Проброс портов что это такое

Wi-CAT LLC

Wireless Comprehensive Advanced Technology. Build your network now.

В данной статье рассмотрим всё, что связано с Port Forward (проброс портов) – автоматически и вручную.

Часто, помимо обеспечения доступа в интернет пользователям, подключенным к маршрутизатору, возникают такие задачи как:
– прозрачный доступ к какому-либо устройству или сервису, находящемуся в локальной сети
– фильтрация входящих или исходящих соединений с целью ограничить посещение тех или иных ресурсов, работу сервисов, и другие несанкционированные активности.

По сути, раздел веб-интерфейса Firewall (Сетевой Экран) — это не что иное, как GUI, позволяющий создавать правила iptables, не прибегая к консоли. Разумеется, последний вариант (консоль) позволяет осуществить более гибкую настройку политик разрешений и запретов, и если есть такая возможность, то лучше «подружиться» с iptables (тем более, что это штатное средство unix-систем, и понимание логики его работы будет применимо и к работе с другими unix-based устройствами). Однако, базовые пользовательские задачи вполне решаются посредством web.

1. Настройки проброса портов (Port Forwarding).

Иногда нам необходимо организовать удаленный доступ к устройству, находящемуся в локальной сети, по тому или иному протоколу. К примеру, доступ к web-интерфейсу IP телефона (по умолчанию, порт 80), или же работу с удаленным рабочим столом по протоколу RDP (по умолчанию порт в Windows 3389). Также, может возникнуть задача обеспечения функционирования сервиса, запущенного в локальной сети, который ведет прием и передачу данных по конкретному диапазону равнозначных портов (к примеру, SIP сервер, или же раздача контента посредством torrent клиента).

Но с точки зрения того, кто находится в глобальной сети, все эти устройства имеют один и тот же IP адрес (либо доменное имя). Именно тут на помощь приходит проброс портов (port forward).

Включение проброса портов (port forward)

Для включения сервиса необходимо обратиться к пунктам меню:
Сетевой экран (Firewall) → Сетевой экран (Firewall) → Настройка проброса портов (Port Forwarding), и включить сервис.

Настройка проброса портов (Port forward) на роутере

Например, правило вида:

Interface (Интерфейс) = WAN,
Protocol (Протокол) = TCP,
Src Ports (Порт ист.) = 8888,
Dst IP (IP назначения) = 192.168.1.124,
Dst Ports (Порт назн.) = 80,
Comment (Комментарий) = ‘IP Phone’

будет означать, что при обращении по адресу http://Ваш_IP_адрес:8888 либо http://Ваш_Домен:8888 весь TCP трафик будет перенаправляться на устройство, имеющее IP адрес 192.168.1.124 в Вашей локальной сети, а именно — на 80 порт.

TCP&UDP / 3389 / 192.168.1.150 / 3389 / ‘RDP’

гласит о том, что в Вашей сети есть ПК, живущий на IP адресе 192.168.1.150, к удаленному рабочему столу на котором Вы подключитесь, сказав “http://Ваш_Домен:3389” (т.к в примере выбран интерфейс VPN, то судя по всему, указать статический IP просто невозможно — для решения этой проблемы можно воспользоваться аккаунтом на одном из DynDNS сервисов (такая возможность также доступна штатно в ПО Wive-NG).

Настройка Dynamic DNS

Настройка статической пары MAC-IP на DHCP сервере роутера

Если же Вам необходимо пробросить диапазон портов, необходимо учесть следующее:
1. Стоит по возможности избегать проброса с разными портами src/dst, т.к при использовании комплексных протоколов обслуживаемых ALG (FTP/RTSP/SIP/PPTP/L2TP etc) т.к., могут возникать разночтения.
2. Ширина диапазонов src и dst портов должна совпадать.
3. Порты должны быть равнозначны. Т.е, работа сервиса не должна зависеть от конкретного выбранного порта из диапазона. Такими случаями, например, являются: data порты FTP сервера, порты для передачи голоса SIP сервера, порты раздачи torrent, и т.д.
4. Если необходимо настроить NETMAP, т.е проброс 1:1 (фиксированные пары src и dst портов диапазона), то необходимо каждую пару создавать отдельным правилом. В общем случае при указании диапазона соединение осуществляется на первый доступный порт для которого в conntrack отсутствует запись.

2. Пара слов про UPNP

На сегодняшний день многие приложения, включая torrent-клиенты, умеют UPNP IGD (Universal Plug and Play Internet Gateway Device), что позволяет не пробрасывать порты вручную для этих приложений, а воспользоваться автоматичесим пробросом. OS Wive-NG также поддерживает эту возможность. Основным условием является включение UPNP как на роутере, так и в настройках клиента.
Включить UPNP можно в блоке настроек Сервисы → Разное → Сервис

Включение UPNP на роутере

3. Пара слов про настройки ALG (Шлюз прикладного уровня)

ALG (Application Layer Gateway, Шлюз прикладного уровня) анализирует проходящий трафик, распрозает конкретные протоколы и осуществляет ретрансляцию на стандартный порт, соответствующий протоколу. Это позволяет нескольким клиентским устройствам, находящимся за NAT (т.е, в локальной сети маршрутизатора) одновременно и беспрепятственно вести обмен трафиком ряда прикладных протоколов с внешними хостами без настройки проброса портов. В linux данная опция называется Conntrack NAT Helpers.

Включение ALG на роутере

В Wive-NG ручная настройка ALG не требуется — достаточно выбрать интересующий протокол из списка.

4. Пара слов про DMZ (Демилитаризованная зона)

Настройка DMZ на роутере

Важно: при включении DMZ NAT loopback соединения с LAN на маршрутизатор будут обрабатываться тем же образом, что и соединения с WAN. То есть, доступ к маршрутизатору будет утерян, тк все запросы будут перенаправлены на соответствующие порты по адресу, указанному в качестве DMZ.

Важно: чтобы избежать конфликта, не следует одновременно с DMZ настраивать правила firewall, содержащие в себе тот же адрес, что указан в качестве DMZ.

Особенности фильтрации трафика по IP / MAC / портам рассмотрим в следующей статье…..

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Источник

Что такое проброс портов и для чего он нужен

Наверняка, Вы не раз слышали о пробросе портов. Это достаточно несложный в настройке и крайне полезный инструмент. Освоить его не помешает тем, кто собирается разворачивать игровые сервера или настраивать системы видеонаблюдения.

Несколько слов о портах

Портом называют натуральное число, которое записывается в заголовке протокола транспортного уровня OSI и применяется для определения процесса-отправителя.
Обмен данными по сети производится по определенному протоколу между двумя процессами (отправитель и получатель). Чтобы установить соединение и передать информацию, нужны следующие данные:

Для чего нужен проброс портов

Стандартные настройки маршрутизатора предусматривают маскировку адресов устройств, расположенных за ним. Когда на роутер поступают исходящие пакеты данных с устройства из внутренней сети, он открывает определенный порт и отправляет данные, изменяя внутренний IP-адрес устройства-адресанта на свой собственный внешний адрес. Когда на этот порт роутера приходят пакеты данных в ответ, он перенаправляет их на устройство, для которого предназначается информация. Получается, что из внешней сети виден только IP-адрес роутера, а устройства за ним остаются невидимыми.

Такая технология хороша в условиях критического снижения количества свободных адресов IPv4, однако имеет недостаток: роутер примет только те пакеты данных, которые придут по соединению, инициированному устройством внутренней сети. А вот если сервер или компьютер попытаются обратиться к устройству за роутером первыми, запросы будут отклонены.
Получить доступ к устройствам в локальной сети из внешней — не так просто. Для этого нужно настроить проброс портов.

Проброс или перенаправление порта – это операция, входящая в комплекс функций преобразования сетевых адресов или NAT (механизм NAT предусматривает использование одного внешнего интерфейса несколькими устройствами локальной сети). Проброс предполагает сопоставление заданного порта на внешнем интерфейсе роутера с определенным портом запрашиваемого устройства в локальной сети.

Стоит отметить, что с внедрением IPv6, необходимость в пробросе портов и NAT в целом исчезнет.

Случаи применения

Проброс портов настраивают для таких случаев:

Как это работает

«Пробросить» порты — это дать команду роутеру зарезервировать один порт и все приходящие на него данные для передачи на определенный компьютер. Другими словами, сделать исключение из правила отклонения неинициированных внешних запросов и принимать их при заданных условиях.

Для этого задается правило перенаправления любого свободного порта интерфейса WAN на роутере на определенный порт указанного устройства.

После того, как правило перенаправления будет создано, входящие на указанный внешний порт запросы будут адресованы указанному порту определенного устройства.

Настройка на примере роутеров Totolink

Для начала подключите роутер к компьютеру через кабель и войдите в настройки. Как это сделать, читайте здесь.
Зайдите в «Расширенные настройки» / “Advanced Setup”, далее в «Переадресацию портов» / “Port Forwarding”.

Далее следует выбрать:
«Тип правила»: «Определяется пользователем» (Rule Type: User defined).

Следующий шаг — придумать название правила, выбрать протокол (TCP), указать IP-адрес хоста-получателя (только для Totolink). Для других моделей может присутствовать поле ввода IP отправителя. Оно нужно для того, чтобы к настраиваему процессу (например, потоку видеорегистратора) имел доступ только пользователь с определенного IP или подсети IP.
Далее нужно назначить внешний и внутренний порты для сопоставления.

После ввода данных нажать кнопку «Добавить», после этого правило будет работать.

Источник

Проброс портов

Иногда возникает необходимость доступа извне к устройству, которое расположено в локальной сети. Например, если это IP-видеокамера или сервер используемый для игр, возможно, требуется использовать удаленное управление каким либо из компьютеров. Таких устройств может быть достаточно много в локальной сети. В этой статье разберемся, как осуществляется доступ с помощью проброса портов.

О пробросе портов

Локальная сеть (LAN) организована таким образом, что у устройств, находящихся в ней есть доступ во внешнуюю сеть (WAN), в то время как из глобальной сети получить доступ в локальную не получится.

Зачастую требуется открыть доступ к устройствам, находящимся в локальной сети. Например, если у вас есть FTP сервер и нужно, чтобы знакомые могли к нему подключаться, скачивать и обновлять файлы. Для того, чтобы получить доступ к файлам, хранящимся на нем, требуется открыть порты. В этом случае сделать так, чтобы пакеты пришедшие на 21 порт роутера (стандартный порт FTP) перенаправлялись на 21 порт компьютера, находящегося в локальной сети, на котором запущен FTP сервер.

Не обязательно, чтобы номер открытого порта на роутере был таким же, как и на сервере.

После перенаправления портов, TCP и (или) UDP пакеты, пришедшие на заданный порт роутера, будут перенаправлены на нужный порт устройства, находящегося в локальной сети. Для этого нужно, чтобы IP-адрес роутера был белый (статический внешний IP-адрес). О белых и серых IP адресах будет рассказано ниже.

Вот еще пример — есть несколько видеокамер в локальной сети, у каждой из них свой IP-адрес. С помощью программы удаленного управления можно подключаться к устройствам по определенному порту. Видеокамеры могут быть установлены в локальной сети одного объекта. Если мы хотим получить доступ к ним через интернет, это можно организовать с помощью проброса портов.

Теперь разберемся по пунктам как это все должно быть устроено, на что следует обратить внимание.

Внешний IP-адрес

IP-адрес может быть:

Внешние IP-адреса называются белыми, в то время как внутренние, к которым нет возможности получить доступ из глобальной сети — серыми.

Узнать свой IP-адрес можно с помощью разных сервисов, например, 2ip.ru, myip.ru, myip.com.

Безопасность

Так как в случае проброса портов будет открыт доступ к устройствам, находящимся внутри вашей локальной сети, особое внимание следует уделить безопасности:

В этом случае злоумышленник может:

Подключение

Перед настройкой проброса портов, следует подключиться к роутеру. У роутера обычно по умолчанию IP-адрес 192.168.0.1 или 192.168.1.1. Логин по умолчанию admin, а пароль может быть тоже admin, иногда 1234. Настройки роутера по умолчанию указываются на наклейке с тыльной стороны.

Вводим адрес роутера в браузере. На рисунке фото выше это 192.168.1.1, на запрос имени пользователя и пароля — заполняем соответствующие поля. После этого попадаем в главное меню роутера.

Установка статических адресов

У оборудования, к которому надо дать доступ из внешней сети, могут быть адреса в локальной сети:

При использовании DHCP сервера, если у устройств заданы статические IP-адреса, следует проследить, чтобы они не были из диапазона раздаваемых динамически. Это для того, чтобы новое устройство, подключенное к сети, случайно не получило такой же IP-адрес.

Если же IP-адрес получен динамически, то следует его закрепить за устройством по MAC адресу. Это делается в настройках DHCP сервера. На рисунке ниже показан пример резервирования адреса. После резервирования, следует перезагрузить маршрутизатор.

Настройка проброса портов

После того, как все подготовили, можно настроить проброс портов на роутере. Это осуществляется путем заполнения таблицы, в которой указаны:

Роутер будет проверять все входящие пакеты. IP-пакеты пришедшие на указанный порт роутера будут перенаправлены на выставленный порт устройства.

В настройках переадресации добваляем новый виртуальный сервер.

Запись настраивается следующим образом:

Пункт «стандартный порт сервиса» предназначен только для того, чтобы упростить выбор портов. При выборе нужного сервиса, их номера просто подставятся в поля «порт сервиса» и «внутренний порт». Ниже будут рассмотрены основные сервисы.

После того как все настройки выполнены, следует их сохранить.

Номера портов

Следует обратить внимание, что номера портов могут задаваться в диапазоне от 0 до 65536.

На компьютере эти порты делятся на следующие группы :

Если для проброса портов вам нужно выбрать любой порт, который будет открыт на роутере, то без особой необходимости желательно не использовать системный диапазон. Лучше всего в таком случае открывать порты на роутере из динамического диапазона.

Стандартные сервисы

Для организации доступа к сервисам, некоторые роутеры помогают правильно выбрать номер порта автоматически. Таким образом, можно сделать так, что при обращении к порту FTP из интернета, обращение переадресовывалось на FTP сервис, запущенный на одном из локальных компьютеров. Рассмотрим основные:

Брандмауэр

После настройки проброса портов на роутере все должно работать. Но то же делать, если все равно не удается подключиться? В таком случае следует проверить настройки антивируса и брандмауэра Windows на компьютере, к которому осуществляется подключение. Возможно они считают подключения подозрительными и не дают доступ. В этом случае в брандмауэре следует прописать правило, разрешающее подключение к заданному порту.

В настройки брандмауэра проще всего попасть двумя способами:

В дополнительных параметрах выбрать правила для входящих подключений. Там создаем новое правило. Рассмотрим это подробно.

Два раза щелкаем мышью по пункту «Правила для входящих подключений». После этого в правой колонке, которая называется «Действия» жмем на «Создать правило…».

Выбираем тип правила «Для порта» и жмем далее.

Выбираем необходимый протокол. В большинстве случаев это TCP. Указываем локальный порт, для которого мы ранее настраивали проброс порта на маршрутизаторе. Можно задавать сразу несколько портов через запятую или диапазон через «-«.

Выбираем «Разрешить подключение».

Указываем галочками профили.

Пишем свое имя для правила. Желательно выбрать такое имя, чтобы потом было легко его найти, в случае если решити отключить это правило или видоизменить. Можно для себя оставить пометку в виде описания, чтобы потом было легче разобраться для чего это правило было создано.

После того как параметры были настроены, жмем кнопку «Готово». Созданное правило автоматически добавится в список правил для входящих подключений и активизируется. При необходимости его можно редактировать, отключить или удалить.

Отключение брандмауэра

В основном меню брандмауэра имеется пункт «Включение и отключение брандмауэра Защитника Windows».

Выбрав этот пункт, можно отключить брандмауэр. Но это делать не рекомендуется, разве что для проверки того, что именно брандмауэр влияет на то, что не удается открыть порт.

После проверки не забудьте включить брандмауэр.

Источник

Как пробросить порт на роутере?

Некоторые программы, такие как uTorrent самостоятельно открывают для себя порты, при наличии на маршрутизаторе включенного uPnP (протокол для автоматизации настройки). Они обращаются к шлюзу и требуют перенаправить на себя требуемый порт, для корректной работы. Но далеко не все программы умеют это делать, и поэтому приходится настраивать все вручную. Постараемся кратко и без лишних подробностей донести суть вопроса.

Что такое IP? И каких типов он бывает?

IP адрес – это индивидуальный сетевой номер. Для правильной работы, он не должен повторяться с другими устройствами в одном сегменте сети.
Существуют две категории адресов:

Как правило, операторы связи предоставляют серые IP, что позволяет значительно сэкономить и обслуживать большее количество абонентов. Это никак не сказывается на скорости или качестве, а даже наоборот, оберегает пользователей от внешнего воздействия и вирусных угроз.
Сетевой адрес – это временный идентификатор, он выдается всегда на определенный срок, как бы в аренду. Оператор предоставляет его из своего пула (диапазона), и его количество ограничено. Интернет-провайдеру владение белыми IP стоит денег.

Белые IP можно распределить на 2 категории:

Проброс портов настраивается только на белых IP. Только они доступны отовсюду из интернета и ведут на ваш компьютер или шлюз.

А при чем здесь роутер вообще?

Многие задаются вопросом, белый ip имеется, но компьютер не доступен с интернета. А происходит следующее: компьютерам, которые подключены к маршрутизатору, присвоены серые адреса из внутренней сети. А они, как мы уже знаем, не имеют прямого доступа снаружи, из интернета.

В основе работы роутера, лежит сложный механизм трансляции адресов (NAT), который позволяет использовать одно интернет-соединение на нескольких компьютеров одновременно. Своеобразный «разветвитель» интернета…

Работает он следующим образом: внутренние устройства, обращаются к шлюзу при выходе в интернет. Шлюз запоминает эти обращения и открывает для них «сессии». Ответы на запросы вернутся на компьютер, с которого они были отправлены. Одновременно таких сессий может существовать большое количество, таким образом, все устройства имеют выход в интернет и данные приходят на правильные внутренние узлы. Вот именно в этом механизме и работает необходимый нам проброс портов. Создав определенное правило, мы сможем построить прямую связь между открытым портом и конкретным компьютером. Без такого правила наш роутер просто «не догадается», куда требуется направить соединение, и оно останется без ответа.

А что такое порт?

Это определенный номер, на котором «висит» сетевая служба. Например, если вы откроете web-страницу, то сервер отправит вам данные по 80 или 443 порту. На одном порту может быть только один сервис. Для распространенных сервисов определены стандартные номера, (в таблице ниже). К примеру, для удаленного рабочего стола, этот номер 3389, а для FTP – 21

Как открыть порт?

Во-первых, вам необходим фиксированный белый IP, обратитесь к своему интернет провайдеру для подключения данной услуги. Если вы уже имеете статический адрес, приступайте к следующему шагу.
Прежде всего определитесь с задачей, чтобы понять, какой конкретно номер требуется пробросить. Если это игровой сервер, то для его настройки имеется документация, в которой вы найдете нужные номера портов. Если это IP-камера, в её документации также имеется все необходимое.

Перейдите в настройки вашего маршрутизатора. О том, как попасть туда подробно изложено в инструкции пользователя. Как правило, это делается через адресную строку браузера. В поле адреса введите ip шлюза (http://192.168.0.1), а затем авторизуйтесь при помощи логина и пароля.

Источник