Mở port trên VPS Windows và Linux, kiểm tra port đã mở chưa (thử đủ 4 trường hợp)

Cài xong game server, website hay phần mềm trên VPS mà bên ngoài không vào được — 9 trên 10 lần là chuyện cổng (port). Muốn một cổng "mở" thật sự, phải đủ hai điều kiện: có chương trình đang nghe ở cổng đó, và tường lửa cho phép đi vào. Bài này thử thật đủ 4 tổ hợp trên VPS Windows và Linux ngày 01/11/2026, đo xem mỗi trường hợp máy bên ngoài thấy gì — để bạn nhìn kết quả là biết sai ở đâu.

1. Hai điều kiện để một cổng "mở"

Chỉ mở tường lửa mà chương trình chưa chạy — vẫn không vào được. Chương trình chạy mà quên tường lửa — cũng không. Kiểm tra theo đúng thứ tự: trong VPS trước (điều kiện ①), rồi mới từ máy bên ngoài.

2. Kiểm tra cổng từ máy của bạn

Trên máy Windows của bạn, mở PowerShell (không cần quyền quản trị):

Test-NetConnection IP-cua-VPS -Port 8080

ComputerName     : IP-cua-VPS
RemotePort       : 8080
PingSucceeded    : False        ← bình thường: VPS Windows mặc định không trả lời ping
TcpTestSucceeded : True         ← cổng mở, kết nối được

Chỉ cần nhìn dòng TcpTestSucceeded. PingSucceeded : False không có nghĩa là VPS chết — Windows mặc định chặn ping (xem bài đo ping). Để biết lệnh chạy đúng, thử với cổng Remote Desktop 3389 trước: lần đo này trả True sau 0,5 giây.

3. Mở cổng trên VPS Windows

Bước 1 — kiểm tra chương trình đã nghe chưa (PowerShell trong VPS):

netstat -ano | findstr ":8080"
  TCP    0.0.0.0:8080           0.0.0.0:0              LISTENING       4832
# 0.0.0.0 = nghe trên mọi địa chỉ (đúng). 127.0.0.1:8080 = chỉ trong máy, bên ngoài không vào được
# 4832 là mã tiến trình: Get-Process -Id 4832 để biết chương trình nào

Bước 2 — mở cổng trong tường lửa, PowerShell bằng quyền Administrator:

New-NetFirewallRule -DisplayName "Mo cong 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 -Action Allow
# game dùng UDP: thêm một luật nữa với -Protocol UDP
# nhiều cổng: -LocalPort 8080,8443 hoặc dải -LocalPort 7000-7010
# đóng lại: Remove-NetFirewallRule -DisplayName "Mo cong 8080"

Thích bấm chuột: Win + R → wf.msc → Inbound Rules → New Rule… → Port → TCP, gõ số cổng → Allow the connection → giữ cả 3 ô Domain/Private/Public → đặt tên → Finish.

4. Mở cổng trên VPS Linux (ufw)

ss -ltnp | grep 8080                       # bước 1: có chương trình nghe chưa
LISTEN 0  5   0.0.0.0:8080  0.0.0.0:*  users:(("python3",pid=4837,fd=3))
ufw status                                 # tường lửa có đang bật không
Status: active
ufw allow 8080/tcp                         # bước 2: mở cổng (UDP: 8080/udp)
Rule added
Rule added (v6)
ufw status numbered                        # xem lại; xoá: ufw delete allow 8080/tcp

5. Đọc kết quả: sai ở đâu?

Vẫn chưa vào được dù trong VPS mọi thứ đúng: kiểm tra nhà cung cấp có tường lửa / nhóm bảo mật riêng ở trang quản trị không, và mạng nơi bạn đang ngồi (công ty, trường học) có chặn cổng lạ không — thử bằng mạng 4G.

6. Câu hỏi thường gặp

Kiểm tra cổng UDP thế nào?

Test-NetConnection và các trang "kiểm tra cổng" chỉ thử TCP. Cổng UDP (nhiều game, VPN) không có bắt tay nên không kiểm được kiểu này — mở luật tường lửa với -Protocol UDP / ufw allow PORT/udp rồi thử bằng chính phần mềm cần dùng.

Có nên tắt hẳn tường lửa cho nhanh?

Không. Tắt tường lửa là mở mọi cổng của mọi dịch vụ trong máy — kể cả những dịch vụ bạn không biết đang chạy. Chỉ mở đúng cổng cần dùng.

Mở cổng Remote Desktop / SSH sang số khác?

Đổi cổng là chuyện khác với mở cổng: dịch vụ phải nghe ở cổng mới và tường lửa phải mở cổng mới cùng lúc. Xem cách đổi cổng RDP / SSH.

Chương trình chỉ nghe 127.0.0.1 thì sửa sao?

Tìm trong cấu hình của phần mềm mục bind / listen / host và đổi thành 0.0.0.0 (hoặc IP của VPS), rồi khởi động lại phần mềm. Kiểm tra lại bằng netstat / ss.

Mở cổng xong có cần khởi động lại VPS?

Không. Luật tường lửa có hiệu lực ngay — lần đo này kết nối được ngay lần thử đầu tiên sau khi thêm luật.