Как настроить переадресацию портов на роутере?

Таблица: список портов и их задач

Порт	Задача
53	Обеспечение DNS
110	Приём почты
123	Синхронизация времени
443	HTTPS-соединение
5900	Virtual Network Computing (VNC)
5432	PostgreSQL
119	(Network News Transfer Protocol) — используется для отправки сообщений новостных рассылок

Полный список портов, осуществляющих интернет-соединение, можно увидеть в Wikipedia — https://ru.wikipedia.org/wiki/Список_портов_TCP_и_UDP.

Открывать порт необходимо для того, чтобы создать новый туннель передачи и получения данных через интернет. Каждый порт имеет свои характеристики и работает по своему протоколу. Открыть порт можно как через стандартный брандмауэр Windows, так и через сторонний антивирус или специальную программу. Проброс порта осуществляется через учётную запись настройки роутера.

Что такое проброс портов на маршрутизаторе?

Именно определенный закрепленный за конкретным приложением порт определяет, к какой именно программе, запущенной на данном компьютере, мы хотим получить удаленный доступ с другого устройства. На одном и том же ПК может быть одновременно запущено несколько ресурсов для общего сетевого использования — файловое хранилище, игровой сервер, видеонаблюдение и т.д. У всех у них будет один и тот же IP адрес, который принадлежит данному ПК. А порты — разные.

То есть:

Но wifi роутер по умолчанию не знает, какой именно порт использует ваша программа на компьютере. Поэтому ему нужно «объяснить», то есть открыть порт и прописать в настройках перенаправление (проброс) на нужное приложение при обращении к определенному компьютеру.

Настройка проброса портов

После того, как все подготовили, можно настроить проброс портов на роутере. Это осуществляется путем заполнения таблицы, в которой указаны:

• Порт роутера;
• IP устройства;
• Порт устройства.

Роутер будет проверять все входящие пакеты. IP-пакеты пришедшие на указанный порт роутера будут перенаправлены на выставленный порт устройства.

В настройках переадресации добваляем новый виртуальный сервер.

Запись настраивается следующим образом:

• Порт сервиса — это как раз тот порт, по которому будут подключаться из интернета;
• Внутренний порт — это порт устройства, к которому надо открыть доступ;
• IP-адрес — это адрес устройства в локальной сети
• Протокол — тут можно выбрать протокол TCP или UDP. Можно выбрать «ВСЕ», тогда будут перенаправляться оба протокола.
• Состояние — здесь выбираем «включено». При не надобности, можно отключить проброс, не удаляя запись.

Пункт «стандартный порт сервиса» предназначен только для того, чтобы упростить выбор портов. При выборе нужного сервиса, их номера просто подставятся в поля «порт сервиса» и «внутренний порт». Ниже будут рассмотрены основные сервисы.

После того как все настройки выполнены, следует их сохранить.

Номера портов

Следует обратить внимание, что номера портов могут задаваться в диапазоне от 0 до 65536. На компьютере эти порты делятся на следующие группы :

На компьютере эти порты делятся на следующие группы :

• Системные (от 0 до 1023);
• Пользовательские (от 1024 до 49151);
• Динамические (от 49152 до 65535).

Если для проброса портов вам нужно выбрать любой порт, который будет открыт на роутере, то без особой необходимости желательно не использовать системный диапазон. Лучше всего в таком случае открывать порты на роутере из динамического диапазона.

Стандартные сервисы

Для организации доступа к сервисам, некоторые роутеры помогают правильно выбрать номер порта автоматически. Таким образом, можно сделать так, что при обращении к порту FTP из интернета, обращение переадресовывалось на FTP сервис, запущенный на одном из локальных компьютеров. Рассмотрим основные:

Сервис	Порт	Пояснение
DNS	53	Преобразование символьного наименования в IP-адрес
FTP	21	Хранение и передача файлов
GOPHTER	70	Хранение и передача документов
HTTP	80	Получение информации с сайтов
NNTP	119	Сервер новостей
POP3	110	Получение почты
PPTP	1723	Защищенное соединение
SMTP	25	Прием и передача почты
SOCK	1080	Передача минуя межсетевой экран
TELNET	23	Управление в текстовом виде

Технические ограничения

У этой услуги есть некоторые технические ограничения, которые могут не позволить Вам ее использовать. Работа системы базируется на функциональности «обратный прокси», то фактически, вы будете иметь не прямой доступ из Интернет к своему домашнему устройству и его порту, а к серверу, который выступив прокси сервером, получит поток данных с домашнего устройства и передаст его вам во внешнюю сеть. В этой связи, есть вероятность того, что не все клиентские приложения смогут устойчиво работать при такой организации удаленного доступа.

Дополнительно следует учесть, что введенные вами на странице настройки будут применены не моментально (!), а через некоторое время (около 5 минут), о чем вам будет сообщено на странице настройки «Проброса TCP порта».

Настройка перенаправления портов в Hyper-V Server

При использовании на вашем компьютере роли Hyper-V (может быть установлена как на Windows 10, так и на Windows Server или в виде бесплатного Windows Hyper-V Server), вы можете настроит проброс портов DNAT с помощью PowerShell. Допустим, вы хотите перенаправить все https запросы, которые получает ваш хост Hyper-V на IP адрес запущенной на хосте виртуальной машины. Для этого используется команды Hyper-V StaticMapping.

Сначала нужно создать виртуальный коммутатор с NAT:

Затем нужно подключить нужную ВМ в указанный коммутатор и включить правило трансляции адресов для всех виртуальных машин, подключенных через данный виртуальный коммутатор Hyper-V:

После выполнения этих команд весь HTTPS трафик, который приходит на 443 порт гипервизора будет переправлен на серый IP адрес виртуальной машины.

Как работает технология?

Что такое порты, зачем они нужны и как их перенаправлять, узнаете в следующем видео:

Сетевые технологии используют систему пакетов. Пакеты – блоки данных, которые передают информацию в сети. Пакеты имеют адрес получателя и значение порта. Когда сетевой шлюз получает пакет, он передаёт его дальше на определённый IP-адрес.

Функция перенаправления портов позволяет выбрать адрес получателя пакета по своему усмотрению. Тогда пакеты, поступившие на роутер, будут перенаправляться на соответствующий порт компьютера, подключенного к локальной сети.

Прежде чем перейти к включению и настройке проброса портов, разберёмся с понятием IP-адреса. IP-адрес – это адрес компьютера в сети. Бывают следующие виды IP-адресов: статический и динамический. Подключение к локальной сети происходит через статический IP-адрес.

Присвоить статический IP можно в Центре управления сетями и общим доступом. Для этого выбираем «Интернет» и получаем доступ в такое окно:

В «Свойствах» нажимаем 4 версию протокола:

Выбираем «Свойства» и отмечаем пункт «Использовать следующий адрес», куда пишем статический адрес:

Зачем нужно использовать перенаправление портов?

Перенаправление портов позволяет решать самые разные задачи и служит самым разным целям — например, так вы улучшите защиту своего устройства, заблокируете доступ посторонним, сможете играть в определенные компьютерные игры, управлять доступом к домашней системе видеонаблюдения и так далее. Вы также сможете получить удаленный доступ к нужному компьютеру и скрыть себя или вашу сеть от посторонних глаз.

Компьютерные игры

• Перенаправление портов для игровых приставок
• Доступ к вашему игровому серверу для друзей
• Настройка собственного игрового сервера

Общие цели  

• Доступ к домашнему видеонаблюдению
• Доступ к вашему компьютеру из любой точки мира
• Обход файрволлов
• Ускорение загрузки файлов/торрентов
• Повышение качества работы домашнего роутера
• Отправка запросов серверам в скрытом режиме

Примеры использования

1. Допустим, что в вашей домашней сети есть видео-регистратор, имеющий адрес 192.168.1.2, однако так получилось, что он вещает видеопоток с порта 8010 и этот поток передается не с использованием протокола http, а каким-либо иным способом. Ваше специализированное клиентское программное обеспечение имеет доступ к регистратору и просматривает это поток, обращаясь внутри домашней сети по 192.168.1.2:8010

Используя нашу услугу «Публикация URL» вы бы могли просматривать этот поток, если бы его вещание осуществлялось средствами протоколов http/https, но здесь вещание может использовать иные протоколы. Для достижения цели просмотра видеопотока вне домашней сети, проброс TCP порта может решить проблему удаленного доступа.

Важно! Вы должны успешно выполнитиь пинг со страницы «Инструменты» до вашего устройства. Это подтвердит, что правила маршрутизации установлены корректно

Также вы можете осуществить запрос TCP порта со страницы «Инструменты». Это подтвердит, что ваше устройство «слушает» на  указанном вами порту и адресе.

2. Вы хотите получить доступ к своему домашнему устройству с использованием протоколов RDP или VNC. Вы могли бы использовать доступ через HTTP или SOCKS5 прокси с авторизацией, но ваше программное обеспечение не может использовать авторизацию в прокси соединениях. В этом случае, вы можете воспользоваться пробросом нужного TCP порта.

3. Ваше устройство (например, GPS навигатор или часы) «умеет» пересылать данные на внешний хост лишь при помощи собственного протокола, не используя при этом HTTP/HTTPS, прокси и прочие стандартные средства коммуникаций.

Во всех этих случаях вы можете попробовать использовать нашу возможность «Проброс TCP порта» из сети Интернет на домашнее устройство.

Сделать это несложно, достаточно заполнить таблицу по примеру, представленному на картинке.

Здесь вы указываете IP адрес устройства в домашней сети и нужный порт TCP этого устройства, а затем нажимаете кнопку «Сохранить». Для этого соединения будет автоматически назначен внешний порт, который будет доступен из Интернет по адресу msk.vpnki.ru:XXXXX  (84.201.157.25:XXXXX)

Приоритетным способом обращения к вашему порту является указание доменного имени msk.vpnki.ru:XXXXX, однако не все приложения могут корректно работать с таким типом указываемого адреса. В этом случае указывайте адрес 84.201.157.25:XXXXX. Однако убедитесь, что именно этот адрес актуален и ведет к msk.vpnki.ru

С 1 декабря 2018 года мы запустили в режиме тестирования функцию «Белый список» для TCP порта, которая разрешает внешние соединения к вашему TCP порту только с определенных IP адресов сети Интернет. Эта функция позволит вам ограничить любителей подключаться к чужим ресурсам. Пока в качестве разрешающего списка вы можете указать одну сеть, размер которой описывается маской. Например,

К порту, указанному в первой строке, доступ будет не ограничен (сеть и маска 0.0.0.0 / 0.0.0.0)

К порту, указанному во второй строке, доступ будет возможен только с адресов сети 87.232.0.0 / 255.255.0.0 (это где-то в Ирландии)

ВАЖНО!

Для поиска неисправностей проверьте что:

1. Туннель установлен

2. Со страницы Инструменты пингуется адрес VPNKI , выданный вашему устройству (172.16.xxx.xxx)

3. Со страницы Инструменты пингуется адрес внутри вашей сети, расположенный за маршрутизатором (например, 192.168.xxx.xxx) на котором расположен ресурс, который вы хотите опубликовать

4. Со страницы Инстрмуенты успешно запрашивается порт устройства внутри вашей сети (например, адрес 192.168.1.10 порт 8080)

С какими трудностями может столкнуться пользователь?

Во время проброса портов через 2 роутера или одно устройство могут возникнуть проблемы, которые требуют решения. Рассмотрим основные трудности.

Поменялся IP адрес ПК

При открытии порта через роутер пользователь указывает и сетевой адрес ПК, для которого выполняется работа. Чаще всего на раздающем устройстве активен DHCP-сервер, а компьютеры-клиенты получают IP-адреса. Если ПК был перегружен и отключен, а после снова включен, роутер может выдать другой IP-адрес. Как результат, проброс сделать не удастся.

Чтобы исключить проблему, нужно установить статические адреса для ПК клиентов. Для этого:

перейдите в свойства TCP/IP сетевого адаптера, войдите в настройки;

• переключитесь с автоматического на ручное получение адреса;
• заполните поля маски подсети адреса (в том числе шлюза — роутера);

сохраните настройки.

Если все сделано правильно, после перезагрузки ПК адрес остается неизменным, а с пробросом портов на роутере не будет проблем.

Программа сама вносит правки

Такая проблема характерна для пиринговых торрент-сетей. К примеру, uTorrent при каждом пуске устанавливает новый вход. Из-за того, что в маршрутизаторе задан статический параметр, появляются сбои в работе. Для исправления ошибки нужно в настройках ПО указать необходимый порт и запретить случайный выбор.

Для этого:

• запустите ПО;
• перейдите в раздел соединения и укажите в нем номер входа, указанного в маршрутизаторе;

• отключите «Случайный порт при запуске»;
• сохраните изменения.

После внесенных изменений с пробросом портов не должно быть проблем.

Программы не работают даже при открытом порте

Распространенная причина — блокировка с помощью брандмауэра роутера. Для этого нужно зайти в настройки раздающего устройства, перейти в раздел базовой безопасности и выбрать отключение фаервола. После этого можно перезагрузить роутер и проверить корректность работы.

Прочие причины

Существуют и другие причины, почему не удается сделать проброс портов на роутере. Вот они:

1. Блокировка со стороны провайдера. Такая ситуация характерна для многоквартирных домов. Решением может быть переход на другой тариф, где нет ограничений.
2. Ошибки в указании IP роутера или сервера. Необходимо проверить эти данные.
3. Трудности с настройкой проброса. Возможно, в разделе «Виртуальные сервисы» внесены неправильные данные.
4. Антивирус или брандмауэр ПК блокирует порты. Необходимо отключит их на время проверки.

MikroTik NAT. Общая информация

NAT (Network Address Translation) – преобразование сетевых адресов. Главное назначение NAT – это экономия белых IP-адресов и повышение безопасности сети за счет ограничения обращений к внутренним хостам LAN снаружи и возможности скрыть сервисы с помощью подмены портов.

«Классический» NAT предполагает, что количество одновременных выходов в интернет из локальной сети за “натом” ограничено количеством свободных портов TCP/UDP. Благодаря этому множество устройств может одновременно выйти в интернет через один белый IP.

Настройка NAT на MikroTik подразделяется на два типа:

• Destination NAT – изменение IP-адреса назначения и выполнение обратной функции для ответа. Преобразование адреса получателя называется dst-nat;
• Source NAT – изменение IP-адреса источника и выполнение обратной функции для ответа. Преобразование адреса источника называется src-nat.

Все остальные действия – производные от dst-nat и src-nat.

Схематично принцип работы NAT можно изобразить так:

Принцип работы MikroTik NAT

Почему вам следует избегать UPnP (автоматическая переадресация портов)

Настроить переадресацию портов в вашей локальной сети не сложно для опытных пользователей, но для новичков это может создать всевозможные трудности. Чтобы решить эту проблему, производители сетевых устройств создали автоматизированную систему переадресации портов под названием UPnP (или Universal Plug and Play).

Идея UPnP заключалась (и есть) в том, чтобы разрешить интернет-приложениям и устройствам автоматически создавать правила переадресации портов на вашем маршрутизаторе, чтобы разрешить внешний трафик. Например, UPnP может автоматически открывать порты и пересылать трафик для устройства, на котором запущен игровой сервер, без необходимости вручную настраивать доступ в настройках вашего маршрутизатора.

Идея блестящая, но, к сожалению, исполнение некорректно — если не сказать чрезвычайно опасно. UPnP — это мечта вредоносного ПО, поскольку он автоматически предполагает, что любые приложения или службы, работающие в вашей сети, безопасны. В UPnP взламывает сайт раскрывает ряд уязвимостей, которые даже сегодня легко допускаются сетевыми маршрутизаторами.

С точки зрения безопасности лучше проявить осторожность. Вместо того, чтобы подвергать риску вашу сетевую безопасность, избегайте использования UPnP для автоматической переадресации портов (и, если возможно, полностью отключите его)

Вместо этого вам следует вручную создавать правила переадресации портов только для приложений и служб, которым вы доверяете и которые не имеют известных уязвимостей.

Создание правила. Основные параметры.

Когда зашли в настройки роутера, вам нужно найти секцию перенаправления портов, которая в разных роутерах может называться по-разному:

Перенаправление Портов / Port Forwarding; Виртуальные серверы / Virtual Servers; Настройка серверов / Server Setup; Приложения / Applications.

Для всех моделей роутеров, принцип одинаковый! Последовательность действий:

Обычно вам предлагается ввести произвольное «название» правила; Потом IP — локальный IP-адрес нашего компьютера, сервера, устройства на который надо пробросить; Прописываем порт или диапазон — номера портов, которые нужно перенаправить; Протокол — практически всегда вам нужен TCP (в некоторых старых роутерах выбора вообще нет)

Большинство коммутационного оборудования, предоставляющего доступ в интернет (неважно, через DSL, телевизионный кабель или LTE), обычно, уже оборудованы встроенным firewall. Он обеспечивает защиту вашей системы, потому что «извне» ваш компьютер больше не виден как отдельное устройство

Это возможно благодаря так называемой технике NAT (Network Address Translation). С ее помощью все компьютеры, принтеры, смартфоны или дополнительные приборы, подключенные к «домашней сети», имеют один общий интернет-адрес, но при работе между собой у каждого из них есть свой собственный адрес, который не виден «снаружи».

Как открыть порты на компьютере

Открытие порта может понадобится почти любому человеку, использующему компьютер с установленной десяткой или любой другой операционной системой. В этой инструкции мы расскажем, как открыть порты на компьютере при помощи встроенного фаервола Windows, через маршрутизатор и изменяя настройки вашего антивирусного программного обеспечения.

Зачем нужно открывать порты?

Существует множество приложений и игр, которые при использовании интернета подключаются через конкретный порт. Десятая версия Виндоус, в целях безопасности, блокирует свободное их использование.

  Также подобные подключения невозможны без соответствующей настройки роутера или антивирусной программы, если таковая установлена на вашем ПК.

Пользователю нужно самому разрешить доступ, выставив соответствующие настройки.

Проверка порта

Проверить открыт ли тот или иной порт на ПК, можно воспользовавшись специальными сервисами или командной строкой системы. Чтобы сделать это онлайн, потребуется проделать следующее:

1. Перейдите на сайт и выберите вариант«Проверка порта».
2. Введите его номер и кликните «Проверить».

Сервис выдаст текущее состояние порта.

Чтобы проверить порт, используя специальную команду вам понадобится:

1. Запустить командную строку, используя поиск Windows или отыскав её в стартовом меню системы.
2. Вписать в окно программы netstat –a и нажать Enter.

Перед вами отобразится список открытых на данный момент портов.

Открытие порта в фаерволе

Чтобы настроить порты используя встроенный в систему брандмауэр, потребуется установить правила подключений. Осуществить это можно проделав следующие операции:

1. Откройте «Панель управления» через поиск в стартовом меню.
2. В следующем окне зайдите в «Брандмауэр Защитника Windows.
3. Нажмите «Дополнительные параметры».

В большинстве случаев требуется создать 2 правила – одно для входящих и второе для исходящих соединений.

1. Выберите ссылку «Правила для входящих подключений» и кликните «Создать правило».
2. В следующем окне выберите вариант «Для порта».
3. Нажмите «Далее».
4. Выберите протокол, через который будет работать приложение, для которого вы открываете порт.
5. Отметьте вариант «Определенные локальные порты».
6. Впишите номер порта.
7. Кликните по кнопке «Далее».
8. Выберите профили, к которым будет применяться созданное правило.
9. Нажмите «Далее».
10. Дайте правилу имя и впишите его описание.
11. Кликните «Готово».

Те же самые действия нужно проделать с другим протоколом, если приложение для которого вы открываете порт, использует несколько типов соединения.

1. Далее возвращаемся на главную страницу и выбираем вариант «Правила для исходящего подключения» и опять нажимаем «Создать правило». Создаем его таким же образом, как было описано ранее, для входящих подключений.

Настройки маршрутизатора

Открыв доступ в фаерволе, потребуется также изменить настройки маршрутизатора. Для этого нужно осуществить следующие действия:

1. Открыть обозреватель и ввести IP адрес вашего роутера.

Обычно это 192.168.1.1 или 192.168.0.1 (точный адрес маршрутизатора можно найти не его панели или в инструкции).

1. Введите ваш логин и пароль для доступа. (по умолчанию: Имя-admin; пароль-admin)
2. В открывшемся меню отыщите пункт Forwarding и зайдите в раздел PortTriggering.
3. В графы TriggerPortи Incoming Portsведите номер порта.
4. Кликните Save.

По окончании настройки роутер нужно перезагрузить, после чего порты станут доступны.

Открытие порта в антивирусе

Предоставление доступа в настройках фаервола и маршрутизатора может оказаться недостаточным, так как соединение может блокироваться антивирусным программным обеспечением. Рассмотрим, как можно открыть порт на примере антивируса Касперского. Для этого потребуется проделать следующие действия:

1. Зайдите в настройки приложения, нажав на кнопку с изображением шестеренки.
2. Выберите раздел «Дополнительно» и перейдите на вкладку «Сеть».
3. Далее кликните «Выбрать».
4. В появившемся списке выберите «Добавить».
5. Впишите описание правила и укажите номер порта.
6. Кликните «Добавить».

После этого желательно перезагрузить систему. Дополнительно можно добавить приложение, для которого вы настраиваете порт, в исключения, чтобы антивирус его не блокировал. Процедура доступа к определенному порту не является особо сложной операцией. Действуя в соответствии с данной инструкцией, вы сможете осуществить задуманное без особых проблем.

Проброс TCP порта в вашу домашнюю сеть

Вы получаете возможность «выставить» в Интернет один порт своего домашнего устройства, тем самым, сделав его доступным из любой точки мира, не имея при этом белого IP адреса.

Для этого:

• у вас должен быть установлен как минимум один VPN-туннель к нашей системе и настроена маршрутизация. См. здесь.
• установлено соответствие внутреннего IP адреса и его порта внешнему порту нашего адреса msk.vpnki.ru (84.201.157.2584.201.157.2584.201.157.2584). Процедура установления соответствия осуществляется на специальной странице нашей системы. Используйте доменное имя, так как IP адрес может измениться.

О пробросе портов

Локальная сеть (LAN) организована таким образом, что у устройств, находящихся в ней есть доступ во внешнуюю сеть (WAN), в то время как из глобальной сети получить доступ в локальную не получится.

Зачастую требуется открыть доступ к устройствам, находящимся в локальной сети. Например, если у вас есть FTP сервер и нужно, чтобы знакомые могли к нему подключаться, скачивать и обновлять файлы. Для того, чтобы получить доступ к файлам, хранящимся на нем, требуется открыть порты. В этом случае сделать так, чтобы пакеты пришедшие на 21 порт роутера (стандартный порт FTP) перенаправлялись на 21 порт компьютера, находящегося в локальной сети, на котором запущен FTP сервер.

Не обязательно, чтобы номер открытого порта на роутере был таким же, как и на сервере.

После перенаправления портов, TCP и (или) UDP пакеты, пришедшие на заданный порт роутера, будут перенаправлены на нужный порт устройства, находящегося в локальной сети. Для этого нужно, чтобы IP-адрес роутера был белый (статический внешний IP-адрес). О белых и серых IP адресах будет рассказано ниже.

Вот еще пример — есть несколько видеокамер в локальной сети, у каждой из них свой IP-адрес. С помощью программы удаленного управления можно подключаться к устройствам по определенному порту. Видеокамеры могут быть установлены в локальной сети одного объекта. Если мы хотим получить доступ к ним через интернет, это можно организовать с помощью проброса портов.

При всем этом следует обратить особое внимание на безопасность. Ведь открыв к ресурсам локальной сети через интернет, ими могут попытаться воспользоваться злоумышленники

Теперь разберемся по пунктам как это все должно быть устроено, на что следует обратить внимание