直接敲下这条命令：nmap -p 80,指定443,8080 192.168.1.100。回车之后，端口终端会依次吐出三个端口的扫描状态。这就是指定指定端口扫描最朴素的形态——不扫全端口，只盯着你关心的端口那几个。很多人第一次用nmap，扫描上来就nmap 192.168.1.100，指定结果默认只扫1000个常见端口，端口等半天不说，扫描还漏掉了一些高位端口。指定指定端口扫描解决的端口正是这个效率问题。

我日常做内网排查时，扫描最常用的指定是-p参数后面跟逗号分隔的端口列表。比如一台Web服务器，端口我只关心80、扫描443、8000、8080、8443这几个。命令写成nmap -p 80,443,8000,8080,8443 10.0.0.5，几秒钟就出结果。如果端口连续，可以用短横线表示范围，像-p 1-1024扫前1024个端口。更偷懒的写法是-p-，那等于扫全部65535个端口，速度慢得让人想泡杯茶。

端口状态背后的含义

nmap返回的端口状态有六种：open、closed、filtered、unfiltered、open|filtered、closed|filtered。实际工作中最常遇到前三种。open表示端口开放且有服务监听，closed表示主机可达但端口没开，filtered表示有防火墙或过滤设备挡住了探测包。有一次我扫一台Linux服务器，22端口显示filtered，但明明sshd在跑。后来发现是iptables里有一条DROP规则，只允许特定IP访问。nmap的filtered状态直接帮我定位了防火墙策略，比登录上去查iptables还快。

指定端口扫描还能配合-sV做版本探测。命令变成nmap -p 3306 -sV 192.168.1.50，它会尝试连接MySQL端口并读取banner信息。我见过最离谱的情况是3306端口开着，但-sV返回的是“MySQL 5.5.62”，而实际运维告诉我那台机器早就升级到8.0了。后来发现是端口转发到了另一台老数据库。这种细节，不指定端口去扫根本发现不了。

扫描速度和隐蔽性的取舍

默认情况下，nmap指定端口扫描的时序模板是-T3，也就是普通速度。如果你扫的是自己管理的机房，可以加-T4甚至-T5加速。但-T5太激进，容易丢包，我一般最多用到-T4。反过来，如果想隐蔽一点，用-T2或者-T1，扫描时间会拉长，但被IDS发现的概率降低。有次帮朋友检查一台暴露在公网的测试机，我用-T2 -p 22,3389扫，结果等了将近两分钟才出结果。慢是慢，但确实没触发云厂商的告警。

另一个影响隐蔽性的参数是-sS（TCP SYN扫描）和-sT（TCP连接扫描）。-sS需要root权限，因为它直接发SYN包，收到SYN-ACK就判断端口开放，然后发RST断开，不完成三次握手。速度快，日志记录少。-sT则是完整的三次握手，普通用户就能跑，但目标主机的应用日志里会留下连接记录。我一般优先用-sS，除非没有sudo权限。

一个真实的内网排查案例

上周同事说一台测试机上的Redis连不上。我直接跑nmap -p 6379 10.10.20.33，返回6379/tcp closed。端口根本没开。同事说配置文件里明明写了port 6379。我让他检查Redis进程，发现他改完配置后没重启服务。另一个案例是扫一台Windows服务器，-p 445,3389，结果445显示open，3389显示filtered。445开放意味着SMB服务在跑，3389被过滤说明远程桌面被防火墙拦了。后来确认是安全组只放行了内网IP访问3389。指定端口扫描在这里的作用不是发现新服务，而是快速验证“我以为开着的端口到底开没开”。

最后说一个容易踩的坑：-p参数后面如果跟了空格再跟端口号，nmap会把它当成目标主机名。比如nmap -p 80 192.168.1.1是对的，但nmap -p 80, 443 192.168.1.1中间多了个空格，nmap会试图解析“443”这个主机名，然后报错。这种低级错误我犯过不止一次。还有，指定端口扫描默认只扫TCP，要扫UDP得加-sU，比如nmap -sU -p 53,161 192.168.1.1。UDP扫描慢得多，而且结果不如TCP可靠，但查DNS和SNMP服务时绕不开。

说到底，nmap指定端口扫描就是一个精准打击的工具。你不需要知道全部65535个端口的状况，只需要确认那几个关键端口是开是关、跑着什么服务、有没有被过滤。命令本身不复杂，复杂的是对返回结果的理解，以及根据结果做出下一步判断。下次再扫，别偷懒扫全端口，先想清楚你要找什么。