Andiamo dritti al punto: cos'è nc -zv?

Se ti occupi di reti, sistemistica o stai semplicemente cercando di capire perché il tuo server non risponde, probabilmente hai incrociato il comando nc. Netcat, soprannominato spesso il "coltellino svizzero del TCP/IP", è uno strumento potentissimo. Ma quando aggiungiamo i flag -zv, lo trasformiamo in un tester di porte rapido ed efficace.

In parole povere: nc -zv serve a verificare se una specifica porta su un server remoto è aperta e accessibile, senza però stabilire una connessione completa o inviare dati.

È un test di "connettività pura".

Molti confondono questo comando con un vero e proprio scanner di vulnerabilità. Non lo è. È molto più semplice, quasi spartano, ma proprio per questo è incredibilmente affidabile quando devi fare troubleshooting veloce.

Analizziamo i flag: cosa succede dietro le quinte

Per capire perché usiamo proprio questa combinazione, dobbiamo smontare il comando pezzo per pezzo. Non è magia, è solo sintassi Linux/Unix.

Il primo parametro, -z, indica a Netcat di andare in modalità Zero-I/O. Significa che lo strumento non deve attendere l'invio o la ricezione di dati. Una volta che il "tre handshake" TCP è completato (o fallito), Netcat chiude subito la connessione. Questo rende l'operazione velocissima.

Il secondo parametro, -v, sta per verbose. Senza questo flag, Netcat starebbe zitto. Non ti direbbe se la porta è aperta o chiusa; semplicemente tornerebbe al prompt dei comandi.

Aggiungendo -v, forziamo il programma a spiegarci cosa sta succedendo. Ci dirà esplicitamente "Connection to [host] port [port] [tcp/udp] succeeded!" oppure ci avviserà del fallimento.

Un dettaglio non da poco: l'ordine dei flag non conta. Puoi scrivere nc -zv o nc -vz, il risultato sarà identico.

Come usare nc -zv nella pratica

Immaginiamo che tu abbia un server web e voglia capire se la porta 80 (HTTP) o la 443 (HTTPS) sono raggiungibili dall'esterno. La sintassi base è questa:

nc -zv [indirizzo_ip_o_dominio] [porta]

Esempio reale: nc -zv google.com 443.

Se tutto funziona, vedrai un messaggio di successo. Se invece ricevi un timeout o un "Connection refused", hai trovato il colpevole. Potrebbe essere un firewall che blocca il traffico, un servizio che non è partito correttamente sul server o, nel peggiore dei casi, un problema di routing tra te e la destinazione.

Scansionare un range di porte

E se non volessi testare una sola porta? Magari devi controllare tutte le porte tra l'80 e l'85 per capire dove è finito il tuo servizio.

Netcat permette di specificare un intervallo. Basta scrivere: nc -zv google.com 80-85.

Il terminale inizierà a scorrere i risultati uno dopo l'altro. È un metodo molto più rapido che digitare il comando cinque volte diverse. Certo, se dovessi scansionare migliaia di porte, useresti Nmap, ma per piccoli range Netcat è imbattibile per velocità di esecuzione.

Piccolo consiglio: se sei su macOS o alcune distribuzioni Linux recenti, potresti notare che il comportamento di nc varia leggermente a seconda della versione installata (OpenBSD vs GNU). In generale, però, i flag -zv rimangono lo standard universale.

TCP vs UDP: la differenza fondamentale

Di default, Netcat lavora su protocollo TCP. È il comportamento standard perché la maggior parte dei servizi che testiamo (Web, SSH, Database) usa TCP per garantire l'integrità dei dati.

Ma cosa succede se devi testare un server DNS o un servizio di streaming che usa UDP?

Qui entra in gioco il flag -u. Se vuoi verificare una porta UDP, il comando diventa: nc -zvu [host] [porta].

Attenzione però. Testare le porte UDP è molto più complicato rispetto al TCP. Perché? Perché l'UDP è un protocollo "senza connessione". Non c'è un handshake. Spesso, se una porta UDP è aperta, il server semplicemente non risponde nulla. Se è chiusa, potresti ricevere un messaggio ICMP di errore.

Questo rende i risultati di nc -zvu meno deterministici rispetto alla versione TCP. A volte sembra che tutto sia aperto, quando in realtà il pacchetto è stato solo ignorato dal firewall.

Perché preferire nc -zv a Telnet?

In passato, molti amministratori usavano telnet [host] [porta] per fare questo tipo di test. Funzionava, ma aveva dei limiti frustranti.

Primo: se la porta era aperta, Telnet entrava in una sessione interattiva. Dovevi poi capire come uscire (spesso con combinazioni di tasti macchinose) per tornare al terminale. nc -zv invece fa il suo lavoro e sparisce immediatamente.

Secondo: Telnet non gestisce l'UDP. Netcat sì.

Terzo: la velocità. Quando devi automatizzare dei test all'interno di uno script Bash, avere un comando che restituisce un codice di uscita (exit code) chiaro è fondamentale per creare logiche di controllo automatiche.

Risoluzione dei problemi comuni

Cosa fare se nc -zv ti dice che la porta è chiusa, ma tu sei sicuro che il servizio sia attivo?

La prima cosa da controllare è l'ascolto locale. Sul server di destinazione, prova a dare un netstat -tulpn | grep [porta] o ss -tulpn. Devi essere certo che il processo sia effettivamente in ascolto su tutte le interfacce (0.0.0.0) e non solo sul localhost (127.0.0.1). Se il servizio ascolta solo localmente, nessun comando esterno, per quanto potente, riuscirà mai a connettersi.

Il secondo sospettato è quasi sempre il firewall. Che sia iptables, ufw o un Security Group di AWS/Azure, c'è quasi sempre una regola che blocca il traffico in entrata sulla porta specifica.

Un ultimo check? Controlla i permessi. Alcuni servizi richiedono privilegi elevati per aprire porte basse (sotto la 1024), anche se questo di solito genera un errore al lancio del servizio, non durante il test con Netcat.

Automazione: usare nc -zv negli script

La vera potenza di Netcat emerge quando lo integri in uno script. Immagina di voler monitorare l'uptime di dieci server diversi ogni cinque minuti.

Puoi creare un semplice ciclo for che itera su una lista di IP e usa nc -zv per verificare la porta SSH (22). Se il comando fallisce, lo script può inviarti una notifica via email o un messaggio su Slack.

Proprio così. Trasformi uno strumento di diagnostica manuale in un sistema di monitoraggio leggero e senza dipendenze pesanti.

Non serve installare software complessi se devi solo sapere se "il tubo è aperto".

Considerazioni finali sulla sicurezza

Usare nc -zv per testare i propri server è una pratica di manutenzione standard. Tuttavia, ricorda che scansionare porte su server che non ti appartengono può essere interpretato come un tentativo di intrusione o un'attività malevola.

I sistemi IDS (Intrusion Detection System) moderni rilevano rapidamente i tentativi di port scanning, anche se lenti. Usa questo strumento con responsabilità e solo su infrastrutture di cui hai il controllo o l'autorizzazione esplicita.

In sintesi: nc -zv è veloce, preciso e minimale. Una volta che ne avrai fatto tesoro, non tornerai più a usare metodi più lenti per verificare la connettività della tua rete.