Przekierowanie portów

Przekierowanie portów to reguła routera lub zapory kierująca ruch zewnętrzny do usługi w sieci lokalnej.

Jak działa przekierowanie portów w routerze

Przekierowanie portów, nazywane także port forwardingiem, polega na utworzeniu w routerze reguły, która wiąże określony port interfejsu od strony Internetu z adresem IP urządzenia oraz portem usługi w sieci lokalnej. Router odbiera połączenie kierowane do publicznego adresu IP i sprawdza, czy istnieje pasująca reguła. Jeżeli tak, zmienia docelowy adres i port pakietu, a następnie przekazuje ruch do wskazanego komputera, laptopa, kamery, serwera plików lub innego urządzenia. W typowej sieci domowej urządzenie korzysta z prywatnego adresu IPv4, na przykład z zakresu 192.168.0.0/16, 172.16.0.0/12 albo 10.0.0.0/8, dlatego nie jest bezpośrednio osiągalne z Internetu bez mechanizmu translacji adresów NAT i odpowiedniej reguły.

Reguła może określać protokół TCP, UDP albo oba protokoły, numer portu zewnętrznego, adres i port wewnętrzny oraz czasem ograniczenie do wybranych adresów źródłowych. Port zewnętrzny nie musi mieć tego samego numeru co port usługi na komputerze. Przykładowo router może kierować połączenia TCP przychodzące na port 443 do adresu 192.168.1.20 na port 8443. Samo przekierowanie nie uruchamia jednak programu i nie gwarantuje odpowiedzi. Usługa musi działać, nasłuchiwać na właściwym interfejsie, a lokalna zapora systemu musi zezwalać na dany ruch.

Adresacja, NAT i warunki osiągalności usługi

Przekierowanie portów działa poprawnie tylko wtedy, gdy urządzenie docelowe ma przewidywalny adres w sieci lokalnej. Jeśli komputer otrzymuje adres z DHCP i po ponownym uruchomieniu router przydzieli mu inną wartość, reguła może zacząć wskazywać niewłaściwy sprzęt. Z tego powodu stosuje się rezerwację DHCP przypisaną do adresu MAC urządzenia albo statyczną konfigurację adresu poza pulą DHCP. Należy również upewnić się, że jako bramę domyślną komputer wykorzystuje właściwy router, ponieważ pakiety zwrotne muszą przejść przez urządzenie wykonujące translację NAT.

Istotny jest także publiczny adres IPv4. Jeżeli operator stosuje współdzielenie adresów, na przykład CGNAT, router abonenta może otrzymać adres prywatny lub adres należący do zakresu 100.64.0.0/10. W takiej sytuacji reguła skonfigurowana lokalnie nie wystarczy, ponieważ połączenie z Internetu nie dociera bezpośrednio do tego routera. Podobny problem występuje przy podwójnym NAT, gdy za routerem operatora znajduje się drugi router użytkownika. Wtedy przekierowanie trzeba skonfigurować na urządzeniu znajdującym się wyżej w topologii albo przełączyć jedno z urządzeń w tryb punktu dostępowego, zależnie od wymaganej konfiguracji sieci.

W sieciach IPv6 zasada jest inna, ponieważ urządzenie może otrzymywać globalnie routowalny adres i nie potrzebuje translacji NAT w takim samym zakresie jak przy IPv4. Nadal działa jednak zapora sieciowa, która może blokować połączenia przychodzące. Osiągalność zależy więc od prefiksu IPv6, reguł filtrowania oraz tego, czy adres urządzenia nie zmienia się po odnowieniu delegowanego prefiksu. Konfiguracja dla IPv6 nie powinna być bezrefleksyjnie kopiowana z reguł IPv4.

Konfiguracja reguły i sprawdzanie połączenia

Przed utworzeniem przekierowania trzeba ustalić, na jakim porcie i protokole działa konkretna usługa. Informację tę podaje dokumentacja programu albo jego ustawienia. Następnie należy odczytać adres IP komputera w sieci lokalnej, sprawdzić, czy aplikacja nasłuchuje na oczekiwanym porcie, i dopiero wtedy wprowadzić regułę w panelu routera. W systemie Windows pomocne może być polecenie ipconfig do sprawdzenia adresacji oraz netstat -ano do wyświetlenia lokalnych gniazd i identyfikatorów procesów. W systemach Linux i macOS podobne informacje można uzyskać poleceniem ip addr oraz narzędziem ss -lntup, o ile jest dostępne w danym środowisku.

Test wykonany z tego samego komputera lub z tej samej sieci Wi-Fi nie zawsze odzwierciedla działanie połączenia z Internetu. Niektóre routery obsługują NAT loopback, czyli kierowanie lokalnego klienta przez publiczny adres z powrotem do sieci LAN, ale inne tego nie robią. Do wiarygodnego testu należy użyć urządzenia spoza sieci lokalnej, na przykład telefonu korzystającego z transmisji komórkowej, i sprawdzić port podczas działania usługi. Narzędzia testujące mogą wskazać port jako zamknięty, gdy aplikacja nie nasłuchuje, jako filtrowany, gdy zapora odrzuca lub przemilcza pakiety, albo jako dostępny, gdy połączenie przechodzi do usługi.

Bezpieczeństwo reguły zależy od wystawionego programu, a nie tylko od numeru portu. Publicznie dostępna usługa powinna mieć aktualne oprogramowanie, silne uwierzytelnianie i ograniczony zakres funkcji. Nie należy przekierowywać całych zakresów portów bez konkretnej potrzeby ani otwierać paneli administracyjnych na wszystkie adresy Internetu. Jeżeli router pozwala ograniczyć źródłowe adresy IP, warto zastosować takie ograniczenie. Po zmianie konfiguracji trzeba ponownie sprawdzić logi routera, zapory i aplikacji, aby rozróżnić problem z trasowaniem od błędu samej usługi.

Przekierowanie portów w praktyce serwisowej

Błędne przekierowanie portów często objawia się pozornie niespójnymi symptomami: program działa lokalnie, ale nie odpowiada z Internetu, po zmianie routera przestaje być dostępny albo działa tylko przez pewien czas. Diagnostyka powinna objąć kolejno publiczny adres, obecność dodatkowego NAT, adres urządzenia docelowego, numer portu, protokół, stan procesu nasłuchującego oraz reguły zapory. Warto też sprawdzić, czy dostawca Internetu nie blokuje wybranych portów przychodzących i czy połączenie korzysta z IPv4, czy z IPv6.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może również sprawdzić podstawowe problemy z konfiguracją sieciową urządzenia, zaporą systemową oraz komunikacją programu z routerem. Przy zgłoszeniu dobrze podać model routera, operatora Internetu, adres lokalny komputera, numer i protokół używanego portu oraz informację, czy usługa działa z sieci lokalnej. Takie dane pozwalają odtworzyć przepływ pakietów i oddzielić awarię sprzętu lub systemu od ograniczeń wynikających z topologii sieci.