Однако, в отличие от NAT-PMP, IGD не использует фиксированный номер порта сервера, поэтому перед тем, как обмениваться сообщениями, нужно сперва этот порт узнать. Делается это при помощи протокола SSDP (данный протокол является частью UPnP и используется для обнаружения сервисов). Можно заметить, что для удаления правила достаточно указать только тип протокола UDP и номер внешнего порта, не указывая остальные параметры. То же самое относится и к другим сценариям, таким как видеоигры, которым нужен интернет для связи с другими игроками, торрент-клиенты, которым для загрузки файлов требуются определенные порты, приложения для обмена мгновенными сообщениями, которые могут отправлять и получать сообщения только через очень определенный порт, и другие.
Как открыть порты?
Весь трафик, который проходит через ваш маршрутизатор, проходит через порты. Каждый порт подобен специальному каналу, предназначенной для определенного вида трафика. Когда вы открываете порт на маршрутизаторе, он позволяет определенному типу данных перемещаться через маршрутизатор.
Открытие порта и выбор устройства в сети для пересылки этих запросов называется открытием порта. Вы можете думать о переадресации портов, как о присоединении канала от маршрутизатора к устройству, которое должно использовать порт – между ними есть прямая видимость, которая обеспечивает поток данных.
То же самое относится и к другим сценариям, таким как видеоигры, которым нужен интернет для связи с другими игроками, торрент-клиенты, которым для загрузки файлов требуются определенные порты, приложения для обмена мгновенными сообщениями, которые могут отправлять и получать сообщения только через очень определенный порт, и другие.
Абсолютно каждому сетевому приложению нужен порт для запуска, поэтому, если программа или приложение не работают, когда все остальное настроено правильно, вам может потребоваться открыть порт на маршрутизаторе и перенаправить запросы на нужное устройство (например, компьютер, принтер или игровую приставку).
Переадресация похожа на перенаправление портов, для пересылки всего диапазона. Например, определенная видеоигра может использовать порты 3478-3480, поэтому вместо того, чтобы вводить все три в маршрутизатор как отдельный порт для переадресации, вы можете просто перенаправить весь этот диапазон на компьютер, на котором запущена эта игра.
Открываем порты за NAT при помощи NAT-PMP и UPnP IGD / Хабр
Назначьте устройству статический IP-адрес
Устройство, которое получит выгоду от переадресации порта, должно иметь статический IP-адрес. Это необходимо, чтобы вам не приходилось постоянно изменять настройки переадресации портов при каждом получении нового IP-адреса.
Например, если ваш компьютер будет работать под управлением торрент- программы, вам нужно назначить статический IP-адрес этому компьютеру. Если вашей игровой консоли необходимо использовать определенный диапазон портов, ей потребуется статический IP-адрес.
Есть два способа сделать это: с маршрутизатора и с компьютера. Если вы настраиваете статический IP-адрес для своего компьютера, это проще сделать там.
Чтобы настроить компьютер Windows для использования статического IP-адреса, сначала необходимо определить, какой IP-адрес он использует прямо сейчас.
- Откройте командную строку на компьютере.
- Введите эту команду: ipconfig/all и нажмите Enter
- Запишите следующее: адрес IPv4, маску подсети, шлюз по умолчанию и DNS-сервера.
Теперь вы можете использовать эту информацию для настройки статического IP-адреса.
- В диалоговом окне «Выполнить» (WIN + R) откройте «Сетевые подключения» с помощью команды ncpa.cpl.
- Щелкните правой кнопкой мыши или удерживайте соединение, имя которого совпадает с именем, которое вы указали в командной строке. В нашем примере выше мы бы выбрали Ethernet0 .
- Выберите Свойства из меню.
- Выберите Интернет-протокол версии 4 (TCP / IPv4) из списка и выберите Свойства.
- Выберите Использовать следующий IP-адрес.
- Введите все те же данные, которые вы скопировали из командной строки – IP-адрес, маску подсети, шлюз по умолчанию и DNS-серверы.
- Нажмите ОК, когда закончите.
Вы также можете настроить свой Mac для использования статического IP-адреса, а также Ubuntu и другие дистрибутивы Linux .
Другой вариант – использовать маршрутизатор для установки статического IP-адреса. Вы можете сделать это, если вам нужно не компьютерное устройство, чтобы иметь адрес (например, игровую консоль или принтер).
Например: Удаленный сервер можно проверить командой telnet 10.242.17.134 80, а проверка открытого порта на своём компьютере – вводом текста telnet localhost 80. (Имейте ввиду, после каждого слова должен быть пробел) Хотя перед этим следует точно убедиться, что проблема заключается именно в соединении, воспользовавшись всё теми же приложениями, сервисами и утилитами. Введите все те же данные, которые вы скопировали из командной строки IP-адрес, маску подсети, шлюз по умолчанию и DNS-серверы.
Уязвимости стека ядра.
Бывает**** и такое, что даже не важно какой именно сервис открывает порт, когда уязвим сам сетевой стек ядра. То есть абсолютно любой tcp/udp-сокет на системе двухлетней давности подвержен уязвимости приводящий к DDoS.
Напрямую ущерба не принесет, но может забить ваш канал, поднять нагрузку на систему, ваш IP попадет в какой-нибудь black-list*****, а вам прилетит абуза от хостера.
Неужели вам нужны все эти риски? Добавьте ваш домашний и рабочий IP в white-list. Даже если он динамический — залогиньтесь через админку хостера, через веб-консоль, и просто добавьте еще один.
Я 15 лет занимаюсь построением и защитой IT-инфраструктуры. Выработал правило, которое всем настоятельно рекомендую — ни один порт не должен торчать в мир без white-list’a.
Проверка портов на открытость на компьютере: 3 рабочих способа
- Ничего нет более постоянного, чем временное — не люблю эту фразу, но по субъективным ощущениям, 20-40% таких временных серверов остаются надолго.
- Сложный универсальный пароль, который используется во многих сервисах — зло. Потому что, один из сервисов, где использовался этот пароль, мог быть взломан. Так или иначе базы взломанных сервисов стекаются в одну, которая используется для [брутфорса]*.
Стоит добавить, что redis, mongodb и elastic после установки вообще доступны без аутентификации, и часто пополняют коллекцию открытых баз. - Может показаться, что за пару дней никто не насканит ваш 3306 порт. Это заблуждение! Masscan — отличный сканер, и может сканировать со скоростью 10М портов в секунду. А в интернете всего 4 миллиарда IPv4. Соответственно, все 3306-ые порты в интернете находятся за 7 минут. Карл. Семь минут!
«Да кому это надо?» — возразите вы. Вот и я удивляюсь, глядя в статистику дропнутых пакетов. Откуда за сутки 40 тысяч попыток скана с 3-х тысяч уникальных IP? Сейчас сканят все кому не лень, от мамкиных хакеров до правительств. Проверить очень просто — возьмите любую VPS’ку за $3-5 у любого** лоукостера, включите логирование дропнутых пакетов и загляните в лог через сутки.
Содержание статьи
