UPnP a otevřené porty v routeru – proč je UPnP rizikové, jak zkontrolovat porty a jak je zavřít

UPnP (Universal Plug and Play) je technologie, která zařízením v domácí síti umožňuje automaticky „požádat“ router, aby pro ně otevřel port do internetu. Používají ji herní konzole, počítačové hry, aplikace pro sdílení souborů, kamery, NAS či videohovory, aby bez ruční konfigurace fungovaly z internetu. Je to pohodlné, ale má to háček: protokol byl navržen pro důvěryhodné lokální sítě a neobsahuje ověření. Znamená to, že jakékoli zařízení v síti (včetně infikovaného) může router požádat o otevření portu a router to udělá, aniž by se vás zeptal. Z domácí sítě se tak může stát síť s nenápadnými „dírami“ do internetu.

V tomto článku vysvětlujeme, co jsou porty a jak funguje přesměrování portů, co dělá UPnP, proč je rizikové, jak zkontrolovat, co je otevřené, kdy UPnP vypnout a jak nastavit přesměrování ručně a bezpečně, jaké jsou alternativy pro hráče a vzdálený přístup a jak postupovat při podezření na zneužití. Informace vycházejí z odborných zdrojů, například z přehledu CZ.NIC: Bezpečnost domácích routerů, z vysvětlení Proton VPN: UPnP, PhoenixNAP: Co je UPnP a nástroje GRC ShieldsUP pro kontrolu portů (anglicky). Nastavení se liší podle routeru, proto postup ověřte v jeho dokumentaci.

Další návody najdete v kategorii Síť, Wi-Fi a připojení, například Zabezpečení domácí Wi-Fi sítě a routeru, Aktualizace firmwaru routeru a IP adresa.

Aktualizováno: listopad 2026.

Porty a přesměrování portů

Každé zařízení komunikuje přes porty: číslované „dveře“ na IP adrese. Router obvykle funguje jako brána s překladem adres (NAT): zařízení v domácí síti mohou navazovat spojení ven, ale spojení zvenku dovnitř router blokuje, pokud k tomu není důvod. Pokud chcete, aby byla některá služba dostupná z internetu (kamera, herní server, vzdálená plocha, NAS), musíte na routeru nastavit přesměrování portů (port forwarding): router pošle příchozí provoz na konkrétní port k vybranému zařízení. Takto otevřený port je dostupný z celého internetu, tedy i útočníkům, kteří internet automaticky prohledávají. Proto je každý otevřený port riziko, které je třeba posoudit.

Orientační postup kontroly UPnP a otevřených portů – vlastní infografika

Co dělá UPnP

UPnP umožňuje zařízení automaticky vytvořit mapování portů v routeru: aplikace sdělí routeru „otevři port X a směruj jej na mě“ a router vyhoví. Výhody: pohodlí a funkčnost her, videohovorů, sdílení souborů a chytrých zařízení bez ruční konfigurace. Nevýhody se týkají bezpečnosti:

• Žádné ověření: libovolné zařízení v síti může požádat o otevření portu; malware tak může otevřít porty pro další útoky bez vašeho vědomí.
• Zranitelné implementace: chyby v UPnP v některých routerech vedly ke kompromitaci zařízení, ke změně nastavení či k zapojení do botnetů.
• Výchozí zapnutí: mnoho výrobců má UPnP ve výchozím nastavení zapnuté.
• Dostupnost z internetu: u některých routerů bylo UPnP nastaveno tak, že reagovalo nejen v lokální síti, ale i z internetu, což je velmi nebezpečné. Český správce domény CZ.NIC na toto riziko u domácích routerů upozorňoval a doporučoval UPnP vypnout a přesměrování portů provádět ručně.
• Nepřehlednost: nevíte, jaké porty jsou otevřené a proč.

Pro většinu domácností platí: UPnP je pohodlná, ale riziková funkce, kterou je rozumné vypnout, pokud ji skutečně nepotřebujete.

Jak zkontrolovat, co je otevřené

Několik způsobů:

1. Tabulka UPnP v routeru: v administraci routeru najděte sekci UPnP, NAT, přesměrování portů či Virtual Server. Uvidíte seznam mapování: číslo portu, cílové zařízení a protokol. Neznámé položky jsou varováním.
2. Seznam přesměrování portů nastavených ručně: zkontrolujte, zda jsou stále potřeba.
3. Test z internetu: z jiné sítě (například z mobilních dat v telefonu, nikoli z domácí Wi-Fi) použijte online skener portů a ověřte, které porty jsou z internetu dostupné; nástroj GRC ShieldsUP je jedním z dostupných příkladů. Skenujte pouze vlastní IP adresu.
4. Zjistěte, která zařízení porty používají, a ověřte, zda je to nutné (herní konzole, kamera, NAS).
5. Zkontrolujte firewall routeru a pravidla příchozího provozu.
6. Sledujte oznámení routeru o změnách mapování, pokud je nabízí.

Pokud najdete otevřený port, který nepotřebujete, zavřete jej (odstraňte mapování), zkontrolujte zařízení, které jej požadovalo, a případně jej prohledejte antivirem.

Kontrolní seznam – vlastní infografika

Kdy UPnP vypnout a co se může pokazit

Doporučení z uvedených zdrojů je jednoznačné: vypněte UPnP, pokud jej nepotřebujete. Britský bezpečnostní úřad například doporučuje nejprve ověřit, zda UPnP není pro síť nezbytné, a poté jej vypnout na routeru a firewallu. Po vypnutí může přestat fungovat něco, co UPnP využívalo:

• Online hry a konzole: může se zhoršit typ NAT, hledání spoluhráčů či hlasový chat. Řešením je ruční přesměrování portů podle pokynů hry či konzole.
• Videohovory a sdílení souborů: obvykle fungují i bez UPnP, protože využívají jiné techniky; pokud ne, nastavte ruční pravidlo.
• Chytrá zařízení a kamery s cloudovým přístupem: většinou nevyžadují UPnP; pokud ano, zvažte jejich zabezpečení či výměnu.
• Domácí servery a NAS: otevřete pouze nezbytné porty a zabezpečte je; zvažte VPN pro vzdálený přístup místo otevírání portů.

Po vypnutí otestujte funkce, které potřebujete, a teprve při problému zavádějte konkrétní ruční pravidlo. Pokud něco přestane fungovat, nezapínejte UPnP „na zkoušku“ trvale; raději najděte přesné porty a nastavte je ručně.

Jak nastavit přesměrování ručně a bezpečně

Pokud musíte službu zpřístupnit z internetu:

1. Zjistěte přesný port a protokol (TCP/UDP) podle dokumentace služby či hry.
2. V routeru vytvořte jedno konkrétní pravidlo přesměrování na konkrétní zařízení (nastavte mu pevnou IP adresu v síti, aby pravidlo neplatilo pro jiné zařízení).
3. Přesměrujte jen nezbytný port, nikoli celé rozsahy či „DMZ“ pro zařízení (DMZ vystaví celé zařízení internetu).
4. Zabezpečte službu: silné unikátní heslo, ověření ve dvou krocích, aktuální software; viz Silné heslo.
5. Pokud to lze, omezte přístup na určité IP adresy či použijte VPN pro vzdálený přístup místo otevření portu.
6. Změňte výchozí porty u služeb, kde je to vhodné (není to ochrana, jen omezení automatických skenerů).
7. Dokumentujte otevřené porty a pravidelně je kontrolujte.
8. Zavřete pravidlo, jakmile už není potřeba.

Pro vzdálený přístup k domácím zařízením (kamery, NAS) zvažte bezpečnější alternativy: VPN do domácí sítě či cloudové služby výrobce s ověřením ve dvou krocích.

Hráči a streamování

Hráči často řeší typ NAT a potřebu otevřených portů. Řešení bez UPnP: ruční přesměrování portů pro konkrétní konzoli či počítač podle dokumentace hry (rozsahy portů uvádí výrobce), pevná IP adresa pro herní zařízení, příp. vyhrazená pravidla v routeru. Pozor na „návody“ doporučující zapnout DMZ či otevřít všechny porty; je to nebezpečné. Pokud hrajete přes peer-to-peer spojení, vaše IP adresa může být viditelná ostatním hráčům; viz DDoS a IP adresa. Streamování a běžné webové služby otevřené porty nepotřebují.

Útoky a zneužití

S UPnP a otevřenými porty souvisejí:

• Zneužití UPnP malwarem k otevření portů pro zadní vrátka či botnet; viz Botnet.
• Skenování internetu za otevřenými službami (kamery, NAS, vzdálená plocha) a pokusy o přihlášení.
• Zesilovací DDoS útoky zneužívající chybně otevřené UDP porty.
• Přístup ke kamerám a NAS s výchozím heslem.
• Změna nastavení routeru přes zranitelné UPnP rozhraní.
• Podvodné e-maily o „otevření portu“ či „zablokování internetu“.
• Falešní technici, kteří vás vedou k otevření portů a instalaci vzdálené plochy; viz RAT trojan.

Pokud máte podezření na zneužití: vypněte UPnP, smažte neznámá mapování, obnovte tovární nastavení routeru, aktualizujte firmware, změňte hesla a zkontrolujte zařízení antivirem.

Firmy a kancelář

V kancelářích a malých firmách je otevírání portů z internetu vysoké riziko: vzdálené plochy, servery a tiskárny dostupné z internetu bývají cílem automatizovaných útoků. Zásady: UPnP vypnout, přesměrování používat jen výjimečně, vzdálený přístup řešit přes VPN s ověřením ve dvou krocích, segmentovat síť, monitorovat a pravidelně skenovat vlastní veřejné IP adresy. Dokumentujte každé pravidlo, které otevírá port, včetně důvodu a vlastníka. Viz Hostovská Wi-Fi a oddělení IoT a Zabezpečení firemního účtu a 2FA pro týmy.

Časté otázky v praxi

Mám UPnP vypnout?: pokud jej nepotřebujete, ano. Přestanou fungovat hry?: mohou se zhoršit parametry; nastavte ruční přesměrování. Jak poznám otevřené porty?: v tabulce routeru a testem z internetu. Je DMZ bezpečné?: ne, vystavuje celé zařízení. Je lepší VPN?: pro vzdálený přístup ano.

UPnP v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Síť, Wi-Fi a připojení: Zabezpečení domácí Wi-Fi sítě a routeru, Aktualizace firmwaru routeru, Hostovská Wi-Fi a oddělení IoT a DNS a šifrované DNS.

Shrnutí

UPnP automaticky otevírá porty bez ověření a bývá zneužíváno malwarem. Vypněte jej, zkontrolujte tabulku mapování a otevřené porty z internetu, přesměrování nastavujte ručně jen pro nezbytné služby a pro vzdálený přístup raději použijte VPN. Aktuální informace najdete v přehledu CZ.NIC.

Často kladené otázky k UPnP a otevřeným portům