Проброс портов на роутере — это процедура, позволяющая установить прямую связь между компьютером из внешней сети (например, из интернета) и устройством, находящимся во внутренней сети маршрутизатора. Благодаря этому любое устройство или приложение, знающее внешний IP-адрес вашего роутера и номера портов, которые проброшены на нем, может получать доступ из интернета к соответствующим устройствам в сети за маршрутизатором, например, к компьютерам и ноутбукам в домашней «локалке». При условии, что это не запрещено настройками межсетевого экрана (фаервола).

Рисунок 1. Схема локальной сети

Существует множество целей и задач, для реализации которых необходимо назначить пробросы портов на роутере. Например, для полноценной работы пиринговых клиентов, возможности создания любых интернет-серверов — игровых (состязания компьютерных игроков в режиме онлайн), WEB, FTP и других. Если у вас не получается организовать торрент-раздачу на BitTorrent трекере, или созданную вами игровую сессию «не видят» другие удаленные игроки, значит, порт на роутере не проброшен. Проблема усугубляется, если маршрутизатор находится не в доме и принадлежит не вам, а провайдеру. Такое часто бывает у пользователей выделенного широкополосного доступа по Ethernet, когда в квартиру проводится лишь кабель, а маршрутизатор надежно защищен от несанкционированного проникновения. В этом случае вопрос о том, как пробросить порт, решается непосредственно с вашим провайдером.

Что такое NAT и чем он мешает?

Рисунок 2. При подключении к сети через маршрутизатор компьютер находится под NAT роутера.

Для тех же, кто имеет собственный маршрутизатор, например, для пользователей широкополосного доступа по ADSL, будет полезно узнать, как пробросить порт на роутере. Но сначала выясним, почему без этой процедуры невозможен прямой доступ в локальную сетку извне. Дело в том, что практически все пользовательские маршрутизаторы работают на основе технологии NAT — это особый сетевой механизм, служащий для преобразования IP-адресов пакетов данных, проходящих транзитом через межсетевой экран или роутер.

Благодаря ему производится разделение глобальной сети на два независимых сегмента, каждый со своим адресным пространством: внешним («публичным») и внутренним («приватным»), находящимся под NAT. Созданная с помощью роутера «локалка» является внутренней сетью, где каждому компьютеру можно назначить свой уникальный IP, и это не вызовет конфликтов или нехватки адресов во внешней сети, покольку внешнее и внутреннее адресные пространства независимы друг от друга.

Извне вся «локалка» будет видна под одним единственным публичным IP, присвоенным конкретному маршрутизатору. Соответственно, внутреннее адресное пространство извне видно не будет, и все приватные адреса, которые пользователь назначил компьютерам в своей персональной сетке, для внешних пользователей попросту не будут существовать — о них «знает» только роутер. (РИС. 1)

Зачем необходим проброс портов?

Технологии маршрутизации с использованием NAT отлично подходят для решения большинства повседневных задач рядовых пользователей интернета.

Рисунок 3. Для того, чтобы войти в меню конфигураций роутера его необходимо запустить и подключить к компьютеру.

Когда одному из компьютеров локальной сетки нужен доступ к серверу в интернете (например, для загрузки веб-страницы в браузере), по его требованию маршрутизатор соединяется с сервером, используя свой внешний IP, затем получает и перенаправляет необходимые данные по внутреннему адресу на запросивший их компьютер. Со стороны сервера этот компьютер условно «не существует», так как находится под NAT роутера, и сервер может «общаться» только с самим роутером по его публичному IP. (РИС. 2)

Такой механизм широко используется провайдерами интернета, поскольку имеет массу преимуществ:

1. Экономия адресного пространства. Благодаря NAT нет необходимости давать каждому пользователю уникальный внешний адрес, достаточно создать свою внутреннюю сеть и свободно распоряжаться приватным адресным пространством, используя для выхода вовне лишь один или несколько публичных IP.
2. Повышение безопасности. Все компьютеры локальной сети защищены от обнаружения и использования из «глобальной паутины». Соединение инициируется только изнутри. Публичный адрес может получать данные из приватного только в рамках инициируемой им трансляции.
3. Возможность управления адресами и портами, осуществлять порт-адресные трансляции и т. д.

Однако в некоторых случаях главное преимущество этого механизма — невидимость и недоступность внутренних компьютеров извне — оборачивается серьезным препятствием. Для полноценной работы в пиринговой сети или в режиме сервера необходимо, чтобы любой пользователь из интернета мог свободно подключиться к компьютеру. Можно ли сделать это, если компьютер находится за маршрутизатором, то есть в его приватной сети, и NAT скрывает его от обнаружения? Именно для этого и настраиваются пробросы портов на роутере.

Принцип работы переадресации портов

Рисунок 4. После завершения настройки виртуального сервера роутер нужно перезагрузить.

Суть технологии в том, что роутер осуществляет перенаправление потока данных для конкретных портов TCP/IP со своего публичного адреса на приватный адрес определенного устройства в «локалке». Проще говоря, чтобы получить доступ извне на внутренний адрес, достаточно обратиться по внешнему IP маршрутизатора на один из заданных портов, соответствующий нужному приватному адресу.

В память роутера для этого нужно заранее вписать таблицу соответствий между определенными портами и адресами, чтоб он «знал», какой трафик и на какой компьютер отправлять. Такая «таблица» во многих маршрутизаторах называется «Виртуальный сервер», ведь физически сервер создается на внутреннем узле, но извне доступен по публичному IP и конкретному номеру порта.

Существует два способа проброса портов: автоматически (при помощи UPnP) и вручную. Во время процедуры проброса вручную нужно выбрать номера портов для каждого адреса, который должен быть доступен из интернета. Затем эти номера вместе с публичным IP роутера сообщаются программе-клиенту на другой стороне соединения. Роутер, получив запрос на свой адрес по соответствующему порту TCP/IP, перенаправляет данные прямиком к тому устройству, которое этому порту назначено в соответствие. При этом приватный IP по-прежнему остается невидимым, и ни один другой клиент, не знающий номера порта, на него не попадет.

Как пробросить порт на маршрутизаторе?

Рассмотрим пример, как пробрасывают порт на роутере D-Link любой модели с прошивкой 1.4.Х или новее. Эта процедура не сильно отличается у разных производителей и на различных моделях, поэтому данная инструкция вполне подойдет под любой современный маршрутизатор с веб-интерфейсом.

Рисунок 5. Настройки роутера позволяют задать как один, так и несколько портов.

Сначала необходимо войти в меню конфигурации роутера. Для этого он должен быть запущен и подключен к компьютеру. В строке любого интернет-обозревателя вводим внутренний IP маршрутизатора, под которым он виден в приватной локальной сетке. В нашем случае это 192.168.0.1. В окне авторизации в строках «имя пользователя» и «пароль» вводим одно и то же слово: admin. Первым делом рассмотрим автоматический проброс с помощью мастера. Войдя в меню, ищем ссылку «Мастер настройки виртуального сервера» и нажимаем на нее. (РИС. 3)

На открывшейся конфигурационной странице видим несколько полей. В поле «Шаблон» можно выбрать одну из встроенных заготовок. Ниже вводится любое удобное имя. Далее нужно выбрать интерфейс, с которым будет связан наш виртуальный сервер. Затем вводится приватный адрес узла локальной сети, для которого будут открываться порты, и удаленный публичный адрес, которому будет разрешен доступ. Если поле «Удаленный IP» оставить пустым, доступ будет открыт для всех. Сохраняем настройки и перезагружаем маршрутизатор. (РИС. 4)

Для установки сервера вручную необходимо зайти в расширенные настройки и выбрать «Виртуальные серверы», на открывшейся странице жмем «Добавить». Помимо уже известных из предыдущего способа полей, видим 4 новых: внешние и внутренние начальные/конечные порты. Поток данных с внешнего порта перенаправляется по внутреннему порту на приватный адрес, указанный в поле «Внутренний IP». С помощью начального и конечного номера можно задать целый диапазон портов. Если нужно использовать только один порт, заполняем поле «начальный» и оставляем пустым «конечный». Номер порта может быть любым числом от 0 до 65535, рекомендуется использовать значения выше 49152. (РИС. 5)