP地址，也建议采用255.255.255.0作为子网掩码，以获取更多的IP网段，并使每个子网中所容纳的计算机数量都较少。当然，如果必要，可以采用变长子网掩码，适当增加可容纳的计算机数量。
4、为网络设备的管理WLAN分配一个独立的IP地址段，以避免发生与网络设备管理IP的地址冲突，从而影响远程管理的实现。基于同样的原因，也要将所有的服务器划分至一个独立的网段。
超网(Supernetting)是同子网类似的概念，它通过较短的子网掩码将多个小网络合成一个大网络。例如，一个单位分到了8个C类地址：202.120.224.0 ～ 202.120.231.0，只要将其子网掩码设置为255.255.248.0，就能使这些C类网络相通。
由于因特网上主机数量的爆炸性增长，传统IP地址分类的缺陷使得大量空置IP地址浪费，造成IP地址资源出现了匮乏，同时网络数量的增长使路由表太大而难以管理。对于不少拥有数百台主机的公司而言，分配一个B类地址太浪费，而分配一个C类地址又不够，因此只能分配多个C类地址，但这又加剧了路由表的膨胀。在这样的背景下，出现了无类域间路由(CIDR，Classless Inter-Domain
Routing)，以解决这一问题。在CIDR中，地址根据网络拓扑来分配，可以将连续的一组网络地址分配给一家公司，并使整组地址作为一个网络地址(比如使用超网技术)，在外部路由表上只有一个路由表项。这样既解决了地址匮乏问题，又解决了路由表膨胀的问题。另外，CIDR还将整个世界分为四个地区，给每个地区分配了一段连续的C类地址，分别是：欧洲(194.0.0.0～195.255.255.255)、北美(198.0.0.0～199.255.255.255)、中南美(200.0.0.0～201.255.255.255)和亚太(202.0.0.0～203.255.255.255)。这样，当一个亚太地区以外的路由器收到前8位为202或203的数据报时，它只需要将其放到通向亚太地区的路由即可，而对后24位的路由则可以在数据报到达亚太地区后再进行处理，这样就大大缓解了路由表膨胀的问题。
