Port Proxy

Port Proxy (netsh interface portproxy) to mechanizm przekierowujący ruch sieciowy między portami lub interfejsami, wykorzystywany m.in. przez WSL do mostkowania sieci.

Port Proxy — definicja i sposób działania

Port Proxy to funkcja systemowa służąca do przekazywania połączeń przychodzących z jednego adresu i portu na inny adres oraz port. W środowisku Windows mechanizm ten jest obsługiwany między innymi przez polecenie netsh interface portproxy. Dzięki temu aplikacja nasłuchująca lokalnie może stać się dostępna pod innym adresem, przez inny interfejs sieciowy albo z wykorzystaniem odmiennego numeru portu. Nie jest to klasyczny serwer proxy, który analizuje treść żądań aplikacyjnych i pośredniczy w komunikacji na poziomie protokołu HTTP. Port Proxy działa niżej — przekazuje strumień TCP z punktu wejściowego do wskazanego punktu docelowego.

Mechanizm bywa wykorzystywany wtedy, gdy usługa działa wyłącznie na interfejsie lokalnym, a wymagany jest dostęp z innej części sieci. Stosuje się go także przy współpracy systemu Windows z WSL, maszyną wirtualną, kontenerem albo odrębnym środowiskiem uruchomieniowym. W takim układzie port wystawiony po stronie Windows może kierować ruch do adresu dostępnego wewnątrz środowiska roboczego. Konfiguracja obejmuje zwykle określenie adresu nasłuchu, portu nasłuchu, adresu docelowego oraz portu docelowego. Ważne jest również wskazanie właściwego protokołu, ponieważ standardowa funkcja portproxy dotyczy przekazywania połączeń TCP.

Port Proxy nie tworzy automatycznie pełnej reguły dostępu w Zaporze Windows i nie zmienia zasad routingu w całej sieci. Samo dodanie przekierowania może więc nie wystarczyć, jeżeli połączenia są blokowane przez zaporę, program zabezpieczający, router albo konfigurację usługi docelowej. W praktyce analizuje się cały przebieg komunikacji: adres, na którym nasłuchuje aplikacja, dostępność portu, reguły filtrowania oraz możliwość osiągnięcia adresu docelowego.

Port Proxy na tle innych sposobów przekazywania ruchu

Przekierowanie portu w systemie Windows należy odróżnić od przekierowania wykonywanego na routerze. Router może kierować połączenia z publicznego adresu do urządzenia znajdującego się w sieci lokalnej, natomiast Port Proxy działa na konkretnym komputerze i przekazuje ruch dalej zgodnie z lokalną konfiguracją. Oba mechanizmy mogą być użyte jednocześnie, lecz każdy odpowiada za inny odcinek drogi pakietu. Jeżeli połączenie ma przejść z internetu do programu uruchomionego w środowisku lokalnym, konieczne może być skonfigurowanie zarówno urządzenia brzegowego, jak i systemu Windows.

Nie należy też utożsamiać Port Proxy z translacją adresów NAT, tunelem VPN ani regułą routingu. NAT zmienia sposób reprezentacji adresów i portów podczas przechodzenia między sieciami. VPN tworzy logiczny kanał komunikacyjny między punktami, często z dodatkowymi zasadami uwierzytelniania i szyfrowania. Routing decyduje, którędy ma zostać przesłany ruch do określonej sieci. Port Proxy natomiast odbiera połączenie na zdefiniowanym porcie TCP i ustanawia połączenie do wskazanego celu.

Różnica widoczna jest także w warstwie aplikacyjnej. Przy zwykłym przekazywaniu portu system nie musi rozumieć, czy przesyłane dane należą do strony internetowej, zdalnej konsoli, narzędzia deweloperskiego czy innej usługi. Z tego powodu poprawnie działające przekierowanie nie gwarantuje, że aplikacja będzie funkcjonować bez dodatkowych zmian. Program może wymagać właściwego adresu zwrotnego, obsługi nazw hostów, określonych nagłówków, certyfikatu albo połączeń zwrotnych.

Do sprawdzenia konfiguracji wykorzystuje się między innymi polecenia administracyjne systemu Windows, narzędzia wyświetlające aktywne nasłuchy oraz testy połączeń z tego samego i zewnętrznego urządzenia. Istotne jest testowanie z perspektywy klienta, który ma korzystać z przekierowania. Połączenie wykonane lokalnie może bowiem działać dzięki specjalnym regułom systemowym, podczas gdy próba z innego komputera zostanie odrzucona.

Typowe problemy z konfiguracją Port Proxy

Jednym z częstszych błędów jest skierowanie ruchu na adres, pod którym żadna aplikacja nie nasłuchuje. Wpis może wyglądać poprawnie, lecz połączenie docelowe będzie odrzucane albo zakończy się przekroczeniem czasu oczekiwania. Podobny skutek występuje wtedy, gdy usługa działa tylko na adresie 127.0.0.1, a konfiguracja wskazuje inny interfejs. W zależności od programu konieczne może być ustawienie nasłuchu na właściwym adresie lokalnym lub użycie adresu osiągalnego z poziomu systemu Windows.

Problem może wynikać z pomylenia portu źródłowego z docelowym. Port widoczny dla użytkownika nie musi być tym samym portem, na którym działa aplikacja. Należy również zwrócić uwagę na konflikt z innym procesem. Jeżeli wybrany port jest już zajęty, reguła może nie przyjąć połączeń albo nie da się uruchomić usługi, która powinna z niego korzystać. Pomocne jest sprawdzenie aktywnych nasłuchów i identyfikacja procesu przypisanego do danego portu.

Istotną przyczyną niedostępności pozostają reguły Zapory Windows. Przekierowanie może być zapisane, a mimo to połączenie zostanie zablokowane na interfejsie wejściowym. Ocenia się wtedy profil sieci, kierunek ruchu, zakres adresów, protokół oraz program, którego dotyczy reguła. Należy unikać szerokiego otwierania dostępu bez ustalenia, z jakich urządzeń i w jakim zakresie usługa ma być osiągalna.

W konfiguracjach związanych z WSL często pojawia się dodatkowa zmienność adresu środowiska. Po ponownym uruchomieniu systemu albo zmianie stanu środowiska adres docelowy może być inny niż wcześniej. Wtedy wpis Port Proxy nadal istnieje, lecz wskazuje nieaktualny cel. Warto sprawdzić adres przed wykonaniem reguły, potwierdzić możliwość połączenia z systemu Windows i zweryfikować zachowanie po restarcie. Przydatne jest także rozróżnienie błędu samego przekierowania od błędu usługi uruchomionej w środowisku docelowym.

Nie każda aplikacja skorzysta z takiego rozwiązania. Funkcja może nie odpowiadać wymaganiom protokołu UDP, usługom korzystającym z wielu portów albo programom, które przekazują klientowi własny adres i port do dalszej komunikacji. Czasem pojawiają się również problemy z certyfikatami, ponieważ klient łączy się z adresem wejściowym, a usługa przedstawia certyfikat wystawiony dla innej nazwy. W takich przypadkach sama zmiana numeru portu nie rozwiązuje problemu.

W jakich sytuacjach warto skorzystać z pomocy serwisu - Port Proxy

Zgłoszenie do serwisu jest uzasadnione, gdy przekierowanie ma działać po restarcie, współpracować z kilkoma interfejsami lub łączyć system Windows z odrębnym środowiskiem uruchomieniowym, a nie ma pewności, na którym etapie komunikacja zostaje przerwana. Weryfikacji wymaga wtedy nie tylko wpis Port Proxy, lecz także nasłuch aplikacji, adres docelowy, zapora, profil sieci i test z urządzenia zewnętrznego. Szczególnie ostrożnie należy postępować, gdy port ma być dostępny poza lokalną siecią.

Pomoc może być potrzebna również wtedy, gdy po aktualizacji systemu, zmianie ustawień sieciowych albo ponownym uruchomieniu WSL wcześniej działająca reguła przestaje przekazywać ruch. W takim przypadku sprawdza się aktualny adres środowiska, stan usługi, zachowane reguły oraz zależności między konfiguracją systemu a ustawieniami routera. Dzięki temu można ustalić, czy wystarczy korekta parametrów, czy konieczne jest inne rozwiązanie dostępu.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić uporządkowanie konfiguracji sieciowej na komputerze, sprawdzenie przyczyny niedostępności usługi oraz ocenę, czy Port Proxy jest właściwym sposobem przekazywania ruchu w danym układzie. Przed zmianą reguł warto przygotować informację o aplikacji, adresie i porcie, z którego ma korzystać użytkownik, środowisku docelowym oraz tym, czy dostęp ma być lokalny, czy możliwy także z innego urządzenia.

Po wykonaniu zmian powinno się przeprowadzić test z właściwego miejsca, sprawdzić zachowanie po ponownym uruchomieniu komputera i upewnić się, że dostęp nie został otwarty szerzej, niż było to potrzebne. Takie sprawdzenie ogranicza ryzyko, że chwilowo działające przekierowanie będzie później kierować ruch do nieaktualnego adresu albo pozostawi niezamierzoną możliwość połączenia.